• La Decisión de la Comisión Europea declaró que Estados Unidos sí garantizaba la protección de datos, pero el Tribunal de Justicia ha declarado esta Decisión invalida

• La Directiva establece que sólo se pueden transferir datos personales a un país tercero, si este garantiza su adecuada protección

El Tribunal de Justicia de la Unión Europea declara que Estados Unidos no ofrece un nivel de protección de datos adecuado y adaptado a la legislación de la Unión Europea. Tras una demanda de un usuario de Facebook, donde establecía la no protección de los datos personales, la Comisión Europea declaró inválida la demanda, sin embargo, tras un análisis exhaustivo de la situación, el Tribunal de Justicia de la UE ha establecido que “Estados Unidos no garantiza un nivel de protección de datos personales adecuado”.

El Sr. Maximillian Scherms es un abogado y ciudadano austríaco, usuario de Facebook desde el año 2008. Por lo tanto sus datos personales, como ocurre con cualquier ciudadano perteneciente a la Unión Europea son trasladados desde su país de origen hasta la filial irlandesa, y una vez aquí, se remiten a Estados Unidos, donde son objeto de tratamiento. Tras descubrir que Facebook disponía de más de 1.000 folios de información sobre él, el Sr Scherms presentó una denuncia alegando que la normativa y la práctica de Estados Unidos no garantizaban una protección suficiente de los datos transmitidos a este país. Sin embargo, la autoridad irlandesa desestimó la denuncia al declarar que la Comisión había considerado que Estados Unidos si garantizaba un nivel adecuado de protección de los datos personales transferidos.

Aquí podría haberse dado por cerrado el caso. Sin embargo el Tribunal de Justicia estimó que el hecho de que exista una Decisión de la Comisión, no impide que un órgano nacional pueda investigar si un país tercero, EEUU en este caso, cumple o no con el derecho a la protección de los datos personales, puesto que corresponde en último término al Tribunal de Justicia decidir si una decisión de la Comisión es válida o no, por lo que decidió reabrir la investigación.

Además el Tribunal achaca a la Comisión no haber comprobado si Estados Unidos cumplía o no con la

legislación interna o de sus compromisos internacionales de protección de datos, y haberse basado, únicamente, en el análisis del “puerto seguro”, un acuerdo entre las dos orillas del Atlántico que determina que Washington ofrece una protección de los datos personales “totalmente segura y válida”.

Finalmente el Tribunal de Justicia de la Unión Europea ha declarado inválida la Decisión de la Comisión y como consecuencia de esta sentencia, la autoridad irlandesa de control está obligada a examinar la reclamación del SR. Schrems y, tras la investigación, deberá decidir si debe suspenderse la transferencia de los datos de los usuarios europeos de Facebook a Estados Unidos porque ese país no ofrece un nivel de protección adecuado de los datos personales.

Con este caso se abre la puerta de cientos de demandas similares y que puede provocar el hecho de que un gran número de empresas americanas tengan que revisar sus prácticas en cuanto a protección de datos en un futuro cercano.