La Comisión analiza si la decisión de la Corte Suprema de EE. UU. sobre la independencia de las autoridades federales afecta las transferencias de datos con la UE

El ejecutivo europeo examina las posibles consecuencias de la decisión Trump v. Slaughter, mediante la cual la Corte Suprema de EE. UU. invalidó la protección contra la destitución de un miembro de la Comisión Federal de Comercio. La Comisión no ha identificado hasta ahora un impacto sobre el marco que permite la transferencia de datos personales a las empresas estadounidenses participantes.

La Comisión Europea ha comenzado a analizar si la decisión de la Corte Suprema de los Estados Unidos que amplía el poder del presidente para destituir a miembros de la Comisión Federal de Comercio puede tener consecuencias sobre el marco utilizado para la transferencia de datos personales de la Unión Europea a las empresas estadounidenses participantes.

En resumen
La decisión analizada se refiere a la protección legal que limitaba la posibilidad del presidente de EE. UU. de destituir a un miembro de la Comisión Federal de Comercio, la autoridad responsable de hacer cumplir los compromisos asumidos por las empresas participantes en el marco transatlántico para datos.

La Comisión ha dicho que examina la decisión y la forma en que se aplicará, sin concluir que las transferencias de datos se ven afectadas o que la decisión de adecuación debe modificarse.

El marco adoptado en julio de 2023 permite la transferencia de datos de la UE a las empresas estadounidenses participantes sin la exigencia de introducir garantías adicionales para cada transferencia.

El comisario europeo para democracia, justicia, estado de derecho y protección del consumidor, Michael McGrath, discutió el marco con el presidente de la Comisión Federal de Comercio y con un miembro de la Junta de Supervisión de Privacidad y Libertades Civiles durante una visita a Washington.

La Comisión monitorea permanentemente la decisión de adecuación y puede intervenir si los cambios jurídicos o institucionales en Estados Unidos reducen el nivel de protección en el que se basó la evaluación europea.

El portavoz de la Comisión para justicia y protección del consumidor confirmó en la rueda de prensa del 23 de julio que el ejecutivo europeo ha tomado nota de la decisión de la Corte Suprema de EE. UU. en el caso Trump v. Slaughter y que analizará cuidadosamente la forma en que se aplica.

"Hemos tomado nota de la decisión de la Corte Suprema de los Estados Unidos en el caso Trump v. Slaughter. Analizaremos cuidadosamente cualquier medida de aplicación y sus posibles implicaciones para nuestra agenda con Estados Unidos", declaró el portavoz.

La Comisión no ha dicho que la decisión ya afecta las transferencias de datos personales y no ha anunciado una reevaluación formal o un procedimiento para suspender el marco transatlántico. El análisis se encuentra en una etapa inicial, y la institución no ha presentado un calendario para su finalización.

La Corte Suprema de EE. UU. decidió que la norma que permitía la destitución de un miembro de la Comisión Federal de Comercio solo por ciertos motivos es incompatible con la separación de poderes prevista por la Constitución estadounidense. La decisión refuerza el control del presidente sobre la composición de la dirección de la autoridad federal.

La Comisión Federal de Comercio tiene un papel directo en el funcionamiento de la componente comercial del marco UE–EE. UU. para la protección de datos. La autoridad puede verificar el cumplimiento de los compromisos asumidos por las empresas estadounidenses inscritas en el sistema y puede intervenir cuando una empresa declara que cumple con los requisitos del marco, pero no los aplica en la práctica.

La posible relevancia para la UE proviene de la necesidad de que los mecanismos de aplicación y control en los que se basa la decisión de adecuación continúen funcionando efectivamente. La Comisión debe verificar tanto la existencia de las normas estadounidenses como la capacidad de las instituciones responsables de aplicarlas de manera independiente y efectiva.

El ejecutivo europeo no ha establecido, sin embargo, que la posibilidad de destitución de miembros de la Comisión Federal de Comercio reduzca automáticamente la protección de los datos transferidos desde la UE. Tal conclusión requeriría examinar las consecuencias jurídicas y prácticas de la decisión, cómo la autoridad ejerce su actividad y las posibles medidas adoptadas por la administración estadounidense.

En julio de 2023, la Comisión decidió que Estados Unidos ofrece un nivel adecuado de protección para los datos transferidos a las empresas estadounidenses que participan en el Marco de Privacidad de Datos UE–EE. UU. La decisión permite a las organizaciones europeas transferir datos a estas empresas sin tener que establecer mecanismos adicionales para cada operación, como las cláusulas contractuales estándar.

El marco no cubre automáticamente a todas las empresas de Estados Unidos. Las empresas deben inscribirse y comprometerse a cumplir con los requisitos sobre el uso de datos, limitación del propósito del procesamiento, conservación de la información, seguridad y ejercicio de los derechos de las personas afectadas.

La Comisión Federal de Comercio y el Departamento de Transporte aplican las obligaciones de las empresas participantes, dependiendo del sector en el que operan. Las personas cuyos datos son transferidos también cuentan con mecanismos para presentar quejas y resolver litigios.

Un componente separado se refiere al acceso de las autoridades estadounidenses a los datos con fines de seguridad nacional. Estados Unidos ha introducido requisitos según los cuales las actividades de inteligencia deben respetar los principios de necesidad y proporcionalidad y ha creado un mecanismo de apelación para las personas de la UE.

La Junta de Supervisión de Privacidad y Libertades Civiles forma parte de la estructura estadounidense de supervisión de las actividades relacionadas con la seguridad nacional y la protección de la vida privada. No tiene el mismo papel que la Comisión Federal de Comercio y no fue la institución directamente afectada por la decisión Trump v. Slaughter.

La Comisión sigue, sin embargo, la situación de ambos organismos ya que el marco transatlántico se basa en múltiples niveles de protección. La Comisión Federal de Comercio es relevante para el cumplimiento de las obligaciones comerciales por parte de las empresas, y los organismos de control y mecanismos de apelación son relevantes para el acceso de las autoridades públicas estadounidenses a los datos.

El comisario europeo para democracia, justicia, estado de derecho y protección del consumidor, Michael McGrath, se reunió en Washington con el presidente de la Comisión Federal de Comercio, Andrew Ferguson, y con Beth Williams, miembro de la Junta de Supervisión de Privacidad y Libertades Civiles.

Según la Comisión, McGrath discutió con los dos representantes sobre el marco UE–EE. UU. y subrayó la necesidad de fortalecer la cooperación transatlántica en el ámbito de la protección de datos, tanto para los ciudadanos como para las empresas.

La visita tuvo lugar unas semanas después de la emisión de la decisión de la Corte Suprema. La Comisión no especificó si las autoridades estadounidenses han ofrecido garantías adicionales sobre la independencia institucional, la continuidad de las actividades de control o los efectos concretos de la decisión.

El portavoz recordó que la decisión europea de julio de 2023 concluyó que Estados Unidos ofrece un nivel adecuado de protección para los datos transferidos en el marco del sistema. Agregó que, como todas las decisiones de adecuación, esta se monitorea para verificar si el nivel de protección se mantiene.

La primera evaluación periódica del marco se realizó en 2024. El análisis siguió la aplicación de los requisitos por parte de las empresas participantes, la actividad de las autoridades estadounidenses, el funcionamiento de los mecanismos de apelación y los cambios jurídicos relevantes para el acceso gubernamental a los datos.

El monitoreo no se limita a las evaluaciones periódicas programadas. La Comisión puede analizar en cualquier momento las evoluciones legislativas, las decisiones judiciales, los cambios institucionales y las prácticas de las autoridades estadounidenses que podrían modificar el nivel de protección considerado al adoptar la decisión.

Si se constatara que Estados Unidos ya no garantiza la protección necesaria, la Comisión podría solicitar medidas de remedio y podría modificar, suspender o retirar la decisión de adecuación. Ninguna de estas etapas ha sido anunciada en relación con la decisión Trump v. Slaughter.

Las transferencias realizadas en base al marco continúan, por lo tanto, siendo permitidas. Las empresas pueden utilizar también otros instrumentos previstos por las normas europeas, como las cláusulas contractuales estándar y las reglas corporativas obligatorias, dependiendo de su situación.

El marco actual fue adoptado después de que el Tribunal de Justicia de la Unión Europea invalidara en 2020 el mecanismo anterior, conocido como Privacy Shield. El tribunal europeo consideró entonces que las protecciones sobre el acceso de las autoridades estadounidenses a los datos y los recursos disponibles para las personas de la UE no eran suficientes.

Estados Unidos introdujo posteriormente nuevas garantías sobre las actividades de los servicios de inteligencia y un mecanismo de apelación destinado a las personas de la UE. La Comisión consideró que estos cambios permiten reanudar las transferencias en base a una nueva decisión de adecuación, pero el funcionamiento del sistema sigue estando sujeto a monitoreo.