Cómo queda el sector del telemarketing tras la anulación europea del Privacy Shield

La Unión Europea y Estados Unidos firmaron el acuerdo conocido como Privacy Shield (‘Escudo de Privacidad’) para garantizar que las empresas americanas adheridas al mismo, cerca de 5.400, aplicaban los mismos estándares de protección de datos que las empresas europeas regidas por el RGPD. Hace pocos días, el Tribunal de Justicia de la Unión Europea (TJUE) invalidó este acuerdo que permitía, entre otras cosas, las transferencias internacionales de datos.

La razón, explica Lidia Castillejo, responsable de Desarrollo de Negocio de la plataforma de email marketing Acrelia, se basa en que el Reglamento de Protección de Datos (RGPD/ GDPR) aplica restricciones a las empresas que quieren transferir información personal fuera de Europa, incluyendo la recopilada en formularios de contacto o para el envío de newsletters. “El RGPD dispone que esta transferencia solo puede realizarse si el país de destino garantiza un nivel de protección de datos acorde a los principios y obligaciones del RGPD. Así pues, la decisión de anular el Privacy Shield obliga a las empresas europeas a revisar todos los proveedores cuyo servicio implica transferencia internacional de datos, como por ejemplo Whatsapp, Trello, Mailchimp, Slack, Dropbox y muchos más servicios y aplicaciones cuyos datos se alojan en servidores de EEUU.  “No afecta a aquellos que utilizan servidores europeos o españoles, como hacemos en Acrelia”.

¿Por qué el TJUE ha invalidado Privacy Shield?

El activista y abogado Max Schrems, usuario de Facebook desde 2008, interpuso una demanda contra esta red social en Irlanda, alegando que no garantizaba un nivel de protección de datos suficiente. Los datos personales de los usuarios de Facebook en Europa son transferidos, total o parcialmente por la filial irlandesa a servidores pertenecientes a Facebook Inc., situados en el territorio de Estados Unidos, donde son objeto de tratamiento.

Según el comunicado del Tribunal de Justicia, “las limitaciones de la protección de datos personales que se derivan de la normativa interna de los Estados Unidos relativa al acceso y la utilización, por las autoridades estadounidenses, de los datos transferidos desde la Unión a ese país tercero, y que la Comisión evaluó en la Decisión Escudo de la privacidad, no están reguladas conforme a exigencias sustancialmente equivalentes a las requeridas, en el Derecho de la Unión, por el principio de proporcionalidad, en la medida en que los programas de vigilancia basados en la mencionada normativa no se limitan a lo estrictamente necesario”.

Es decir, las empresas americanas deben cumplir las exigencias relativas a la seguridad nacional, el interés público y el cumplimiento de la ley estadounidense, lo que significa que pueden verse obligadas a entregar datos personales de los usuarios a las agencias gubernamentales, de inteligencia y seguridad, lo que vulnera la RGPD y la Carta de Derechos Fundamentales de la UE. Por esta razón, el tribunal de justicia europeo ha decidido invalidar el “Escudo de Privacidad” y, por tanto, todas las transferencias de datos basadas en él.