Transferències internacionals de dades: anàlisi jurídica de la protecció de les dades personals en virtut del nou 'EU-US data privacy framework'

Abstract

La relació entre la UE i els EUA en matèria de protecció de dades ha estat històricament complexa. Mentre que la UE té un enfocament molt més garantista basat, principalment, en el principi de minimització de dades, la regulació dels EUA es caracteritza per ser més laxa, amb un enfocament més permissiu pel que fa a la recopilació i tractament de les dades de caràcter personal, especialment pel que fa a les activitats dels serveis d’intel·ligència. En conseqüència, això ha suposat que les dades dels ciutadans europeus que s’exporten als EUA no gaudeixin de les màximes garanties d’acord amb la legislació europea (RGPD). Així ho ha ratificat el TJUE en reiterades ocasions, motiu pel qual ha invalidat l’acord d’adequació de Safe Harbour i, posteriorment, el del Privacy Shield, entenent que aquests no adoptaven suficients garanties per a assolir un nivell de protecció substancialment equivalent a l’europeu. Aquesta recerca aspira a submergir-se a la nova decisió d’adequació assolida el 2023 per la Comissió Europea—EU-US Data Privacy Framework (DPF) —, la qual té com a objectiu a garantir que les transferències de dades transoceàniques es realitzin de forma segura, respectant la privadesa dels interessats fruit de la introducció de nous mecanismes de control i el reforç de les salvaguardes. Tanmateix, són moltes les veus que ja s’han alçat advertint que el nou acord segueix essent insuficient, no reunint les suficients garanties per assolir, tal i com exigeix el TJUE, un nivell de protecció substancialment equivalent a l’europeu. És per aquesta raó que, l’objectiu principal d’aquesta recerca serà el d’avaluar jurídicament i crítica, des d'una perspectiva de dret constitucional i de la UE, el grau de garanties i salvaguardes atorgades als ciutadans europeus a la llum del nou DPF, entenent el dret a la protecció de dades com a un dret fonamental consagrat a la normativa estatal i europea.

The relationship between the EU and the US on data protection has historically been complex. While the EU has a much more protective approach based mainly on the principle of data minimisation, US regulation is characterised by a more lax, permissive approach to the collection and processing of personal data, especially regarding intelligence activities. As a result, this has meant that the personal data of European citizens exported to the US do not enjoy the maximum guarantees under European law (GDPR). This has been ratified by the CJEU on several occasions, which has invalidated the Safe Harbour adequacy agreement and, subsequently, the Privacy Shield agreement, on the grounds that these did not adopt sufficient safeguards to achieve a level of protection substantially equivalent to the European one. The aim of this research is to dive into the new adequacy decision reached in 2023 by the European Commission —EU-US Data Privacy Framework (DPF)—, which aims to ensure that transoceanic data transfers are carried out securely, respecting the privacy of data subjects because of the introduction of new control mechanisms and the strengthening of safeguards. However, many voices have already been raised warning that the new agreement is still insufficient and does not provide sufficient mechanisms or guarantees to achieve, as required by the CJEU, a level of protection that is substantially equivalent to the European level. It is for this reason that the main objective of this research is to assess legally and critically, from a constitutional and EU law perspective, the degree of guarantees and safeguards granted to European citizens in the light of the new DPF adopted, understanding the right to data protection as a fundamental right enshrined in state and EU law.