Amarre Seguro, por Manolo Guijarro en Flickr (CC BY-NC-ND 2.0)

¿Qué pasa con la información en Facebook, identidad, fotos, enlaces, los «me gusta», que compartes fuera de EE. UU.? Un montón de cosas. Los datos saldrán de tu ordenador hacia los servidores más próximos de la empresa y al final aterrizarán en los servidores de Facebook en California, que obtendrá algún tipo de ganancia comercial y los someterá al escrutinio de la NSA (Agencia de Seguridad Nacional).

A lo largo de ese camino ¿qué leyes protegen esa información? No demasiadas, pero gracias a la sentencia de un tribunal todo esto podría cambiar para los usuarios de Internet en Europa.

Hasta este mes, un acuerdo regulaba la política de protección de datos «Safe Harbor,» entre EE. UU. y la UE, permitía a empresas como Facebook y Google autoregular la transferencia de datos personales entre ambos países; pero a partir de ahora, se puede decir que el acuerdo está formalmente muerto. La política, aprobada por la Comisión Europea de manera unilateral en el 2000, prometía que las empresas acatarían las leyes de privacidad cuando manejaran los datos de las personas en Estados Unidos, pero sin necesidad de presentar pruebas explicitas de su cumplimiento. Entre otras cosas, se requería que las empresas se encargaran de notificar a los usuarios la recogida y uso de sus datos personales— permitiéndoles optar entre la recogida o transferencia— así como de su seguridad.

A partir de las revelaciones de Snowden se ha vuelto cada vez más difícil creer que las compañías estadounidenses mantengan los estándares en materia de privacidad cuando procesan los datos de los usuarios de la UE.

Infografía de Safe Harbor en francés, creación de Ledieu Advocats, una empresa de abogados francesa.

El Tribunal de Justicia de la Unión Europea acabó inesperadamente con esta política cuando dictaminó el 6 de octubre que el régimen de vigilancia masiva de los Estados Unidos imposibilita que las empresas puedan acatarla en su totalidad. Las filtraciones de Snowden rebelaron hasta qué punto las compañías se inclinan a las demandas del gobierno y, por tanto, el tribunal de la UE lo interpretó como una señal de que las compañías estadounidenses no pueden garantizar la misma protección en materia de protección de datos, como sus competidoras europeas.

El caso comenzó en 2013, cuando el activista austriaco defensor del derecho a la intimidad, Maxmilian Schrems, presentó una demanda en Irlanda (la oficina central de Facebook en la UE) a raíz de las rebelaciones de Snowden. Schrems desafió al Comisario de Protección de Datos de Irlanda a que investigara el cumplimiento de Facebook con las leyes europeas de privacidad de datos, como esta se había comprometido a hacer bajo el acuerdo de Safe Harbor; cuando este se negó, los llevó al tribunal.

El asesor jurídico superior del Tribunal de Justicia, Yves Bot, escribió que «la interferencia en los derechos fundamentales es contraria al principio de proporcionalidad, en particular, porque la vigilancia que llevan a cabo los servicios de inteligencia de los Estados Unidos es masiva, una vigilancia indiscriminada».  En una respuesta inicial, Schrems escribió:

This decision is a major blow for US global surveillance that heavily relies on private partners. The judgement makes it clear that US businesses cannot simply aid US espionage efforts in violation of European fundamental rights.

Esta decisión es un duro golpe para la vigilancia en general de EE. UU. que depende en gran medida de socios privados. La sentencia deja claro que las empresas estadounidenses no pueden apoyar los esfuerzos de espionaje sin más, porque violan los derechos europeos fundamentales.

¿Un paso pequeño o grande para el derecho a la intimidad de los europeos? 

Tanto los expertos como los observadores tecnológicos no tardaron en ofrecer análisis y recomendaciones también, con muchos argumentando que la decisión debería servir como una llamada de atención a los Estados Unidos para reformar la ley de vigilancia.

La autoridad de control al gobierno francés sobre la protección de datos, la National Commission on Informatics and Liberty (CNIL) celebró la medida por tratarse de «una decisión clave en la protección de datos», al igual que muchos defensores del derecho a la intimidad. El grupo de derechos digitales francés La Quadrature du Net (LQDN) escribió:

This is a landmark ruling! By recognising that the surveillance led by the NSA on personal data hosted in the US was prejudicing EU citizens, the CJEU upholds what Human Rights organisations and MEPs were calling for: conditions surrounding the transfer of personal data must be revised, in the light of legislations regarding surveillance and the practices that Edward Snowden has unveiled.

¡Es un fallo histórico! Al reconocer que la vigilancia que dirige la NSA de los datos personales que están en EE.UU. estaba perjudicando a los ciudadanos europeos, la CJEU defiende lo que las organizaciones de derechos humanos y los miembros del parlamento europeo solicitaban: las condiciones que rodean a la transferencia de datos de carácter personal deben ser revisadas a la luz de las diferentes legislaciones relacionadas con la vigilancia y las prácticas que Snowden ha revelado.

La abogada de derechos humanos Renata Avila, líder de campaña de la iniciativa Web We Want, se unió a LQDN para celebrar la victoria: «El hecho de que Max Schrems, un estudiante de derecho de 28 años, pudiera desafiar con éxito un destacado acuerdo internacional vigente hace mucho tiempo subraya por qué debemos preservar la web como espacio para el debate, la disensión y el progreso», dijo en una declaración a la prensa.

Los expertos dicen que las agencias de vigilancia en EE. UU. permanecerán impávidas por la sentencia, pero lo cierto es que tendrá implicaciones muy significativas, sobre todo para esas empresas cuyo modelo de negocio depende en la transferencia masiva de datos:

Pour les services de renseignement américains, cela n’aura pas la moindre conséquence à terme. Les documents Snowden ont montré l’incroyable capacité de la NSA à aller chercher la data là où elle est, et où qu’elle soit. Ils s’adapteront très vite à cette nouvelle donne. Pour les GAFA, par contre, c’est un coup très dur, particulièrement pour ceux dont le cœur du modèle économique repose sur la surveillance privée : Google et Facebook (Apple n’ayant pas grand chose à craindre, pour le coup, Amazon un peu plus).

Las agencias de inteligencia no sentirán ningúno de sus efectos con el paso del tiempo. Las filtraciones de Snowden demostraron la increíble habilidad de la NSA para recoger los datos en cualquier momento y en cualquier lugar y se adaptarán con rapidez a las nuevos mandatos. Para los GAFA sin embargo el golpe es muy duro, especialmente para aquellos cuyo modelo económico se basa en la vigilancia privada: Google y Facebook (Apple no tiene casi nada que temer, y Amazon puede que un poco más).

Algunos usuarios han visto en la decisión del tribunal, un merecido y esperado golpe a la infame «GAFA» o los cuatro gigantes estadounidenses de internet: Google, Amazon, Facebook y Apple:

Notre Une préférée ce mercredi, au lendemain de l'arrêt de la #CJUE sur #SafeHarbor ? @tazgezwitscher, pardi ! pic.twitter.com/7KbiqJoZ9C — VoxEurop (@VoxEuropFR) 7 Octobre 2015

¿Nuestra página favorita este miércoles a raíz de la sentencia del  tribunal sobre Safe Harbor? @tazgezwitscher ¡desde luego!

El blog de Tecnología de Estados Unidos TechCrunch especulaba con que el cambio provocará que más empresas empiecen a utilizar sistemas de encriptación más fuertes que les permitan cumplir con (y hasta exceder) los requerimientos europeos. Aunque pueda parecer más penoso para los GAFA del mundo, estas empresas disponen de importantes recursos para seguir adelante con la implementación de estos cambios, mientras que por el contrario, como muchos críticos señalaron, las empresas más pequeñas perderán mucho más con la sentencia porque cuentan con menos recursos para abordar los cambios operacionales que la nueva política seguramente conllevará.

Les PME pourraient être victimes de la remise en question du Safe Harbor http://t.co/0CyigkwpZ9pic.twitter.com/uI5Wg57016

— Les Echos (@LesEchos)  October 12, 2015

Las empresas de pequeño y medio tamaño podrían ser la victimas de la caída del Safe Harbor.

Las autoridades europeas de protección de datos han concedido tres meses a los gobiernos nacionales y  a la Comisión Europea para determinar que mecanismos reemplazarán el sistema de Safe Harbor. Y los defensores del Internet abierto en EE. UU. se preparan para la siguiente ronda. La Quadrature du Net declaró:

We ask all French and European representatives to draw the necessary conclusions and work towards protection of citizens within the EU, especially by invalidating monitoring laws currently under consideration in many European countries, and notably in France.

Pedimos a los franceses y a los representantes europeos que saquen las conclusiones necesarias y trabajen por la protección de los ciudadanos dentro de los EE. UU., invalidando especialmente las leyes de monitoreo, actualmente en consideración en muchos de los países europeos y en Francia en particular.

Ellery Roberts Biddle colaboró con este artículo.