“No es oro todo lo que reluce”:
Es esta una advertencia que debe tener muy presente aquel que lea la Opinión del Abogado General Saugmandsgaard Øe (del Tribunal de Justicia de la Unión Europea en el caso C-311/18 Data Protection Commissioner v Facebook Ireland Limited, Maximillian Schrems (“Schrems II“), hecha pública el pasado 19 de diciembre de 2019 (la “Opinión del AG“).
Como ya advertíamos en su momento, Schrems II es trascendental cara a determinar la posibilidad de utilizar un mecanismo de garantía para transferencias internacionales de datos personales bajo el Reglamento General de Protección de Datos (“RGPD“) tan extendido como las Cláusulas Contractuales Tipo[1]. Siendo ello así, no es extraño que el anuncio en su momento de la publicación de la Opinión del AG en dicho caso concitase tanta expectación.
Posiblemente fue esa expectación —y la inquietud que imperaba entre la comunidad de profesionales de la protección de datos tras los oscuros auspicios que existían sobre el particular— la que motivó esa corriente de alivio que recorrió las mentes de much@s cuando el pasado día 19 de diciembre se difundió la Nota de Prensa que precedía a la publicación de la Opinión del AG. ¡Las Cláusulas Contractuales Tipo siguen siendo válidas! se escuchaba y se leía en las principales redes sociales. El título de la Nota de Prensa era contundente al respecto “Según el Abogado General Saugmandsgaard Øe, es válida la Decisión 2010/87/UE de la Comisión relativa a las cláusulas contractuales tipo para la transferencia de datos personales a los encargados del tratamiento establecidos en países terceros“.
Sin embargo, una lectura más detallada de la Opinión del AG nos aleja de alguna forma de esa ola de optimismo que bañó las redes sociales tras las primeras horas de la publicación de la Nota de Prensa, para situarnos en un terreno en el que sigue sin ser posible “bajar la guardia”. De hecho, todo lo contrario. Veámoslo.
Las Cláusulas Contractuales Tipo son válidas… en teoría…:
Como es sabido y dicho en términos simples, la espada de Damocles que amenaza la subsistencia de las Cláusulas Contractuales Tipo[2] en Schrems II, es la posibilidad de que las autoridades del país del importador de los datos (en Schrems II se piensa en las agencias de seguridad de Estados Unidos, si bien no hay razón para no extender el mismo criterio a cualquier otro país tercero) puedan obligar a dicho importador a revelar los datos personales transferidos, todo ello en ejecución de potestades atribuidas a tales autoridades por la legislación de dicho país y sin que existan debidas garantías a ojos de la Unión Europea. En definitiva, lo que se pretende juzgar es si unas Cláusulas Contractuales Tipo que no impiden en la práctica que el importador de datos revele datos a las autoridades de su país aplicando su legislación, constituyen “garantías adecuadas” conforme el marco de protección de datos de la Unión Europea.
Para contestar a esta cuestión, el Abogado General Saugmandsgaard Øe (el “Abogado General“) centra la atención en la finalidad formal de las Cláusulas Contractuales Tipo. Dicha finalidad no es otra que establecer garantías para el tratamiento de datos, que suplan las carencias que en efecto existen en la legislación del país del importador. Desde este punto de vista, ningún sentido tiene cuestionar la validez de las Cláusulas Contractuales Tipo argumentando sobre la base de esas mismas carencias de la legislación del país tercero (p. ej., que dicha legislación atribuye a sus autoridades potestades cuasi omnímodas para acceder a los datos personales). La existencia de esas carencias en las leyes de país del importador no solo no invalida las Cláusulas Contractuales Tipo, sino que es la razón de ser de éstas.
Siendo ello así, en opinión del Abogado General, lo relevante al punto de determinar la validez (o no) de las Cláusulas Contractuales Tipo es esclarecer si contienen medidas destinadas a suplir de forma efectiva las carencias del marco regulador aplicable al importador en su país en cuanto al tratamiento de los datos transferidos. Se trata de alguna forma de un criterio de medios (y por ello decimos que formal y teórico), y no de resultado.
A esta cuestión responde el Abogado General de forma afirmativa. Y para ello se apoya en las potestades y obligaciones que las Cláusulas Contractuales Tipo (para transferencias con destino a encargados) establecen, tanto para responsables exportadores, como para las autoridades de control en materia de protección de datos de la Unión Europea.
En efecto, en primer lugar, el Abogado General llama la atención sobre el hecho de que las Cláusulas Contractuales Tipo (cláusulas 5(a) y 5(b)) establecen la facultad —que el Abogado General contempla realmente como obligación— del exportador de suspender la transferencia internacional de datos, o terminar el contrato con el importador en caso de que el importador no pueda cumplir con las instrucciones del exportador y/o con las Cláusulas Contractuales Tipo. Ello se complementa con las facultades que las Cláusulas Contractuales Tipo (cláusulas 3, 6(1) y 7(1)) atribuyen a los interesados, quienes pueden hacer valer sus derechos tanto frente al importador como frente al exportador, acudiendo para ello a los tribunales y a los supervisores en materia de protección de datos.
En segundo lugar, la Opinión del AG alude a las facultades —obligaciones, de hecho, según el Abogado General— que tienen las autoridades de control en materia de protección de datos bajo el artículo 58 del RGPD y el artículo 4 de la Decisión 2010/87 (que aprobó las Cláusulas Contractuales Tipo para encargados del tratamiento, si bien existen artículos equivalentes en las Decisiones de las Cláusulas Contractuales tipo para transferencia responsable a responsable), de investigar y, en última instancia suspender, las transferencias internacionales de datos que, aun estando formalmente amparadas en unas Cláusulas Contractuales Tipo suscritas entre exportador e importador, se desarrollen en condiciones tales que no permitan garantizar de forma efectiva los derechos de los interesados en el país de destino. Facultades éstas que, además, si no son ejercitadas correctamente, es decir, si, por ejemplo, una autoridad de control no impide una transferencia de datos a un importador que no puede cumplir con sus obligaciones bajo las Cláusulas Contractuales Tipo, pueden motivar una reclamación judicial contra la autoridad de control por los interesados afectados.
A la luz de la presencia de estas “herramientas” que se contienen en las mismas y en el RGDP, el Abogado General concluye que las Cláusulas Contractuales Tipo deben ser consideradas válidas ya que formalmente —esto es, atendiendo únicamente a lo que prevén para hacerlas cumplir— configuran un mecanismo que, si se cumpliese en sus propios términos, sería capaz de crear garantías adecuadas en el país de destino.
Sin embargo, como vemos, la argumentación del Abogado General se sitúa en un plano estrictamente formal. Ante los reproches de la autoridad irlandesa y del propio Max Schrems sobre el hecho de que la firma de Cláusulas Contractuales Tipo no está impidiendo que los importadores de Estados Unidos se vean obligados a revelar datos a las agencias de seguridad de dicho país, el Abogado General simplemente responde esgrimiendo la letra de las Cláusulas Contractuales y el RGPD. En definitiva, mientras que la autoridad irlandesa y Max Schrems reclaman que las Cláusulas Contractuales Tipo no se cumplen por, al menos algunos, importadores de Estados Unidos, el Abogado General considera que, aunque ello fuera cierto, en rigor ello sería una cuestión exógena a la validez Cláusulas Contractuales Tipo, ya que tanto ellas mismas como el RGPD contienen elementos que permiten impedir que tal situación que se critica de contrario se produzca. Y es este espacio que media entre lo que las Cláusulas Contractuales Tipo prevén y lo que sucede en la práctica, lo que pone en cuestión la eficacia real de las Cláusulas Contractuales y hace que los exportadores de datos personales deban operar con especial cautela.
… Pero la eficacia real de las Cláusulas Contractuales Tipo para legitimar las transferencias internacionales de datos personales está severamente condicionada:
Las Cláusulas Contractuales Tipo son, en esencia, prácticas: están pensadas para otorgar garantías a transferencias internacionales que de verdad van a ocurrir. En este sentido, lo que los exportadores europeos esperan (y necesitan) de Schrems II es una declaración clara sobre si pueden seguir amparándose en las Cláusulas Contractuales Tipo para legitimar sus transferencias internacionales de datos personales bajo el RGPD. Y, contrariamente a lo que podría pensarse, tal declaración no existe en la Opinión del AG (ni existirá en la Sentencia final del TJUE, si sigue la argumentación de la primera).
Como se ha indicado, el Abogado General considera que las Cláusulas Contractuales Tipo son (teóricamente) válidas dado que, si se aplican en sus propios términos, establecen garantías adecuadas y permiten —y de hecho obligan—, tanto al exportador como a las autoridades de control de protección de datos, exigir el cumplimiento de las cláusulas por el importador o, si no es posible, suspender la transferencia internacional.
Ahora bien las razones que justifican la validez de las Cláusulas Contractuales Tipo, se convierten también en condiciones para que tales cláusulas sean en la práctica eficaces a la hora de dotar de garantías adecuadas (y legitimar) una transferencia internacional de datos concreta. No cumplir estas condiciones supone la insuficiencia de las Cláusulas Contractuales Tipo. Y este es el quid de la cuestión.
En efecto, siguiendo el razonamiento del Abogado General, para que tal eficacia exista, es decir, para que una transferencia internacional de datos pueda existir legalmente al amparo de unas Cláusulas Contractuales Tipo, es preciso que el importador trate los datos personales transferidos únicamente conforme a las instrucciones del exportador y a los términos de las Cláusulas Contractuales. Si por cualquier circunstancia no puede hacerlo (p. ej., porque la legislación de su país otorga a las autoridades derechos a acceder a los datos), la transferencia internacional de datos no puede existir (al menos no legalmente) ya que el exportador o, en su caso, el supervisor de protección de datos que corresponda, debe suspenderla.
¿Y que ocurre si tal transferencia internacional no se suspende? Pues que las Cláusulas Contractuales Tipo firmadas entre el exportador y el importador dejan de ser una garantía adecuada para la concreta transferencia internacional contemplada en las mismas. Es decir, aun siendo válidas a nivel teórico, las Cláusulas Contractuales Tipo dejan de ser eficaces en la práctica para legitimar la transferencia internacional, que deviene ilícita.
Siendo ello así, la validez de las Cláusulas Contractuales Tipo inicialmente proclamada por la Opinión del AG en el plano teórico, queda circunscrita enormemente en el ámbito práctico: en realidad las Cláusulas Contractuales Tipo solo legitiman una transferencia internacional de datos (y son eficaces en realidad para el fin para el que se firman) en aquellos casos en los que el importador respete dichas cláusulas. Y si no lo hace (o no puede hacerlo), por ejemplo, porque la legislación del importador es incompatible con esas cláusulas, entonces las Cláusulas Contractuales Tipo dejan de ser un mecanismo eficaz para ese caso concreto.
Desde esta perspectiva, el juicio de validez real (no meramente teórico) de las Cláusulas Contractuales Tipo en los supuestos a los que aluden tanto las autoridades de Irlanda como Max Schrems en el caso Schrems II (es decir, escenarios donde la legislación del importador obliga a este a revelar datos a determinadas agencias gubernamentales), es esencialmente el contrario al que uno podría esperar leyendo el titular de la Nota de Prensa: en esencia, y aunque puedan serlo a nivel formal, las Cláusulas Contractuales Tipo firmadas con importadores en estos países, no son suficientes para legitimar las transferencias internacionales a dichos importadores, dado que no se garantiza el cumplimiento de las Cláusulas Contractuales Tipo.
Implicaciones y recomendaciones prácticas para los exportadores de datos personales:
Tras haber dedicado las líneas precedentes a contraponer lo teórico a lo práctico, no queremos finalizar este texto sin enumerar las principales implicaciones que la Opinión del AG tiene para aquellos exportadores que realizan transferencias internacionales de datos al amparo de Cláusulas Contractuales Tipo y hacer también unas recomendaciones:
- Mantener la calma. La Opinión del AG no es más que una recomendación para el TJUE. No es nada que sea aplicable aun.
- Esperar lo mejor y prepararse para lo peor: La Opinión del AG no es vinculante para el TJUE. Sin embargo, en la práctica, el Tribunal tiende a seguir el criterio del Abogado General en la mayor parte de casos. Por ello, una postura prudente aconseja irse preparando para una Sentencia en línea con la Opinión del AG.
- Asumir una aplicación global de los criterios de la Opinión del AG: El caso Schrems II se centra en las transferencias internacionales a Estados Unidos y las Cláusulas Contractuales Tipo para transferencias a encargados del tratamiento. Sin embargo, la aplicación analógica a otros países y a las Cláusulas Contractuales Tipo para transferencias a responsables parece clara. Por lo tanto, no hay que pensar que los efectos de Schrems II se acotan al supuesto planteado ante el TJUE. En realidad, afecta a toda transferencia internacional basada en cualquier clase de Cláusula Contractuales Tipo.
- No es imprescindible remplazar las Cláusulas Contractuales Tipo existentes para transferencias internacionales en curso: De momento las Cláusulas Contractuales Tipo parece que seguirán siendo válidas. Por lo tanto, no es necesario reemplazarlas, al menos todavía.
- Los exportadores deben realizar (y documentar) procesos de análisis y control acerca del cumplimiento por los importadores de sus obligaciones bajo las Cláusulas Contractuales Tipo: Como hemos indicado, el razonamiento de la Opinión del AG conduce a sujetar la eficacia real de las Cláusulas Contractuales Tipo, al cumplimiento de las mismas por los importadores. Es obligación del exportador velar por que ese cumplimiento se produzca y suspender la transferencia internacional si no es así. No es esta una obligación nueva. Responde en realidad a la aplicación de las Cláusulas Contractuales Tipo. Sin embargo, la Opinión del AG (y una Sentencia del TJUE en esta misma línea) puede reavivar el interés de las autoridades de control sobre esta cuestión. Por ello, recomendamos que los exportadores de datos realicen análisis documentados sobre la situación de cumplimiento de las Cláusulas Contractuales Tipo por parte de los importadores de sus datos. Ello debe ir de lo general (e. análisis del marco jurídico del país del importador, con especial énfasis en situaciones donde el importador puede verse obligado a revelar datos recibidos del exportador) a lo particular (i.e. situación de cumplimiento real por el importador de las Cláusulas Contractuales Tipo). Para lo primero, es posible llevar a cabo estudios que no involucren necesariamente al importador. Para lo segundo, será preciso realizar actuaciones concretas de toma de datos (p. ej., mediante cuestionarios) y otro tipo de revisiones ad hoc (p. ej., auditorias, etc.).
- Iniciar la implementación de mecanismos alternativos a las Cláusulas Contractuales Tipo: finalmente, los exportadores deberían iniciar el proceso de adopción de mecanismos alternativos para llevar a cabo las transferencias internacionales que actualmente se realizan bajo Cláusulas Contractuales Tipo. Ello es recomendable por varias razones:
- Primero, porque es probable que el análisis a realizar según el apartado 5 precedente revele la imposibilidad práctica de legitimar algunas transferencias internacionales de datos sobre la base de las Cláusulas Contractuales Tipo;
- Segundo, porque no puede descartarse que el TJUE se aparte de la Opinión del AG y acabe invalidando las Cláusulas Contractuales Tipo;
- Tercero, porque lo cierto es que las Cláusulas Contractuales Tipo actuales son un instrumento desactualizado (elaborado conforme la derogada Directiva 95/46/CE) y que no cubre todos los aspectos del RGPD; y
- Cuarto, porque si el TJUE se pronuncia en línea con el Abogado General, la utilización de Cláusulas Contractuales Tipo “condenará” a los exportadores de datos aplicar férreos controles sobre los importadores y a asumir responsabilidades, cosa que sumará un nivel de complejidad más a las dificultades de gestión y seguimiento que de por sí suelen conllevar este tipo de garantías contractuales.
La “pregunta del millón” es obviamente qué mecanismos alternativos implementar. La respuesta requiere un análisis caso por caso. Las Normas Corporativas Vinculantes (“BCR“) (de responsable o encargado, según los casos) son casi siempre la mejor alternativa para las transferencias internacionales intra-grupo, mientras que para las transferencias a terceros fuera del grupo (cuando no apliquen BCR de encargado), es posible que deba recurrirse al uso de Cláusulas Contractuales Tipo con algunos complementos contractuales.
[1] También lo es en el contexto de determinar la validez del Privacy Shield, si bien no nos referimos a ello en este texto que se centra en las Cláusulas Contractuales Tipo.
[2] En realidad, las aplicables a transferencias a encargados del tratamiento, que son las únicas en liza, si bien la extensión del caso Schrems II a las cláusulas con destino a responsables, es clara, por lo que aquí aludiremos en general a Cláusulas Contractuales Tipo, salvo cuando sea necesario ser más preciso.