Schrems II, el Data Privacy Framework y la incertidumbre

Módulo 1: ¿Por qué una nube europea? · Tiempo de lectura: 12 minutos

Objetivo de aprendizaje: Después de esta lección podrá explicar la historia de los acuerdos sobre datos entre la UE y los EE. UU., explicar qué decidió Schrems II, qué es el EU-US Data Privacy Framework, y por qué el marco actual sigue siendo incierto.

Conceptos clave: transferencia internacional, decisión de adecuación, Safe Harbor, Schrems I, Privacy Shield, Schrems II, cláusulas contractuales tipo (SCC), evaluación de impacto de la transferencia (TIA), medidas adicionales, EU-US Data Privacy Framework (DPF), Executive Order 14086, Data Protection Review Court, autocertificación, Latombe, PCLOB

Transferencia internacional: la regla y la excepción

En la lección 1.2 vio que los datos solo pueden salir del Espacio Económico Europeo (EEE) si el país de destino ofrece un nivel de protección adecuado, o si existen garantías adicionales (RGPD, capítulo V). A esa salida se la denomina transferencia internacional. Una transferencia no es solo el envío de un archivo a Estados Unidos: también puede haber transferencia cuando un técnico de soporte estadounidense accede en remoto a su entorno europeo, o cuando sus datos se alojan en un servicio estadounidense.

La vía más sencilla es una decisión de adecuación (art. 45): la Comisión Europea decide que un país tiene un nivel de protección que es "esencialmente equivalente" al de la UE. Existen decisiones de este tipo para, entre otros, Suiza, el Reino Unido, Japón y Canadá (para organizaciones comerciales). Para los EE. UU. la historia es más complicada: la Comisión ha sido desautorizada dos veces por el Tribunal de Justicia.

Esto es una explicación, no asesoramiento jurídico. El estado de la cuestión en esta lección es de noviembre de 2026.

Puente 1: Safe Harbor y Schrems I

En el año 2000, la UE y los EE. UU. llegaron al acuerdo Safe Harbor. Las empresas estadounidenses podían inscribirse y comprometerse a proteger adecuadamente los datos europeos. La Comisión emitió una decisión de adecuación al respecto.

En 2013, Edward Snowden reveló cómo los servicios de inteligencia estadounidenses recopilaban datos a gran escala en empresas de internet. El jurista austriaco Max Schrems presentó una reclamación contra Facebook en Irlanda: sus datos iban a los EE. UU. y allí no estaban protegidos. El caso llegó al Tribunal de Justicia de la Unión Europea. El 6 de octubre de 2015, el Tribunal declaró inválida la decisión Safe Harbor (asunto C-362/14, "Schrems I"). En esencia: la Comisión no había examinado si las autoridades estadounidenses respetaban límites, y los europeos no tenían una tutela judicial efectiva.

Puente 2: Privacy Shield y Schrems II

Ya en 2016 llegó un sucesor: el EU-US Privacy Shield, con normas más estrictas y un defensor del pueblo (ombudsman) en el Departamento de Estado estadounidense. Schrems volvió a litigar.

El 16 de julio de 2020, el Tribunal dictó sentencia en el asunto C-311/18, "Schrems II". El Tribunal declaró inválido el Privacy Shield. Los motivos:

• Los programas de vigilancia estadounidenses, en particular bajo la Section 702 de la FISA y la Executive Order 12333 (lección 1.3), no se limitaban a lo "estrictamente necesario".
• Los europeos no tenían acceso efectivo a un juez independiente; el defensor del pueblo no era suficientemente independiente y no podía adoptar decisiones vinculantes.

El Tribunal también dijo algo importante sobre la alternativa, las cláusulas contractuales tipo (SCC, en inglés standard contractual clauses). Se trata de contratos modelo de la Comisión que firman el emisor y el receptor. Estas siguieron siendo válidas, pero: la parte que transfiere los datos debe comprobar, caso por caso, si el derecho del país receptor no socava esos compromisos. Si es así, son necesarias medidas adicionales, por ejemplo un cifrado cuya clave no posea el receptor. Si esto no es posible, la transferencia debe detenerse.

Esa valoración se denomina evaluación de impacto de la transferencia (TIA). Las autoridades europeas de protección de datos (CEPD) publicaron recomendaciones al respecto en 2021. En 2021 también se aprobaron nuevas cláusulas contractuales tipo (Decisión de Ejecución (UE) 2021/914).

Para una organización pequeña esto era complicado: ¿cómo puede una panadería valorar el derecho de inteligencia estadounidense? En la práctica, muchos se apoyaban en los contratos y la documentación de los grandes proveedores.

Puente 3: el EU-US Data Privacy Framework

Los EE. UU. y la UE volvieron a negociar. El presidente Biden firmó el 7 de octubre de 2022 la Executive Order 14086. Esta establece, entre otras cosas, que las actividades de inteligencia deben ser "necesarias y proporcionadas", y crea un procedimiento de reclamación cuyo último paso es un Data Protection Review Court (DPRC) dentro del Departamento de Justicia de los EE. UU.

El 10 de julio de 2023, la Comisión adoptó la decisión de adecuación para el EU-US Data Privacy Framework (DPF). Cómo funciona:

• Se aplica únicamente a las organizaciones estadounidenses que se hayan adherido (autocertificación ante el Departamento de Comercio de los EE. UU.). En el sitio web dataprivacyframework.gov figura la lista. Si una empresa no está en ella, el DPF no se aplica a esa empresa.
• El cumplimiento se controla en los EE. UU., entre otros, por la Federal Trade Commission (FTC).
• La Comisión realiza una evaluación periódica.

Para los usuarios, el DPF significa que la transferencia a una empresa estadounidense adherida vuelve a estar permitida sin necesidad de una TIA. Por ello, muchos proveedores afirman: "Cumplimos el RGPD".

Por qué el marco sigue siendo incierto

El DPF existe, pero sobre bases inestables:

• Una Executive Order no es una ley. Un futuro presidente puede modificarla o revocarla sin intervención del Congreso.
• El Tribunal General y el recurso de casación. El eurodiputado francés Philippe Latombe pidió al Tribunal General de la UE que anulara la decisión del DPF. El 3 de septiembre de 2025, el Tribunal General lo desestimó (asunto T-553/23): según el Tribunal General, el DPRC era suficientemente independiente. Latombe interpuso un recurso de casación ante el Tribunal de Justicia (asunto C-703/25 P). En noviembre de 2026 todavía no hay sentencia. El Tribunal de Justicia ha sido más estricto en Schrems I y II de lo que lo ha sido ahora el Tribunal General.
• El control en los EE. UU. bajo presión. En enero de 2025 fueron destituidos los miembros del Privacy and Civil Liberties Oversight Board (PCLOB) propuestos por los demócratas; desde entonces, ese organismo de control no tiene quorum y solo puede realizar su labor, incluido el control del procedimiento de reclamación, de forma limitada. El 29 de junio de 2026, el Tribunal Supremo de los EE. UU. decidió en el caso Trump v. Slaughter que el presidente puede destituir a miembros de la FTC sin necesidad de motivo. Los juristas señalan que esto agudiza la cuestión del control independiente en el que se apoya el DPF.
• Nuevos procedimientos. La organización de defensa de la privacidad noyb ha anunciado que estudia emprender un procedimiento propio. Un caso así dura años.

Si el DPF cae, ocurrirá lo mismo que en 2015 y en 2020: las organizaciones tendrán que recurrir de un día para otro a las cláusulas contractuales tipo con una TIA, o detener la transferencia. No se ha acordado ningún período transitorio para ese caso.

¿Qué significa esto para usted?

Para Bakkerij De Korrel, la pregunta no es "¿está permitido ahora?", porque con el DPF está permitido en este momento. La pregunta es: "¿quiero depender de un marco que ya ha caído dos veces y que está pendiente por tercera vez ante el Tribunal?". Un servicio establecido dentro del EEE y que mantiene los datos dentro del EEE no depende del DPF. No es un requisito legal, pero sí un punto de partida más tranquilo.

En la práctica: así se ve en un proveedor

Revise en la política de privacidad o en el contrato de encargo del tratamiento de su proveedor actual sobre qué base transfiere los datos a los EE. UU.: el DPF, las cláusulas contractuales tipo, o ambas. Los grandes proveedores suelen mencionar ambas, precisamente para cubrirse ante una eventual caída del DPF. Un proveedor europeo sin transferencias fuera del EEE no necesita regular esto; su lista de subencargados muestra si esto es así (lección 9.2). En WebOké, el contrato de encargo del tratamiento establece que la transferencia fuera de la UE solo está permitida con autorización previa por escrito; en otros proveedores suele encontrarse una disposición similar en un artículo sobre "transferencias internacionales" o "transferencia internacional de datos".

Resumen

• La transferencia fuera del EEE solo está permitida con una decisión de adecuación o con garantías como las cláusulas contractuales tipo.
• El Tribunal declaró inválidos Safe Harbor (2015, Schrems I) y el Privacy Shield (2020, Schrems II), principalmente por la vigilancia estadounidense y la falta de tutela judicial.
• Desde el 10 de julio de 2023 se aplica el EU-US Data Privacy Framework, solo para empresas estadounidenses que se hayan adherido.
• El DPF se sustenta en una decisión presidencial y está en entredicho: el recurso de casación de Latombe (C-703/25 P) está en curso, y el control estadounidense está bajo presión.
• Un servicio que mantiene los datos dentro del EEE no depende del DPF.

Cuestionario

Ejercicio

Ejercicio E1.4: ¿Sobre qué base legal viajan sus datos a EE. UU.? Busque en la política de privacidad o en el contrato de encargo del tratamiento de su servicio en la nube actual si se procesan datos fuera del EEE, y sobre qué base (DPF, SCC, decisión de adecuación para otro país). Compruebe en dataprivacyframework.gov si la empresa figura en la lista. Describa qué ocurriría en su caso si se anulara el DPF.

Para saber más

Los pasos de estos artículos se aplican a los servicios de WebOké; en otros proveedores funciona de forma similar.

• Manual de Nextcloud 15.13: Preguntas frecuentes sobre seguridad y privacidad
• Tribunal de Justicia de la Unión Europea, sentencias C-362/14 (Schrems I, 6 de octubre de 2015) y C-311/18 (Schrems II, 16 de julio de 2020), en curia.europa.eu
• Decisión de Ejecución (UE) 2023/1795 (decisión de adecuación del EU-US Data Privacy Framework, 10 de julio de 2023), en EUR-Lex
• Decisión de Ejecución (UE) 2021/914 (cláusulas contractuales tipo), en EUR-Lex
• Tribunal General de la UE, asunto T-553/23 (Latombe, 3 de septiembre de 2025); recurso de casación C-703/25 P
• Lista del Data Privacy Framework: https://www.dataprivacyframework.gov