Cross-border data transfers in European Union-United States relations and their impact on the Spanish public sector

En el mundo actual predominado por las Tecnologías de la Información y las Comunicaciones (TIC), la creación de productos y servicios cada vez más accesibles a los ciudadanos que impulsan nuevas formas de relacionarse y comunicarse, están a la orden del día. Estos avances han dado lugar a medios que permiten la gestión automatizada de la información, generando como consecuencia que el análisis y recogida de cantidades ingentes de datos sea posible. Esa accesibilidad y capacidad de procesamiento han traído consigo la necesidad de otorgar protección jurídica a los datos de carácter personal de las personas físicas, sobre todo a aquello que pueda afectar a la intimidad de las personas. En este sentido la Unión Europea ha regulado este tipo de relaciones buscando la aplicación coherente en el contexto de sus políticas. Con la aparición de la Sociedad de la Información el acceso a todo tipo de bienes y servicios conlleva generalmente la entrega de datos personales, no siendo siempre conscientes los ciudadanos de ello. Esta situación se complica cuando dichos datos son recogidos por empresas situadas en países que no forman parte de la Unión Europea y que por lo tanto no ofrecen el mismo nivel normativo de protección. Un claro ejemplo se encuentra en Estados Unidos, ya que las diferencias entre éste y la UE son enormes, tanto a nivel normativo como ideológico. De ahí surge la necesidad de establecer tratados o sistemas entre la UE y esos terceros países, que garanticen una protección suficiente a los ciudadanos europeos, como es el caso del Privacy Shield en EE.UU. Además, la protección de las personas físicas en relación con el tratamiento de datos personales es un derecho reconocido en el ámbito de la Unión Europea. Ya en el año 1981, el Consejo de Europa había adoptado el Convenio nº108 sobre la protección de las personas con respecto al tratamiento automatizado de datos de carácter personal. Si bien, tras el avance y la evolución de la sociedad, los sistemas de información y la aparición de jurisprudencia que introduce cuestiones novedosas en esta materia, se hace patente la necesidad de renovar el sistema enfocado en la protección de datos. Lo anterior ha dado lugar a que el 27 de abril de 2016 se adopte el Reglamento (UE) 2016/679, general de protección de datos (RGPD) que deroga a la antigua Directiva 95/46/CE con efecto a partir de mayo de 2018. No obstante, en la legislación vigente en los Estados Unidos se considera que los datos personales no tienen esa defensa preventiva, ya que solamente habrá repercusiones cuando se haya demostrado que el uso particular de un conjunto de datos ha dañado a una persona. De esta forma, ambos sistemas jurídicos parecen chocar entre sí, lo que ha dado lugar a un punto de conciliación: el conocido en su día Safe Harbor y el actual Privacy Shield. Sin embargo, tras las aplicaciones de políticas antiterroristas en el ámbito americano y las revelaciones sobre el uso de un sistema de espionaje por parte de la Agencia Nacional de Seguridad de Estados Unidos ha dado lugar a la creación del Privacy Shield como medida de refuerzo. Si bien, ante estos nuevos avances y un sistema tan diferente como el americano resulta imprescindible analizar qué problemas jurídicos hay en torno a las transferencias internacionales y si el Privacy Shield otorga suficiente protección a los ciudadanos europeos.No mundo actual predominado polas Tecnoloxías da Información e as Comunicacións (TIC), a creación de produtos e servizos cada vez máis accesibles aos cidadáns que impulsan novas formas de relacionarse e comunicarse, están á orde do día. Estes avances deron lugar a medios que permiten a xestión automatizada da información, xerando como consecuencia que a análise e recollida de cantidades inxentes de datos sexa posible. Esa accesibilidade e capacidade de procesamento trouxeron consigo a necesidade de outorgar protección xurídica aos datos de carácter persoal das persoas físicas, sobre todo a aquilo que poida afectar á intimidade das persoas. Neste sentido a Unión Europea ha regulado este tipo de relacións buscando a aplicación coherente no contexto das súas políticas. Coa aparición da Sociedade da Información o acceso a todo tipo de bens e servizos leva xeralmente a entrega de datos persoais, non sendo sempre conscientes os cidadáns diso. Esta situación complícase cando devanditos datos son recolleitos por empresas situadas en países que non forman parte da Unión Europea e que por tanto non ofrecen o mesmo nivel normativo de protección. Un claro exemplo atópase en Estados Unidos, xa que as diferenzas entre este e a UE son enormes, tanto a nivel normativo como ideolóxico. De aí xorde a necesidade de establecer tratados ou sistemas entre a UE e eses terceiros países, que garantan unha protección suficiente aos cidadáns europeos, como é o caso do Privacy Shield en EE. UU. Ademáis, a protección das persoas físicas en relación co tratamento de datos persoais é un dereito recoñecido no ámbito da Unión Europea. Xa no ano 1981, o Consello de Europa adoptara o Convenio nº108 sobre a protección das persoas con respecto ao tratamento automatizado de datos de carácter persoal. Aínda que, tras o avance e a evolución da sociedade, os sistemas de información e a aparición de xurisprudencia que introduce cuestións novas nesta materia, faise patente a necesidade de renovar o sistema enfocado na protección de datos. O anterior deu lugar a que o 27 de abril de 2016 adóptese o Regulamento (UE) 2016/679, xeneral de protección de datos ( RGPD) que derroga á antiga Directiva 95/46/CE con efecto a partir de maio de 2018. Con todo, na lexislación vixente nos Estados Unidos considérase que os datos persoais non teñen esa defensa preventiva, xa que soamente haberá repercusións cando se demostrou que o uso particular dun conxunto de datos danou a unha persoa. Desta forma, ambos os sistemas xurídicos parecen chocar entre si, o que deu lugar a un punto de conciliación: o coñecido no seu día Safe Harbor e o actual Privacy Shield. Con todo, tras as aplicacións de políticas antiterroristas no ámbito americano e as revelacións sobre o uso dun sistema de espionaxe por parte da Axencia Nacional de Seguridade de Estados Unidos deu lugar á creación do Privacy Shield como medida de reforzo. Aínda que, ante estes novos avances e un sistema tan diferente como o americano resulta imprescindible analizar que problemas xurídicos hai ao redor das transferencias internacionais e se o Privacy Shield outorga suficiente protección aos cidadáns europeos.In the real world dominated by Information and Communication Technologies (ICT), the creation of products and services increasingly accessible to citizens that promote new ways of relating and communicating, are the order of the day. These advances have given rise to the means that allow the automated management of information, generating as a consequence that the analysis and the collection of huge amounts of data possible. This accessibility and processing capacity have brought with it the need to grant legal protection to personal data of natural persons, anything that may affect the privacy of individuals. In this regard, the European Union has regulated this type of relationship seeking the appropriate application in the context of its policies. With the appearance of the Information Society, access to a type of goods and services usually involves the delivery of personal data, not always being aware of the citizens of it. This situation is complicated when data receivers are collected by companies located in countries that are not part of the European Union and that do not offer the same normative level of protection. A clear example is found in the United States, since the differences between them and the EU are enormous, both at a normative and ideological level. From this arises the need to establish systems or systems between the EU and the countries of the countries, which guarantee the protection of European citizens, as in the case of Privacy Shield and the USA. In addition, the protection of natural persons in relation to the processing of personal data is a right recognized within the European Union. As early as 1981, the Council of Europe had adopted Convention No. 108 on the protection of individuals with regard to the automated processing of personal data. Although, after the advance and evolution of society, the information systems and the emergence of jurisprudence that introduces the novel in this matter, it becomes clear the need to renew the system focused on data protection. This has led to the adoption on 27 April 2016 of the Regulation (EU) 2016/679, general data protection (RGPD) that repeals the old Directive 95/46 / EC with effect from May 2018. However, the current legislation in the United States considers that personal data do not have this preventive defense, since there will only be repercussions when it has been demonstrated that the particular use of a data set has damaged a person. In this way, both legal systems seem to clash with each other, which has led to a point of conciliation: the well-known Safe Harbor and the current privacy shield. However, warnings about the use of an espionage system by the National Security Agency of the United States have led to the creation of the Privacy Shield as a means of reinforcement. Although, in view of these new developments and a system as different as the American one, it is essential to analyze what legal problems exist around international transfers and the Privacy Shield that grants protection to European citizens