El artículo 3 de la Decisión de Adecuación relativa al Marco de Privacidad de Datos UE-EE.UU. exige a la Comisión Europea que revise periódicamente la misma, debiendo efectuarse la primera revisión transcurrido un año desde la fecha de notificación a los Estados miembros. Así, cinco representantes del EDPB participaron en la reunión de revisión celebrada en julio de 2024, centrándose el EDPB en la evaluación tanto de sus aspectos comerciales, como en el acceso de las autoridades públicas estadounidenses a los datos personales transferidos desde la Unión Europea a organizaciones certificadas.
En relación con los citados aspectos comerciales (cumplimiento de los requisitos aplicables a las empresas autocertificadas), se indica en el documento que el Departamento de Comercio de EE.UU. ha adoptado las medidas necesarias para poner en marcha e implementar adecuadamente el proceso de certificación, incluyendo el desarrollo de un nuevo sitio web, la actualización de los procedimientos o la realización de actividades de sensibilización.
Respecto al mecanismo de recurso y reclamaciones desarrollado, se indica en el documento que el reducido número de denuncias recibidas durante este periodo, muestra la “importancia de que las autoridades estadounidenses inicien actividades de supervisión en relación con el cumplimiento de los principios sustantivos del Marco de Privacidad de Datos por parte de las empresas certificadas por el Marco de Privacidad de Datos”.
Asimismo, el organismo europeo ha tratado de incentivar al Departamento de Comercio para que publique Guías que permitan aclarar cuáles son los requisitos que las empresas certificadas tienen que cumplir cuando transfieran datos de carácter personal que hayan recibido de exportadores ubicados en la Unión Europea, quedando a disposición de las autoridades estadounidenses para facilitar su opinión sobre estas guías.
En relación con la posibilidad de que las autoridades públicas estadounidenses puedan tener acceso a aquellos datos que han sido transferidos desde la Unión Europea a empresas certificadas, el EDPB recuerda que la Decisión de Adecuación se basa en la evaluación favorable de la Comisión de la “Executive Order 14086” que tenía como finalidad poner remedio a los déficits recogidos en la Sentencia del TJUE en el asunto C-311/18. Así, este documento establece medidas de seguridad adicionales, como, por ejemplo, la aplicación de los principios de necesidad y proporcionalidad en el marco jurídico estadounidense, así como el nuevo mecanismo de recurso. No obstante, se recomienda que la Comisión Europea supervise la aplicación práctica de estas medidas. En esta revisión periódica, el EDPB se ha centrado en la aplicación efectiva de dichas medidas (a pesar de que no se hayan podido apreciar ejemplos prácticos que permitan identificar cómo se aplican los principios indicados, por lo que no se ha podido revisar en profundidad) y en los novedades relativas al acceso gubernamental a datos con fines de seguridad nacional.
La próxima revisión de este marco jurídico de privacidad se deberá llevar a cabo en un plazo de, como máximo, tres años.
Puede acceder al informe del organismo europeo aquí.