El viernes 7 de octubre, el Presidente de Estados Unidos, Joe Biden, emitió finalmente la tan esperada Orden Ejecutiva.
Se trata de un documento considerado por los insiders como un paso fundamental hacia la resolución del asunto relacionado con la orden del Garante italiano del 9 de junio de 2022, relativa a una configuración específica de GA3 (es decir, Google Universal Analytics) que data de 2020.
En primer lugar, es importante situar la Orden Ejecutiva en la secuencia de pasos que podrían llevar a la resolución de la cuestión planteada por el auto de Garante.
Para ello, debemos recordar primero que:
Para evitar dudas, el destinatario de la orden del Garante italiano de junio de 2022 no era Google Analytics 3 como tal, sino el hecho de que -con esa configuración específica de GA3- la transferencia de datos de los usuarios europeos a Estados Unidos era ilegal con respecto al GDPR.
Numerosos expertos en la materia (entre ellos Guido Scorza, abogado y miembro del Garante italiano) habían reclamado en repetidas ocasiones una solución legal a la cuestión de la transferencia de datos de los usuarios europeos a Estados Unidos; en este contexto, varios rumores apuntaban a la inminente emisión de una Orden Ejecutiva por parte del Presidente Biden.
La orden ejecutiva emitida el 7 de octubre de 2022 es bastante elocuente y está siendo examinada por expertos en RGPD, derecho de Internet y derecho internacional.
Dicho esto, a primera vista, el contenido de la Orden Ejecutiva parece contener al menos dos puntos esenciales.
A este respecto, reproducimos a continuación un breve resumen elaborado por la abogada Angela Lo Giudice, del bufete Polimeni.legal, sobre el contenido de la Orden Ejecutiva:
«El sistema descrito prevé:
procedimientos más estrictos en materia de inteligencia con mayor respeto a las personas afectadas y a sus derechos un sistema de control basado en dos niveles.
El primero, esencialmente interno, permitirá a las personas afectadas presentar una denuncia ante el responsable de la protección de las libertades civiles, que podrá, si lo considera oportuno, conceder también una indemnización, y un segundo nivel consistente en un tribunal compuesto por jueces experimentados nombrados fuera de los Estados Unidos para garantizar un alto nivel de imparcialidad».
Ahora que se ha emitido la orden ejecutiva, la palabra pasa a la Comisión Europea, que -como exige el RGPD- tendrá que elaborar una decisión de adecuación sobre esta orden ejecutiva.
A continuación, la Comisión Europea realizará un pase con el Consejo Europeo de Protección de Datos y los distintos Estados miembros; finalmente, la decisión de la Comisión se publicará en el Diario Oficial de la Unión Europea.
En caso de que la decisión de la Comisión Europea sea favorable, el problema de la transferencia de datos de los usuarios europeos a Estados Unidos quedaría esencialmente resuelto: las empresas podrían reanudar la transferencia de datos de los usuarios a Estados Unidos.
En ese momento, como ya ha ocurrido en el pasado, la decisión podría ser impugnada por los ciudadanos europeos; es razonable esperar que el abogado Maximilian Schrems, que ya ha impugnado anteriores decisiones de adecuación de la Comisión Europea, se oponga probablemente a la decisión con una acción legal formal.
Sin embargo, a la vista de los precedentes, es razonable suponer que todos los actores implicados evitarán que se repita la situación actual, en la que son los garantes de los distintos países europeos los que tienen que pronunciarse sobre la legitimidad de configuraciones específicas de software que se les denuncian como potencialmente ilegales.
En cuanto al calendario de publicación de la decisión de la Comisión en el Diario Oficial de la Unión Europea, los expertos hablan de finales de 2022 / principios de 2023.
Mientras tanto, como todavía no se ha alcanzado una nueva decisión de adecuación por parte de la Comisión Europea, la situación para las empresas y los usuarios de GA4 sigue siendo prácticamente la misma, al igual que las soluciones técnicas que hemos instalado con GTM.
Se entiende que la Orden Ejecutiva es una innovación importante en esta materia. En consecuencia, es razonable esperar que, una vez analizada en detalle la Orden Ejecutiva, los supervisores de los distintos países de la UE emitan orientaciones para las empresas, los usuarios de GA4 y todos los usuarios de programas informáticos que transfieren datos de usuarios europeos a los Estados Unidos.
Fabio Ciabattini
