La Cloud Act, una amenaza para la privacidad de los ciudadanos y las empresas europeas

Mientras en Europa est¨¢bamos centrados en la entrada en vigor del Reglamento General de Protecci¨®n de Datos (RGPD), el 23 de marzo se produjo en los Estados Unidos otra novedad legislativa que puede tener un gran impacto sobre la privacidad de los ciudadanos y las empresas de la Uni¨®n Europea: la aprobaci¨®n de la Cloud Act. Tambi¨¦n conocida como Ley de la Nube, esta pol¨¦mica norma se incluy¨® subrepticiamente en la votaci¨®n de los presupuestos generales presentados por Donald Trump. Esto permiti¨® que se aprobara sorteando el tempestuoso debate que presagiaba la oposici¨®n de las organizaciones de derechos humanos.

?En qu¨¦ consiste exactamente la Cloud Act? Sus siglas en ingl¨¦s corresponden al t¨ªtulo Ley Aclaratoria del Uso Legal de Datos en el Extranjero y su objetivo es poner al d¨ªa las leyes de privacidad y vigilancia electr¨®nica vigentes en los Estados Unidos, algunas de las cuales databan de 1986. Sin embargo, para sus detractores esta ley ha ido mucho m¨¢s all¨¢ de sus competencias, al permitir que las autoridades norteamericanas (desde la polic¨ªa local a las agencias federales) puedan pedir a las compa?¨ªas tecnol¨®gicas datos de usuarios y empresas de otros pa¨ªses alojados en centros de datos situados fuera de su territorio.

Para entender qu¨¦ significa exactamente esto, lo mejor es verlo con un ejemplo ver¨ªdico. En 2013, el departamento de Justicia pidi¨® a Microsoft la entrega de los correos electr¨®nicos de una cuenta presuntamente relacionada con el tr¨¢fico de drogas en Estados Unidos. La compa?¨ªa rechaz¨® esta pretensi¨®n porque los datos estaban alojados en servidores situados en Irlanda. Por lo tanto, la solicitud deb¨ªa tramitarse a trav¨¦s de las autoridades irlandesas, que son las que tienen jurisdicci¨®n sobre los datos personales en su pa¨ªs. En 2016, un tribunal de apelaciones dio la raz¨®n a Microsoft. Sin embargo, tras la aprobaci¨®n de la Cloud Act, ante un caso similar Microsoft se ver¨ªa obligada a suministrar esa informaci¨®n.

M¨¢s informaci¨®n

El nuevo reglamento de datos, contado para gente sin tiempo

Autorizo, ?y ahora qu¨¦?

Estas prerrogativas extraterritoriales que la Cloud Act concede a las autoridades estadounidenses, incluso sin necesidad de la intervenci¨®n de un juez, chocan frontalmente con las disposiciones recogidas en el art¨ªculo 46 del Reglamento General de Protecci¨®n de Datos. Este apartado estipula que el responsable o el encargado del tratamiento solo podr¨¢ transmitir datos personales a un tercer pa¨ªs u organizaci¨®n internacional si hubiera ofrecido garant¨ªas adecuadas y a condici¨®n de que los interesados cuenten con derechos exigibles y acciones legales efectivas. As¨ª mismo, el art¨ªculo 48 de la misma normativa se?ala que "cualquier sentencia de un ¨®rgano jurisdiccional o decisi¨®n de una autoridad administrativa de un tercer pa¨ªs que exijan que un responsable o encargado del tratamiento transfiera o comunique datos personales ¨²nicamente ser¨¢ reconocida o ejecutable en cualquier modo si se basa en un acuerdo internacional, como un tratado de asistencia jur¨ªdica mutua, vigente entre el pa¨ªs tercero requirente y la Uni¨®n o un Estado miembro, sin perjuicio de otros motivos para la transferencia al amparo del presente cap¨ªtulo¡±.

Adem¨¢s, la Cloud Act puede suponer el final del Privacy Shield (Escudo de Privacidad), el acuerdo alcanzado entre la UE y Estados Unidos en 2016 para permitir la transferencia de datos personales. Una resoluci¨®n presentada en el Parlamento Europeo este mes de junio pide la suspensi¨®n del Escudo de Privacidad hasta que se clarifique el impacto de la Cloud Act y se garantice el respeto de la privacidad por parte de EE. UU.

Aparte de la posible vulneraci¨®n de los derechos de privacidad de los ciudadanos europeos, la Cloud Act tambi¨¦n puede convertirse en una poderosa arma para la ¡°guerra econ¨®mica¡± que el presidente Trump parece decidido declarar a la Uni¨®n Europea, a la que recientemente calific¨® como ¡°enemigo comercial¡±.?

Por ejemplo, una agencia gubernamental podr¨ªa solicitar a una compa?¨ªa tecnol¨®gica, como Google o Facebook, el acceso a correos electr¨®nicos o archivos de una empresa europea alojados fuera de Estados Unidos para comprobar, por ejemplo, si tiene relaciones comerciales con Ir¨¢n o participa en alguna licitaci¨®n en la que concurran empresas estadounidenses. Puede sonar paranoico, pero no olvidemos que entre 2008 y 2009 la Agencia de Seguridad Nacional de Estados Unidos pidi¨® a los servicios de inteligencia alemanes 40.000 datos sobre empresas europeas que no ten¨ªan nada que ver con el terrorismo, seg¨²n denunci¨® la comisi¨®n parlamentaria organizada en Alemania a ra¨ªz de las revelaciones del ex-analista Edward Snowden.

La mejor manera de que los ciudadanos y empresas europeas puedan proteger su privacidad de las interferencias de Estados Unidos es optar por alojar sus datos personales en servicios en la nube de proveedores que est¨¦n situados en el territorio de la Uni¨®n Europea y pertenezcan a empresas europeas. Hay que tener en cuenta que los proveedores de servicios de nube de Estados Unidos que operan en la Uni¨®n Europea, aunque tengan sus centros de datos en territorio europeo y cumplan las leyes europeas, est¨¢n sometidos a los dictados de la Cloud Act. As¨ª que podr¨ªan tener que revelar datos de usuarios y empresas europeas si lo solicitan las autoridades norteamericanas.?

Jules-Henri Gavetti es CEO de Ikoula