Decisión del Tribunal Superior de Justicia de Irlanda: La DPC debe ahora aplicar la sentencia del TJUE y detener las transferencias de datos de Facebook entre la UE y los EE.UU.
El Tribunal Superior ha dictaminado hoy que la Comisión de Protección de Datos irlandesa (CPD) tenía derecho a abrir una segunda investigación "por voluntad propia" contra Facebook. El intento de Facebook de detener esta segunda investigación fracasó. El juez sostuvo: "Rechazo todas las medidas solicitadas por [Facebook Ireland] y desestimo las reclamaciones presentadas por ella en el procedimiento"
El CPD tiene ahora dos procedimientos abiertos para aplicar la llamada sentencia "Schrems II", en la que el Tribunal de Justicia de las Comunidades Europeas (TJCE) aclaró que Facebook no puede transferir datos personales de la UE a Estados Unidos. En virtud de un acuerdo separado alcanzado entre el Sr. Schrems y el CPD (publicado hoy por primera vez), el CPD debe ahora investigar también una reclamación original de 2013 que condujo a la decisión del TJUE. El procedimiento de reclamación original se desarrollará en paralelo a la nueva investigación por "voluntad propia"
Schrems:"Facebook ha perdido en todos los terrenos. Su intento de retrasar de nuevo la decisión irlandesa solo le valió un par de meses. Después de ocho años, el CPD debe ahora detener las transferencias de datos de Facebook entre la UE y Estados Unidos, probablemente antes del verano. Ahora simplemente tenemos dos procedimientos en lugar de uno"
Tercera "rama" en el viejo caso de Facebook. La decisión de hoy pone fin al séptimo caso judicial de una larga batalla entre el Sr. Schrems, el CPD y Facebook. En 2013, el Sr. Schrems presentó una denuncia contra Facebook a raíz de las revelaciones de Snowden, argumentando que Facebook no podía transferir sus datos personales a Estados Unidos, donde las leyes de vigilancia exigen que se compartan los datos personales con el gobierno estadounidense. El caso fue remitido al Tribunal de Justicia de la Unión Europea (TJUE) en dos ocasiones, dando lugar a las denominadas sentencias "Schrems I" y "Schrems II", en las que el TJUE decidió que el CPD debía investigar a Facebook y tenía la obligación de detener las transferencias de datos.
En lugar de aplicar rápidamente las decisiones del TJUE, el CPD produjo tres "desvíos" del procedimiento principal de reclamación (véase el gráfico siguiente). En 2020 inició el tercer desvío abriendo un procedimiento de "propia voluntad" sobre exactamente el mismo asunto que el procedimiento de reclamación existente, al tiempo que "pausaba" indefinidamente el procedimiento de reclamación del Sr. Schrems. Esto habría eliminado en última instancia al Sr. Schrems de su propio caso.
Facebook y Schrems interpusieron un recurso judicial. El Sr. Schrems y Facebook no estaban de acuerdo con el planteamiento del CPD y presentaron dos recursos judiciales distintos, aunque por razones diferentes: Facebook presentó innumerables argumentos en torno al derecho a ser oído y a una supuesta sentencia "prematura" del CPD (después de siete años).
Al mismo tiempo, el Sr. Schrems argumentó que el planteamiento del CPD le habría dejado fuera de su propio caso, ya que el asunto se trataría en un caso de "voluntad propia" entre Facebook y el CPD únicamente. Además, el CPD incumplió un compromiso de 2015 de decidir rápidamente sobre su reclamación, ya que ahora "pausó" la reclamación por un tiempo indefinido.
El acuerdo entre el CPD y el Sr. Schrems garantiza una decisión rápida, independiente de la decisión del Tribunal Supremo. Poco antes de que se conociera el recurso del Sr. Schrems, el Departamento de Policía cedió y resolvió el caso. En el acuerdo, el CPD se comprometió a poner en marcha el procedimiento de reclamación con rapidez una vez que el Tribunal Superior decidiera sobre la revisión judicial de Facebook. Además, si el Alto Tribunal autoriza el segundo procedimiento de "voluntad propia", el Sr. Schrems podrá participar en él.
En resumen: el acuerdo aseguraba que el CPD decidiría sobre las transferencias de datos de Facebook en uno o dos procedimientos.
Próximos pasos: Decisión irlandesa y procedimiento EDPB. Tras la sentencia de hoy, el CPD tendrá que aplicar rápidamente la decisión del TJUE y prohibir las transferencias de Facebook entre la UE y Estados Unidos. En otoño de 2020, el CPD preveía 21 días para escuchar a las partes y otros 21 días para finalizar su decisión, plazos similares a los acordados en el acuerdo con el Sr. Schrems. Cualquier decisión nacional del CPD irlandés tendría que ser aprobada por el Consejo Europeo de Protección de Datos (CEPD), donde las autoridades de protección de datos de los 28 Estados miembros de la UE pueden revisar la decisión y objetarla, si no están de acuerdo con las conclusiones del CPD. El plazo para presentar una objeción es de cuatro semanas y desencadena una votación a nivel europeo.
Schrems:"Ahora esperamos que el CPD emita una decisión para detener las transferencias de datos de Facebook antes del verano. Esto obligaría a Facebook a almacenar la mayoría de los datos de Europa a nivel local, para garantizar que Facebook USA no tenga acceso a los datos europeos. La otra opción sería que Estados Unidos cambiara sus leyes de vigilancia."
