Schrems II.

Lo que la sentencia decidió realmente

Schrems II es la sentencia del Tribunal de Justicia de la Unión Europea, dictada en julio de 2020 en el asunto Data Protection Commissioner v Facebook Ireland y Maximillian Schrems, que reconfiguró la forma en que los datos personales salen del Espacio Económico Europeo. Ocurrieron dos cosas a la vez. Primero, el Tribunal invalidó el Privacy Shield UE-EE. UU., el acuerdo de adecuación que había permitido a miles de empresas transferir datos a importadores estadounidenses certificados, porque la legislación de vigilancia de EE.

UU. no ofrecía a las personas de la Unión una protección esencialmente equivalente a la garantizada dentro de la Unión, y no les concedía ninguna tutela judicial efectiva. Segundo, y esta es la parte que perdura, el Tribunal no anuló las cláusulas contractuales tipo. Las mantuvo válidas, pero añadió una condición: el exportador no puede limitarse a firmar las cláusulas y desentenderse.

Esa condición es el meollo del asunto. El Tribunal afirmó que los exportadores de datos deben verificar, caso por caso, si el derecho y la práctica del país de destino permiten realmente al importador respetar las garantías contractuales. Cuando no es así, el exportador tiene que añadir medidas adicionales o detener la transferencia. El contrato por sí solo no basta si un gobierno extranjero puede imponer el acceso de una forma que las cláusulas no pueden impedir.

La evaluación de impacto de la transferencia en la práctica

La disciplina que creó Schrems II es la evaluación de impacto de la transferencia, o TIA. Es el análisis documentado que convierte la sentencia en un control repetible. Un profesional que realiza una TIA recorre una secuencia reconocible en lugar de un dictamen jurídico aislado.

• Cartografiar la transferencia. Identificar qué datos van a dónde, las categorías de personas afectadas, el importador, cualquier transferencia ulterior y el mecanismo jurídico en el que se apoya, normalmente las SCC.
• Evaluar el derecho y la práctica de destino. Examinar el régimen de vigilancia y de acceso gubernamental en el país importador y juzgar si socava la protección que se supone que debe proporcionar la herramienta de transferencia. Este es el análisis del derecho de vigilancia que exigió el Tribunal.
• Identificar las medidas adicionales. Cuando el derecho local resulta problemático, decidir qué garantías técnicas, contractuales u organizativas adicionales cierran la brecha. El cifrado robusto con claves conservadas únicamente en el EEE, la seudonimización y el procesamiento fraccionado son las medidas técnicas que más señalan los reguladores.
• Documentar y decidir. Registrar el razonamiento, concluir si la transferencia puede continuar y establecer un desencadenante de revisión para que la evaluación se reexamine cuando cambie el derecho o el acuerdo.

Dónde se sitúa hoy

En 2023 la Comisión Europea adoptó el Data Privacy Framework UE-EE. UU., una nueva decisión de adecuación que, para las organizaciones estadounidenses certificadas, restablece una vía para transferir datos sin TIA en ese corredor concreto. Se diseñó para responder a las inquietudes sobre la tutela y la proporcionalidad que hundieron el Privacy Shield, incluido un mecanismo de revisión independiente para las personas de la Unión. Así, en términos cotidianos, la brecha del Privacy Shield que abrió Schrems II se ha salvado para Estados Unidos, siempre que el importador esté certificado conforme al nuevo marco y la transferencia permanezca dentro de su ámbito.

Lo que no desapareció es el método más amplio. Las transferencias a países sin decisión de adecuación siguen basándose en las SCC u otras herramientas del artículo 46, y cada una de ellas todavía necesita una TIA. Las directrices del Comité Europeo de Protección de Datos sobre las medidas adicionales siguen siendo el manual práctico. Por tanto, la forma correcta de leer Schrems II en 2026 no es como una historia muerta del Privacy Shield, sino como el momento en que el riesgo de transferencia pasó a ser algo que se evalúa y se documenta, transferencia por transferencia, en lugar de descartarlo marcando una casilla de adecuación.

Conviene mantener distintos dos conceptos vecinos. Una decisión de adecuación es la Comisión afirmando que todo un país ofrece una protección equivalente, lo que elimina la necesidad de garantías adicionales. Las SCC son una herramienta contractual que se utiliza cuando no hay decisión de adecuación, y Schrems II es precisamente la sentencia que dijo que las SCC vienen con la tarea adjunta de una TIA.