El SEPD sanciona al Parlamento Europeo por transferencia ilegal de datos a EE. UU.

Tras una denuncia de seis eurodiputados, incluido Patrick Breyer del Partido Pirata, el Supervisor Europeo de Protección de Datos (EDPS) ha confirmado que el sitio web de pruebas COVID del Parlamento Europeo violó las normas de protección de datos.[1] El SEPD destaca que el uso de Google Analytics y el proveedor de pagos Stripe (ambas empresas estadounidenses) violaron la sentencia "Schrems II" del Tribunal de Justicia de las Comunidades Europeas (TJUE) sobre transferencias de datos entre la UE y los EE. UU.

El fallo es una de las primeras decisiones para implementar "Schrems II" en la práctica y podría ser innovador para muchos otros casos que los reguladores están considerando actualmente. En nombre de seis eurodiputados, la organización de protección de datos noyb presentó una queja de protección de datos contra el Parlamento Europeo en enero de 2021.[ 2 ]

Los principales problemas planteados son los banners de cookies engañosas de un sitio web interno de prueba de corona, el aviso de protección de datos vago y poco claro y la transferencia ilegal de datos a los EE. UU. El SEPD investigó el asunto y amonestó al Parlamento por violar el "RGPD para las instituciones de la UE" (Reglamento (UE) 2018/1725 aplicable solo a las instituciones de la UE).

Transferencias ilegales de datos a EE. UU. En el llamado caso "Schrems II", el TJUE subrayó que la transferencia de datos personales de la UE a EE. UU. está sujeta a condiciones muy estrictas. Los sitios web deben abstenerse de transferir datos personales a los EE. UU. donde no se pueda garantizar un nivel adecuado de protección de los datos personales.

El SEPD confirmó que el sitio web en realidad transfirió datos a los EE. UU. sin garantizar un nivel adecuado de protección de los datos y destacó: "El Parlamento no proporcionó documentación, evidencia u otra información sobre las medidas contractuales, técnicas u organizativas vigentes para garantizar un nivel de protección equivalente a los datos personales transferidos a los EE. UU. en el contexto del uso de cookies en el sitio web".

El co-demandante y eurodiputado Patrick Breyer (Partido Pirata) comenta: "El fallo de Schrems II fue una gran victoria para la protección de nuestra privacidad y la confidencialidad de nuestras comunicaciones y uso de Internet. Desafortunadamente, este caso muestra que nuestros datos todavía se están utilizando ilegalmente". transferido a los EE. UU. en grandes cantidades. Con su decisión, el SEPD deja claro que esto debe terminar. No debe haber más divulgación innecesaria de nuestros datos personales a los EE. UU. sin nuestro consentimiento, ni siquiera sobre la base de los llamados cláusulas contractuales estándar, que no nos protegen contra los esquemas de vigilancia masiva de la NSA".

No hay multa, pero sí una amonestación y una orden de cumplimiento El SEPD emitió una amonestación al Parlamento por las diversas infracciones del reglamento de protección de datos aplicable a las instituciones de la UE. A diferencia de las autoridades nacionales de protección de datos en virtud del RGPD, el SEPD solo puede imponer una multa en determinadas circunstancias, que no se cumplieron en este caso. Además, el SEPD dio al Parlamento un mes para actualizar su aviso de protección de datos y resolver los problemas de transparencia restantes.

Anuncio

[ 1 ]
[ 2 ]
[ 3 ]

Comparte este artículo: