Enrique Dans

Marimar Jiménez, de Cinco Días, me pidió ayer mi opinión sobre la decisión del Tribunal de Justicia de la Unión Europea de anular los acuerdos de safe harbor o «puerto seguro» que regulaban el intercambio de datos de ciudadanos de la Unión Europea y compañías norteamericanas, y hoy publica mi opinión en su noticia titulada «El tribunal de la UE pone en jaque la economía digital trasatlántica» (pdf).

Básicamente, lo que el TJUE viene a decir es algo que sabíamos ya desde que el gesto de sacrificio personal de Edward Snowden, nunca más acreditado merecedor del Premio Nobel de la Paz, nos proporcionó evidencias de que nuestros datos, los de todos los ciudadanos, estaban siendo saqueados y espiados sin ningún tipo de control por agencias gubernamentales norteamericanas. Lo que dice es, ni más ni menos, que los acuerdos de safe harbor estaban siendo objeto de un abuso constante, y que por tanto, los Estados Unidos no pueden ya ser considerados un safe harbor. Lo que implica es que cualquier ciudadano podrá acogerse a esto para denunciar que sus datos están siendo exportados a los Estados Unidos por alguna compañía, y que eso, dado que los acuerdos de safe harbor son ya efectivamente inválidos, va en contra de sus derechos porque no le permite tener control sobre ellos de acuerdo con las leyes de la Unión Europea.

Obviamente, la medida tendrá consecuencias: ante la dificultad de que la administración norteamericana, caracterizada por una brutal y descontrolada hipertrofia de agencias como la NSA, modere sus agresivas prácticas de vigilancia y monitorización, y sobre todo, ante la escasa o nula credibilidad que tendría cualquier anuncio al respecto, las compañías norteamericanas se verán obligadas a plantear que el tratamiento de los datos de sus usuarios se lleve a cabo sin salir de la Unión Europea, como de hecho ya había sido anunciado por alguna empresa como Twitter, que se adelantó a este posible desenlace con un anuncio el pasado abril. No es el fin del mundo para compañías que sin duda tienen los recursos adecuados para poner en marcha estos cambios, pero sin duda subraya el creciente desencuentro entre la forma de entender los derechos de los ciudadanos en Europa y en los Estados Unidos.

A continuación, el texto completo de las preguntas y respuestas que intercambié con Marimar:

P. ¿Qué consecuencias puede tener para Facebook, Google, Apple la decisión adoptada por Bruselas esta mañana? ¿Pone en peligro sus modelos de negocio?

R. Las consecuencias para las compañías norteamericanas son sumamente complejas, y notablemente heterogéneas: por un lado, están compañías como Google o Facebook, que hacen de la explotación de los datos del cliente su modelo de negocio, y que precisan de un procesamiento detallado de esos datos con el fin de poder comercializar una publicidad que tiene un precio más elevado cuanto más y mejor segmentada está. Para esas compañías, obligar a la localización de las transacciones en un entorno u otro tiene una complejidad notable, porque las obliga a establecer reglas de transacción que inciden en un coste mayor, en menores economías de escala en el procesamiento de datos o en el uso de sus data-centers, y en un nivel de supervisión y monitorización muy superior. Para Apple o Twitter, sin embargo, el coste es menor: Apple lleva tiempo preconizando unas prácticas de privacidad enormemente rígidas que favorecen precisamente que ese procesamiento de datos se reduzca a la mínima expresión y se haga de manera completamente respetuosa con el cliente («vendemos productos, no vendemos datos de nuestros clientes»), lo que hace que la compañía de la manzana esté, en esta batalla, claramente en el lado ganador o remando a favor de la corriente. Twitter, por su parte, ya fue plenamente consciente de la importancia de este tema y segregó sus operaciones para clientes norteamericanos y europeos, anunciando la localización del tratamiento de datos de los segundos en Irlanda y convirtiéndolos en teóricamente invulnerables frente a las peticiones del gobierno norteamericano y sus agencias de inteligencia. Otras compañías, como Microsoft, han demostrado estar del lado correcto tratando de denegar al gobierno el acceso a datos de clientes en países extranjeros, aunque se han encontrado con una pretensión de ese gobierno de convertirse en «justiciero universal» que posiblemente haya tenido incluso algo que ver en el desenlace de este caso.

P. El acuerdo que había entre la UE y EE UU hace que hubiera de facto una única legislación, pero esta sentencia crea una fragmentación (2 legislaciones) que dificultará el negocio de internet tal y como está concebido hoy?

R. Sin duda, la fragmentación generará una complejidad mayor, un entorno que precisará de una supervisión más compleja, y oportunidades para compañías que decidan operen en un lado u otro. La alternativa de obligar a las agencias de seguridad norteamericanas a tomar una posición menos maximalista o más garantista en el acceso a los datos parece poco posible y, tras las revelaciones de Edward Snowden, tendría un nivel de credibilidad mínimo. La otra posibilidad, obligar a las empresas norteamericanas a procesar sus datos en territorio europeo, puede resultar aparentemente más sencilla, pero no está exenta de costes y de problemas, además de disfrutar de una credibilidad igualmente escasa: los europeos, a estas alturas, desconfiamos casi tanto de la administración norteamericana y de su sistema de vigilancia hipertrofiado hasta el límite como de unas compañías que han demostrado ser inoperantes a la hora de proteger la información de sus usuarios. Por otro lado, y como nota positiva, esto podría crear oportunidades tanto a la hora de crear infraestructuras europeas – centros de datos, etc. – como puestos de trabajo.

P. ¿Están preparadas estas compañías para gestionar su negocio en suelo europeo? ¿Tienen suficientes centros de datos y equipos para ello?

R. Las infraestructuras de data-centers son en esencia globales: los datos se mueven siguiendo protocolos que van desde su duplicación rutinaria en varios servidores para evitar un posible desastre, hasta el «follow the Moon» utilizado para el ahorro de costes en función de las tarifas nocturnas. Imponer fronteras a esos protocolos incrementa la complejidad de la gestión, pero no hablamos de algo imposible, simplemente de una incomodidad. Más preocupante puede ser la gestión de los datos cuando se lleven a cabo operaciones que afecten a varios territorios, personas que viajan habitualmente o que mantienen cuentas en distintas jurisdicciones, pero se trata simplemente de un problema de gestión de la complejidad, no de un problema irresoluble.

P. ¿Afecta esta sentencia solo a las empresas tecnológicas o a cualquier empresa que transfiere datos personales a EE UU, como el Banco Santander, Telefónica, u otras europeas?

R. Afecta a todo intercambio de datos que tenga lugar entre los territorios afectados. En cualquier caso, hablamos de la interacción entre un territorio en el que claramente se ha demostrado que el gobierno se excedía en sus procedimientos de vigilancia y monitorización, y otro en el que, simplemente, no hemos tenido un héroe llamado Edward Snowden dispuesto a sacrificar su bienestar y su libertad para demostrarlo. Es muy posible que en Europa se estén cometiendo o se hayan cometido abusos en la vigilancia o en la monitorización de los ciudadanos tan flagrantes o más como los que han tenido lugar en suelo norteamericano, y simplemente no lo estamos contemplando porque en la supuestamente garantista Europa, eso es algo que no se puede decir. ¿Realmente está mejor protegido un ciudadano europeo que uno norteamericano en cuanto a la privacidad de sus datos? Recordemos que en los Estados Unidos existen procedimientos de transparencia de los registros públicos y de «vigilancia de los vigilantes» que muchos países europeos ni contemplan… el tiempo, y la disponibilidad de héroes como Snowden dirán si el maximalismo europeo que respira esta sentencia es real o simplemente una pose fruto de la hipocresía o de la ausencia de control.

This article is also available in English in my Medium page, “The not-so safe harbor«