Pues si sabes poco o nada y tienes una web que utiliza cookies para recoger datos de Google Analytics, ya puedes ir aprendiendo rápido. El Supervisor Europeo de Protección de Datos acaba de sancionar al Parlamento Europeo por infringir el Reglamento de Protección de Datos al utilizar, precisamente, Google Analytics.
No deja de tener gracia que la primera sanción de este tipo se haya impuesto en el Parlamento Europeo. Está claro que, a partir de ahí, todos –empresas, administraciones, instituciones, etc.– tendrán que cumplir la normativa porque, como decía el clásico de Rojas Zorrilla, “del rey abajo, ninguno”.
Durante la pandemia, el Parlamento contrató a una empresa para la realización de pruebas de detección de Covid a los europarlamentarios y al resto de trabajadores de la Cámara. Los usuarios debían registrarse en la web del proveedor que utilizaba cookies de Google Analytics y de la pasarela de pago Stripe. Los datos personales recogidos eran transferidos a Estados Unidos sin suficientes garantías de protección. El Parlamento ha estado apercibido y obligado a actualizar los avisos relativos al tratamiento de los datos personales.
¿Y esto en qué nos afecta? Pues que cualquier web, y son la mayoría, utilizan cookies de Google Analytics y los datos recogidos son transferidos a Estados Unidos, cometen una infracción en materia de protección de datos. No es el único caso. MailChimp es otra empresa muy conocida, que se utiliza por miles de empresas para hacer mailings, que tampoco cumple con la normativa. Y sus clientes, por tanto, tampoco.
Y esto, ¿por qué ocurre?
Pues eso ocurre porque en el verano de 2020, a raíz de la histórica sentencia conocida como Schrems II, una resolución del Tribunal de Justicia de la Unión Europea invalidó el escudo de protección de la privacidad (Privacy Shield) entre la Unión Europea y los Estados Unidos por no cumplir con los niveles de protección comunitarios. Lo que significa que si queremos continuar transfiriendo datos deberemos hacerlo aumentando las garantías por el usuario (por ejemplo, con Cláusulas Contractuales Tipo CTT, Normas Corporativas Vinculantes NCV y otros).
Si no se establecen las garantías y medidas técnicas adecuadas, a las empresas españolas –europeas– no les que otro que alojar los datos en servidores localizados fuera de Estados Unidos. Y puestos a cambiar, la recomendación es hacerlo en territorio comunitario. Y lo que decimos es válido, no sólo para el cloud sino también para aquellas aplicaciones que utilizamos a diario y que, muchas veces inadvertidamente para casi todos, transfieren los datos a un país no adecuado.
Lo dicho. Tenga cuidado. Y cuando contratamos un servicio (web, cloud, marketing, etc.) hacemos la pregunta de rigor: ¿se realizan transferencias internacionales de datos personales? Y no nos conformamos con una respuesta verbal. Pidámoslo por escrito al proveedor.
Como siempre, cuide los datos y ¡Cuídese!
