Estados Unidos debería reformar su legislación de vigilancia con urgencia si la UE y Estados Unidos quieren llegar a un acuerdo sobre el intercambio de datos transatlánticos, según un estudio de una influyente comisión parlamentaria europea.
Un estudio encargado por la Comisión de Libertades Civiles, Justicia y Asuntos de Interior (LIBE) del Parlamento Europeo advierte que sin cambios sustanciales en las prácticas de vigilancia de EE. UU., La UE y EE. UU. No podrán llegar a un acuerdo.
El estudio, escrito por el especialista en seguridad y protección de datos Ian Brown, profesor emérito de derecho internacional de Douwe Korf, pide a los EE. UU. Que limite su recopilación masiva de datos telefónicos e Internet, establezca estándares más estrictos para justificar los objetivos de vigilancia y proporcione a los ciudadanos de la UE reparación legal en los EE. UU.
Las reformas son parte de un paquete de recomendaciones diseñadas para allanar el camino para que la UE y los EE. UU. Reemplacen el acuerdo de intercambio de datos Privacy Shield, que fue anulado por el Tribunal de Justicia de la Unión Europea en 2020, con un acuerdo que salvaguarda la privacidad. de los ciudadanos de la UE.
El tribunal europeo encontró dos fallas fundamentales en las leyes estadounidenses que rigen la vigilancia de ciudadanos no estadounidenses. En primer lugar, la ley de vigilancia estadounidense no cumplía con los requisitos europeos de que las intrusiones en la privacidad son necesarias y proporcionadas. En segundo lugar, descubrió que los ciudadanos de la UE no tienen un derecho efectivo de reparación ante un organismo independiente si se violan sus derechos a la privacidad.
Brown, profesor visitante de CyberBRICS en la Facultad de Derecho de FGV en Brasil, dijo: “Esas dos cosas deben reformarse en la ley de EE. UU. Antes de que cualquier tipo de sucesor del Escudo de privacidad tenga la oportunidad de hacer frente a un nuevo caso judicial en Europa”.
La Sección 702 de la Ley de Vigilancia de Inteligencia Extranjera (FISA), junto con la Orden Ejecutiva 12333, permite a las agencias de inteligencia estadounidenses recopilar datos de proveedores de servicios de Internet y proveedores de computación en la nube relacionados con ciudadanos no estadounidenses.
Aunque el ex presidente de Estados Unidos, Barack Obama, puso límites a cómo se puede usar la inteligencia masiva con la Directiva de Política Presidencial 28 (PPD 28) en 2014, el tribunal europeo no ha aceptado que garantice que la vigilancia de Estados Unidos es necesaria y proporcionada.
Impacto de la vigilancia en los ciudadanos de la UE
Debido a que estas operaciones están altamente clasificadas, los ciudadanos de la UE que están sujetos a la vigilancia de los EE. UU. No pueden saber si sus comunicaciones han sido interceptadas.
Pero los ciudadanos de la UE podrían verse afectados de manera práctica, dijo Brown. Por ejemplo, pueden tener dificultades para obtener una exención de visa ESTA o pueden ser detenidos en la frontera de los EE. UU.
“Se podría imaginar que las empresas europeas, particularmente si están compitiendo por grandes contratos con empresas estadounidenses, podrían preguntarse a veces si la información sobre sus ofertas se ha compartido con competidores estadounidenses; ha habido denuncias de eso a lo largo de los años”, dijo.
El mes pasado, hubo una protesta en Alemania cuando se supo que el servicio secreto de Dinamarca había ayudado a la Agencia de Seguridad Nacional de Estados Unidos a espiar a políticos alemanes, incluida la canciller Angela Merkel.
Brown dijo: “Doy por sentado que cada vez que hablo con miembros del Parlamento Europeo o su personal o funcionarios, y con la Comisión Europea, a menos que sus comunicaciones estén bien protegidas por cifrado, vendrán bajo este tipo de objetivos”.
Ley secreta
La práctica en los EE. UU. De utilizar opiniones secretas para interpretar las leyes de vigilancia es particularmente problemática para la legislación de la UE, que requiere que las leyes de vigilancia se publiquen, sean legalmente vinculantes, claras y “previsibles” en la forma en que se utilizan, según el informe LIBE.
La ley de vigilancia de los Estados Unidos, y la ley FISA en particular, no requiere que las medidas de vigilancia sirvan a un “propósito legítimo” en una sociedad democrática porque permite el espionaje con fines políticos y económicos.
“No definen por sí mismos el alcance y la aplicación de las medidas de vigilancia relevantes, sino que dejan muchos asuntos a la discreción del ejecutivo”, dice el informe. “Tampoco requieren que las medidas específicas impuestas en un contexto específico sean ‘necesarias’ y ‘proporcionadas’.
“En resumen, las reglas secretas o excesivamente vagas, o las reglas que otorgan una discreción ilimitada, no constituyen ‘ley’ en el sentido europeo de los derechos humanos”.
Las autoridades estadounidenses argumentan sistemáticamente que la “mera” recopilación y retención de datos personales no interfiere con la privacidad siempre que ningún funcionario los haya examinado, aunque los datos podrían estar sujetos a filtrado automático, dice el estudio.
No existen salvaguardias serias para garantizar que el intercambio de datos entre los EE. UU. Y las agencias de inteligencia en diferentes países no socave las protecciones de privacidad otorgadas por la ley de la UE, dice.
“Está claro que las leyes de vigilancia de Estados Unidos no cumplen manifiestamente los estándares aducidos en la jurisprudencia del Tribunal Europeo de Derechos Humanos y el Tribunal de Justicia de la UE”, dice el informe.
El estudio sostiene que se debe instar a los EE. UU. A reformar su legislación de vigilancia con urgencia mediante la introducción de una serie de medidas, incluida una mayor transparencia sobre las medidas de vigilancia y otorgar a los ciudadanos de la UE el derecho a solicitar una revisión judicial del Tribunal de Vigilancia de Inteligencia Extranjera (FISC).
Cita al Instituto de Tecnología Abierta de EE. UU., Que ha recomendado que el gobierno de EE. UU. Limite la recopilación de comunicaciones masivas y adopte reglas vinculantes que garanticen que la vigilancia masiva sea necesaria y proporcionada.
Su informe, escrito en coautoría por Sharon Bradford Franklin, exdirectora ejecutiva de la Junta de Supervisión de la Privacidad y las Libertades Civiles (PCLOB), también pide que se establezcan estándares más estrictos para justificar los objetivos de vigilancia y revisiones independientes de la necesidad y proporcionalidad de las decisiones de focalización.
La Unión Estadounidense de Libertades Civiles ha ido más allá, pidiendo la prohibición de la recolección a granel bajo EO 12333 y que los objetivos de vigilancia sean notificados una vez que se completen las investigaciones.
Derecho de los ciudadanos de la UE a apelar ante el tribunal de la FISA
Según las propuestas de LIBE, los europeos podrían presentar una queja ante los departamentos del gobierno de Estados Unidos y hacer que se investiguen sus quejas sin necesidad de pagar abogados estadounidenses.
Si no están satisfechos con el resultado, pueden presentar una queja ante el Tribunal de Vigilancia de Inteligencia Extranjera y hacer que la decisión sea apelada por un organismo independiente.
“El Tribunal de Vigilancia de Inteligencia Extranjera debería poder emitir sentencias vinculantes, lo que podría impedir que las agencias hagan algo que han hecho y cambiar lo que están haciendo con los materiales de vigilancia”, dijo Brown.
“No podría ser más claro que las personas deberían obtener un recurso ante un tribunal imparcial si se violan sus derechos, y ese no es el caso actualmente”.
Tratados de no espionaje
La UE y el Parlamento Europeo deberían exigir que los estados miembros de la UE y otros países armonicen sus prácticas de inteligencia con las leyes de derechos humanos, argumenta el informe.
El punto de partida debería ser el desarrollo de tratados “mini-laterales” entre los 30 estados de la UE / EEE y los países de los “Cinco ojos”: EE. UU., Reino Unido, Australia, Canadá y Nueva Zelanda.
Estos países deben acordar no espiar a los ciudadanos de los demás sin notificación y el acuerdo del estado de origen de los ciudadanos.
“La idea de este tratado sería que esos países acuerden inicialmente estándares que cumplan con sus propios requisitos nacionales”, dijo Brown. “No sería fácil, pero si pudieran hacerlo, reduciría de manera muy significativa la dificultad de permitir que los acuerdos del Escudo de Privacidad funcionen en el futuro”.
Otras recomendaciones incluyen la creación de un esquema de autocertificación mejorado para que las corporaciones estadounidenses cumplan con el Reglamento General de Protección de Datos (GDPR) de la UE, respaldado por poderes de aplicación más estrictos.
El estudio propone que se otorguen poderes a la Comisión Federal de Comercio de EE. UU. Para vigilar el esquema, que tendría que cumplir con todos los “requisitos sustantivos” del RGPD.
La UE debería permitir acciones colectivas por violaciones de datos
La UE debería ofrecer a EE. UU. Y a otros países la posibilidad de participar en un litigio colectivo cuando se violen sus derechos según el RGPD, según el estudio.
Esto superaría las preocupaciones de que los reguladores de la protección de datos no suelen hacer cumplir eficazmente los intereses de los interesados de la UE y de que los costes de las acciones judiciales pueden ser prohibitivos.
“El sistema de acción de clase de EE. UU. En este sentido funciona mejor, por lo que esta podría ser una forma de facilitar que los europeos en Europa, así como los potencialmente estadounidenses, obtengan una mejor aplicación de sus derechos”, dijo Brown.
Si se implementan estas recomendaciones, las transferencias de datos UE-EE. UU. Podrían reintroducirse sin el riesgo de que el tribunal europeo invalide una nueva decisión de adecuación.
“No creemos que esta sea una causa perdida”, dijo Brown. “Podemos llegar a un acuerdo con Estados Unidos sobre esto, si Estados Unidos puede hacer reformas razonables. Son reformas importantes. No estamos diciendo que sean sencillos o que no enfrentarán una oposición potencialmente significativa en el Congreso. Pero creemos que es posible “.
Hasta ese momento, las transferencias de datos personales de la UE a los EE. UU. Requerirán salvaguardias, incluidas cláusulas contractuales estándar (SCC) y reglas corporativas vinculantes.
Deberán ir acompañadas de medidas complementarias, como un cifrado fuerte para evitar que las agencias de inteligencia estadounidenses accedan a los datos.
Se podrían utilizar auditorías, registros y mecanismos de informes para proteger datos no sensibles que no son de interés para los servicios de inteligencia.
Pero el estudio advierte que aún no se han identificado medidas complementarias efectivas que puedan proteger datos confidenciales, como datos de comunicaciones, datos financieros y datos de viajes, enviados a los EE. UU. En forma no cifrada.
“Por lo tanto, los problemas deben abordarse con urgencia”, dice el estudio.