“No hay excepción al procedimiento de concesión debido a la participación de la sucursal de Luxemburgo de una empresa estadounidense como proveedor de alojamiento”. Así tomó la Corte Regional Superior de Karlsruhe su reciente decisión sobre el uso de proveedores en la nube en Estados Unidos, la cual es controvertida en cuanto a la ley de protección de datos.

El antecedente es la decisión de la Cámara de Contratación Pública de Baden-Württemberg del 13 de julio de 2022 (Az. 1 VK 23/22), que ha sido criticada desde muchos frentes. En el procedimiento de contratación, se ha determinado que las filiales ubicadas en la Unión Europea de empresas americanas no podrán participar en la contratación pública si el objeto de la compra es el tratamiento de datos personales. La razón dada fue que esto implicaba una transferencia no autorizada de datos a los EE. UU., lo que a su vez violaría el Reglamento General de Protección de Datos (GDPR).

Se necesitan dudas específicas

Los jueces de Karlsruhe ahora han aprobado esta decisión en solo ocho semanas y ya han anulado la decisión de la Cámara de Contratación Pública (Az. 15 Verg 8/22). Sin embargo, el Tribunal Regional Superior no emitió una licencia para adjudicar contratos a empresas pertenecientes a empresas que no tienen su sede en la Unión Europea: como suele ser el caso en la profesión legal, depende de las circunstancias de cada caso individual. En el caso específico, el proveedor de servicios de Luxemburgo ha confirmado que solo procesará y almacenará los datos dentro de Alemania. “La autoridad contratante solo debe obtener información adicional y verificar si la promesa de desempeño puede cumplirse si hay indicios concretos de la aparición de dudas”, se lee en el comunicado de prensa. Además: «No tiene que esperar que Luxemburgo siga las instrucciones en incumplimiento del contrato y la ley europea y transferirá datos personales a los Estados Unidos». El mero hecho de ser filial de un grupo americano es suficiente para excluir la adjudicación de contratos hasta el momento.

La decisión del Tribunal de Contratación Pública ya había sido criticada por varias partes. El Comisionado Estatal de Protección de Datos y Seguridad de la Información consideró que “la equiparación de riesgos de acceso y transmisión (como forma de tratamiento según el artículo 4 N° 2 DS-GVO) que realiza la Cámara de Contrataciones Públicas es jurídicamente cuestionable”. También señala que la autorización en virtud de la Ley de Protección de Datos debe determinarse caso por caso y, según un comunicado de prensa, se adhiere a «las disposiciones de sus directivas sobre transferencias de datos; pruebas alternativas de casos individuales en lugar de pruebas generales». Las prohibiciones de transferencia siguen siendo el medio preferido para implementar la especificación de la regulación». General para proteger los datos de la mejor manera posible.

No más seguridad con las nubes americanas

La decisión debería brindar alivio a empresas estadounidenses como Google, Amazon, Microsoft & Co. Si persistía, existía el riesgo de exclusión general de muchos procedimientos de concesión. La disputa ahora resuelta pone de relieve las incertidumbres en el campo del procesamiento de datos personales cuando hay contacto con un país fuera de la Unión Europea o un país que no tiene un «nivel adecuado de protección de datos» reconocido por la Comisión de la UE. La mayoría de los problemas son con los Estados Unidos. Tras la decisión Schrems II del Tribunal de Justicia de la Unión Europea en julio de 2020, la Unión Europea y los Estados Unidos luchan por encontrar un acuerdo sucesor del Escudo de privacidad europeo-estadounidense. Actualmente se está trabajando. Nadie en los círculos especializados debe esperar que tras su entrada en vigor se produzca una pausa en los círculos de protección de datos.

(fu)