Cómo seguir trabajando con MailChimp y cumplir con la AEPD

Terminó el plazo marcado por la Agencia Española de Protección de Datos (AEPD) sobre las transferencias internacionales de datos personales a empresas estadounidenses. Que no cunda el pánico. Analizamos qué supone este cambio y qué deben hacer las organizaciones para cumplir con los nuevos requisitos.

A finales del año pasado, una sentencia del Tribunal de Justicia de la Unión Europea anuló la regulación conocida como Safe Harbor, que hasta la fecha, permitía a empresas tecnológicas estadounidenses transferir a los servidores instalados en Estados Unidos los datos personales de clientes y usuarios europeos. Lo que ha hecho el TJUE es invalidar el Safe Harbor. Considera que hace prevalecer los intereses del estado americano sobre el derecho a la privacidad y protección del ciudadano europeo.

A QUIÉNES AFECTA LA SENTENCIA

La disolución de Safe Harbor afecta, por una parte, a las plataformas americanas que almacenan información, y por otra, a todas aquellas empresas que contraten o usen estas plataformas para el intercambio de datos. Y ello, obliga a cambiar la manera de trabajar con empresas que almacenan datos de ciudadanos europeos en servidores de Estados Unidos, como por ejemplo, Dropbox, Mailchimp, Google Apps, Facebook o Twitter entre otras.

Cuando se conoció la noticia saltaron todas las alarmas, fundamentalmente como consecuencia de algunos titulares de prensa que apuntaban a sanciones, ultimátum y prohibiciones por parte de la Agencia Española de Protección de Datos. Sí que es cierto, que las sentencias europeas obligan a los países miembros a aplicar la norma y a modificar la legislación existente. Y es por eso que, en España, la AEPD marcó el 29 de enero de 2016 como fin del plazo de adaptación de las empresas.

ASPECTOS CLAVE QUE CONVIENE ACLARAR

La Agencia Española de Protección de Datos no ha prohibido el uso de determinados servicios de almacenamiento en la nube. No obstante, informa a los responsables para que requieran a su proveedor de servicios, que les ofrezca una respuesta adaptada a la sentencia del TJUE.

Tampoco se han anunciado procedimientos sancionadores por defecto contra las empresas. En la comunicación enviada a los responsables, la AEPD sólo indica que, de no modificarse la base legal para la realización de transferencias, la Agencia podrá iniciar el procedimiento para acordar, en su caso, la suspensión temporal de las transferencias.

Y en cualquier caso, la sentencia del TJUE está orientada a responsables, no afecta a los ciudadanos que hacen un uso doméstico de los datos personales que pudieran almacenar en la nube.

QUÉ HACER PARA ADAPTARSE

Las empresas que trabajen con proveedores americanos en la prestación de servicios como por ejemplo el alojamiento web, el almacenamiento en la nube o la gestión del email, deben cumplir desde ya mismo alguno de los siguientes requisitos:

• Asegurarse de que, aunque sean americanas, tengan sus datacenters en Europa.
• Formalizar un contrato con la empresa proveedora de servicios, incluyendo en el mismo las cláusulas de la AEPD. Algunas como Mailchimp, ya tienen en su página web un contrato para descargar. No obstante, la Agencia tiene que dar su visto bueno, y no es el caso. 
• Acogerse a algunas de las excepciones que incluye el artículo de transferencia internacional e datos.

LAS ALTERNATIVAS EUROPEAS

Lo más conveniente, de momento, para resolver el dilema y evitar problemas, es trabajar con empresas de servicios españolas o del resto de Europa, que cumplen con la normativa vigente. Y alternativas  haberlas, haylas. Sin embargo, por lo general, el sector europeo de internet tiene peor servicio y mayor coste que el que ofrecen los americanos MailChimp, Dropbox, Google Apps o WordPress.

En cualquier caso, la Comisión Europea prepara un nuevo acuerdo con los EE.UU que ya se conoce como Safe Harbor 2.0. Estaremos pendientes.