Por qué no deberías contar con la ADPPA y el Escudo de la privacidad 2.0

15 de septiembre de 2026

Se ha hablado mucho sobre una propuesta bipartidista en EE. UU. sobre legislación que podría acabar convirtiéndose en una ley federal de protección de la privacidad de los datos. Además, EE. UU. y la UE han llegado a un acuerdo para establecer un sustituto del marco invalidado del Privacy Shield.

Sin embargo, hemos notado cierta confusión entre las empresas y los clientes con los que trabaja Sinch Mailgun sobre lo que esto significa realmente para ellos.

¿Nuestra conclusión? No cantes victoria antes de tiempo.

En otras palabras, esto ya lo hemos oído antes y conocemos el historial del Congreso de los Estados Unidos a la hora de hacer las cosas a tiempo. Así que no te fíes de lo que actualmente se conoce como la Ley de Protección de la Privacidad de los Datos de Estados Unidos (ADPPA) y el esperado Marco Transatlántico de Privacidad de los Datos… al menos, de momento.

¿Por qué no? Para aclarar las cosas, echemos un vistazo a lo que significa todo esto y vayamos al fondo de lo que las empresas y remitentes de email deben saber para encontrar socios que cumplan la normativa y se tomen en serio la privacidad de los datos.

A estas alturas, ya estamos familiarizados con el Reglamento General de Protección de Datos de la Unión Europea (RGPD). Probablemente también sepas que los Estados Unidos no tienen una ley federal de privacidad de los datos que se acerque a ser tan exhaustiva como el RGPD.

Y todo el mundo sabe que vivimos y trabajamos en una comunidad global. Las personas y las empresas de la UE hacen negocios con personas y empresas de EE. UU. constantemente. Por lo tanto, las organizaciones estadounidenses que manejan los datos de personas de la UE deben cumplir con el RGPD, y las empresas de la UE necesitan que sus socios de EE. UU. también lo cumplan. Cualquiera que maneje datos personales debe asegurarse de cumplir íntegramente con el RGPD.

Pero tenemos que remontarnos a los inicios del RGPD para entender en qué punto nos encontramos ahora.

Antes del RGPD, existía un acuerdo internacional conocido como Principios de Privacidad de Puerto Seguro, que proporcionaba directrices para almacenar y proteger los datos personales transmitidos a través del Atlántico entre Europa y los Estados Unidos.

Sin embargo, tras la redacción del RGPD, quedó claro que este acuerdo de Puerto Seguro no sería suficiente, y el Tribunal de Justicia de la Unión Europea (TJUE) lo invalidó en 2015. El El Privacy Shield entre la UE y EE. UU. fue el marco legal que ocupó su lugar.

Todo parecía ir bien durante un tiempo. Al menos hasta que un activista austriaco defensor de la privacidad de los datos llamado Maximillian Schrems lo revolucionó todo.

Criticar a las grandes empresas tecnológicas por la insuficiente protección de la privacidad de los datos es la especialidad de Max Schrems. En la universidad, escribió un trabajo sobre el desconocimiento de Facebook acerca de las leyes de privacidad europeas. Más tarde, presentó una queja contra Facebook ante la Comisión de Protección de Datos de Irlanda (este caso se conoce como Schrems I).

Después de que el RGPD se convirtiera en ley en mayo de 2018, Max Schrems presentó quejas contra Google, Facebook, Amazon, Netflix, Spotify, YouTube y otras empresas alegando infracciones de la normativa. Este caso se conoce como Schrems II, que el Tribunal Superior de Irlanda remitió al Tribunal de Justicia de la Unión Europea (TJUE).

En última instancia, el TJUE invalidó el Privacy Shield en 2020 como resultado de Schrems II, y calificó el marco como un acuerdo de protección inadecuado entre EE. UU. y la UE en lo que respecta al RGPD. El mayor problema del Privacy Shield es que permite a las empresas compartir los datos personales de la ciudadanía de la UE con las agencias de inteligencia de EE. UU., sin ninguna protección adecuada para esos datos.

Más concretamente, las leyes de vigilancia estadounidenses (FISA, Ley CLOUD) no cuentan con ninguna protección adecuada para las personas que no tengan la nacionalidad estadounidense. Por lo tanto, las personas de la UE no pueden saber si las fuerzas del orden o las agencias de inteligencia están revisando sus datos personales ni por qué los necesitan, y no tienen legitimidad procesal para impugnar las solicitudes de vigilancia. Además, muchas empresas de EE. UU. no pueden denegar las peticiones de dichas agencias para acceder a los datos de la ciudadanía de la UE.

Más allá de eso, el Privacy Shield nunca fue una solución muy sólida para garantizar el cumplimiento del RGPD en primer lugar. Por un lado, implicaba un proceso de autocertificación. Básicamente, todo lo que una empresa tenía que hacer era rellenar una solicitud online con información básica y unos cuantos párrafos de su política de privacidad, y se le consideraba certificada en virtud del marco del Privacy Shield. No existían comprobaciones ni auditorías reales que demostrasen el cumplimiento real del RGPD.

Tras la invalidación del Privacy Shield, las grandes empresas tecnológicas fueron blanco de críticas por utilizar el marco como mecanismo para certificar la protección de los datos transmitidos desde la UE. Por ejemplo, Google tiene la certificación Privacy Shield. Sin embargo, a principios de este año, un organismo de control de la privacidad en Francia dictaminó que Google Analytics infringe el RGPD. Dinamarca también prohibió recientemente Gmail, Google Workspace y los Chromebooks en las escuelas por el mismo motivo, y se convirtió en la cuarta nación de la UE en hacerlo.

Por supuesto, no se trata solo de Google o del GAFA. Entre enero de 2021 y enero de 2022, las multas del RGPD se multiplicaron por siete, con un total de alrededor de 1200 millones de dólares. Pero seamos claros…

Mientras tanto, el Gobierno de EE. UU. y la UE han trabajado en un nuevo marco, al que se le ha llamado de forma informal Privacy Shield 2.0. Sin embargo, el marco actual del Privacy Shield sigue vigente a pesar de que las preguntas frecuentes del Privacy Shield admiten que el TJUE dictaminó que el acuerdo era inadecuado. El Gobierno de EE. UU. afirma que las empresas no quedan eximidas de su obligación debido a la invalidación por parte de la UE.

Esto nos lleva a la situación actual…

Una cosa en la que casi todos los implicados están de acuerdo es que sería mucho más fácil controlar la protección de la privacidad de los datos en un entorno global si hubiera reglas más estandarizadas. Un problema importante en EE. UU., por ejemplo, es que no existe una ley federal de privacidad de los datos.

En su lugar, los estados tienen o están redactando su propia legislación local. La más destacada es la Ley de Privacidad del Consumidor de California (CCPA), que refleja el RGPD en muchos aspectos.

En el pasado ha habido intentos de poner en marcha una ley federal. Pero ahora, por fin parece que una ley está ganando impulso. La Ley de Protección de la Privacidad de los Datos de Estados Unidos (ADPPA) fue aprobada por un comité de la Cámara de Representantes con una votación ampliamente bipartidista de 53 a 2. Pero esto solo significa que los legisladores han decidido que merece la pena votarla. Queda mucho camino por recorrer antes de que se haga oficial. El proyecto de ley todavía tiene que superar una votación completa en la Cámara de Representantes, donde podría pasar al Senado y finalmente convertirse en ley.

Al mismo tiempo, la UE y EE. UU. han acordado provisionalmente un nuevo mecanismo legal conocido oficialmente como Marco Transatlántico de Privacidad de los Datos (también conocido como Privacy Shield 2.0). Se basa en el marco del Privacy Shield entre la UE y EE. UU. e incluye garantías adicionales sobre el acceso de la inteligencia estadounidense y la protección de los datos de la UE.

Sin embargo, seguirá siendo un proceso de autocertificación. Y eso no garantiza la protección contra problemas legales. Por ejemplo, una demanda de la Comisión Federal de Comercio (FTC, por sus siglas en inglés) alega que, al autocertificarse en el sitio web del Privacy Shield, Twitter tergiversó su situación como si cumpliera el acuerdo.

Aún no hemos visto un borrador del nuevo marco propuesto, pero esperamos que esté en consonancia con la ADPPA. Hasta que no tengamos más certezas o un lenguaje concreto, el Marco Transatlántico de Privacidad de los Datos no es más que un acuerdo tipo “apretón de manos” entre la Comisión Europea y EE. UU. gobierno.

La hoja informativa de la Casa Blanca sobre el nuevo marco indica:

Por tanto, se trata de algo bastante importante. Sin duda, hay mucho dinero en juego.

Cualquier organización que recopile o procese direcciones de email de personas de la UE tiene que tener en cuenta el cumplimiento del RGPD, lo que incluye cómo se transmiten esos datos, dónde se almacenan, cómo se protegen y quién puede acceder a ellos.

Hay algunas empresas tecnológicas por ahí diciendo que, con un acuerdo Privacy Shield 2.0 y la ADPPA en camino, los remitentes no tienen nada de qué preocuparse. Pero esto sencillamente no es cierto. Como podemos ver con Twitter, obtener un “certificado” bajo este marco no significa gran cosa cuando te lo concedes tú mismo. Y esas empresas siguen sin demostrar cómo protegen los datos personales de la UE.

El Marco Transatlántico de Privacidad de los Datos será útil, por supuesto, porque es una solución global que aborda las preocupaciones sobre la vigilancia en EE. UU. Aun así, las empresas de ambos lados del océano deben asumir su responsabilidad en el pleno cumplimiento del RGPD.

Hay otra cosa…

¿Quién sabe cuánto tardará la ADPPA en convertirse en ley (suponiendo que llegue a hacerlo) o en concretarse el acuerdo del Privacy Shield 2.0?

Aunque el proyecto de ley de la ADPPA se considera bipartidista, el Congreso estadounidense no destaca por ser rápido y eficiente. Al fin y al cabo, los legisladores tuvieron que preocuparse por las elecciones de mitad de mandato en 2022. También es de esperar que los grupos de presión de las grandes tecnológicas intenten influir en los detalles del proyecto de ley a medida que avance en el proceso legislativo.

Otro posible obstáculo es que la ADPPA se antepondrá a las leyes estatales existentes sobre la privacidad de los datos. Los defensores de la privacidad en estados como California no están nada contentos con esa idea. Por tanto, los legisladores que representan a estados con leyes más estrictas que la ADPPA podrían oponerse.

Además, aunque el proyecto se firme a finales de 2022, todavía tardará un tiempo en promulgarse. En una entrevista en TheMarkUp.org, el exsecretario de Comercio de EE. UU., Cameron Kerry, confirmó que las empresas tendrían dos años para cumplir con la ADPPA. Esto significa que lo más pronto que se puede esperar que entre en vigor una ley federal de privacidad de los datos en EE. UU. es en 2025.

¿Quién sabe si el Marco Transatlántico de Privacidad de los Datos resistirá al escrutinio? Es evidente que todo el mundo daba por hecho que los marcos anteriores eran lo suficientemente buenos… hasta que dejaron de serlo.

¿Podría estar en camino el caso Schrems III? A principios de este año, el activista publicó un comunicado en el que indicaba que no estaba muy impresionado con el nuevo marco.

No puedes depender de esperanzas y expectativas. Pero sí que puedes encontrar empresas fiables con las que trabajar y que te ayuden.

Como ya hemos mencionado, al no haber una alternativa al Privacy Shield, las empresas de la UE y de EE. UU. están utilizando CCT para definir el cumplimiento del RGPD en relación con las transferencias de datos a través del Atlántico. Pero eso no es lo único que hace falta.

Lo que realmente necesitas es un programa de cumplimiento completo, que incluiría las medidas complementarias que ha adoptado el Comité Europeo de Protección de Datos (CEPD). Estas están relacionadas con el artículo 46 del RGPD:.

1. Quienes exporten datos deben cartografiar todas las transferencias a otros países.
2. Debe verificarse que las herramientas utilizadas para transferir datos sean adecuadas.
3. Quienes exporten datos deben evaluar si existen leyes en terceros países que puedan afectar a la salvaguarda de los datos de las personas de la UE.
4. Deben aplicar medidas para aumentar el nivel de protección si existen leyes que infrinjan las normas del RGPD.
5. Deben tomar las medidas de procedimiento formales para adoptar todas las medidas complementarias necesarias.
6. Deben reevaluar la protección de datos por parte de terceros a intervalos regulares.

Entonces, ¿cuáles serían algunos ejemplos de “medidas complementarias”? Podrían incluir un análisis interno basado en el riesgo para evaluar la eficacia de las CCT. Los encargados del tratamiento en EE. UU. también podrían imponer limitaciones sobre quién puede acceder a los datos de la ciudadanía de la UE. Otros ejemplos incluyen las formas eficaces de cifrado de datos y otro tipo de medidas organizativas de seguridad.

A fin de cuentas, todo se reduce a lo siguiente:

• Los responsables del tratamiento de datos de la UE deben encontrar en EE. UU. a encargados del tratamiento que dispongan de medidas para el cumplimiento del RGPD.
• Los responsables del tratamiento de EE. UU. con clientes (o suscriptores) en la UE deben disponer de herramientas adecuadas de transferencia de datos para proteger la privacidad.
• Los Los encargados del tratamiento que trabajan con empresas de la UE deben asumir la responsabilidad del cumplimiento del RGPD, que incluye salvaguardar las transferencias de datos desde Europa.

En conclusión, ninguna empresa debería contar con un nuevo marco jurídico basado en la autocertificación, y nadie debería esperar tampoco que la ADPPA resuelva todos sus problemas de privacidad de los datos.

Esta empresa se toma el cumplimiento del RGPD muy en serio. Nuestra marca hermana, Sinch Mailjet, fue la primera empresa del mundo en conseguir la certificación AFNOR para el RGPD.

Sinch Mailgun tiene su sede en EE. UU., pero disponemos de centros de datos ubicados en la Unión Europea, lo que nos ofrece una buena ventaja.

Por ejemplo, una empresa que solo tenga centros de datos en Estados Unidos se vería obligada a cumplir las peticiones de la inteligencia o las fuerzas del orden de EE. UU. para acceder a los datos de personas de la UE y podría no poder denegar ese acceso. Tendrían que dar acceso porque así lo marca la ley y no tendrían ningún motivo legal para defenderse de no hacerlo. Pero es posible que esos proveedores no quieran que te preocupes por eso. Así que intentarán calmar tus preocupaciones diciendo que la ADPPA y el Privacy Shield 2.0 lo arreglarán todo. (Lo sentimos. Eso es incorrecto. Pero ¡gracias por participar!)

Sin embargo, como Mailgun cuenta con centros de datos en la UE, podemos proteger esa información de cualquier acceso no deseado que infrinja el RGPD. De hecho, en Mailgun podemos ofrecer a nuestros clientes planes en los que los datos se alojan de forma exclusiva en la UE (o en EE. UU., si lo prefieren).

Además, seguimos el principio de minimización de datos, en el que el acceso a los datos de los clientes se concede solo a roles limitados y en función de sus necesidades.

Para demostrar nuestro compromiso con el cumplimiento del RGPD, Mailgun ha obtenido certificaciones de terceros (ISO 27701) y se somete a auditorías SOC 2 Tipo II anualmente. Ambas incluyen controles específicos del RGPD como parte de la evaluación. Puedes obtener más información sobre estas medidas en el portal de seguridad de Mailgun.

En Mailgun, no esperamos a que haya normativas o marcos. Nos esforzamos por ir un paso por delante en materia de protección de datos. Nuestra postura es anticiparnos a los cambios en la protección y normativas de la privacidad de los datos en lugar de reaccionar ante ellos.

Si alguna vez tienes preguntas sobre seguridad y cumplimiento, siempre estamos a tu disposición para responder. Y, como responsable de Privacidad de los Datos (DPO) de Mailgun, es muy posible que sea yo quien te conteste.