ANEXO I

7 de julio de 2016

Estimada Comisaria Jourová:

En nombre de los Estados Unidos, me complace adjuntarle un paquete de material informativo relativo al Escudo de la privacidad UE-EE. UU., fruto de dos años de fructíferos debates entre nuestros equipos. Este paquete, junto con otros materiales de los que dispone la Comisión procedentes de fuentes públicas, ofrece una base muy sólida para un nueva constatación de adecuación de la Comisión Europea (1).

Ambos deberíamos estar orgullosos de las mejoras realizadas al marco. El Escudo de la privacidad se basa en principios que cuentan con un sólido apoyo consensuado en ambos lados del Atlántico, y hemos consolidado su funcionamiento. Gracias a nuestro trabajo conjunto, disponemos de una oportunidad única para mejorar la protección de la privacidad en todo el mundo.

El paquete del Escudo de la privacidad incluye los principios del Escudo de la privacidad, además de una carta, adjunta como anexo 1, de la Administración de Comercio Internacional (ITA) del Departamento de Comercio, que administra el programa, en la que se describen los compromisos adquiridos por nuestro Departamento para garantizar el funcionamiento eficaz del Escudo de la privacidad. El paquete incluye también el anexo 2, que contiene otros compromisos del Departamento de Comercio relacionados con el nuevo modelo de arbitraje disponible con arreglo al Escudo de la privacidad.

He dado órdenes a mi personal para que dediquen todos los recursos necesarios para la rápida y plena implantación del marco del Escudo de la privacidad y para garantizar el puntual cumplimiento de los compromisos estipulados en el anexo 1 y en el anexo 2.

El paquete del Escudo de la privacidad incluye también otros documentos procedentes de otros organismos estadounidenses, entre ellos:

Puede estar segura de que los Estados Unidos asumen estos compromisos con la máxima seriedad.

En el plazo de los 30 días siguientes a la aprobación final de la decisión sobre el carácter adecuado de la protección, se entregará el paquete del Escudo de la privacidad al Federal Register (Registro Federal) para su publicación.

Esperamos colaborar con usted cuando se produzca la implantación del Escudo de la privacidad y cuando nos embarquemos juntos en la siguiente fase de este proceso.

(1)  DO L 281 de 23.11.1995, p. 31.

ANEXO II

PRINCIPIOS DEL MARCO DEL ESCUDO DE LA PRIVACIDAD UE-EE. UU. PUBLICADOS POR EL DEPARTAMENTO DE COMERCIO ESTADOUNIDENSE

I.   SÍNTESIS

II.   PRINCIPIOS

1.   Notificación

2.   Opción

3.   Responsabilidad por una transferencia ulterior

4.   Seguridad

5.   Integridad de los datos y limitación de la finalidad

6.   Acceso

7.   Recurso, aplicación y responsabilidad

III.   PRINCIPIOS COMPLEMENTARIOS

1.   Datos sensibles

2.   Excepciones por razón del periodismo

3.   Responsabilidad subsidiaria

4.   Diligencia debida y realización de auditorías

5.   Función de las autoridades responsables de la protección de datos

6.   Autocertificación

7.   Verificación

8.   Acceso

a.   El principio de acceso en la práctica

b.   Carga de trabajo o gasto ocasionado por el acceso

c.   Información comercial confidencial

d.   Organización de las bases de datos

e.   Cuándo puede restringirse el acceso

f.   Derecho a obtener confirmación y a cobrar una cuota para cubrir los gastos inherentes a la concesión del acceso

g.   Peticiones de acceso repetitivas o abusivas

Una entidad podrá establecer límites razonables en cuanto al número de veces que responderá en un período determinado a las peticiones de acceso de cada persona. Al definir estos límites, la entidad deberá analizar factores tales como la frecuencia con que se actualiza la información, los fines para los que se usan los datos y la naturaleza de la información.

h.   Peticiones de acceso fraudulentas

Las entidades no estarán obligadas a proporcionar acceso a menos que reciban información suficiente para confirmar la identidad de la persona que realiza la petición.

i.   Plazo para las respuestas

Las entidades deberían responder a las solicitudes de acceso en un plazo razonable de tiempo, de una manera razonable y de una forma que sea fácilmente comprensible para la persona. La entidad que proporcione información a los interesados a intervalos regulares podrá satisfacer la solicitud de acceso de una persona con su divulgación regular, siempre que ello no suponga un retraso excesivo.

9.   Datos de recursos humanos

a.   Cobertura del Escudo de la privacidad

b.   Aplicación de los principios de notificación y opción

c.   Aplicación del principio de acceso

El principio complementario sobre el acceso proporciona orientación sobre los motivos que pueden justificar la denegación o limitación del acceso previa petición en el ámbito de los recursos humanos. Por supuesto, los empresarios de la Unión Europea deben cumplir las normativas locales y garantizar que los trabajadores europeos tengan acceso a la información de la forma exigida por ley en sus países, independientemente del lugar donde se traten y almacenen los datos. El Escudo de la privacidad exige a las entidades que tratan estos datos en los Estados Unidos que cooperen a la hora de facilitar el acceso directamente o a través del empresario de la UE.

d.   Ejecución

e.   Aplicación del principio de responsabilidad de la transferencia ulterior

Para las necesidades operativas ocasionales relacionadas con el empleo de las entidades adheridas al Escudo de la privacidad con relación a los datos personales transferidos en virtud del Escudo de la privacidad, como la reserva de un vuelo, de una habitación de hotel o la cobertura de un seguro, pueden realizarse transferencias de datos personales de un pequeño número de empleados a los responsables del tratamiento de los datos sin necesidad de aplicar el principio de acceso ni suscribir un contrato con el responsable externo de datos, a diferencia de lo que exige el principio de responsabilidad de la transferencia ulterior, siempre y cuando la entidad adherida al Escudo de la privacidad haya observado los principios de notificación y opción.

10.   Contratos obligatorios para transferencias ulteriores

a.   Contratos de tratamiento de datos

b.   Transferencias dentro de un grupo controlado de empresas o entidades

Cuando se transfiere información personal entre dos responsables del tratamiento pertenecientes a un grupo controlado de empresas o entidades, no siempre se exige la suscripción de un contrato en virtud del principio de responsabilidad de la transferencia ulterior. Los responsables del tratamiento de datos pertenecientes a un grupo controlado de empresas o entidades podrán basar estas transferencias en otros instrumentos, como las Normas Corporativas Vinculantes de la UE u otros instrumentos intragrupo (por ejemplo, programas de cumplimiento y control), lo que garantiza la continuidad de la protección de la información personal de conformidad con los principios. En el caso de estas transferencias, la entidad adherida al Escudo de la privacidad seguirá siendo responsable del cumplimiento de los principios.

c.   Transferencias entre responsables del tratamiento

Para las transferencias entre responsables del tratamiento, no es necesario que el responsable del tratamiento destinatario sea una entidad adherida al Escudo de la privacidad o tenga un mecanismo de recurso independiente. La entidad adherida al Escudo de la privacidad deberá suscribir un contrato con el responsable del tratamiento destinatario externo que ofrezca el mismo nivel de protección que el Escudo de la privacidad, sin incluir el requisito de que el responsable del tratamiento externo sea una entidad adherida al Escudo de la privacidad o tenga un mecanismo de recurso independiente, siempre y cuando ofrezca un mecanismo equivalente.

11.   Resolución de conflictos y aplicación

a.   El principio de recurso, aplicación y responsabilidad establece los requisitos para la ejecución del Escudo de la privacidad. En el principio complementario sobre la verificación se establece cómo satisfacer los requisitos del punto (a)(ii) del principio. Este principio complementario aborda los puntos (a)(i) y (a)(iii), que exigen mecanismos de recurso independientes. Estos mecanismos pueden adoptar diferentes formas, pero deben cumplir los requisitos del principio de recurso, aplicación y responsabilidad. Las entidades cumplen los requisitos de la siguiente manera: i) conformidad con programas de protección de la vida privada concebidos por el sector privado que incorporen los principios del Escudo de la privacidad en sus normas y cuenten con mecanismos de aplicación eficaces, similares a los descritos en el principio de recurso, aplicación y responsabilidad; ii) conformidad con lo dispuesto por las autoridades de control establecidas legal o reglamentariamente que prevean la tramitación de reclamaciones individuales y la resolución de litigios; o iii) compromiso de colaboración con las autoridades de protección de datos establecidas en la Unión Europea o sus representantes autorizados.

b.   Esta lista se ofrece a título ilustrativo y no es de ninguna manera taxativa. El sector privado podrá designar otros mecanismos para garantizar la aplicación, siempre que cumplan los requisitos del principio de recurso, aplicación y responsabilidad y los principios complementarios. Obsérvese que los requisitos del principio de recurso, aplicación y responsabilidad se añaden al requisito de que las iniciativas autorreguladoras deberán ser vinculantes con arreglo al artículo 5 de la Federal Trade Commission Act (Ley de la Comisión Federal de Comercio), que prohíbe actos desleales y engañosos, u otra ley o normativa que prohíba este tipo de actos.

c.   Con el objeto de garantizar el cumplimiento de los compromisos del Escudo de la privacidad y para apoyar la gestión del programa, las entidades, así como sus mecanismos de recurso independientes, deberán proporcionar información sobre el Escudo de la privacidad cuando así lo solicite el Departamento. Asimismo, las entidades deben responder rápidamente a las reclamaciones relacionadas con su cumplimiento de los principios remitidas a través del Departamento por las APD. La respuesta deberá contemplar si la reclamación está fundamentada, y en caso afirmativo, cómo subsanará el problema la entidad. El Departamento protegerá la confidencialidad de la información que reciba de conformidad con la legislación estadounidense.

d.   Mecanismos de recurso

e.   Vías de recurso y sanciones

Todo recurso presentado ante el organismo de resolución de litigios deberá dar lugar a la corrección o anulación, en la medida de lo posible, de los efectos del incumplimiento de los principios por parte de la entidad; al respeto de los mismos en tratamientos que la entidad haga en el futuro y, cuando proceda, a la interrupción del tratamiento de los datos personales del particular que haya presentado la reclamación. Las sanciones tienen que ser lo suficientemente rigurosas para que la entidad cumpla los principios. Una gama de sanciones con distintos grados de severidad permitirá a los organismos de resolución de litigios responder debidamente a los diferentes niveles de incumplimiento. Las sanciones deberán incluir la publicidad de los casos de incumplimiento y la obligación de suprimir datos en determinadas circunstancias (6). Otras sanciones podrían incluir la suspensión y la eliminación del sello, la indemnización a las personas por las pérdidas sufridas como consecuencia del incumplimiento y la concesión de medidas cautelares. Los organismos de resolución de conflictos del sector privado y los órganos autorreguladores deberán notificar los incumplimientos por parte de las entidades adheridas al Escudo de la privacidad de sus decisiones al organismo público competente o a los tribunales, según el caso, y notificarlo al Departamento.

f.   Acción de la FTC

La FTC se ha comprometido a revisar con carácter prioritario las remisiones que denuncien el incumplimiento de los principios recibidas de: i) entidades de autorregulación en materia de protección de la privacidad y de otros organismos independientes de resolución de conflictos; ii) los Estados miembros de la UE; y iii) el Departamento, para determinar si se ha infringido el artículo 5 de la Ley de la FTC, que prohíbe actos o prácticas desleales o fraudulentos en el comercio. En caso de que la FTC concluya que hay motivos para creer que se ha infringido el artículo 5, podrá resolver la cuestión recurriendo a una suspensión administrativa y a una orden de cese que prohíba las prácticas denunciadas, o bien presentar una denuncia en un tribunal federal de distrito que, en caso de éxito, podría desembocar en una orden del tribunal federal en el mismo sentido. Estas infracciones incluyen las falsas alegaciones de adhesión a los principios del Escudo de la privacidad o de participación en el Escudo de la privacidad por parte de entidades que ya no figuren en la lista del Escudo de la privacidad o que nunca se hayan autocertificado ante el Departamento. La FTC puede requerir sanciones civiles si se quebrantan las decisiones administrativas de cese, así como ejercer acciones civiles o penales en los casos de incumplimiento de las resoluciones de los tribunal federales. La FTC notificará al Departamento la adopción de estas acciones. El Departamento insta a otros organismos públicos a que le notifiquen el resultado de todos los asuntos análogos o de otras sentencias que establezcan la adhesión a los principios del Escudo de la privacidad.

g.   Incumplimiento sistemático

12.   Opción — Momento del ejercicio del derecho de exclusión

13.   Información sobre viajes

14.   Productos médicos y farmacéuticos

a.   Aplicación de la legislación del Estado miembro de la UE o de los principios del Escudo de la privacidad

Las leyes de los Estados miembros se aplican a la recogida de los datos personales y a cualquier tratamiento previo a su transferencia a los Estados Unidos. Los principios del Escudo de la privacidad se aplicarán a los datos una vez que se hayan transferido a los Estados Unidos. Los datos personales utilizados con fines de investigación farmacéutica u otros deben ser convertidos en datos anónimos cuando resulte adecuado.

b.   Futuras investigaciones científicas

c.   Retirada de un ensayo clínico

Los participantes pueden decidir voluntariamente o a instancias de terceros retirarse de un ensayo clínico en cualquier momento. No obstante, los datos recogidos con anterioridad a la retirada podrán seguir siendo tratados con los demás datos del ensayo clínico si este extremo quedó claro en la notificación a los participantes en el momento en que dieron su acuerdo para participar.

d.   Transferencias con fines de regulación y control

Las empresas de productos farmacéuticos y médicos tienen autorización para facilitar datos personales obtenidos en ensayos clínicos realizados en la Unión Europea a las autoridades de regulación de los Estados Unidos con fines de regulación y control. Se autorizan transferencias similares a terceros que no sean las autoridades de regulación, como filiales de las empresas u otros investigadores, con arreglo a los principios de notificación y opción.

e.   Experimentos a ciegas

f.   Control de la eficacia y la seguridad de los productos

Las empresas de productos médicos o farmacéuticos no están obligadas a aplicar los principios del Escudo de la privacidad en lo relativo a la notificación, opción, transferencia ulterior y acceso, en las actividades que realizan para garantizar la seguridad de los productos y controlar su eficacia, entre ellas la información sobre circunstancias adversas y el seguimiento de los pacientes o personas que utilicen determinadas medicinas o dispositivos médicos, en la medida en que la adhesión a los principios interfiera en el cumplimiento de las exigencias legales. Esto se aplica tanto a los informes de los profesionales sanitarios dirigidos a las empresas de productos médicos y farmacéuticos, como a los de estos a organismos de la administración como la Food and Drug Administration.

g.   Datos codificados

El investigador principal codifica siempre los datos de la investigación, en su origen, con una clave única, para que no se conozca la identidad de los interesados. Las empresas farmacéuticas que patrocinan la investigación no reciben la clave. El código original solo lo conoce el investigador, de modo que solo él puede identificar al sujeto de la investigación en determinadas circunstancias (por ejemplo, cuando es necesario un seguimiento médico). Una transferencia de datos codificados de esta forma desde la Unión Europea a los Estados Unidos no constituiría una transferencia de datos personales sujeta a los principios del Escudo de la privacidad.

15.   Información de registros públicos e información accesible al público

16.   Solicitudes de acceso de las autoridades públicas

(1)  Dado que la Decisión de la Comisión sobre la adecuación de la protección ofrecida por el Escudo de la privacidad UE-EE. UU. es aplicable a Islandia, Liechtenstein y Noruega, el paquete del Escudo de la privacidad cubrirá tanto a la Unión Europea como a estos tres países. En consecuencia, deberá interpretarse que las referencias a la UE y a sus Estados miembros incluyen a Islandia, Liechtenstein y Noruega.

(2)  Dependiendo de las circunstancias, los ejemplos de finalidades de tratamiento compatibles pueden incluir aquellas que sirvan razonablemente a las relaciones con los clientes, el cumplimiento y los aspectos jurídicos, la auditoría, la seguridad y la prevención del fraude, la conservación o defensa los derechos legales de la entidad, así como otras finalidades compatibles con las expectativas razonables de una persona en el contexto de la recopilación.

(3)  En este contexto, si habida cuenta del medio de identificación que es razonablemente probable que se utilice (teniendo en cuenta, entre otras cosas, los costes y el tiempo necesarios para identificar a la persona, así como la tecnología disponible en el momento del tratamiento) y de la forma en que se conserven los datos, un individuo puede razonablemente ser identificado por la entidad, o por un tercero que tuviera acceso a los datos, entonces el individuo es «identificable».

(4)  La entidad deberá responder a las solicitudes de los particulares relacionadas con las finalidades del tratamiento, las categorías de los datos personales en cuestión y los destinatarios o categorías de destinatarios a quienes se revelan los datos personales.

(5)  Sección I.5 de los principios.

(6)  Los organismos de resolución de litigios apreciarán las circunstancias en que deben aplicarse estas sanciones. La sensibilidad de los datos en cuestión es un factor a tener en cuenta a la hora de decidir si debe exigirse la supresión de los datos, al igual que también debe tenerse en cuenta si una entidad ha recogido, utilizado o divulgado información incumpliendo manifiestamente los principios del Escudo de la privacidad.

ANEXO III

7 de julio de 2016

Estimada Comisaria Jourová:

Me complace haber alcanzado un acuerdo sobre el Escudo de la privacidad UE-EE. UU. que incluirá el mecanismo del Defensor del Pueblo a través del cual las autoridades de la UE podrán presentar peticiones en nombre de los ciudadanos de la UE relacionadas con las prácticas de la inteligencia de señales.

El 17 de enero de 2014, el presidente Barack Obama anunció las importantes reformas de inteligencia incluidas en la Presidential Policy Directive 28 (en lo sucesivo, «PPD-28»). En virtud de la PPD-28, nombré a la Subsecretaria de Estado Catherine A. Novelli, que a su vez es Senior Coordinator for International Information Technology Diplomacy (coordinadora superior de la diplomacia internacional en materia de tecnología de la información), como punto de contacto para los gobiernos extranjeros que deseen plantear sus dudas con relación a las actividades de la inteligencia de señales estadounidense. En la definición de esta función, he creado la figura del Defensor del Pueblo en el ámbito del Escudo de la privacidad de acuerdo con los términos establecidos en el anexo A, que se han actualizado desde mi carta de 22 de febrero de 2016. He dado órdenes a la Subsecretaria Novelli para que realice esta función. La Subsecretaria Novelli es miembro independiente de los servicios de inteligencia estadounidenses y está bajo mis órdenes directas.

He dado instrucciones a mi personal para que dedique los recursos necesarios a la implantación de esta nueva figura del Defensor del Pueblo y confío en que será un medio eficaz para abordar las preocupaciones de los particulares de la UE.

ANEXO IV

7 de julio de 2016

Por CORREO ELECTRÓNICO

Estimada Comisaria Jourová:

La Comisión Federal de Comercio («FTC») de los Estados Unidos aprecia la oportunidad para describir su aplicación del nuevo marco del Escudo de la privacidad UE- EE. UU. (el «marco del Escudo de la privacidad» o «marco»). Creemos que el marco desempeñará un papel fundamental a la hora de facilitar la protección de la privacidad de las operaciones comerciales en un mundo cada vez más interconectado. Permitirá a las empresas realizar importantes operaciones en el ámbito de la economía mundial, y al mismo tiempo garantizará la protección de la privacidad de los consumidores de la UE. La FTC apuesta desde hace tiempo por la protección de la privacidad entre fronteras y tiene como objetivo prioritario la aplicación del nuevo marco. A continuación explicamos el historial de estricta aplicación de la protección de la privacidad de la FTC en general, y en particular la aplicación del programa del «puerto seguro», así como la estrategia de la FTC para la aplicación del nuevo marco.

La FTC expresó públicamente por primera vez su compromiso de aplicar el programa del puerto seguro en 2000. En aquel momento, el entonces presidente de la FTC, Robert Pitofsky, envió una carta a la Comisión Europea en la que destacaba el compromiso de la FTC de aplicar firmemente los principios de privacidad del puerto seguro. La FTC ha continuado manteniendo este compromiso a través de casi 40 medidas de ejecución, numerosas investigaciones adicionales y la colaboración con las autoridades europeas de protección de datos personales («APD de la UE») en cuestiones de interés mutuo.

Después de que en noviembre de 2013 la Comisión Europea expresara su preocupación por la gestión y la aplicación del programa del puerto seguro, la FTC y el Departamento de Comercio estadounidense iniciaron una ronda de consultas con los funcionarios de la Comisión Europea para buscar la manera de reforzarlo. El 6 de octubre de 2015, en pleno proceso de consultas, el Tribunal Europeo de Justicia dictó una sentencia en el caso Schrems que, entre otras cosas, invalidó la decisión de la Comisión Europea sobre el carácter adecuado de la protección del programa del puerto seguro. Tras esta sentencia, continuamos trabajando estrechamente con el Departamento de Comercio y la Comisión Europea en un intento de reforzar las protecciones de la privacidad de los particulares de la UE. El marco del Escudo de la privacidad es fruto de estas consultas en curso. Al igual que hizo con el programa del puerto seguro, la FTC se compromete por la presente a aplicar estrictamente el nuevo marco. Esta carta deja constancia de este compromiso.

En concreto, confirmamos nuestro compromiso en cuatro áreas clave: 1) priorización de las remisiones e investigaciones; 2) tratamiento de las declaraciones falsas o fraudulentas de adhesión al Escudo de la privacidad; 3) supervisión continua de las órdenes; y 4) mayor compromiso y colaboración en lo que respecta a la ejecución, con las APD de la UE. A continuación ofrecemos información detallada sobre cada uno de estos compromisos y los antecedentes pertinentes sobre el papel de la FTC en la protección de la privacidad de los consumidores y en la aplicación del puerto seguro, así como el contexto general sobre la privacidad en los Estados Unidos (1).

I.   ANTECEDENTES

A.   Protección de la privacidad y labor política de la FTC

La FTC posee amplias competencias en materia de ejecución civil para promover la protección del consumidor y la competencia en el ámbito comercial. Como parte integrante de su mandato de protección del consumidor, la FTC aplica una amplia gama de leyes para proteger la privacidad y la seguridad de la información del consumidor. La ley fundamental aplicada por la FTC, la Ley de la FTC, prohíbe actos o prácticas «desleales» y «engañosos» en el comercio o que afecten al comercio (2). Una declaración, omisión o práctica es engañosa cuando es importante y es susceptible de inducir a error a los consumidores que actúan razonablemente de acuerdo con las circunstancias (3). Un acto o práctica es desleal cuando provoca o es susceptible de provocar daños sustanciales que no puedan ser razonablemente evitados por los consumidores o compensados con unos beneficios equivalentes para los consumidores o la competencia (4). La FTC también aplica leyes específicas para la protección de la información relacionada con la salud, los créditos y otras cuestiones financieras, así como de la información sobre menores en Internet, y ha dictado normativas que aplican dichas leyes.

La competencia de la FTC en virtud de la Ley de la FTC se aplica a cuestiones «propias del comercio o que afecten al comercio». La FTC no tiene competencia sobre la aplicación del Derecho penal o sobre cuestiones de seguridad nacional. Tampoco puede involucrarse en la mayoría de las restantes acciones gubernamentales. Además, existen determinadas excepciones a la competencia de la FTC sobre actividades comerciales, en particular relacionadas con los bancos, las compañías aéreas, el sector de seguros y las actividades de los proveedores de servicios de telecomunicaciones. La FTC tampoco tiene competencia sobre la mayoría de las organizaciones sin ánimo de lucro, pero sí la tiene sobre las organizaciones benéficas u otras organizaciones sin ánimo de lucro que en realidad operan con fines de lucro. La FTC también tiene competencia sobre las organizaciones sin ánimo de lucro que operan en beneficio de sus miembros con ánimo de lucro, incluso proporcionando beneficios económicos sustanciales a dichos miembros (5). En algunos casos, la competencia de la FTC coincide con la de otros organismos con funciones coercitivas.

Hemos desarrollado unas estrecha relación de trabajo con las autoridades federales y estatales y colaboramos estrechamente con ellos para coordinar las investigaciones o remitirlas, si procede.

La ejecución es el eje central de la estrategia de la FTC para la protección de la privacidad. Hasta la fecha, la FTC ha interpuesto 500 acciones dirigidas a la protección de la privacidad y la seguridad de la información del consumidor, que cubren tanto la información fuera de línea como en línea e incluyen medidas coercitivas contra grandes y pequeñas empresas que, según la FTC, han incumplido su obligación de suprimir correctamente los datos confidenciales de los consumidores, no han garantizado la seguridad de la información personal de los consumidores, han realizado un seguimiento engañoso en línea de los consumidores, han enviado correo basura a los consumidores, han instalado programas espía y maliciosos en los ordenadores de los consumidores, han violado la norma de «no llamar» y otras normas de telemarketing, y han recopilado e intercambiado incorrectamente información de los consumidores en dispositivos móviles. Las medidas coercitivas de la FTC, tanto en el mundo físico como digital, transmiten un mensaje importante a las empresas sobre la necesidad de proteger la privacidad del consumidor.

La FTC ha llevado a cabo también numerosas iniciativas políticas destinadas a favorecer la privacidad del consumidor y que orientan su labor de aplicación de las normas. La FTC ha organizado talleres y ha elaborado informes recomendando las mejores prácticas destinadas a favorecer la privacidad en el ecosistema móvil; aumentar la transparencia del sector de intermediación en el ámbito de los datos; maximizar los beneficios de los macrodatos y, a la vez, atenuar sus riesgos, sobre todo para los consumidores con ingresos bajos y desatendidos; y destacar las implicaciones para la privacidad y la seguridad del reconocimiento facial y el Internet de las Cosas, entre otros ámbitos.

La FTC interviene también en la educación al consumidor y a las empresas para aumentar el impacto de sus iniciativas de aplicación y de desarrollo de políticas. La FTC ha utilizado una amplia variedad de herramientas, publicaciones, recursos en línea, talleres de trabajo y redes sociales, para ofrecer materiales educativos sobre una amplia gama de temas, entre ellos aplicaciones móviles, privacidad infantil y seguridad de los datos. Recientemente, la Comisión lanzó su iniciativa «Start With Security» (Comencemos con la seguridad), que incluye una nueva orientación para las empresas basada en las lecciones aprendidas de los casos de seguridad de datos del organismo, así como una serie de talleres en todo el país. Asimismo, la FTC es desde hace mucho tiempo líder en educación de los consumidores sobre seguridad informática básica. El año pasado, nuestro sitio web OnGuard Online y su versión en español, Alerta en Línea, recibieron más de 5 millones de visitas.

B.   Medidas de protección jurídica en los Estados Unidos que benefician a los consumidores de la UE

El marco operará en el contexto más amplio de las medidas adoptadas en los Estados Unidos, que protegen a los consumidores de la UE de diferentes maneras.

La prohibición de la Ley de la FTC sobre actos o prácticas desleales o engañosas no se limita a la protección de los consumidores estadounidenses frente a las empresas estadounidenses, ya que incluye aquellas prácticas que: 1) causen o puedan causar daños razonablemente previsibles en los Estados Unidos, o 2) impliquen un comportamiento concreto en los Estados Unidos. Además, la FTC puede utilizar todos los recursos, incluida la restitución, disponibles para la protección de los consumidores nacionales, para la protección de los consumidores extranjeros.

Está claro que la labor de ejecución de la FTC beneficia enormemente tanto a los consumidores estadounidenses como a los de la UE. Por ejemplo, nuestras acciones dirigidas a aplicar la sección 5 de la Ley de la FTC han protegido de igual manera la privacidad de los consumidores estadounidenses y la de los extranjeros. En un caso contra un intermediador de información, Accusearch, la FTC alegó que la venta por parte de la empresa de registros telefónicos confidenciales a terceros sin el conocimiento o el consentimiento de los consumidores era una práctica desleal que infringía la sección 5 de la Ley de la FTCA. Accusearch vendió información relacionada con consumidores estadounidenses y extranjeros (6). El tribunal dictó medidas de reparación contra Accusearch prohibiendo, entre otras cosas, la comercialización o venta de la información personal de los consumidores sin el previo consentimiento por escrito, salvo que se hubiera obtenido legalmente de la información públicamente disponible, y exigió el pago de casi 200 000 USD (7).

Otro ejemplo es la transacción celebrada por la FTC con TRUSTe. Garantiza que los consumidores, incluidos los de la Unión Europea, puedan confiar en las declaraciones de una organización autorreguladora global sobre su revisión y certificación de servicios en línea nacionales y extranjeros (8). Cabe señalar que nuestra acción contra TRUSTe también refuerza más profundamente el sistema autorregulador de la privacidad garantizando la responsabilidad de las entidades que desempeñan un papel importante en los regímenes autorreguladores, incluidos los marcos transfronterizos de protección de la privacidad.

La FTC también garantiza el cumplimiento de otras leyes específicas cuyas protecciones se extienden a los consumidores no estadounidenses, tales como la Children's Online Privacy Protection Act («COPPA», Ley de Protección de la Privacidad Infantil en Internet). Entre otras cosas, la COPPA exige que los operadores de servicios en línea y de páginas web dirigidas a menores, o de páginas web dirigidas al público en general, que recopilen a sabiendas información personal de niños menores de 13 años, lo notifiquen a los padres y obtengan un consentimiento parental verificable. Los sitios web y servicios radicados en EE. UU. que estén sujetos a la COPPA y que recopilen información personal de menores extranjeros, deberán ajustarse a la COPPA. Los sitios web y servicios en línea extranjeros también deberán ajustarse a la COPPA si van dirigidos a menores estadounidenses, o si recopilan a sabiendas información personal de menores estadounidenses. Además de las leyes federales estadounidenses cuya ejecución garantiza la FTC, otras leyes federales y estatales relativas a la protección de los consumidores y la privacidad pueden ofrecer beneficios adicionales a los consumidores de la UE.

C.   Aplicación del puerto seguro

Como parte de su programa de aplicación de las normas sobre privacidad y seguridad, la FTC busca también proteger a los consumidores de la UE mediante la interposición de acciones relacionadas con vulneraciones del puerto seguro. La FTC ha interpuesto 39 acciones relacionadas con la aplicación del puerto seguro: 36 en las que se alegaban declaraciones falsas de certificación, y tres casos, contra Google, Facebook y Myspace, que alegaban el incumplimiento de los principios de privacidad del puerto seguro (9). Estos casos demuestran la posibilidad de hacer cumplir los principios de la certificación, y las consecuencias del incumplimiento. Unos autos de avenencia a veinte años exigen a Google, Facebook y Myspace la implantación de programas de privacidad integrales que deberán estar razonablemente diseñados para abordar los riesgos de privacidad relacionados con el desarrollo y la gestión de productos y servicios nuevos y existentes, y para proteger la privacidad y la confidencialidad de la información personal. Los programas integrales de privacidad estipulados en estos autos deberán identificar los riesgos materiales previsibles y disponer de controles para hacerles frente. Las empresas también deberán someterse a evaluaciones independientes continuas de sus programas de privacidad, que deberán comunicarse a la FTC. Los autos también prohíben a estas empresas hacer falsas declaraciones sobre sus prácticas en materia de protección de la privacidad y su participación en programas protección de la privacidad o la seguridad. Esta prohibición se aplica también a los actos y prácticas de las empresas contemplados en el nuevo marco del Escudo de la privacidad. La FTC puede ejecutar estos autos reclamando sanciones civiles. De hecho, en 2012 Google pagó una multa civil récord de 22,5 millones USD a raíz de las alegaciones de que había violado el auto correspondiente. Por consiguiente, estos autos de la FTC contribuyen a proteger a más de mil millones de consumidores de todo el mundo, de los cuales cientos de millones residen en Europa.

Las acciones de la FTC se han centrado también en las declaraciones falsas, fraudulentas o engañosas relacionadas con la participación en el puerto seguro. La FTC se toma estas denuncias en serio. Por ejemplo, en FTC vs. Karmani, la FTC interpuso en 2011 una demanda a un comercializador de Internet en los Estados Unidos acusándole de que él y su empresa engañaban a los consumidores británicos haciéndoles creer que la empresa estaba radicada en el Reino Unido, incluso con el uso de extensiones web «.uk» y con referencias a la moneda británica y al sistema postal británico (10). No obstante, cuando los consumidores recibían los productos descubrían unos derechos de importación imprevistos, garantías que no eran válidas en el Reino Unido y gastos relacionados con la obtención de reembolsos. La FTC también acusó a los demandados de engañar a los consumidores sobre su participación en el programa del puerto seguro. Cabe señalar que todas las víctimas residían en el Reino Unido.

Muchos otros de nuestros casos de aplicación del puerto seguro implicaban a organizaciones que se adhirieron al programa del puerto seguro pero que no renovaron su certificación anual aunque continuaron presentándose a sí mismas como miembros actuales. Tal como declaramos a continuación, la FTC también se compromete a abordar las declaraciones falsas de participación en el marco del Escudo de la privacidad. Esta actividad estratégica de aplicación complementará a las cada vez más numerosas acciones del Departamento de Comercio destinadas a verificar el cumplimiento de los requisitos del programa para la certificación y la recertificación, su supervisión del cumplimiento efectivo, inclusive mediante el uso de cuestionarios entre los participantes en el marco, y sus crecientes esfuerzos para identificar las declaraciones falsas de pertenencia al marco y el uso indebido de la marca de certificación del marco (11).

II.   PRIORIZACIÓN DE LOS RECLAMACIONES REMITIDAS E INVESTIGACIONES

Tal como hicimos con el programa del puerto seguro, la FTC se compromete a dar prioridad a las reclamaciones relacionadas con el Escudo de la privacidad remitidas por los Estados miembros de la UE. También daremos prioridad a las reclamaciones remitidas relativas al incumplimiento de las directrices autorreguladoras relacionadas con el marco del Escudo de la privacidad de las organizaciones autorreguladoras en materia de protección de la privacidad y de otros órganos independientes de resolución de litigios.

Para facilitar la presentación de reclamaciones, al amparo del marco, por los Estados miembros de la UE, la FTC está creando un procedimiento estandarizado de remisiones y proporcionando información a los Estados miembros de la UE sobre el tipo de información más útil para la FTC en su investigación de una remisión. Como parte de esta iniciativa, la FTC designará un punto de contacto para las remisiones de los Estados miembro de la UE. Resulta muy útil que la autoridad remitente realice una investigación preliminar de la presunta infracción y colabore con la FTC en la investigación.

Tras la recepción de una remisión procedente de un Estado miembro de la UE o de una organización autorreguladora, la FTC puede adoptar una serie de medidas para abordar las cuestiones planteadas. Por ejemplo, podemos revisar las políticas de privacidad de la empresa, obtener más información directamente de la empresa o de terceros, realizar un seguimiento con la entidad remitente, evaluar si existe un patrón de infracciones o un número significativo de consumidores afectados, determinar si la remisión implica cuestiones que recaen en el ámbito de competencia del Departamento de Comercio, evaluar la utilidad de la educación de consumidores y empresas, y si procede, iniciar un proceso para exigir el cumplimiento.

La FTC también se compromete a intercambiar información sobre las remisiones con las autoridades competentes, incluido el estado de las remisiones, de conformidad con las leyes y restricciones de confidencialidad. En la medida en que sea viable por el número y tipo de remisiones recibidas, la información proporcionada incluirá una evaluación de las cuestiones remitidas, en particular una descripción de las cuestiones importantes planteadas y cualquier medida adoptada para abordar las violaciones de la ley en el ámbito de competencia de la FTC. La FTC ofrecerá también sus comentarios a la autoridad remitente sobre los tipos de remisiones recibidas con el objeto de aumentar la efectividad de las iniciativas para hacer frente a las conductas ilícitas. En caso de que una autoridad remitente necesite información sobre el estado de una determinada remisión a efectos de aplicar su propio procedimiento de ejecución, la FTC responderá, teniendo en cuenta el número de remisiones objeto de análisis y de conformidad con los requisitos de confidencialidad y otros requisitos legales.

La FTC también colaborará estrechamente con las APD de la UE para ofrecerles ayuda en la ejecución. En los casos en que proceda, esto podría incluir el intercambio de información y ayuda en la investigación en virtud de la SAFE WEB Act (Ley estadounidense de seguridad en Internet), que autoriza a la FTC a ayudar a los organismos de seguridad extranjeros cuando dichos organismos apliquen leyes que prohíban prácticas sustancialmente parecidas a las prohibidas por las leyes que aplica la FTC (12). Como parte de esta ayuda, la FTC podrá compartir la información obtenida relacionada con una investigación de la FTC, dictar medidas obligatorias en nombre de la APD de la UE que lleve a cabo su propia investigación y buscar testimonios orales de los testigos o demandados con relación a los procedimientos de ejecución de la APD, de conformidad con los requisitos de la SAFE WEB Act. La FTC utiliza generalmente esta competencia para ayudar a otras autoridades de todo el mundo en los casos de protección de la privacidad y del consumidor (13).

Además de dar prioridad a las remisiones relacionadas con el Escudo de la privacidad procedentes de los Estados miembros de la UE y de las organizaciones autorreguladoras (14), la FTC se compromete a investigar por iniciativa propia la posible violación del marco cuando lo considere procedente, utilizando varias herramientas.

Durante más de una década, la FTC ha mantenido un programa consolidado de investigación de las cuestiones de privacidad y seguridad relacionadas con organizaciones comerciales. Como parte de estas investigaciones, la FTC examinó rutinariamente si la entidad en cuestión hacía declaraciones relacionadas con el puerto seguro. En caso de que hiciera estas declaraciones y la investigación revelara presuntas violaciones de los principios de privacidad del puerto seguro, la FTC incluía alegaciones de infracción del puerto seguro en sus acciones de ejecución. Continuaremos aplicando esta estrategia proactiva al amparo del nuevo marco. Y lo que es más importante, la FTC lleva a cabo muchas investigaciones que en último lugar desembocan en medidas de ejecución públicas. Muchas investigaciones de la FTC se cierran porque el personal no identifica una presunta violación de la ley. Dado que las investigaciones de la FTC no son públicas sino confidenciales, generalmente no se hace público el cierre de una investigación.

Las casi 40 acciones de ejecución iniciadas por la FTC con relación al programa del puerto seguro evidencian el compromiso del organismo en la aplicación proactiva de los programas transfronterizos de protección de la privacidad. La FTC buscará posibles violaciones del marco como parte de las investigaciones de privacidad y seguridad que acometemos con regularidad.

III.   TRATAMIENTO DE LAS DECLARACIONES FALSAS O ENGAÑOSAS DE ADHESIÓN AL ESCUDO DE LA PRIVACIDAD

Tal como se ha mencionado antes, la FTC adoptará medidas contra las entidades que engañen sobre su participación en el marco. La FTC dará prioridad a la consideración de las remisiones por parte del Departamento de Comercio relacionadas con las organizaciones que identifique que declaran engañosamente su actual pertenencia al marco o que utilicen una marca de certificación del marco sin autorización.

Asimismo, cabe señalar que si la política de privacidad de una organización promete el cumplimiento de los principios del Escudo de la privacidad, el hecho de no registrarse o no mantener su registro en el Departamento de Comercio no eximirá a la organización de la obligación, controlada por la FTC, de cumplir estos compromisos en virtud del marco.

IV.   SUPERVISIÓN DE LAS ÓRDENES

La FTC también afirma su compromiso de supervisar las órdenes de ejecución para garantizar el cumplimiento del marco del Escudo de la privacidad.

Exigiremos el cumplimiento del marco a través de diversas medidas cautelares en las futuras órdenes de la FTC relativas a de observancia del marco. Esto incluye la prohibición de realizar declaraciones falsas con relación al marco y a otros programas de privacidad cuando estas declaraciones constituyan la base de la acción subyacente de la FTC.

Los casos de la FTC que exigen el cumplimiento del programa del puerto seguro son ilustrativos. En los 36 casos de declaraciones falsas o engañosas relacionadas con la certificación del puerto seguro, todas las órdenes prohíben al demandado declarar falsamente su participación en el puerto seguro u otro programa de privacidad o seguridad, y exigen a la empresa que presente los informes de cumplimiento a la FTC. En los casos relacionados con las violaciones de los principios de privacidad del puerto seguro, las empresas están obligadas a implantar programas integrales de privacidad y obtener evaluaciones externas independientes de estos programas cada dos años durante veinte años, que deberán presentar a la FTC.

Las violaciones de las órdenes administrativas de la FTC pueden comportar sanciones civiles de hasta 16 000 USD por infracción, o de 16 000 USD por día de infracción continuada (15), que en el caso de prácticas que afecten a muchos consumidores, pueden ascender a millones de dólares. Los autos de avenencia incluyen también disposiciones en materia de presentación de informes y de cumplimiento. Las entidades sujetas a un el auto deben conservar los documentos que demuestren su cumplimiento durante un cierto número de años. Los autos también deberán divulgarse entre los empleados responsables de garantizar su cumplimiento.

La FTC supervisa sistemáticamente el cumplimiento de las órdenes del puerto seguro, al igual que lo hace con todas sus órdenes. La FTC se toma en serio la aplicación de sus órdenes de privacidad y seguridad, y cuando es necesario, acomete las acciones pertinentes para exigir su cumplimiento. Por ejemplo, tal como se ha señalado antes, Google pagó una sanción civil de 22,5 millones USD para resolver las acusaciones de que había violado la orden de la FTC. Y lo que es más importante, las órdenes de la FTC continuarán protegiendo a los consumidores de todo el mundo que interactúen con una empresa, no tan solo a los consumidores que hayan presentado denuncias.

Por último, la FTC continuará manteniendo en Internet una lista de empresas sometidas a órdenes obtenidas con relación a la aplicación del programa del puerto seguro y del nuevo marco del Escudo de la privacidad (16). Asimismo, los principios del Escudo de la privacidad exigen ahora a las empresas sometidas a una orden de la FTC o a una orden judicial basada en el incumplimiento de los principios, que hagan público cualquier apartado relacionado con el marco del informe de cumplimiento o de evaluación presentado a la FTC, siempre que se ajuste a las leyes y normas en materia de confidencialidad.

V.   COMPROMISO CON LAS APD DE LA UE Y COLABORACIÓN EN LA APLICACIÓN

La FTC reconoce el importante papel que desempeñan las APD de la UE con respecto al cumplimiento del marco y alienta un refuerzo de las consultas y una mayor colaboración en la aplicación. Además de las consultas con las APD remitentes sobre cuestiones de casos concretos, la FTC se compromete a participar en reuniones periódicas con los representantes designados del Grupo de Trabajo del Artículo 29 para debatir, en términos generales, cómo mejorar la colaboración en la aplicación del marco. La FTC participará también, junto con los representantes del Departamento de Comercio, de la Comisión Europea y del Grupo de Trabajo Artículo 29, en la revisión anual del marco para debatir su implantación.

La FTC también fomenta el desarrollo de herramientas que mejoren la colaboración en materia de aplicación con las APD de la UE, así como con otras autoridades de aplicación de las normas sobre protección de la privacidad de todo el mundo. Concretamente, la FTC, junto con los socios de aplicación de la Unión Europea y de todo el mundo, lanzó el año pasado un sistema de alerta dentro del ámbito de la Red Global de Vigilancia de la Privacidad («GPEN», por sus siglas en inglés) para compartir información sobre las investigaciones y fomentar la coordinación en materia de aplicación. Esta alerta de la GPEN podría resultar especialmente útil en el contexto del marco del Escudo de la privacidad. La FTC y las APD de la UE podrían utilizarla para coordinarse con respecto al marco y a otras investigaciones de privacidad, en particular como punto de partida para el intercambio de información con el fin de ofrecer una protección coordinada y más efectiva de la privacidad para los consumidores. Continuamos trabajando con las autoridades de la UE participantes para implantar la generalización del sistema de alerta de la GPEN y desarrollar otras herramientas para la mejora de la colaboración en materia de aplicación en casos de privacidad, incluidos los relacionados con el marco.

La FTC se complace en ratificar su compromiso para la aplicación del nuevo marco del Escudo de la privacidad. Esperamos continuar colaborando con nuestros colegas de la UE para trabajar juntos en la protección de la privacidad del consumidor en ambos lados del Atlántico.

(1)  En el anexo A ofrecemos más información sobre las leyes estadounidenses federales y estatales relativas a la protección de la privacidad, y en el anexo B figura un resumen de nuestras últimas medidas coercitivas relacionadas con la privacidad y la seguridad. Este resumen también se encuentra disponible en la web de la FTC: https://www.ftc.gov/reports/privacy-data-security-update-2015

(2)  USC, título 15, artículo 45(a).

(3)  Véase FTC Policy Statement on Deception, adjunto a Cliffdale Assocs., Inc., 103 F.T.C. 110, 174 (1984), disponible en: https://www.ftc.gov/public-statements/1983/10/ftc-policy-statement-deception

(4)  Véase USC, título 15, artículo 45(n); FTC Policy Statement on Unfairness, adjunto a Int'l Harvester Co., 104 F.T.C. 949, 1070 (1984), disponible en: https://www.ftc.gov/public-statements/1980/12/ftc-policy-statement-unfairness

(5)  Véase California Dental Ass'n v. FTC, 526 U.S. 756 (1999).

(6)  Véase Oficina del Comisario de Privacidad de Canadá, denuncia en virtud de PIPEDA contra Accusearch, Inc., que opera como Abika.com, https://www.priv.gc.ca/cf-dc/2009/2009_009_0731_e.asp. La Oficina del Comisario de Privacidad de Canadá elaboró un informe amicus curiae en el recurso contra la acción de la FTC y llevó a cabo su propia investigación, que llegó a la conclusión de que las prácticas de Accusearch también incumplían la ley canadiense.

(7)  Véase FTC v. Accusearch, Inc., n.o 06CV015D (D. Wyo. Dec. 20, 2007), aff'd 570 F.3d 1187 (10th Cir. 2009).

(8)  Véase In the Matter of True Ultimate Standards Everywhere, Inc., n.oC-4512 (F.T.C. 12 de marzo de 2015) (decisión y resolución), disponible en https://www ftc.gov/system/files/documents/cases/150318trust-edo.pdf

(9)  Véase In the Matter of Google, Inc., n.oC-4336 (F.T.C. 13 de octubre de 2011) (decisión y resolución), disponible en https://www.ftc.gov/news-events/press-releases/2011/03/ftc-charges-deceptive-privacy-practices-googles-rollout-its-buzz; In the Matter of Facebook, Inc., n.oC-4365 (F.T.C. 27 de julio de 2012) (decisión y resolución), disponible en https://www.ftc.gov/news-events/press-releases/2012/08/ftc-approves-final-settlement-facebook; In the Matter of Myspace LLC, n.oC-4369 (F.T.C. 30 de agosto de 2012) (decisión y resolución), disponible en https://www.ftc.gov/news-events/press-releases/2012/09/ftc-finalizes-privacy-settlement-myspace

(10)  Véase FTC v. Karnani, n.o 2:09-cv-05276 (C.D. Cal., 20 de mayo de 2011) (resolución definitiva), disponible en: https://www.ftc.gov/sites/default/files/documents/cases/2011/06/110609karnanistip.pdf; véase también Lesley Fair, FTC Business Center Blog, Around the World in Shady Ways, https://www.ftc.gov/blog/2011/06/around-world-shady-ways (9 de junio de 2011).

(11)  Carta de Stefan M. Selig, subsecretario de comercio responsable del comercio internacional, administración de comercio internacional, a Věra Jourová, comisaria de Justicia, Consumidores e Igualdad de Género (23 de febrero de 2016).

(12)  Para determinar si puede o no ejercer sus competencias en virtud de la SAFE WEB Act, la FTC considera, entre otros: «(A) si el organismo solicitante ha aceptado proporcionar o proporcionará ayuda recíproca a la Comisión; (B) si el cumplimiento de la solicitud perjudicaría los intereses públicos de los Estados Unidos; y (C) si la investigación o el procedimiento de ejecución del organismo solicitante se refiere a actos o prácticas que causen o puedan causar daños a un número significativo de personas». USC, título 15, artículo 46(j)(3). Estas competencias no se aplican a la ejecución de las leyes en materia de competencia.

(13)  En los ejercicios fiscales 2012-2015, por ejemplo, la FTC utilizó sus competencias en virtud de la SAFE WEB Act para compartir información en respuesta a casi 60 solicitudes de organismos extranjeros y emitió casi 60 demandas de investigaciones civiles (equivalentes a citaciones administrativas) para prestar ayuda a 25 investigaciones extranjeras.

(14)  Aunque la FTC no resuelve ni media en las denuncias de consumidores particulares, la FTC confirma que dará prioridad a las remisiones relacionadas con el Escudo de la privacidad procedentes de las APD de la UE. Asimismo, la FTC utiliza las denuncias de su base de datos Consumer Sentinel, a la que pueden acceder otros organismos de seguridad, para identificar las tendencias, determinar las prioridades de aplicación e identificar los posibles objetivos de investigación. Los ciudadanos de la UE pueden utilizar el mismo sistema de denuncia que está disponible para los ciudadanos estadounidenses, para presentar una denuncia ante la FCT: www.ftc.gov/complaint. Para las denuncias de particulares relacionadas con el Escudo de la privacidad, no obstante, sería más práctico que los ciudadanos de la UE presentaran sus denuncias a las APD de su Estado miembro o a un órgano de resolución alternativa de conflictos.

(15)  USC, título 15, artículo 45(m); C.F.R. título 16, artículo 1.98.

(16)  Véase FTC, Business Center, Legal Resources, https://www.ftc.gov/tips-advice/business-center/legal-resources?type=case&field

ANEXO V

19 de febrero de 2016

Ref.: Marco del Escudo de la UE-EE. UU.

Estimada Comisaria Jourová:

El Departamento de Transportes de EE. UU. («Departamento») agradece la posibilidad de describir su función en la aplicación del marco del Escudo de la privacidad UE-EE. UU. Este marco desempeña un papel fundamental en la protección de los datos personales proporcionados durante las operaciones comerciales en un mundo cada vez más interconectado. Permite a las empresas realizar importantes operaciones en el ámbito de la economía mundial, y al mismo tiempo garantiza la protección de la privacidad de los consumidores de la UE.

El Departamento expresó públicamente por primera vez su compromiso de aplicar el marco del puerto seguro en una carta enviada a la Comisión Europea hace ya 15 años. El Departamento se comprometió en esta carta a aplicar estrictamente los principios de privacidad del puerto seguro. El Departamento continúa manteniendo este compromiso y su carta da constancia de este compromiso.

En particular, el Departamento renueva su compromiso en las siguientes áreas clave: 1) priorización de la investigación de las presuntas violaciones del Escudo de la privacidad; 2) medidas coercitivas adecuadas contra entidades que realicen declaraciones falsas o engañosas de adhesión al Escudo de la privacidad; y 3) supervisión y adopción de órdenes de ejecución relacionadas con infracciones en el marco del Escudo de la privacidad. Ofrecemos información sobre cada uno de estos compromisos y, a efectos del contexto necesario, los antecedentes pertinentes sobre el papel del Departamento en la protección de la privacidad y la aplicación del marco del Escudo de la privacidad.

I.   ANTECEDENTES

A.   Competencia del Departamento en materia de privacidad

El Departamento declara su compromiso inquebrantable para garantizar la privacidad de la información proporcionada por los consumidores a las líneas aéreas y a los agentes de venta de billetes. La competencia del Departamento para acometer acciones en esta área se contempla en el USC, título 49, artículo 41712, que prohíbe que un transportista o un agente de venta de billetes adopte una práctica «desleal o engañosa o un método desleal de competencia» en la venta de transporte aéreo que desemboque o pueda desembocar en daños para el consumidor. El artículo 41712 sigue el modelo del artículo 5 de la Ley de la Comisión Federal de Comercio (FTC) (USC, título 15, artículo 45). Interpretamos que nuestra ley de prácticas desleales o engañosas prohíbe que una compañía aérea o un agente de venta de billetes: 1) infrinja los términos de su política de privacidad; o 2) recopile o revele información privada de una manera que incumpla la política pública, sea inmoral o provoque daños importantes al consumidor no compensados por unos beneficios equivalentes. También interpretamos el artículo 41712 en el sentido de que prohíbe que los transportistas y los agentes de venta de billetes: 1) infrinjan una norma dictada por el Departamento que identifica determinadas prácticas de privacidad como desleales o engañosas; o 2) infrinjan la Ley de Protección Infantil en Internet (COPPA) o las normas de la FTC que implanten la COPPA. De conformidad con las leyes federales, el Departamento posee la competencia exclusiva de regular las prácticas de privacidad de las compañías aéreas, y comparte jurisdicción con la FTC con respecto a las prácticas de privacidad de los agentes de venta de billetes en la venta de transporte aéreo.

Por ello, cuando un transportista o un vendedor de trasporte aéreo se compromete públicamente a adoptar los principios de privacidad del marco del Escudo de la privacidad, el Departamento podrá utilizar las competencias estatutarias del artículo 41712 para garantizar el cumplimiento de estos principios. Por consiguiente, cuando un pasajero proporciona información a un transportista o a un agente de venta de billetes que se ha comprometido en la adopción de los principios de privacidad del marco del Escudo de la privacidad, el incumplimiento por parte del transportista o del agente de venta de billetes constituirá una violación del artículo 41712.

B.   Prácticas de aplicación de la normativa

La Office of Aviation Enforcement and Proceedings (Oficina de Observancia y Procedimientos de la Aviación) investiga y enjuicia los casos contemplados en el USC, título 49, artículo 41712. Aplica la prohibición legal contemplada en el artículo 41712 contra las prácticas desleales y engañosas principalmente a través de la negociación con la preparación de órdenes de cese y suspensión, y redacta órdenes que valoran sanciones civiles. La oficina conoce las posibles infracciones principalmente por las reclamaciones que recibe de individuos, agencias de viajes, compañías aéreas y organismos públicos estadounidenses y extranjeros. Los consumidores podrán utilizar la web del Departamento para presentar denuncias de privacidad contra compañías aéreas y agentes de venta de billetes (1).

En caso de no alcanzar un acuerdo razonable y adecuado, la Oficina de Observancia de la Aviación posee competencia para entablar un procedimiento de aplicación que implique una audiencia de pruebas ante un juez administrativo del Departamento. El juez tiene potestad para dictar órdenes de cese y suspensión y sanciones civiles. Las violaciones del artículo 41712 pueden desembocar en la expedición de órdenes de cese y suspensión y la imposición de sanciones civiles de hasta 27 500 USD por cada violación del artículo 41712.

El Departamento no tiene competencia para indemnizar por daños y perjuicios ni para ofrecer una reparación monetaria a los demandantes en particular. No obstante, el Departamento tiene competencia para aprobar los acuerdos que resulten de las investigaciones llevadas a cabo por la Oficina de Observancia de la Aviación que beneficien directamente a los consumidores (por ejemplo, dinero en efectivo, bonos) como compensación a las sanciones monetarias que deberían pagar al Gobierno estadounidense. Esto ha sucedido en el pasado y podría también suceder en el contexto de los principios del marco del Escudo de la privacidad cuando las circunstancias lo exijan. Las repetidas violaciones del artículo 41712 por parte de una compañía aérea podrían plantear cuestiones relacionadas con la buena voluntad de la compañía para cumplir su compromiso, lo que en situaciones graves podría comportar la imposibilidad de una compañía aérea para operar, y por consiguiente, la pérdida de su licencia de explotación.

Hasta la fecha, el Departamento ha recibido pocas denuncias de presuntas violaciones de la privacidad por parte de agentes de venta de billetes o compañías aéreas. Cuando surjan serán investigadas de conformidad con los principios antes establecidos.

C.   Medidas de protección jurídica del Departamento que benefician a los consumidores de la UE

De conformidad con el artículo 41712, la prohibición de prácticas desleales o engañosas en el transporte aéreo o en la venta de transporte aéreo se aplica a compañías aéreas y agentes de venta de billetes estadounidense y extranjeros. El Departamento adopta con frecuencia medidas en contra de compañías aéreas estadounidenses y extranjeras por las prácticas que afectan tanto a consumidores estadounidenses como extranjeros en función de que las prácticas de la compañía aérea tengan lugar en el transcurso del transporte con destino a los Estados Unidos o procedente de los Estados Unidos. El Departamento utiliza y continuará utilizando todos los recursos disponibles para proteger a los consumidores estadounidenses y extranjeros de las prácticas desleales o engañosas en el transporte aéreo por parte de las entidades reguladas.

El Departamento también aplica, con respecto a las compañías aéreas, otras leyes específicas cuyas protecciones se extienden a los consumidores no estadounidenses, como la Ley COPPA. Entre otras cosas, la COPPA exige que los operadores de páginas web y de servicios en línea dirigidos a menores, o de páginas web para el público en general que recopilen a sabiendas información personal de niños menores de 13 años, lo notifiquen a los padres y obtengan un consentimiento parental verificable. Las páginas web y los servicios radicados en EE. UU. que estén sujetos a la COPPA y recopilen información personal de menores extranjeros, deberán hacerlo de conformidad con la Ley COPPA. Las páginas web y los servicios en línea radicados en el extranjero deberán también hacerlo de conformidad con la Ley COPPA si van dirigidos a menores estadounidenses, o si recopilan a sabiendas información personal de menores estadounidenses. En la medida en que las compañías aéreas o extranjeras que operen en los Estados Unidos violen la Ly COPPA, la Departamento tendrá competencia para adoptar medidas coercitivas.

II.   APLICACIÓN DEL ESCUDO DE LA PRIVACIDAD

En caso de que una compañía aérea o un agente de venta de billetes decida participar en el marco del Escudo de la privacidad y el Departamento reciba una denuncia de que dicha compañía aérea o agente de venta de billetes ha infringido presuntamente el marco, el Departamento adoptará las medidas necesarias para la estricta aplicación del marco.

A.   Priorización de la investigación de presuntas infracciones

La Oficina de Observancia de la Aviación del Departamento investigará todas y cada una de las denuncias de presuntas infracciones del Escudo de la privacidad (incluidas las denuncias recibidas de las Autoridades de Protección de Datos de la UE) y adoptará la medida coercitiva pertinente cuando existan pruebas de una infracción. Asimismo, la Oficina de Observancia de la Aviación colaborará con la FTC y el Departamento de Comercio y dará prioridad a la consideración de las acusaciones de incumplimiento de los compromisos de privacidad establecidos en el marco del Escudo de la privacidad por parte de las entidades reguladas.

Tras la recepción de una acusación de infracción del marco del Escudo de la privacidad, la Oficina de Observancia de la Aviación del Departamento podrá acometer una serie de medidas como parte de su investigación. Por ejemplo, podrá revisar las políticas de privacidad del agente de venta de billetes o de las compañías aéreas, obtener más información del agente de venta de billetes, de la compañía aérea o de terceros, y valorar si existe un patrón de infracciones o un número considerable de consumidores afectados. Además, podrá determinar si el problema implica cuestiones que recaen dentro del ámbito del Departamento de Comercio o de la FTC, valorar la utilidad de educación de los consumidores o de las empresas, y si procede, entablar un procedimiento de ejecución.

En caso de que el Departamento tenga conocimiento de infracciones del Escudo de la privacidad por parte de agentes de venta de billetes, se coordinará con la FTC. También asesoraremos a la FTC y al Departamento de Comercio sobre los resultados de una acción de aplicación del Escudo de la privacidad.

B.   Tratamiento de las declaraciones falsas o engañosas de adhesión

El Departamento mantiene su compromiso en la investigación de las infracciones del Escudo de la privacidad, incluidas las declaraciones falsa o engañosa de adhesión al programa del Escudo de la privacidad. Daremos prioridad a la consideración de las remisiones por parte del Departamento de Comercio relacionadas con las organizaciones que declaren engañosamente su actual pertenencia al Escudo de la privacidad o que utilicen una marca de certificación del marco del Escudo de la privacidad sin autorización.

Asimismo, cabe señalar que si la política de privacidad de una organización promete el cumplimiento de los principios del Escudo de la privacidad, el hecho de no registrarse o no mantener su registro en el Departamento de Comercio no eximirá a la organización de la obligación, controlada por el Departamento de Transporte, de cumplir estos compromisos en virtud del marco.

C.   Supervisión y publicación de las órdenes de aplicación relacionadas con infracciones del Escudo de la privacidad

La Oficina de Observancia de la Aviación del Departamento también mantiene su compromiso para la supervisión de las órdenes de aplicación necesarias para garantizar el cumplimiento del programa del Escudo de la privacidad. Concretamente, en caso de que la Oficina expida una orden dirigida a una compañía aérea o a un agente de venta de billetes de cese y suspensión de futuras infracciones del Escudo de la privacidad y del artículo 41712, supervisará el cumplimiento de la entidad con la disposición de cese y suspensión en la orden. De igual modo, la Oficina garantizará la publicación de las órdenes que se deriven de los casos relacionados con el Escudo de la privacidad en su página web.

Esperamos seguir trabajando con nuestros socios federales y las partes interesadas de la UE sobre cuestiones relacionadas con el Escudo de la privacidad.

Espero que esta información le sea útil. Si desea preguntarme algo o necesita más información, no dude en dirigirse a mí.

(1)  http://www.transportation.gov/airconsumer/privacy-complaints

ANEXO VI

22 de febrero de 2016

Estimados Sr. Antonipillai y Sr. Dean:

Durante los últimos dos años y medio, en el contexto de las negociaciones para el Escudo de la privacidad UE-EE. UU., los Estados Unidos han proporcionado información sustancial sobre el funcionamiento de la actividad de recopilación de la inteligencia de señales de los servicios de inteligencia estadounidenses. Esta incluye información sobre el marco legal vigente, la supervisión a varios niveles de estas actividades, la gran transparencia sobre estas actividades, y las protecciones generalizadas de la privacidad y las libertades civiles para colaborar con la Comisión Europea en la determinación del carácter adecuado de estas protecciones en la medida en que estén relacionadas con la excepción de la seguridad nacional a los principios del Escudo de la privacidad. Este documento resume la información que ha sido proporcionada.

I.   PPD-28 Y EL PROCEDER DE LA ACTIVIDAD DE LA INTELIGENCIA DE SEÑALES ESTADOUNIDENSE

Los servicios de inteligencia estadounidense recopilan inteligencia extranjera de una manera cuidadosamente controlada, ajustándose estrictamente a las leyes estadounidenses y sujeta a múltiples niveles de supervisión que se centra en las importantes prioridades de la inteligencia exterior y de la seguridad nacional. La recopilación de la inteligencia de señales por EE. UU. está regida por numerosas leyes y políticas, incluyendo la Constitución estadounidense, la Foreign Intelligence Surveillance Act (FISA, Ley de Vigilancia de la Inteligencia Exterior) (USC, título 50, artículo 1801 et seq.), la Orden Ejecutiva 12333 y sus procedimientos de implantación, la Directiva Presidencial y numerosos procedimientos y directrices, aprobados por el Tribunal de la FISA y el Fiscal General, que establece nuevas normas que limitan la recopilación, conservación, uso y divulgación de la información de la inteligencia exterior (1).

a.   Aspectos generales de la PPD-28

En enero de 2014, el presidente Obama pronunció un discurso en el que subrayó diversas reformas en las actividades de inteligencia de señales de EE. UU. y promulgó la Directiva Presidencial 28 (PPD-28), relativa a estas actividades (2). El presidente hizo hincapié en que las actividades de inteligencia de señales no solo permiten garantizar la de nuestro país y nuestras libertades sino también la seguridad y las libertades de otros países, incluidos los Estados miembros de la UE, que confían en la información de las agencias de inteligencia estadounidenses para garantizar la protección de sus propios ciudadanos.

La PPD-28 establece una serie de principios y requisitos que se aplican a todas las actividades de inteligencia de señales de EE. UU. y a todas las personas, independientemente de su nacionalidad o ubicación. Concretamente establece determinados requisitos para los procedimientos de abordaje de la recopilación, conservación y divulgación de la información personal sobre personas no estadounidenses obtenida en virtud de la inteligencia de señales estadounidenses. Estos requisitos se describen con más detalle a continuación, pero en resumen:

La aplicabilidad de los procedimientos y de las protecciones establecidas en este documento al Escudo de la privacidad es evidente. Cuando se transfieren datos a empresas de los Estados Unidos en virtud del Escudo de la privacidad, o por cualquier otro medio, los servicios de inteligencia estadounidenses únicamente pueden pedir estos datos a estas empresas si la solicitud observa la FISA o se realiza de conformidad con una de las disposiciones estatutarias de la Carta de Seguridad Nacional, que se examinan a continuación (3). Además, sin confirmar ni negar los informes de medios que acusan a los servicios de inteligencia de recopilar datos de los cables transatlánticos mientras son transmitidos a los Estados Unidos, en caso de que los servicios de inteligencia estadounidense recopilaran datos de los cables transatlánticos lo deberían hacer de conformidad con las limitaciones y las protecciones establecidas en este documento, incluidos los requisitos de la PPD-28.

b.   Limitaciones de la recopilación

La PPD-28 establece diversos principios generales importantes que rigen la recopilación de inteligencia de señales:

El requisito de que la actividad de la inteligencia de señales sea «tan adaptada como sea factible» se aplica a la manera en que se recopila la inteligencia de señales, así como a lo que en realidad se recopila. Por ejemplo, para la determinación de la posibilidad de recopilar la inteligencia de señales, los servicios de inteligencia deberán considerar la disponibilidad de otra información, incluidas las fuentes diplomáticas o públicas, y priorizar la recopilación a través de estos medios, siempre que proceda y sea factible. Además, las políticas de los elementos de los servicios de inteligencia podrían exigir que, cuando sea factible, la recopilación debería centrarse en determinados objetivos o temas de inteligencia exterior a través del uso de discriminantes (por ejemplo, canales, criterios de selección e identificadores específicos).

Es importante ver la información proporcionada a la Comisión en su conjunto. Las decisiones relacionadas con lo que es «viable» o «factible» no se dejan al criterio de los individuos, sino que están sujetas a las políticas que los organismos han dictado en virtud de la PPD-28, que se encuentra públicamente disponible, y a los demás procedimientos descritos en ella (4). Tal como establece la PPD-28, la recopilación en bloque de la inteligencia de señales es una recopilación que debido a consideraciones técnicas u operativas, es obtenida sin el uso de discriminantes (por ejemplo, determinados discriminantes, criterios de selección, etc.) En este sentido, la PPD-28 reconoce que los elementos de los servicios de inteligencia deberán recopilar la inteligencia de señales en bloque en determinadas circunstancias con el objeto de identificar las amenazas nuevas o emergentes y otra información vital de seguridad nacional que a menudo se esconde dentro del enorme y complejo sistema de las comunicaciones globales modernas. También reconoce la preocupación relacionada con la privacidad y las libertades civiles que supone la recopilación en bloque de la inteligencia de señales. Por consiguiente, la PPD-28 establece que los servicios de inteligencia deben dar prioridad a las alternativas que permitan una recopilación de inteligencia de señales selectiva en lugar de una recopilación de inteligencia de señales en bloque. Por tanto, los elementos de los servicios de inteligencia deberían realizar actividades de recopilación selectiva de la inteligencia de señales en lugar de actividades de recopilación en bloque de la inteligencia de señales, en los casos en que sea factible (5). Estos principios garantizan que la excepción de la recopilación en bloque no absorberá la regla general.

En lo que se refiere al concepto de «razonabilidad», este es un principio básico de la legislación estadounidense. Significa que los elementos de los servicios de inteligencia no estarán obligados a adoptar ninguna medida teóricamente posible, sino más bien deberán equilibrar sus esfuerzos para la protección de los intereses legítimos de privacidad y libertades civiles con las necesidades prácticas de las actividades de inteligencia de señales. En este caso también se han hecho públicas la políticas de los organismos y se puede garantizar que el término «razonablemente diseñado para minimizar la divulgación y la conservación de información personal» no socava la norma general.

La PPD-28 también establece que la inteligencia de señales recopilada en bloque solo puede utilizarse para seis propósitos concretos: la detección y el contraataque ante determinadas actividades de potencias extranjeras; la lucha antiterrorista; la lucha contra la proliferación; la ciberseguridad; la detección y el contraataque a amenazas a los ejércitos estadounidense o aliados; y la lucha contra las amenazas criminales transnacionales, incluida la elusión de sanciones. El Consejero de seguridad nacional del presidente (National Security Advisor), en consulta con el Director de Inteligencia Nacional (Director for National Intelligence, DNI), revisará anualmente estos usos permisibles de la inteligencia de señales recopilada en bloque para ver si deben cambiarse. El DNI hará pública esta lista en la mayor medida posible y de conformidad con la seguridad nacional. Esto constituye una limitación importante y transparente sobre el uso de la recopilación en bloque de la inteligencia de señales.

Asimismo, los elementos de los servicios de inteligencia que implanten la PPD-28 han reforzado las prácticas y las normas analíticas existentes para las consultas sobre inteligencia de señales no evaluada (6). Los analistas deben estructurar sus consultas u otros términos y técnicas de búsqueda a fin de garantizar su idoneidad para la identificación de información pertinente para una misión válida de inteligencia extranjera o de aplicación de la ley. En este sentido, los servicios de inteligencia deben centrar sus consultas relativas a personas en las categorías de información de inteligencia de señales adecuadas a efectos de la información exterior o una exigencia de aplicación de la ley con el objeto de evitar el uso de información personal no pertinente para la inteligencia exterior o la aplicación de la ley.

Es importante hacer hincapié en que las actividades de recopilación en bloque relacionadas con las comunicaciones por Internet que realizan los servicios de inteligencia estadounidense a través de la inteligencia de señales operan en una pequeña parta de Internet. Asimismo, el uso de consultas selectivas, tal como se ha descrito antes, garantiza que solo aquellos elementos que se considera que poseen un posible valor de información son sometidos a los analistas para su examen. Estos límites pretenden proteger la privacidad y las libertades civiles de todas las personas, independientemente de su nacionalidad y de donde residan.

Los Estados Unidos han elaborado procedimientos para garantizar que las actividades de inteligencia de señales se realizan solo para unos propósitos de seguridad nacional adecuados. Cada año, el presidente establece las prioridades del país para la recopilación de inteligencia exterior tras un exhaustivo proceso formal interinstitucional. El DNI es el responsable de trasladar estas prioridades de inteligencia al marco de prioridades de la inteligencia nacional (National Intelligence Priorities Framework, NIPF). La PPD-28 reforzó y mejoró el proceso interinstitucional para garantizar la revisión de todas las prioridades de inteligencia de los servicios de inteligencia y su aprobación por parte de responsables políticos de alto nivel. La Directiva de los servicios de inteligencia (Intelligence Community Directive, ICD) 204 ofrece una mayor orientación sobre el NIPF y se actualizó en enero de 2015 para incorporar los requisitos de la PPD-28 (7). Aunque los datos del NIPF están clasificados, la información relacionada con unas determinadas prioridades de inteligencia exterior de EE. UU. se refleja anualmente en un documento no clasificado del DNI, la Evaluación de la Amenaza Mundial (Wordwide Threat Assessment), que también se encuentra disponible en la web de la ODNI.

Las prioridades del NIPF están formuladas a un nivel de generalidad relativamente elevado. Incluyen temas como el desarrollo de capacidades en materia de misiles nucleares y balísticos por parte de algunos adversarios extranjeros, los efectos de la corrupción de los cárteles de droga y los abusos de los derechos humanos en determinados países. Y no se aplican tan solo a la inteligencia de señales, sino también a todas las actividades de inteligencia. La organización responsable de trasladar las prioridades del NIPF a la recopilación real de inteligencia de señales recibe el nombre de Comité Nacional de Inteligencia de Señales, o (National Signals Intelligence Committee, SIGCOM). Opera bajo los auspicios del Director de la Agencia Nacional de Seguridad (National Security Agency, NSA), el cual es designado por la Orden Ejecutiva 12333 como el «jefe funcional de la inteligencia de señales», responsable de la supervisión y la coordinación de la inteligencia de señales en el ámbito de los servicios de inteligencia, bajo la supervisión del Secretario de Defensa y del DNI. El SIGCOM cuenta con representantes de todos los servicios de inteligencia y, en cuanto se implante íntegramente la PPD-28 en los Estados Unidos, también contará con representantes de otros departamentos y organismos con un interés político en la inteligencia de señales.

Todos los departamentos y organismos de EE. UU. que sean consumidores de inteligencia exterior presentan sus solicitudes de recopilación al SIGCOM. El SIGCOM revisa estas solicitudes, comprueba su coherencia con el NIPF y les asigna prioridades utilizando criterios tales como:

El proceso de evaluación de las necesidades de inteligencia de señales aplicado por los Estados Unidos también exige la explícita consideración de otros factores, en especial:

Por último, al final del proceso, personal cualificado de la NSA recoge las prioridades validadas por el SIGCOM y busca e identifica determinados criterios de selección, como números de teléfono o direcciones de correo electrónico, que permitirán recopilar inteligencia exterior conforme a estas prioridades. Todos los selectores deberán ser revisados y aprobados antes de su inclusión en los sistemas de recopilación de la NSA. Incluso entonces, la posibilidad de que se lleve a cabo la recopilación y en qué momento dependerá en parte de otras consideraciones como la disponibilidad de unos recursos apropiados. Este proceso garantiza que los objetivos de la recopilación de inteligencia de señales estadounidense reflejen unas necesidades de inteligencia exterior válidas e importantes. Y, por supuesto, cuando la recopilación se lleva a cabo de conformidad con la FISA, la NSA y otros organismos deben acatar otras restricciones aprobadas por el Tribunal de la FISA. En pocas palabras, ni la NSA ni ningún otro servicio de inteligencia estadounidense decide por sí misma lo que debe recopilar.

En general, este proceso garantiza que todas las prioridades de la inteligencia estadounidense sean establecidas por políticos de primer orden, que están en la mejor posición para identificar los requisitos de EE. UU. de inteligencia exterior, y que estos políticos tienen en cuenta no tan solo el posible valor de la recopilación de inteligencia, sino también los riesgos relacionados con esta recopilación, incluidos los riesgos para la privacidad, los intereses económicos nacionales y las relaciones exteriores.

Con respecto a los datos transmitidos a los Estados Unidos en virtud del Escudo de la privacidad, aunque los Estados Unidos no pueden confirmar ni negar determinados métodos u operaciones, se aplican los requisitos de la PPD-28 a las operaciones de inteligencia de señales llevadas a cabo por los Estados Unidos, independientemente del tipo o de la fuente de los datos que se recopilen. Además, las limitaciones y las protecciones aplicables a la recopilación de la inteligencia de señales se aplicarán a la inteligencia de señales recopilada para cualquier propósito autorizado, incluidas las relaciones exteriores y a efectos de la seguridad nacional.

Los procedimientos mencionados muestran un compromiso evidente de los Estados Unidos para impedir una recopilación arbitraria e indiscriminada de información relacionada con la inteligencia de señales y aplicar, desde las esferas más altas de nuestro Gobierno, el principio de razonabilidad. La PPD-28 y sus procedimientos de ejecución en los organismos aclaran las limitaciones nuevas y las existentes y describen con mayor detalle el propósito para el que los Estados Unidos recopilan y utilizan la inteligencia de señales. Esto debería garantizar que las actividades de inteligencia se lleven a cabo y continúen llevándose a cabo únicamente con el propósito de legitimar los objetivos de la inteligencia exterior.

c.   Limitaciones de la conservación y la divulgación

El artículo 4 de la PPD-28 exige que todos los servicios de inteligencia posean unos límites explícitos de conservación y divulgación de la información personal de ciudadanos no estadounidenses obtenida por la inteligencia de señales, comparables a los límites establecidos para los ciudadanos estadounidenses. Estas normas se incorporan a los procedimientos de cada organismo de los servicios de inteligencia dados a conocer en febrero de 2015 y públicamente disponibles. Para optar a la conservación o divulgación en calidad de inteligencia exterior, la información personal deberá estar relacionada con un requisito de inteligencia autorizado, tal como se establece en el proceso del NIPF antes descrito; ser considerada razonablemente como prueba de un delito; o satisfacer a alguno de los otros criterios de conservación de información sobre ciudadanos estadounidenses identificado en la Orden Ejecutiva 12333, sección 2.3.

La información para la que no se cumpla ninguno de estos criterios no podrá ser conservada más de cinco años, salvo que el DNI determine explícitamente que la prolongación de su conservación es en aras de la seguridad nacional de los Estados Unidos. Por tanto, los servicios de inteligencia deberán eliminar la información de ciudadanos estadounidenses obtenida a través de la inteligencia de señales cinco años después de su obtención, salvo que, por ejemplo, la información se considere que responde a una necesidad de información exterior autorizada, o si el DNI determina, una vez considerada la opinión del agente de la ODNI responsable de la protección de las libertades civiles y de los responsables de la protección de la privacidad y de las libertades civiles de los organismos, que la prolongación de su conservación responde a intereses de seguridad nacional.

Paralelamente, todas las políticas del organismo que implanten la PPD-28 exigen ahora explícitamente que la información relativa a una persona no pueda ser divulgada simplemente por el hecho de que el individuo no sea ciudadano estadounidense, y la ODNI ha emitido una directiva para que todos los servicios de inteligencia (8) cumplan este requisito. El personal de los servicios de inteligencia estará específicamente obligado a considerar los intereses de privacidad de las personas no estadounidenses en la elaboración y divulgación de los informes de inteligencia. Concretamente, la inteligencia de señales relacionada con las actividades rutinarias de una persona extranjera no se considerará inteligencia exterior que pueda ser divulgada o conservada con carácter permanente en virtud de este hecho aislado, salvo que se considere que atiende a un requerimiento autorizado de inteligencia exterior. Esto supone una limitación importante y atiende a la preocupación de la Comisión Europea sobre el alcance de la definición de inteligencia exterior establecida en la Orden Ejecutiva 12333.

d.   Observancia y supervisión

El sistema estadounidense de supervisión de la inteligencia exterior ofrece un control estricto y a varios niveles para garantizar la observancia de las leyes y de los procedimientos aplicables, incluidos los relacionados con la recopilación, conservación y divulgación de la información de ciudadanos no estadounidenses obtenida por la inteligencia de señales, tal como se establece en la PPD-28. Este sistema cuenta con los siguientes elementos:

Aparte de estos mecanismos formales de supervisión, los servicios de inteligencia poseen numerosos mecanismos para garantizar la observancia, en su seno, de las limitaciones a la recopilación antes descritas, por ejemplo:

Tal como se demuestra en esta visión general, los servicios de inteligencia no deciden por sí mismos qué conversaciones deben escuchar, no intentan recopilarlo todo, y no operan sin control. Sus actividades se centran en las prioridades establecidas por los políticos a través de un proceso que incluye aportaciones del Gobierno, y que son supervisadas tanto por la NSA como por la ODNI, el Departamento de Justicia y el Departamento de Defensa.

La PPD-28 contiene también otras muchas disposiciones para garantizar la protección de la información personal obtenida en virtud de la inteligencia de señales, independientemente de la nacionalidad. Por ejemplo, la PPD-28 contempla la seguridad de los datos, el acceso y los procedimientos de calidad para la protección de la información personal obtenida a través de la inteligencia de señales, y ofrece formación obligatoria para garantizar que el personal comprende su responsabilidad en la protección de la información personal, independientemente de la nacionalidad del interesado. La PPD también contempla los mecanismos de supervisión y de observancia. Estos mecanismos incluyen auditorías y revisiones periódicas por parte de los funcionarios de supervisión y observancia de las prácticas para la protección de la información personal contenida en la inteligencia de señales. Las revisiones deberán también examinar el cumplimiento por parte de los organismos de los procedimientos para la protección de esta información.

Asimismo, la PPD-28 establece que las cuestiones de observancia importantes relacionadas con ciudadanos no estadounidenses serán remitidas al más alto nivel gubernamental. En caso de que surja una cuestión de observancia importante que esté relacionada con la información personal de cualquier persona, obtenida a través de las actividades de inteligencia de señales, esto deberá comunicarse rápidamente al DNI, además de otros requisitos de notificación. Si la cuestión está relacionada con la información personal de una persona no estadounidense, el DNI, tras consultarlo con el secretario de Estado y el responsable del correspondiente servicio de inteligencia, determinará los pasos que deberán acometerse para notificarlo al Gobierno extranjero pertinente, respetando la protección de las fuentes y métodos del personal estadounidense. Además, tal como establece la PPD-28, el secretario de Estado ha designado a una alta funcionaria, la subsecretaria Catherine Novelli, para actuar de punto de contacto para los gobiernos extranjeros que deseen resolver sus dudas sobre las actividades de la inteligencia de señales de los Estados Unidos. Este compromiso de alto nivel ejemplifica los esfuerzos realizados por el Gobierno estadounidense durante los últimos años para crear un sentimiento de confianza en las numerosas y coincidentes protecciones de la privacidad aplicadas a ciudadanos estadounidenses y no estadounidenses.

e.   Resumen

Los procedimientos estadounidenses para la recopilación, la conservación y la divulgación de la inteligencia exterior ofrecen importantes protecciones de la privacidad para la información personal de todas las personas, independientemente de su nacionalidad. Concretamente, estos procesos velan por que nuestros servicios de inteligencia se concentren en su misión de seguridad nacional en aplicación de por las leyes vigentes, las órdenes ejecutivas y las directivas presidenciales, protejan la información contra el acceso, el uso y la divulgación no autorizados, y lleven a cabo sus actividades con revisiones y controles a distintos niveles, incluidas las comisiones de supervisión del Congreso. La PPD-28 y los procedimientos que la implantan reflejan nuestros esfuerzos por extender una cierta minimización y otros principios de protección de los datos sustanciales a la información personal de todas las personas, independientemente de su nacionalidad. La información personal obtenida de la recopilación de la inteligencia de señales estadounidense está sujeta a los principios y requisitos de la legislación estadounidense y de las directivas presidenciales, incluidas las protecciones establecidas en la PPD-28. Estos principios y requisitos garantizan el tratamiento digno y respetuoso de todas personas, independientemente de su nacionalidad o del lugar donde residan, y reconocen que todas las personas tienen intereses legítimos de privacidad en el tratamiento de su información personal.

II.   LEY DE VIGILANCIA DE LA INTELIGENCIA EXTERIOR — SECCIÓN 702

La recopilación llevada a cabo de conformidad con la Ley de Vigilancia de la Inteligencia Exterior no es (11)«masiva e indiscriminada», sino que está estrictamente centrada en la recopilación de inteligencia exterior de objetivos legítimos identificados individualmente; está claramente autorizada por una autoridad legal explícita; y está sujeta a un control judicial independiente y a la revisión y supervisión por parte del poder ejecutivo y del Congreso. La recopilación en virtud del artículo 702 se considera inteligencia de señales sujeta a los requisitos de la PPD-28 (12).

La recopilación estipulada en el artículo 702 es una de las fuentes de inteligencia más valiosas tanto para la protección de los Estados Unidos como de nuestros socios europeos. Se encuentra públicamente disponible una información más exhaustiva sobre el funcionamiento y la supervisión del artículo 702. Se han desclasificado y publicado numerosos expedientes judiciales, resoluciones judiciales e informes de supervisión relativos al programa en la página web pública de la ODNI, www.icontherecord.tumblr.com. Asimismo, el PCLOB analizó exhaustivamente el artículo 702 en un informe disponible en https://www.pclob.gov/library/702-Report.pdf (13).

El artículo 702 entró a formar parte de la Ley de Enmiendas de la FISA de 2008, (14) tras un debate público exhaustivo en el Congreso. Autoriza la obtención de información de inteligencia exterior mediante la segmentación de las personas no estadounidenses que se encuentran fuera de los Estados Unidos, con la colaboración obligada de los proveedores de servicios de comunicaciones electrónicas. El artículo 702 autoriza al Fiscal General y al DNI –dos altos funcionarios del gabinete presidencial nombrados por el presidente y confirmados por el Senado–, a presentar certificaciones anuales al Tribunal de la FISA (15). Estas certificaciones identifican las categorías concretas de inteligencia exterior a recopilar, como la inteligencia relacionada con la lucha antiterrorista o las armas de destrucción masiva, que deben recaer dentro del ámbito de las categorías de inteligencia exterior definidas por la FISA (16). Tal como señala el PCLOB, «estas limitaciones no permiten la recopilación ilimitada de información sobre los extranjeros» (17).

Las certificaciones deben incluir también los procedimientos de «segmentación» y «minimización», que deben ser revisados y aprobados por el Tribunal de la FISA (18). Los procedimientos de segmentación han sido diseñados para garantizar únicamente la recopilación autorizada por la ley y contemplada en las certificaciones; los procedimientos de minimización han sido diseñados para limitar la obtención, divulgación y conservación de la información sobre ciudadanos estadounidenses, pero también contienen disposiciones que ofrecen una protección sustancial de la información sobre ciudadanos no estadounidenses, tal como se describe a continuación. Además, tal como se ha descrito antes, en la PPD-28 el presidente dio órdenes de que los servicios de inteligencia ofrecieran otras protecciones para la información personal sobre los ciudadanos estadounidenses, y estas protecciones se aplican a la información recopilada en virtud del artículo 702.

Una vez que el tribunal apruebe los procedimientos de segmentación y de minimización, la recopilación contemplada en el artículo 702 no será en bloque o indiscriminada, sino que «consistirá únicamente en la segmentación de personas concretas sobre las cuales se ha realizado una determinación individualizada», tal como afirma el PCLOB (19). La segmentación de la recopilación se realiza con el uso de selectores individuales, como las direcciones de correo electrónico o los números de teléfono que el personal de inteligencia estadounidense haya determinado que es probable que se usen para la comunicación de información en materia de inteligencia exterior del tipo contemplado en la certificación presentada al tribunal (20). La base para la selección del objetivo debe estar documentada, y la documentación de cada selector será posteriormente revisada por el Departamento de Justicia (21). El Gobierno de EE.U.U. ha publicado información que demuestra que en 2014 había aproximadamente 90 000 individuos afectados en virtud del artículo 702, una cantidad minúscula si la comparamos con los más de 3 000 millones de usuarios de internet que existen en todo el mundo (22).

La información recopilada en virtud del artículo 702 está sujeta a los procedimientos de minimización aprobados por el tribunal, que ofrecen protecciones a ciudadanos no estadounidenses, así como a ciudadanos estadounidenses, y que han sido dados a conocer públicamente (23). Por ejemplo, las comunicaciones obtenidas en virtud del artículo 702, independientemente de que sean ciudadanos estadounidenses o no, se almacenan en bases de datos con unos controles de acceso estrictos. Solo podrán ser revisadas por personal de inteligencia que haya recibido formación sobre los procedimientos de minimización de la protección de privacidad y que haya sido específicamente autorizado para acceder con el objeto de llevar a cabo sus funciones autorizadas (24). El uso de los datos se limita a la identificación de la información en materia de inteligencia exterior o de la prueba de un delito (25). De conformidad con la PPD-28, esta información solo podrá divulgarse si existe una finalidad válida de inteligencia exterior o de aplicación de la ley; no basta el mero hecho de que una parte de la comunicación sea un ciudadano no estadounidense (26). Asimismo, los procedimientos de minimización y la PPD-28 establecen límites sobre cuánto tiempo pueden conservarse los datos obtenidos en virtud del artículo 702 (27).

La supervisión del artículo 702 es exhaustiva y es llevada a cabo por los tres órganos de nuestro Gobierno. Los organismos que implementan la ley tienen revisiones internas a varios niveles, incluidos inspectores generales independientes y controles tecnológicos del acceso a los datos. El Departamento de Justicia y la ODNI revisan y analizan estrechamente el uso del artículo 702 para verificar la observancia de las normas legales; los organismos están sometidos también a una obligación independiente de comunicar los posibles incidentes de incumplimiento. Estos incidentes son investigados, y todos los incumplimientos se remiten al Tribunal de Vigilancia de la Inteligencia Exterior, al Consejo Supervisor de Inteligencia del presidente y al Congreso, y son debidamente subsanados (28). Hasta la fecha no se han producido intentos deliberados de violación de la ley ni de elusión de los requisitos legales (29).

El Tribunal de la FISA desempeña un papel importante en la implantación del artículo 702. Está compuesto por jueces federales independientes que ocupan su cargo en el Tribunal de la FISA durante un período de siete años pero que, al igual que todos los jueces federales, son jueces con carácter vitalicio. Tal como se ha mencionado antes, el Tribunal deberá revisar las certificaciones anuales y los procedimientos de segmentación y minimización para dar cumplimiento a la ley. Asimismo, y tal como se ha mencionado antes, el Gobierno deberá notificar de inmediato al Tribunal cualquier incumplimiento (30) y se han desclasificado y publicado diversos dictámenes del Tribunal que demuestran el excepcional grado de control judicial e independencia que este ejerce en la revisión de estos incumplimientos.

Los rigurosos procedimientos del Tribunal han sido descritos por el antiguo presidente del Tribunal en una carta al Congreso hecha pública (31). Y tal como se desprende de la Ley de Libertad de EE. UU., descrita a continuación, el Tribunal está ahora explícitamente autorizado a nombrar un letrado externo como defensor independiente de la privacidad en casos que planteen cuestiones jurídicas novedosas o importantes (32). Este grado de implicación por parte de un poder judicial independiente en las actividades de inteligencia exterior destinadas a personas que no son ciudadanos de este país ni residentes en el país, es excepcional por no decir inaudito y permite garantizar la recopilación del artículo 702 dentro de unos límites legales adecuados.

El Congreso ejerce la supervisión a través de los informes exigidos por la ley para las Comisiones de Inteligencia y Judicial, y de las sesiones informativas y audiencias celebradas con carácter regular. Estas incluyen un informe semestral del Fiscal General que documenta el uso del artículo 702 y los incidentes de incumplimiento (33); una valoración semestral del Fiscal General y del DNI que documenta la observancia de los procedimientos de segmentación y minimización, incluida la observancia de los procedimientos diseñados para garantizar que esta recopilación es para una finalidad de inteligencia exterior válida (34); y un informe anual de los responsables de los elementos de inteligencia que incluye una certificación de que la recopilación realizada en virtud del artículo 702 continúa produciendo información en materia de inteligencia exterior (35).

En resumen, la recopilación en virtud del artículo 702 está autorizada por la ley; está sujeta a diversos niveles de revisión y de control y supervisión judicial; y, tal como afirmó el Tribunal de la FISA en un dictamen recientemente desclasificado, «no se realiza en bloque ni indiscriminadamente», sino a través de […] decisiones de segmentación discretas para servicios [de comunicación] individuales» (36).

III.   LEY DE LIBERTAD DE EE. UU. (USA FREEDOM ACT)

La Ley de Libertad de EE. UU., promulgada en junio de 2015, modificó considerablemente las competencias de vigilancia y otras competencias sobre seguridad nacional de los Estados Unidos, y aumentó la transparencia pública sobre el uso de estas competencias y sobre las decisiones del Tribunal de la FISA, tal como se describe a continuación (37). La Ley garantiza la competencia que necesitan nuestros profesionales de inteligencia y de aplicación de la ley para proteger la nación, a la vez que garantiza también la correcta protección de la privacidad de las personas cuando se recurre al empleo de estas competencias. Incrementa la privacidad y las libertades civiles y aumenta la transparencia.

La Ley prohíbe la recopilación en bloque de los registros, incluidos los de los ciudadanos estadounidenses y los de los no estadounidenses, de conformidad con las disposiciones de la FISA o mediante el uso de las Cartas de Seguridad Nacional, una forma de citaciones administrativas autorizadas por ley (38). Esta prohibición incluye específicamente metadatos telefónicos relacionados con las llamadas entre personas situadas en EE. UU. y personas situadas fuera de EE. UU., y también deberían incluir la recopilación de la información relacionada con el Escudo de la privacidad contemplada por estas autoridades. La Ley exige que el Gobierno base cualquier solicitud de registros contemplada por estas autoridades en un «criterio de selección concreto», un término que identifica específicamente a una persona, una cuenta, una dirección o un dispositivo personal, con el objeto de limitar el alcance de la información buscada de la manera más razonable posible (39). Esto garantiza además que la recopilación de la información para fines de inteligencia está perfectamente centrada y focalizada.

La Ley también hizo importantes modificaciones en los procedimientos ante el Tribunal de la FISA, que incrementan la transparencia y ofrecen otras garantías de protección de la privacidad. Tal como se ha observado antes, autorizó la creación de un panel permanente de habilitación de la seguridad con abogados expertos en privacidad y libertades colectivas, recopilación de inteligencia, tecnología de la información u otras áreas pertinentes, que pueden ser citados para declarar ante el tribunal en calidad de amicus curiae en los casos que comporten interpretaciones novedosas o importantes de la ley. Estos abogados están autorizados a exponer argumentos jurídicos que supongan un avance en la protección de la privacidad y de las libertades civiles individuales, y tendrán acceso a cualquier información, incluida la información confidencial, que el tribunal considere necesaria para sus atribuciones (40).

La Ley se basa asimismo en la transparencia sin precedentes del Gobierno de los EE. UU. sobre las actividades de inteligencia al exigir al DNI, en consulta con el Fiscal General, que desclasifique o publique un resumen confidencial de cada resolución, orden o dictamen emitido por el Tribunal de la FISA o el Tribunal de Revisión de la Vigilancia de la Inteligencia Exterior que implique una interpretación importante de una disposición legislativa.

Además, la Ley contempla revelaciones extensivas sobre los requisitos de recopilación de la FISA y de la Carta de Seguridad Nacional. Los Estados Unidos deberán revelar cada año al Congreso y al público en general el número de órdenes y certificaciones del FISA solicitadas y recibidas; la estimación del número de personas estadounidenses y no estadounidenses afectadas por la vigilancia; y el número de citaciones de amici curiae, entre otros elementos de información (41). La Ley también exige la presentación de otros informes públicos por parte del Gobierno sobre el número de solicitudes de una Carta de Seguridad Nacional sobre ciudadanos estadounidenses y ciudadanos no estadounidenses (42).

Con respecto a la transparencia corporativa, la Ley ofrece a las empresas una serie de opciones para dar a conocer públicamente el número total de órdenes y directivas de la FISA o de Cartas de Seguridad Nacional que han recibido del Gobierno, así como el número de cuentas de clientes contempladas por estas órdenes (43). Varias empresas han comunicado ya estas informaciones, que han revelado que las solicitudes de información afectaban a un reducido número de clientes.

Estos informes de transparencia corporativa demuestran que las solicitudes estadounidenses de inteligencia afectan únicamente a una minúscula fracción de datos. Por ejemplo, un informe reciente de transparencia de una importante empresa demuestra que las solicitudes de seguridad nacional recibidas (relacionadas con la FISA o con las Cartas de Seguridad Nacional) afectaron a menos de 20 000 de sus cuentas en un momento en que tenía como mínimo 400 millones de abonados. En otras palabras, todas las solicitudes estadounidenses de seguridad nacional notificadas por esta empresa afectaron a menos del 0,005 % de sus abonados. Aun cuando todas estas peticiones hubieran estado relacionadas con los datos del puerto seguro, lo que obviamente no es el caso, es obvio que las solicitudes son selectivas y su alcance es apropiado, ni tampoco son en bloque o indiscriminadas.

Por último, aunque las leyes que autorizan las Cartas de Seguridad Nacional ya restringen las circunstancias en las que el destinatario de una de estas cartas podría estar obligado a no divulgarlas, la Ley establece además que estos requisitos de no divulgación deberán revisarse periódicamente; exige que los destinatarios de las Cartas de Seguridad Nacional reciban notificación cuando los hechos ya no impongan el requisito de no divulgación; y establece procedimientos para la impugnación de los requisitos de no divulgación por parte de los destinatarios (44).

En síntesis, las importantes modificaciones que aporta la Ley de Libertad de EE. UU. A las competencias de los organismos de inteligencia americanos es una prueba evidente del enorme esfuerzo realizado por los Estados Unidos para colocar la protección de la información personal, la privacidad, las libertades civiles y la transparencia en la vanguardia de todas las prácticas de inteligencia estadounidenses.

IV.   TRANSPARENCIA

Aparte de la transparencia dictada por la Ley de Libertad de EE. UU., los servicios de inteligencia de EE. UU. da a conocer públicamente mucha más información, estableciendo así un sólido ejemplo con respecto a la transparencia en sus actividades de inteligencia. Los servicios de inteligencia han publicado muchas de sus políticas, procedimientos, resoluciones del Tribunal de Vigilancia de la Inteligencia Exterior y otros materiales desclasificados con un grado de transparencia excepcional. Asimismo, los servicios de inteligencia han aumentado sustancialmente la divulgación de sus estadísticas sobre el uso gubernamental de las autoridades de recopilación de la seguridad nacional. El 22 de abril de 2015, los servicios de inteligencia publicaron su segundo informe anual sobre la frecuencia con que el Gobierno utiliza estas importantes autoridades. La ODNI también publicó, en su web y en IC On the Record, una serie de principios de transparencia (45) especiales y un plan de implantación que traduce los principios en iniciativas concretas y medibles (46). En octubre de 2015, el Director de Inteligencia Nacional ordenó que todas las agencias de inteligencia designaran un Director de Transparencia de la Inteligencia para fomentar la transparencia e impulsar iniciativas de transparencia (47). El Director de Transparencia colaborará estrechamente con el Director de Privacidad y Libertades Civiles de cada servicio de inteligencia para garantizar que la transparencia, la privacidad y las libertades civiles continúen siendo las máximas prioridades.

Como ejemplo de estos esfuerzos, el director de privacidad y libertades civiles de la NSA ha publicado varios informes desclasificados durante los últimos años, incluidos los informes sobre actividades previstos en el artículo 702, la Orden Ejecutiva 12333 y la Ley de Libertad de EE. UU. (48). Asimismo, los servicios de inteligencia colaboran estrechamente con el PCLOB, el Congreso y la comunidad estadounidense de defensa de la privacidad para ofrecer una mayor transparencia en las actividades de inteligencia estadounidenses, en la medida en que sea factible y de conformidad con la protección de la confidencialidad de las fuentes y los métodos de inteligencia. En su conjunto, las actividades de inteligencia estadounidenses son tan transparentes o más transparentes que las de cualquier otro país del mundo y son tan transparentes como lo permita la necesidad de proteger la confidencialidad de las fuentes y los métodos.

Para resumir la enorme transparencia que existe sobre las actividades de inteligencia estadounidenses:

Continuaremos aplicando esta transparencia generalizada. Obviamente, cualquier información que sea públicamente divulgada estará disponible tanto en el Departamento de Comercio como en la Comisión Europea. La revisión anual entre el Departamento de Comercio y la Comisión Europea sobre la implantación del Escudo de la privacidad ofrecerá la posibilidad de que la Comisión Europea pueda discutir las cuestiones planteadas por cualquier nueva información divulgada, así como otras cuestiones referentes al Escudo de la privacidad y su funcionamiento, y entendemos que el Departamento, por decisión propia, podrá invitar a representantes de otros organismos, incluida los servicios de inteligencia, a participar en esta revisión. Obviamente, en calidad de añadido al mecanismo proporcionado en la PPD-28 a los Estados miembros de la UE para plantear cuestiones relacionadas con la vigilancia al funcionario del Departamento de Estado designado.

V.   RECURSO

La legislación estadounidense ofrece diversas posibilidades de recurso a los individuos que han sido objeto de una vigilancia electrónica ilícita a efectos de la seguridad nacional. De conformidad con la FISA, el derecho a recurrir ante un tribunal estadounidense no está limitado a los ciudadanos estadounidenses. En virtud de la FISA, un individuo que pueda establecer la legitimación para la presentación de una demanda podría recurrir para impugnar los actos de vigilancia electrónica ilícita. Por ejemplo, la FISA permite a las personas sometidas a una vigilancia electrónica ilícita a demandar a los funcionarios públicos estadounidenses a título personal a fin de obtener una reparación monetaria, incluidos daños y los honorarios de los abogados. Véase USC, título 50, artículo 1810. Los individuos que puedan establecer su legitimación para la presentación de una demanda, también pueden incoar un proceso civil para obtener una reparación monetaria, incluidas las costas del juicio, contra los Estados Unidos cuando la información relacionada con ellos obtenida con la ayuda de la vigilancia electrónica contemplada en la FISA sea ilícita y deliberadamente utilizada o divulgada. Véase USC, título 18, artículo 2712. En caso de que el Gobierno pretenda utilizar o divulgar cualquier información obtenida o derivada de la vigilancia electrónica relativa a una persona perjudicada con arreglo a la FISA, o utilizarla contra esa persona en un procedimiento judicial o administrativo en los Estados Unidos, deberá notificar con antelación su intención al tribunal y a la persona en cuestión, la cual podrá impugnar la legalidad de la vigilancia y reclamar la eliminación de la información. Véase USC, título 50, artículo 1806. Por último, la FISA establece sanciones penales para los individuos que intencionadamente ejerzan una vigilancia electrónica ilícita con apariencia de legalidad o que intencionadamente utilicen o divulguen la información obtenida con la vigilancia ilícita. Véase USC, título 50, artículo 1809.

Los ciudadanos estadounidenses tienen otras vías de buscar recursos legales contra los funcionarios públicos estadounidenses por un uso público ilícito de los datos o el acceso ilícito a los datos, incluidos los funcionarios públicos que infrinjan la ley en el transcurso de un acceso ilícito a la información o un uso ilícito de la información a los supuestos efectos de la seguridad nacional. La Ley de Fraude y Abuso Informático prohíbe el acceso intencionado no autorizado (o que sobrepase el acceso autorizado) para obtener información de una institución financiera, de un sistema informático del Gobierno de los EE. UU. o el acceso a un ordenador a través de Internet, así como las amenazas de daños en ordenadores protegidos con fines de extorsión o fraude. Véase USC, título 18, artículo 1030. Cualquier persona, independientemente de su nacionalidad, que sufra daños o pérdidas por la violación de esta ley podrá demandar al infractor (incluido as un funcionario público) para obtener daños compensatorios y medidas cautelares u otra reparación equitativa en virtud del artículo 1030(g), independientemente de que se haya entablado un proceso penal, siempre que la conducta comporte al menos una de las circunstancias indicadas en la ley. La Ley de Privacidad de las Comunicaciones Electrónicas (ECPA) regula el acceso del Gobierno a las comunicaciones electrónicas guardadas, a los registros de las operaciones y a la información relativa al abonado que obra en manos de proveedores externos de comunicaciones. Véase USC, título 18, artículos 2701-2712. La ECPA autoriza a un individuo agraviado a demandar a funcionarios públicos por el acceso deliberado e ilícito a los datos almacenados. La ECPA se aplica a todas las personas, independientemente de la ciudadanía y de que las personas agraviadas tengan derecho a una indemnización por daños perjuicios y a los honorarios de los abogados. El Derecho a la Ley de Privacidad Financiera (RFPA) limita el acceso del Gobierno de los EE. UU. a los registros bancarios y bursátiles de los clientes individuales. Véase USC, título 12, artículos 3401-3422. En virtud de la RFPA, el cliente de un banco o de un agente bursátil podrá demandar al Gobierno de los EE. UU. la indemnización legal, los daños reales y los daños punitivos por el acceso obtenido ilegalmente a los registros del cliente, y la comprobación de la ilegalidad de este acceso activó deliberada y automáticamente una investigación de una posible medida disciplinaria contra los empleados públicos pertinentes. Véase USC, título 12, artículo 3417.

Por último, la Ley para la Libertad de Información (FOIA) establece un medio para cualquier persona que pretenda acceder a los registros federales existentes sobre un tema sujeto a unas determinadas categorías de excepciones. Véase USC, título 5, artículo 552(b). Este medio incluye límites en el acceso a información confidencial de la seguridad nacional, información personal de terceros e información referente a las investigaciones sobre la aplicación de la ley, y son comparables a las limitaciones impuestas por los países con su propia legislación de acceso a la información. Estas limitaciones se aplican tanto a los estadounidenses como a los ciudadanos de otras nacionalidades. Las controversias sobre la divulgación de los registros solicitada en virtud de la FOIA podrá ser recurrida administrativamente y posteriormente en un tribunal federal. El tribunal está obligado a determinar de novo si los registros han sido debidamente denegados —USC, título 5, artículo 552(a)(4)(B) — y podrá obligar al Gobierno a facilitar el acceso a los registros. En determinados casos, los tribunales han revocado las alegaciones del Gobierno de que la información debería ser considerada como clasificada (49). Aunque no existen daños monetarios, los tribunales podrán adjudicar los honorarios de los abogados.

VI.   CONCLUSIÓN

Los Estados Unidos reconocen que nuestra inteligencia de señales y otras actividades de inteligencia deben tener en cuenta que todas las personas deberían ser tratadas con dignidad y respeto, independientemente de su nacionalidad o lugar de residencia, y que todas las personas tienen intereses legítimos de privacidad en el tratamiento de su información personal. Los Estados Unidos solo utilizan inteligencia de señales para garantizar su seguridad nacional y defender sus intereses de política exterior, y para proteger del peligro a sus ciudadanos y a los ciudadanos de sus aliados y socios. En pocas palabras, los servicios de inteligencia no realizan una vigilancia indiscriminada de nadie, ni tampoco de los ciudadanos europeos. La recopilación de inteligencia de señales solo se realiza cuando está debidamente autorizada y cumpliendo estrictamente las limitaciones mencionadas, únicamente después de estudiar la disponibilidad de fuentes alternativas, en particular diplomáticas y públicas, y dando prioridad a alternativas adecuadas y factibles. Y cuando sea factible, la recopilación de inteligencia de señales solo se centrará en objetivos o temas específicos de inteligencia exterior mediante el uso de discriminantes.

La política de EE. UU. al respecto se confirmó en la PPD-28. Dentro de este contexto, los servicios de inteligencia estadounidenses no tienen la competencia legal, los recursos, la capacidad técnica o el deseo de interceptar todas las comunicaciones del mundo. Estos organismos no leen los correos electrónicos de todos los ciudadanos de los Estados Unidos, ni del resto del mundo. De acuerdo con la PPD-28, los Estados Unidos ofrecen una firme protección de la información personal de ciudadanos no estadounidenses que se recopile a través de las actividades de inteligencia exterior. En la medida de lo posible y de acuerdo con la seguridad nacional, estas protecciones incluyen políticas y procedimientos destinados a minimizar la conservación y divulgación de información personal relativa a ciudadanos no estadounidenses, comparables a la protección de que disfrutan los ciudadanos estadounidenses. Además, tal como se ha debatido antes, el régimen de vigilancia en profundidad de los poderes conferidos por el artículo 702 de la FISA es único en el mundo. Por último, las importantes modificaciones realizadas a la ley de inteligencia estadounidense por la Ley de Libertad de EE. UU. y las iniciativas lideradas por la ODNI para la promoción de la transparencia en los servicios de inteligencia mejora enormemente el respeto de la privacidad y de las libertades civiles de todos los individuos, independientemente de su nacionalidad.

21 de junio de 2016

Estimados Sr. Antonipillai y Sr. Dean:

Les escribo para proporcionarles más información sobre la manera en la que los Estados Unidos llevan a cabo la recopilación en bloque de inteligencia de señales. Tal como se explica en la nota 5 de la Directiva de Política Presidencial 28 (PPD-28), la recopilación «en bloque» hace referencia a la adquisición de una cantidad relativamente grande de información o datos de inteligencia de señales en circunstancias en las que los servicios de inteligencia no puedan utilizar un identificador asociado a un criterio de selección específico (como la dirección de correo electrónico o el número de teléfono del criterio de selección) para orientar la recopilación. Sin embargo, esto no implica que este tipo de recopilación sea «masiva» o «indiscriminada». De hecho, la PPD-28 también requiere que «las actividades de inteligencia de señales sean tan específicas como sea posible». Para apoyar esta obligación, los servicios de inteligencia toman medidas para garantizar que, incluso cuando no sea posible utilizar identificadores específicos para orientar la recopilación, los datos que se recopilen sean susceptibles de contener información extranjera que cumpla los requisitos estipulados por los responsables políticos estadounidenses según el proceso explicado en mi carta anterior, y se minimice la cantidad de información no pertinente recopilada.

Por ejemplo, puede solicitarse a los servicios de inteligencia que adquieran inteligencia de señales sobre las actividades de un grupo terrorista que opera en una región de un país de Oriente Medio y que se considere que está planeando ataques contra países de Europa Occidental, pero es posible que los servicios de inteligencia no conozcan nombres, números de teléfono, direcciones de correo electrónico u otros identificadores específicos de las personas asociadas a dicho grupo terrorista. Podríamos decidir que, para detectar a este grupo, se recopilaran las comunicaciones que entran y salen de esa región, para su posterior revisión y análisis, con el fin de identificar las comunicaciones relacionadas con el grupo. De este modo, los servicios de inteligencia intentarían reducir la recopilación tanto como fuera posible. Esto se consideraría una recopilación «en bloque» porque no es factible utilizar discriminantes pero tampoco es una recopilación «en masa» o «indiscrimiada»; es más bien una recopilación focalizada con la mayor precisión posible.

Por tanto, incluso cuando no es posible establecer objetivos mediante el uso de selectores específicos, EE. UU. no recopila todas las comunicaciones de todas las instalaciones de comunicaciones de todas partes del mundo, sino que aplica filtros y otras herramientas técnicas para centrar la recopilación en las instalaciones que pueden contener comunicaciones con valor para la inteligencia internacional. De este modo, las actividades de inteligencia de señales de EE. UU. interceptan únicamente una pequeña parte de las comunicaciones que tienen lugar a través de Internet.

Además, tal como indiqué en mi carta anterior, dado que la recopilación «en bloque» comporta una mayor riesgo de recopilar comunicaciones no pertinentes, la PPD-28 limita el uso que los servicios de inteligencia pueden hacer de la inteligencia de señales recopilada en bloque a seis finalidades específicas. La PPD-28, así como las políticas de organismos que aplican la PPD-28, también establecen restricciones a la conservación y la difusión de la información personal adquirida a través de la inteligencia de señales, independientemente de si la información se ha recopilado en bloque o mediante un criterio de selección y sea cual sea la nacionalidad de las personas.

Así pues, la recopilación «en bloque» de los servicios de inteligencia no es una recopilación «en masa» o «indiscriminada», sino que implica la aplicación de métodos y herramientas para filtrar la recopilación a fin de centrarla en materiales que cumplan los requisitos de inteligencia internacional estipulados por los responsables políticos y, al mismo tiempo, se minimice la recopilación de información no pertinente y se proporcionen reglas estrictas para proteger la información no pertinente que pueda obtenerse. Las políticas y los procedimientos descritos en esta carta se aplican a todas las recopilaciones en bloque de inteligencia de señales, incluyendo cualquier recopilación en bloque de comunicaciones hacia Europa y desde Europa, sin confirmar ni negar si tal recopilación se produce o no.

Asimismo, usted ha solicitado más información sobre el Consejo de Supervisión de la Privacidad y de las Libertades Civiles (PCLOB) y los inspectores generales, y sus respectivas competencias. El PCLOB es una agencia independiente del poder ejecutivo. El Consejo es bipartidista y está formado por cinco miembros que son nombrados por el presidente y confirmados por el Senado (50). Cada miembro del Consejo tiene un mandato de seis años. Los miembros y el personal del Consejo reciben las autorizaciones de seguridad adecuadas para que puedan llevar a cabo plenamente sus funciones y responsabilidades legales (51).

La misión del PCLOB es garantizar el equilibrio entre las actividades del Gobierno Federal para la prevención del terrorismo y la necesidad de proteger la privacidad y las libertades civiles. El Consejo tiene dos responsabilidades fundamentales: la supervisión y el asesoramiento. El PCLOB establece su propio plan de trabajo y determina qué actividades de supervisión o asesoramiento desea llevar a cabo.

En su función de supervisión, el PCLOB revisa y analiza las acciones que efectúa el poder ejecutivo para proteger a la nación contra el terrorismo, asegurando que la necesidad de tales acciones mantenga el equilibrio con la necesidad de proteger la privacidad y las libertades civiles. (52) La supervisión que el PCLOB ha finalizado más recientemente se ha centrado en los programas de vigilancia aplicados conforme al artículo 702 de la FISA (53). En la actualidad está llevando a cabo una revisión de las actividades de inteligencia realizadas con arreglo a la Orden Ejecutiva 12333 (54).

En su función de asesoramiento, el PCLOB garantiza que los aspectos relativos a la libertad se tengan debidamente en cuenta en la elaboración y la aplicación de las leyes, los reglamentos y las políticas relacionadas con las tareas de protección de la nación contra el terrorismo (55).

Para llevar a cabo su misión, el Consejo está legalmente autorizado a tener acceso a todos los registros, informes, auditorías, revisiones, documentos, papeles y recomendaciones relevantes de las agencias, así como a cualquier otro material pertinente, incluyendo información clasificada de conformidad con la ley (56). Además, el Consejo puede entrevistar, tomar declaración o tomar testimonio público a cualquier funcionario o empleado del poder ejecutivo (57). Asimismo, el Consejo puede solicitar por escrito que el Fiscal General, en nombre del Consejo, emita citaciones que obliguen a partes externas al poder ejecutivo a proporcionar información pertinente (58).

Finalmente, el PCLOB está sujeto a los requisitos legales de transparencia pública. Esto incluye mantener al público informado de sus actividades mediante la celebración de audiencias públicas y la publicación de sus informes, en la medida que ello sea compatible con la protección de la información clasificada (59). Además, el PCLOB debe informar de la negativa de una agencia del poder ejecutivo a seguir su asesoramiento.

Los inspectores generales (IG) de los servicios de inteligencia realizan auditorías, inspecciones y revisiones de los programas y actividades de los servicios de inteligencia para identificar y abordar los riesgos sistémicos, las vulnerabilidades y las deficiencias. Además, los IG se encargan de investigar las reclamaciones o información de acusaciones de incumplimientos de las leyes, las normas o los reglamentos, así como su gestión indebida; del despilfarro de fondos; del abuso de autoridad o de un peligro sustancial y específico para la salud y la seguridad públicas en los programas y actividades de los servicios de inteligencia. La independencia del IG es un elemento fundamental para la objetividad y la integridad de todos los informes, resultados y recomendaciones. Algunos de los elementos más esenciales para el mantenimiento de la independencia del IG son el nombramiento y el proceso de destitución del IG; la separación de las autoridades operativas, presupuestarias y de personal; y los requisitos de doble notificación a los directores de las agencias del poder ejecutivo y al Congreso.

El Congreso creó una oficina del IG independiente en cada agencia del poder ejecutivo, incluyendo todos los elementos de los servicios de inteligencia. (60) Con la aprobación de la Ley de Autorización de Inteligencia del Ejercicio Fiscal 2015, casi todos los IG que realizan supervisión de un elemento de los servicios de inteligencia son nombrados por el presidente y confirmados por el Senado, incluyendo el Departamento de Justicia, la Agencia Central de Inteligencia, la Agencia de Seguridad Nacional y los servicios de inteligencia. (61) Además, estos IG son funcionarios permanentes y no partidistas que solo pueden ser destituidos por el presidente. Aunque la Constitución de EE. UU. otorga al presidente la competencia para destituir a los IG, esta competencia rara vez se ha ejercido y requiere que el presidente envíe al Congreso una justificación por escrito 30 días antes de la destitución de un IG (62). Este proceso de nombramiento del IG asegura que no haya influencias indebidas por parte de funcionarios del poder ejecutivo en la selección, el nombramiento o la destitución de un IG.

En segundo lugar, los IG tienen importantes competencias legales para realizar auditorías, investigaciones y revisiones de los programas y las operaciones del poder ejecutivo. Además de las investigaciones de supervisión y de las revisiones exigidas por ley, los IG tienen una amplia capacidad para ejercer autoridad de supervisión en la revisión de los programas y actividades que elijan (63). En el ejercicio de esta autoridad, la ley asegura que los IG dispongan de recursos independientes para llevar a cabo sus responsabilidades, incluyendo la autoridad para contratar a su propio personal y documentar por separado sus solicitudes presupuestarias al Congreso (64). La ley garantiza a los IG el acceso a la información necesaria para llevar a cabo sus responsabilidades. Esto incluye la capacidad de acceder directamente a todos los registros de las agencias y a la información que detalla los programas y operaciones de las agencias, independientemente de la clasificación; la autoridad sobre información y documentos de citaciones; y la autoridad para tomar juramento (65). En casos excepcionales, el director de una agencia del poder ejecutivo podrá prohibir la actividad de un IG cuando, por ejemplo, una auditoría o investigación de un IG pueda perjudicar significativamente los intereses estadounidenses en materia de seguridad nacional. Asimismo, el ejercicio de esta competencia es extremadamente inusual y requiere que el director de la agencia notifique al Congreso en un plazo de 30 días las razones para el ejercicio de la misma (66). De hecho, el director de inteligencia nacional no ha aplicado nunca esta competencia de limitación a las actividades de ningún IG.

En tercer lugar, los IG tienen la responsabilidad de mantener completa y puntualmente informados a los directores de las agencias del poder ejecutivo y al Congreso mediante informes de fraude y otros problemas graves, usos indebidos y deficiencias relativos a los programas y actividades del poder ejecutivo (67). El doble informe refuerza la independencia del IG aportando transparencia al proceso de supervisión del IG y ofreciendo a los directores de las agencias la oportunidad para poner en práctica las recomendaciones del IG antes de que el Congreso pueda adoptar medidas legislativas. Por ejemplo, los IG están legalmente obligados a elaborar informes semestrales que describan este tipo de problemas, así como las acciones correctoras aplicadas hasta la fecha (68). Las agencias del poder ejecutivo tienen en cuenta seriamente los resultados y las recomendaciones de los IG y, a menudo, los IG pueden incluir la aceptación y la aplicación de sus recomendaciones por parte de las agencias en dichos informes y en otros informes presentados al Congreso y, a veces, al público (69). Además de esta estructura de doble informe de los IG, los IG también son responsables de guiar a los denunciantes del poder ejecutivo hasta los comités de supervisión del Congreso pertinentes para efectuar revelaciones de presunto fraude, despilfarro o uso abusivo en los programas y actividades del poder ejecutivo. Las identidades de los comparecientes están protegidas contra la revelación al poder ejecutivo, que protege a los denunciantes de posibles acciones personales prohibidas o acciones de autorización de seguridad adoptadas en represalia a la información a los IG (70). Dado que los denunciantes son a menudo las fuentes de las investigaciones de los IG, la capacidad de notificar sus sospechas al Congreso sin recibir influencia del poder ejecutivo aumenta la eficacia de la supervisión de los IG. Debido a esta independencia, los IG pueden promover la economía, la eficacia y la rendición de cuentas en las agencias del poder ejecutivo con objetividad e integridad.

Finalmente, el Congreso ha creado el Consejo de inspectores generales sobre Integridad y Eficiencia. Este Consejo, entre otras cosas, desarrolla normas de los IG para auditorías, investigaciones y revisiones; promueve la formación; y tiene la competencia para revisar las alegaciones de mala conducta de los IG, lo que sirve como mecanismo de vigilancia de los IG, quienes tienen la responsabilidad de vigilar a todos los demás (71).

Espero que esta información le resulte de utilidad.