Schrems II: qué implica la sentencia para las empresas y por qué es relevante en 2026

El 16 de julio de 2020, el Tribunal de Justicia de la Unión Europea (TJUE) declaró nulo el Escudo de Privacidad UE-EE. UU. La sentencia del asunto C-311/18, conocida como «Schrems II», es una de las resoluciones en materia de protección de datos de mayor alcance de los últimos años.

Para las empresas que transfieren datos personales a Estados Unidos, o que utilizan servicios estadounidenses que lo hacen, esta sentencia ha modificado el marco jurídico.

Este artículo resume lo que dictaminó el TJUE, cuáles fueron las consecuencias de la sentencia y por qué sigue siendo relevante a la luz del actual debate sobre el caso «Schrems III».

Nota: Este artículo tiene fines meramente informativos y no constituye asesoramiento jurídico. Se recomienda solicitar asesoramiento jurídico para una evaluación legal en cada caso concreto.

¿Qué ocurrió antes de Schrems II? Los antecedentes

Safe Harbor (2000-2015)

Desde el año 2000, las empresas de la UE han podido transferir datos personales a Estados Unidos en virtud del Acuerdo de«Safe Harbor». El acuerdo se basaba en una decisión de la Comisión Europea según la cual Estados Unidos garantizaba un nivel adecuado de protección de datos.

El 6 de octubre de 2015, el Tribunal de Justicia de la Unión Europea (TJUE) declaró nulo este acuerdo en su sentencia C-362/14, conocida como «Schrems I». El caso se originó a raíz de una demanda presentada por el abogado austriaco Max Schrems contra Facebook Ireland. Schrems alegó que las leyes de vigilancia vigentes en Estados Unidos —en particular, el artículo 702 de la FISA y la Orden Ejecutiva 12333— no ofrecen un nivel de protección de los datos personales comparable al previsto en la legislación de la UE.

El TJUE se mostró de acuerdo con este razonamiento.

Escudo de Privacidad (2016-2020)

El Escudo de Privacidad UE-EE. UU. entró en vigor en agosto de 2016 como su sucesor. Entre otras cosas, incluía garantías del Gobierno de EE. UU. de que el acceso de las agencias de inteligencia a los datos europeos se limitaría a lo que fuera «necesario y proporcionado». Además, se nombró a un defensor del pueblo en el Departamento de Estado de EE. UU., al que los ciudadanos de la UE podían acudir para presentar reclamaciones.

Más de 5 300 empresas estadounidenses obtuvieron la certificación en el marco del Escudo de Privacidad.

¿Qué dictaminó el TJUE en el asunto Schrems II?

El 16 de julio de 2020, el TJUE dictó su sentencia en el asunto C-311/18 (Comisionado de Protección de Datos contra Facebook Ireland Ltd. y Maximilian Schrems). Los puntos clave de la sentencia son los siguientes:

1. Se declara inválido el Escudo de Privacidad

El TJUE consideró que el acceso de los servicios de inteligencia estadounidenses a los datos personales de los ciudadanos de la UE no se limita a lo «estrictamente necesario», tal y como exige la Carta de los Derechos Fundamentales de la UE (apartados 178 a 185 de la sentencia).

En opinión del Tribunal, la Defensora del Pueblo del Departamento de Estado de EE. UU. no cumplía los requisitos para constituir una vía de recurso efectiva, ya que no era independiente ni estaba facultada para dictar resoluciones vinculantes contra las agencias de inteligencia (apartados 195 a 197).

2. Las cláusulas contractuales tipo (CCT) siguen siendo válidas en principio

El TJUE declaró que las cláusulas contractuales tipo (CCT) aprobadas por la Comisión Europea siguen siendo válidas en principio. Sin embargo, esto está sujeto a una limitación significativa:

Los exportadores de datos deben evaluar, caso por caso, si la legislación del país de destino garantiza en la práctica el nivel de protección que aseguran las SCC (apartado 134 de la sentencia).

Si no fuera así, se requieren «medidas adicionales» para garantizar un nivel de protección equivalente al que ofrece la legislación de la UE.

3. Obligaciones de las autoridades de control de protección de datos

El TJUE también aclaró que las autoridades nacionales de control de la protección de datos deben suspender o prohibir las transferencias de datos a terceros países si concluyen que no se garantiza una protección adecuada, incluso cuando se utilicen las CCT (apartado 121).

¿Cuáles fueron las consecuencias de la sentencia?

Recomendaciones del EDSA

En noviembre de 2020, el Comité Europeo de Protección de Datos (EDPB) publicó la Recomendación 01/2020 sobre medidas complementarias para las transferencias a terceros países. En ella, el EDPB estableció un proceso de evaluación de seis pasos:

1. Identificar las transferencias de datos: ¿qué datos se transfieren y a dónde se envían?
2. Evaluar el mecanismo de transferencia: ¿qué base jurídica se está utilizando?
3. Evaluar la situación jurídica en el tercer país: ¿Existen leyes que socaven la protección?
4. Identificar medidas complementarias: técnicas, organizativas y contractuales
5. Aplicar las medidas: cifrado, seudonimización, etc.
6. Revisar periódicamente: evaluación continua de la situación jurídica

Evaluaciones de impacto de la transferencia (TIA)

En la práctica, la sentencia supuso que las empresas tuvieran que realizar las denominadas evaluaciones de impacto de la transferencia (TIA) antes de poder transferir datos personales a EE. UU. basándose en las CCT. El objetivo de estas TIA era documentar si el marco jurídico estadounidense menoscaba, en la práctica, la protección de los datos transferidos.

Nuevas cláusulas contractuales tipo (junio de 2021)

El 4 de junio de 2021, la Comisión Europea publicó nuevas cláusulas contractuales tipo que tenían en cuenta los requisitos de la sentencia Schrems II. Se exigió a las empresas que realizaran la transición a las nuevas SCC antes del 27 de diciembre de 2022.

¿Qué tiene que ver la sentencia Schrems II con el Marco de Protección de Datos?

A raíz de la sentencia, la UE y EE. UU. negociaron un nuevo marco para las transferencias de datos. El 7 de octubre de 2022, el presidente de EE. UU., Biden, firmó la Orden Ejecutiva 14086, que, entre otras cosas:

• tiene por objeto limitar el acceso de los servicios de inteligencia estadounidenses a los datos europeos a lo que sea «necesario y proporcionado»
• introdujo un nuevo procedimiento de recurso: el Tribunal de Revisión de Protección de Datos (DPRC)

Sobre esta base, la Comisión Europea adoptó la Decisión de Adecuación relativa al Marco de Protección de Datos UE-EE. UU. (DPF) el 10 de julio de 2023.

El DPF es el sucesor del Escudo de Privacidad, que fue declarado nulo por la sentencia Schrems II. Se basa en la orden ejecutiva del presidente Biden y en la función de supervisión de la Comisión Federal de Comercio de EE. UU. (FTC).

En cuanto a los últimos acontecimientos: el 29 de junio de 2026, el Tribunal Supremo de EE. UU. dictaminó en elcaso Trump contra Slaughter que la independencia de la FTC es inconstitucional. Analizamos las implicaciones de esto para el DPF en nuestro artículo sobre el caso Schrems III.

Cronología: desde «Safe Harbor» hasta hoy

Lo que las empresas pueden aprender del caso Schrems II

La sentencia Schrems II ha demostrado que las decisiones de adecuación de la Comisión Europea pueden ser anuladas por el Tribunal de Justicia de la Unión Europea si la base jurídica en el tercer país resulta insuficiente. Ya se han declarado inválidas dos decisiones de adecuación: «Safe Harbor» y «Privacy Shield».

Según numerosos expertos en protección de datos, esto plantea las siguientes consideraciones para las empresas que tratan datos personales:

• Documentar la base jurídica: debe documentarse la base sobre la que se realizan las transferencias de datos a terceros países.
• Evaluar la dependencia de marcos jurídicos individuales: las empresas que se basan exclusivamente en una decisión de adecuación asumen el riesgo de que esta sea anulada, tal y como ocurrió con «Safe Harbor» y «Privacy Shield».
• Evaluar alternativas europeas: cuando se tratan datos personales, elegir un proveedor con sede en la UE que también trate los datos allí puede reducir la carga jurídica, ya que no se produce ninguna transferencia a un tercer país.
• Seguir de cerca la evolución de la situación: El panorama jurídico de las transferencias transatlánticas de datos ha experimentado varios cambios fundamentales desde 2015. Se recomienda realizar revisiones periódicas.

El tratamiento de datos en Europa como alternativa

Cuando no se transfieren datos a un tercer país, no se plantean las cuestiones planteadas por el caso Schrems II.

Passcreator Passcreator procesa todos los datos exclusivamente en Alemania, en centros de datos gestionados por un proveedor alemán. Dado que no es una empresa estadounidense y no está sujeta a la legislación de EE. UU., no hay fundamento para la aplicación de la Ley de la Nube de EE. UU. ni para obligaciones de divulgación similares.

Para las empresas que utilizan tarjetas y pases digitales para Apple Wallet o Google Wallet —como tarjetas de fidelización digitales, tarjetas de seguro digitales, tarjetas de socio o credenciales de acceso—, esto significa que no se aplican las cuestiones de protección de datos relacionadas con las transferencias a terceros países.

→ Más información sobre Passcreator como plataforma europea de monederos digitales

Preguntas frecuentes (FAQ)

¿Qué establece la sentencia Schrems II?

El 16 de julio de 2020, el Tribunal de Justicia de la Unión Europea (TJUE) declaró inválido el Escudo de Privacidad UE-EE. UU. (Asunto C-311/18). El Tribunal consideró que las leyes de vigilancia de EE. UU. no ofrecen un nivel de protección de los datos personales comparable al que establece la legislación de la UE, y que las garantías previstas en el Escudo de Privacidad no cumplen los requisitos de la Carta de los Derechos Fundamentales de la UE.

¿Siguen siendo válidas las cláusulas contractuales tipo (SCC) a la luz de la sentencia Schrems II?

El TJUE ha declarado válidas las SCC en general, pero ha aclarado que los exportadores de datos deben evaluar, caso por caso, si la legislación del país destinatario garantiza una protección efectiva. De no ser así, se requieren medidas adicionales.

¿Cuál es la diferencia entre Schrems I y Schrems II?

El caso Schrems I (2015) se refería al Acuerdo de Puerto Seguro y condujo a su invalidación. El caso Schrems II (2020) se refería a su sucesor, el Escudo de Privacidad, y también condujo a su invalidación. En ambos casos, el TJUE consideró que el marco jurídico estadounidense no ofrece una protección adecuada para los datos personales procedentes de la UE.

¿Qué es el Marco de Protección de Datos (DPF)?

El DPF es el sucesor del «Privacy Shield», que entró en vigor en julio de 2023. Se basa en la Orden Ejecutiva 14086 emitida por el presidente de EE. UU., Biden. En junio de 2026, el Tribunal Supremo de EE. UU. cuestionó la independencia de la FTC, que desempeña un papel supervisor fundamental en el DPF. Actualmente se está debatiendo cómo afecta esto a la validez del DPF.

¿Cómo se pueden evitar las transferencias de datos a EE. UU.?

Recurriendo a proveedores con sede en la UE que, además, realicen todo el tratamiento de datos íntegramente dentro de la UE. En este caso, no se produce ninguna transferencia a un tercer país y no se aplican los requisitos de la sentencia Schrems II.

Fuentes

• TJUE, sentencia de 16 de julio de 2020, C-311/18 – EUR-Lex
• TJUE, sentencia de 6 de octubre de 2015, C-362/14 – EUR-Lex
• Comisión Europea, Decisión de adecuación sobre el DPF, 10 de julio de 2023 – EUR-Lex
• Comisión Europea, Nuevas cláusulas contractuales tipo, 4 de junio de 2021 – EUR-Lex
• EDSA, Recomendaciones 01/2020 – CEPD
• BfDI, Repercusiones de la sentencia Schrems II – bfdi.bund.de

Este artículo tiene fines meramente informativos y refleja las opiniones de Passcreator. No constituye asesoramiento jurídico. Se recomienda consultar a un asesor jurídico para obtener una valoración jurídica en cada caso concreto.