La protección de datos personales en la más reciente jurisprudencia del TJUE: los derechos de la CDFUE como parámetro de validez del derecho europeo, y su impacto en la relación transatlántica UE-EEUU

Abstract

Desde los primeros capítulos de la construcción europea con el Tratado de Roma (1957) que cumple 60 años, la jurisprudencia dictada por el Tribunal de Justicia ha sido determinante para la dimensión constitucional del ordenamiento comunitario. En una secuencia de decisiones históricas, el TJ ha afirmado su primacía, eficacia vinculante y su unidad garantizando su interpretación y aplicación uniforme, pero también, sobre todo, los derechos fundamentales dimanantes de las tradiciones constitucionales comunes como fuente del Derecho europeo (principios generales). Esta doctrina se consolida en Derecho positivo, al fin, con la entrada en vigor del Tratado de Lisboa (TL) en 2009, incorporando el TUE, el TFUE, y, relevantemente, la Carta de Derechos Fundamentales de la UE (CDFUE) con el «mismo valor jurídico que los Tratados» y, consiguientemente, parámetro de validez de todo el Derecho derivado, así como de enjuiciamiento de la compatibilidad de la legislación de los EE.MM con el Derecho europeo.La doctrina del TJUE sobre derechos fundamentales ha sido su proyección sobre la protección de datos en el marco de los derechos a la vida privada, a la privacidad frente a la transferencia electrónica de datos y al acceso a la tutela judicial de estos derechos (art. 7, 8 y 47 CDFUE). En ella conjuga los principios de reserva de ley (respetando su contenido esencial) y de proporcionalidad y necesidad de las medidas que les afecten. Pero, además, esta doctrina ha adquirido un impacto decisivo en la articulación jurídica de la relación transatlántica entre la UE y EEUU, confrontando los estándares de protección de datos a ambos lados del Atlántico e imponiendo garantías de un «nivel de protección adecuado» para los ciudadanos europeos. Este artículo examina el impacto de dos recientes sentencias relevantes del TJ —Asunto Digital Rights Ireland (2014) y Asunto Schrems (2015)— sobre el Derecho derivado (Directiva de Conservación de Datos de 2006, Directiva de Protección de Datos de 1995, y Decisión de «adecuación» de la Comisión Europea de 2000) y sobre instrumentos de Derecho internacional (Acuerdo Safe Harbour) entre la UE y EEUU. Impone, como consecuencia, no sólo una negociación que repare las deficiencias detectadas en ambas resoluciones sino una actualización del Derecho europeo (nuevo Data Protection Package en 2016) y una novedosa Ley federal de EEUU que por primera vez ofrece a los ciudadanos europeos acceso al sistema de recursos judiciales ante los tribunales estadounidenses en la defensa del derecho a la protección de datos (Judicial Redress Act, 2016).

Right from the first very chapters of the European construction under the Treaty of Rome (1957), which turns 60 this year 2017, the jurisprudence by the Court of Justice has truly been decisive to shape the constitutional dimension of the European Community legal order. In a series of historical decisions, the CJEU has affirmed its primacy, its binding efficacy and unity, while guaranteeing its uniform interpretation and implementation. But it has also, above all, enshrined the fundamental rights resulting from the common constitutional traditions as a source of European Law (i.e general principles). This legal doctrine has been ultimately consolidated in positive Law, finally, with the entry into force of the Treaty of Lisbon (TL) in 2009, incorporating the TEU, the TFEU and, most notably, the Charter of Fundamental Rights of the EU (CFREU) with the «same legal value as the Treaties». Charter Fundamental Rights have turned to be, consequently, a parameter for examining the validity of secondary EU legislation, as well as for scrutinizing and reviewing the standard of compatibility of the national legislation of EU Member States with European law. The legal doctrine of the ECJ on fundamental rights has been particularly relevant in its impact on the data protection in the framework of the rights to privacy, privacy with regard to the electronic data transfer, and access to judicial protection of these rights (art. 7, 8 and 47 CFREU). It combines the principles of reservation of law (in due respect of its essential content) as well as proportionality and necessity for legislative measures that might affect them. But, moreover, this doctrine has had a decisive impact on the legal articulation of the so-called transatlantic partnership between the EU and the US, confronting data protection standards on both sides of the Atlantic and imposing guarantees of an «adequate level of protection» for all European citizens. This paper explores the impact of two recent relevant decisions by the ECJ — its rulings on Digital Rights Ireland case (2014) and on the Schrems case (2015) — upon the secondary EU legislation (Data Retention Directive of 2006, Data Protection Directive of 1995, and the «adequacy» Decision of the European Commission of 2000), as well as upon International Law instruments (Safe Harbour Agreement) between the EU and the US. It imposes, as a consequence, not only a negotiation that remedies the shortcomings detected in both decisions, but also a compelling updating of European law itself (new Data Protection Package in 2016) and a new US federal law, which, for the first time ever, provides European citizens with access to judicial remedies in U.S. Courts in defending their right to data protection (Judicial Redress Act, 2016).