Qué invalidó Schrems II y qué vino después

¿Qué fue Schrems II?

El Tribunal de Justicia de la Unión Europea resolvió Schrems II, asunto C-311/18, el 16 de julio de 2020, y en una sola sentencia invalidó el Privacy Shield UE-EE. UU. y mantuvo válidas las cláusulas contractuales tipo, o CCT, en condiciones más estrictas. La Gran Sala respondió a una petición de decisión prejudicial de la High Court irlandesa en un litigio entre el Data Protection Commissioner, por una parte, y Facebook Ireland Ltd y Maximillian Schrems, por otra, "en relación con una reclamación presentada por este por lo que respecta a la transferencia de sus datos personales por parte de Facebook Ireland a Facebook Inc. en los Estados Unidos." Su identificador de jurisprudencia es ECLI:EU:C:2020:559.

El "II" indica que es el segundo asunto Schrems. En el primero, resuelto el 6 de octubre de 2015 como asunto C-362/14, el tribunal declaró inválida la Decisión 2000/520/CE de la Comisión, de 26 de julio de 2000, la decisión de puerto seguro (Safe Harbour). El Privacy Shield sustituyó a Safe Harbour, y Schrems II tumbó también al sustituto.

¿Qué resolvió el tribunal en Schrems II?

El tribunal dictó cinco pronunciamientos en el fallo de la sentencia: uno sobre el ámbito de aplicación, dos sobre cómo funcionan las transferencias con CCT, uno que confirma la decisión de CCT y otro que anula el Privacy Shield. El primero confirma que el RGPD se aplica a una transferencia comercial aunque los servicios de seguridad del país de destino puedan acceder a los datos. Los puntos 2 a 5 dicen, según el texto en español de EUR-Lex:

2. El artículo 46, apartados 1 y apartado 2, letra c), del Reglamento 2016/679 debe interpretarse en el sentido de que las garantías adecuadas, los derechos exigibles y las acciones legales efectivas requeridas por dichas disposiciones deben garantizar que los derechos de las personas cuyos datos personales se transfieren a un país tercero sobre la base de cláusulas tipo de protección de datos gozan de un nivel de protección sustancialmente equivalente al garantizado dentro de la Unión Europea por el referido Reglamento, interpretado a la luz de la Carta de los Derechos Fundamentales de la Unión Europea. A tal efecto, la evaluación del nivel de protección garantizado en el contexto de una transferencia de esas características debe, en particular, tomar en consideración tanto las estipulaciones contractuales acordadas entre el responsable o el encargado del tratamiento establecidos en la Unión Europea y el destinatario de la transferencia establecido en el país tercero de que se trate como, por lo que atañe a un eventual acceso de las autoridades públicas de ese país tercero a los datos personales de ese modo transferidos, los elementos pertinentes del sistema jurídico de dicho país y, en particular, los mencionados en el artículo 45, apartado 2, del referido Reglamento.

3. El artículo 58, apartado 2, letras f) y j), del Reglamento 2016/679 debe interpretarse en el sentido de que, a no ser que exista una decisión de adecuación válidamente adoptada por la Comisión Europea, la autoridad de control competente está obligada a suspender o prohibir una transferencia de datos a un país tercero basada en cláusulas tipo de protección de datos adoptadas por la Comisión, cuando esa autoridad de control considera, a la luz de todas las circunstancias específicas de la referida transferencia, que dichas cláusulas no se respetan o no pueden respetarse en ese país tercero y que la protección de los datos transferidos exigida por el Derecho de la Unión, en particular, por los artículos 45 y 46 del mencionado Reglamento y por la Carta de los Derechos Fundamentales, no puede garantizarse mediante otros medios, si el responsable o el encargado del tratamiento establecidos en la Unión no han suspendido la transferencia o puesto fin a esta por sí mismos.

4. El examen de la Decisión 2010/87/UE de la Comisión, de 5 de febrero de 2010, relativa a las cláusulas contractuales tipo para la transferencia de datos personales a los encargados del tratamiento establecidos en terceros países, de conformidad con la Directiva 95/46/CE del Parlamento Europeo y del Consejo, en su versión modificada por la Decisión de Ejecución (UE) 2016/2297 de la Comisión, de 16 de diciembre de 2016, a la luz de los artículos 7, 8 y 47 de la Carta de los Derechos Fundamentales no ha puesto de manifiesto la existencia de ningún elemento que pueda afectar a la validez de dicha Decisión.

5. La Decisión de Ejecución (UE) 2016/1250 de la Comisión, de 12 de julio de 2016, con arreglo a la Directiva 95/46/CE del Parlamento Europeo y del Consejo, sobre la adecuación de la protección conferida por el Escudo de la Privacidad UE-EE. UU., es inválida.

El punto 5 es el titular. El punto 4 mantuvo válida la decisión de CCT, y los puntos 2 y 3 imponen condiciones a cada transferencia hecha con ella: cada una necesita ahora su propia revisión del Derecho del país de destino.

¿Por qué invalidó el tribunal el Privacy Shield?

El tribunal invalidó el Privacy Shield por dos motivos: la legislación de vigilancia estadounidense no era proporcionada, y los residentes en la UE no tenían una vía de recurso efectiva ante un órgano independiente. Sobre el primer motivo, el apartado 184 declaró que "ni el artículo 702 de la FISA ni la E.O. 12333, interpretados en relación con la PPD-28, satisfacen las exigencias mínimas establecidas por el Derecho de la Unión con respecto al principio de proporcionalidad, de modo que no puede considerarse que los programas de vigilancia basados en esas disposiciones se limiten a lo estrictamente necesario."

Sobre el segundo motivo, la decisión del Privacy Shield se apoyaba en un defensor del pueblo (ombudsperson) que, como recuerda el apartado 195, era nombrado por el secretario de Estado y "forma parte integrante del Departamento de Estado". El apartado 197 declaró que el mecanismo "no proporciona ninguna vía de recurso ante un órgano que ofrezca a las personas cuyos datos se transfieren a los Estados Unidos garantías sustancialmente equivalentes a las exigidas en el artículo 47 de la Carta." El artículo 47 es el derecho de la Carta a la tutela judicial efectiva y a un juez imparcial.

El tribunal no concedió periodo de gracia. El apartado 202 rechazó mantener la decisión en vigor de forma temporal porque, habida cuenta del artículo 49 del RGPD, que enumera excepciones como el consentimiento explícito a una transferencia, la anulación "no crea tal vacío legal". El Privacy Shield dejó de ser una base válida para transferir datos el mismo día de la sentencia.

¿Qué pasó con las cláusulas contractuales tipo después de Schrems II?

Las cláusulas contractuales tipo siguieron siendo válidas, pero el exportador pasó a ser responsable de comprobar si el país de destino permite al importador cumplirlas. El apartado 134 pone esa obligación en la empresa que envía los datos:

Corresponde, por tanto, ante todo, a ese responsable o encargado del tratamiento comprobar, caso por caso y, si es preciso, en colaboración con el destinatario de la transferencia, si el Derecho del tercer país de destino garantiza una protección adecuada, a la luz del Derecho de la Unión, de los datos personales transferidos sobre la base de cláusulas tipo de protección de datos, proporcionado, cuando sea necesario, garantías adicionales a las ofrecidas por dichas cláusulas.

El apartado 135 establece la consecuencia cuando esa comprobación falla: el exportador o, con carácter subsidiario, la autoridad de control "están obligados a suspender o poner fin a la transferencia de datos personales al país tercero de que se trate."

Después llegaron dos documentos. El EDPB adoptó el 18 de junio de 2021 la versión final de sus Recomendaciones 01/2020 sobre medidas que complementan los instrumentos de transferencia. La Comisión adoptó el 4 de junio de 2021 un nuevo juego de CCT en la Decisión de Ejecución (UE) 2021/914. La cláusula 14 de las nuevas cláusulas lleva la comprobación de Schrems II al propio contrato. En la cláusula 14(a), las partes "aseguran que no tienen motivos para creer que el Derecho y las prácticas del tercer país de destino aplicables al tratamiento de los datos personales por el importador de datos, especialmente los requisitos para la comunicación de los datos personales o las medidas de autorización de acceso por parte de las autoridades públicas, impidan al importador de datos cumplir las obligaciones que le atribuye el presente pliego de cláusulas." La cláusula 14(d) añade: "Las partes acuerdan documentar la evaluación a que se refiere la letra b) y ponerla a disposición de la autoridad de control competente previa solicitud." Esa evaluación documentada es lo que los profesionales llaman una evaluación de impacto de la transferencia.

El artículo 4 de la Decisión 2021/914 derogó la decisión de 2010 "con efecto a partir del 27 de septiembre de 2021" y permitió que los contratos anteriores siguieran contando como garantías adecuadas solo "hasta el 27 de diciembre de 2022", siempre que el tratamiento no cambiara.

¿Qué sustituyó al Privacy Shield?

El EU-US Data Privacy Framework sustituyó al Privacy Shield, mediante la Decisión de Ejecución (UE) 2023/1795 de la Comisión, de 10 de julio de 2023. Se apoya en un cambio en la legislación estadounidense: el considerando 6 de la decisión recoge que "el 7 de octubre de 2022 se aprobó en los Estados Unidos (en lo sucesivo, 'EE. UU.') el Decreto Presidencial n.º 14086, titulado 'Refuerzo de las garantías en las actividades de inteligencia de señales de los Estados Unidos'", al que complementa un reglamento del Attorney General que crea el Tribunal de Recurso en Materia de Protección de Datos (Data Protection Review Court). Esos dos instrumentos responden a los dos motivos de los apartados 184 y 197. El artículo 1 de la decisión dice:

A efectos del artículo 45 del Reglamento (UE) 2016/679, los Estados Unidos garantizan un nivel de protección adecuado de los datos personales transferidos desde la Unión a las entidades estadounidenses que figuren en la lista del Marco de Privacidad de Datos, publicada y actualizada por el Departamento de Comercio de los Estados Unidos en virtud de la sección I, punto 3, del anexo I.

El alcance es más estrecho que "los Estados Unidos". La adecuación solo cubre a las entidades de esa lista. Una transferencia a una empresa estadounidense que no se ha autocertificado sigue necesitando un instrumento del artículo 46, y el artículo 46(1) del RGPD solo permite al responsable o al encargado transmitir esos datos "si hubiera ofrecido garantías adecuadas y a condición de que los interesados cuenten con derechos exigibles y acciones legales efectivas." Para esas transferencias, la evaluación de Schrems II sigue siendo obligatoria. El artículo 3 de la decisión obliga a la Comisión a supervisar el marco de forma continua y prevé que, si es necesario, "suspenderá, modificará o derogará la presente Decisión o limitará su ámbito de aplicación" con arreglo al artículo 45(5) del RGPD.

¿Es el Data Privacy Framework Derecho asentado?

No. El Data Privacy Framework ha superado su primera impugnación judicial, y esa sentencia está recurrida. Philippe Latombe, demandante de Nantes (Francia), interpuso el asunto T-553/23 ante el Tribunal General el 6 de septiembre de 2023. El presidente del Tribunal General denegó la suspensión cautelar de la decisión el 12 de octubre de 2023. El 3 de septiembre de 2025, la Sala Décima ampliada falló: "Desestimar el recurso." Irlanda y Estados Unidos intervinieron del lado de la Comisión. Latombe interpuso recurso de casación el 31 de octubre de 2025, asunto C-703/25 P, y el Tribunal de Justicia lo muestra como pendiente.

Mientras el Tribunal de Justicia no resuelva, una empresa puede apoyarse en la decisión de 2023 para transferencias a entidades de la lista, porque una decisión de adecuación sigue en vigor hasta que se deroga o se anula. El riesgo es el mismo que vivieron los usuarios del Privacy Shield el 16 de julio de 2020: una anulación surte efecto el día de la sentencia, y el apartado 202 de Schrems II muestra que el tribunal no concederá un periodo transitorio cuando se pueda recurrir al artículo 49.

¿Qué significa Schrems II para la analítica web?

Schrems II significa que cada proveedor de analítica o de etiquetas que envía datos de visitantes de la UE a Estados Unidos necesita una base válida para ese flujo, comprobada proveedor por proveedor. Cómo afectó la sentencia a Google Analytics se sigue en el análisis de si GA4 cumple el RGPD. Comprueba si la entidad estadounidense del proveedor aparece en la lista del Data Privacy Framework. Si no aparece, busca CCT y una evaluación documentada según la cláusula 14. La base de la transferencia es una cuestión distinta de la base jurídica del tratamiento: una decisión de adecuación no hace lícito el tratamiento, y el interés legítimo en el RGPD tampoco hace lícita una transferencia. La ubicación del alojamiento tampoco resuelve por sí sola la cuestión de la transferencia, un punto que desarrolla el artículo sobre soberanía digital y ubicación de los datos. Para una lista corta de herramientas evaluadas con estos criterios, consulta la comparativa de alternativas a Google Analytics centradas en el RGPD.

Preguntas frecuentes

¿Cuál es el número de asunto y la fecha de Schrems II?

Schrems II es el asunto C-311/18, Data Protection Commissioner contra Facebook Ireland Ltd y Maximillian Schrems. La Gran Sala del Tribunal de Justicia dictó la sentencia el 16 de julio de 2020, con el identificador ECLI:EU:C:2020:559. El asunto se presentó el 9 de mayo de 2018.

¿Prohibió Schrems II las transferencias de datos a Estados Unidos?

No. Invalidó una base de transferencia, la decisión de adecuación del Privacy Shield, y confirmó la decisión de CCT. Las transferencias con CCT siguieron siendo posibles si el exportador comprobaba que la legislación estadounidense permitía cumplir al importador, añadía garantías cuando hacía falta y suspendía la transferencia cuando no era posible.

¿Qué diferencia hay entre Schrems I y Schrems II?

Schrems I, asunto C-362/14 resuelto el 6 de octubre de 2015, invalidó la decisión de puerto seguro de 26 de julio de 2000. Schrems II, resuelto el 16 de julio de 2020, invalidó a su sucesor, el Privacy Shield, y fijó condiciones para las cláusulas contractuales tipo. Los dos empezaron con reclamaciones de Maximillian Schrems sobre las transferencias de Facebook a Estados Unidos.

¿Siguen siendo válidas las antiguas cláusulas contractuales tipo de 2010?

No. La Decisión de Ejecución (UE) 2021/914 derogó la Decisión 2010/87/UE con efecto a partir del 27 de septiembre de 2021. Los contratos firmados con las antiguas cláusulas antes de esa fecha contaron como garantías adecuadas solo hasta el 27 de diciembre de 2022, y solo si el tratamiento no cambiaba.

¿El Data Privacy Framework cubre a todas las empresas estadounidenses?

No. El artículo 1 de la Decisión 2023/1795 limita la adecuación a las entidades "que figuren en la lista del Marco de Privacidad de Datos", que mantiene el Departamento de Comercio de Estados Unidos. Un destinatario estadounidense fuera de esa lista necesita una garantía del artículo 46, como las CCT.

¿Podría anularse el Data Privacy Framework como el Privacy Shield?

Sí, si el Tribunal de Justicia lo anula en casación. El Tribunal General desestimó el recurso de Latombe el 3 de septiembre de 2025, y la casación, asunto C-703/25 P, está pendiente. La Comisión también puede suspender, modificar o derogar la decisión según el artículo 45(5) del RGPD si la protección en Estados Unidos se queda corta.

¿Qué es una evaluación de impacto de la transferencia?

Una evaluación de impacto de la transferencia es la comprobación documentada que exige la cláusula 14 de las cláusulas tipo de 2021 antes de cada transferencia. El exportador registra si la ley del país de destino permite al importador cumplir las cláusulas, y pone ese registro a disposición de la autoridad de control cuando lo pide, conforme a la cláusula 14(d). El nombre viene de la práctica profesional, no de la sentencia, aunque el apartado 134 de Schrems II creó la obligación que hay detrás.

¿Quién presentó la denuncia que dio lugar a Schrems II?

Maximillian Schrems denunció que la transferencia de sus datos personales por parte de Facebook Ireland a Facebook Inc. en Estados Unidos lo exponía a la vigilancia estadounidense sin un recurso efectivo. El Tribunal Superior irlandés remitió su caso al Tribunal de Justicia, que lo resolvió como C-311/18 entre el Data Protection Commissioner, Facebook Ireland Ltd y Schrems. Antes ya había presentado la denuncia que dio lugar a Schrems I en 2015.

¿Qué es la Executive Order 14086?

La Executive Order 14086, "Enhancing Safeguards for US Signals Intelligence Activities", es la medida estadounidense que la Comisión cita en el considerando 6 de la Decisión 2023/1795 como base del Data Privacy Framework. Estados Unidos la adoptó el 7 de octubre de 2022, junto con un reglamento del Attorney General que creó el Data Protection Review Court. Entre los dos instrumentos pretenden responder a los problemas de proporcionalidad y recurso efectivo que el tribunal señaló en los apartados 184 y 197 de Schrems II.

¿Qué es el Data Protection Review Court?

El Data Protection Review Court es el órgano que un reglamento del Attorney General estadounidense creó junto con la Executive Order 14086, para dar a los interesados de la UE una vía para impugnar el acceso de la inteligencia de señales de EE. UU. a sus datos. Su función es responder al problema de recurso efectivo del apartado 197 de Schrems II, donde el mecanismo del ombudsperson del Privacy Shield se consideró no equivalente al artículo 47 de la Carta. La Comisión se apoya en ambos instrumentos como fundamento de la decisión de adecuación de 2023.