Sentencia del Tribunal de Justicia de la Unión Europea de 16 de Julio de 2020 (Asunto C-311/18)

Abstract

La finalidad de este trabajo consiste en analizar la sentencia del TJUE de 16 de julio de 2020 (en adelante Schrems II) como presupuesto para entender cuál son las razones que llevaron al Tribunal de Justicia de la Unión Europea a invalidar la Decisión 2016/1250 de la Comisión (Privacy Shield), cuál son las consecuencias de este dictamen y, cuál es la situación actual en relación con la protección de datos personales en las transferencias internacionales. La sentencia Schrems II surge como consecuencia de una resolución previa del Tribunal de Justicia de la Unión Europea igual de relevante, la sentencia de 6 de octubre de 2015 (en adelante Schrems I), la cual tuvo como resultado la declaración de invalidez de la Decisión 2000/52 de la Comisión, comúnmente denominada Safe Harbor. Tanto el Privacy Shield como el Safe Harbor no cumplían con los estándares de protección adecuados, es decir, no ofrecían un nivel de protección equivalente al de la Unión Europea. Actualmente no se ha probado ninguna otra ley que sustituya a las dos anteriores, pero contamos con el Reglamento General de Protección de Datos como base jurídico para las ransferencias de datos de la Unión Europea a países terceros.

The purpose of this work is to analyze the Schrems II judgment as a presupposition to understand what are the reasons that led the Court of Justice of the European Union to invalidate Commission Decision 2016/1250 (Privacy Shield), what are the consequences of this judgment and, what is the current situation in relation to the protection of personal data. The judgment of July 16, 2020 (Schrems II) arises as a consequence of a previous resolution of the Court of Justice of the European Union that is equally relevant, the judgment of October 6, 2015, also called Schrems I, which resulted in the declaration of invalidity of Commission Decision 2000/52, commonly referred to as Safe Harbor. Both the Privacy Shield and the Safe Harbor did not meet adequate protection standards, that is, they did not offer a level of protection equivalent to that of the European Union. Currently no other law has been approved to replace the previous two, but we have the General Data Protection Regulation as the legal basis for data transfers from the European Union to third countries.