Las actividades del Gobie o de EE.UU. y la actividad de las empresas estadounidenses en su territorio nacional no están vinculadas a las leyes europeas, pero las empresas que operan en la UE y sirven a ciudadanos de la unión están sujetas a sus leyes relativamente estrictas de protección de datos. Estas leyes limitan las acciones de las empresas que recogen datos, y les exigen dejar claro cómo se usarán y a quién se podrían ceder.
"Las empresas estadounidenses que han recogido datos personales de europeos, como Facebook por ejemplo, y después han permitido el acceso a esos datos a agencias del gobie o de Estados Unidos están metidas en un lío", afirma Ian Brown, investigador sénior en el Instituto de Inte et de la Universidad de Oxford (Reino Unido). "No tenían más opción que cumplir con las leyes de vigilancia de EE.UU., pero ahora pueden enfrentarse a desafíos legales en los tribunales europeos".
Desde que se reveló la existencia de PRISM la semana pasada, varios políticos y legisladores europeos se han mostrado preocupados por el acceso de la NSA a los datos de sus ciudadanos. Una de las quejas más específicas vino de la Oficina del Comisario de Información del Reino Unido, que hizo una insinuación sobre los posibles problemas legales a los que se podrían enfrentar las empresas participantes. Una declaración del regulador privado afirmaba: "Aspectos de la ley estadounidense bajo los cuales se puede obligar a las empresas a proporcionar información a las agencias estadounidenses entran potencialmente en conflicto con las leyes de protección de datos europeas, incluyendo la Ley de Protección de Datos del Reino Unido".
Douwe Korff, profesor de derecho inte acional en la Universidad Metropolitana de Londres (Reino Unido) y especialista en privacidad, está de acuerdo. "En Europa existen leyes estrictas respecto a cuándo pueden exigir datos personales los cuerpos de seguridad del estado, incluyendo para fines de seguridad nacional", estas leyes exigen que la vigilancia tenga "un objetivo legítimo" y se use de forma "proporcionada", explica Korff.
Además, al contrario que las leyes que gobie an las actividades de la NSA reveladas en las filtraciones de la semana pasada, las leyes europeas sobre vigilancia deben estar disponibles públicamente, afirma Korff. "FISAA 1881a (el reglamento bajo el cual PRISM es legal en Estados Unidos) es un ataque directo a derechos constitucionales fundamentales europeos", afirma. "Desde la perspectiva europea, este es el equivalente digital a la rendición".
Korff afirma que la situación para Facebook y otras empresas es parecida a la de las líneas aéreas después de que las autoridades de Estados Unidos les exigieran que entregaran datos sobre los pasajeros en vuelos salieran de la Unión Europea. Después de que las líneas aéreas y empresas de viajes empezaran a dar nombres, números de tarjetas de crédito y otros detalles, fue necesario un tratado retrospectivo entre EE.UU. y la UE para proteger de acciones legales a las empresas implicadas atendiendo a las leyes europeas de protección de datos.
Nueve años de prolongadas negociaciones dieron lugar finalmente el año pasado a los términos del acuerdo, después de varios acuerdos interinos. EE.UU. recibe ahora 19 datos sobre cada pasajero, incluyendo nombre, información de contacto, detalles del pago, agencia de viajes, itinerario e información sobre el equipaje, y puede guardarlos hasta 15 años.
Brown afirma que cualquier negociación futura entre las autoridades de EE.UU. y la UE sobre compartir datos probablemente sea aún más tensa. Es probable que la revisión de las leyes de protección de datos de la UE, proceso que empezó en enero de 2012, incluya medidas mucho más restrictivas aún. "Sospecho que todo este asunto conducirá a protecciones significativamente más fuertes para los europeos", afirma Brown.
Sin embargo, no todos los expertos en derecho están de acuerdo en que las empresas que cumplen con PRISM estén actuando ilegalmente según las leyes de la UE. El lunes, tres investigadores de la Universidad de Ámsterdam (Holanda) publicaron un artículo afirmando que las exenciones de seguridad nacional que existen en la ley de la UE hacen que PRISM sea legal. "Creemos que existe un agujero legal para el acceso por parte de las autoridades de EE.UU a datos en la nube de ciudadanos de la UE", afirma Axel A bak, investigador de leyes de Inte et y uno de los autores del artículo. "PRISM parece da os la razón".
A bak sugiere que los gobie os nacionales de la UE que han recibido datos de PRISM a través de sus conexiones con la NSA podrían enfrentarse a problemas legales. "Las agencias de inteligencia europeas tendrían muchos problemas para cumplir con la salvaguarda de los derechos fundamentales al lograr un acceso tan amplio y sin restricciones a datos en la nube de ciudadanos de la UE", afirma. Informes sin confirmar aparecidos esta semana sugieren que las agencias de seguridad del Reino Unido y Holanda han recibido datos de PRISM.