Ignacio García Bercero, que negocia en nombre de la Comisión Europea el nuevo marco de relaciones comerciales con Estados Unidos – TTIP o Transatlantic Trade and Investment Partnership – le ha estallado en las manos uno de los daños colaterales del espionaje de la NSA, también conocido como «caso Snowden». Formalmente, las negociaciones incluyen el flujo de datos, la privacidad – que no es de la incumbencia del negociador – se ha convertido en un obstáculo insalvable dadas las circunstancias.
En estas semanas, la UE y EEUU deberían reanudar las discusiones para renovar el acuerdo llamado Safe Harbor, vigente desde el 2000. Según el protocolo, las compañías norteamericanas pueden mover los datos de sus clientes en Europa siempre que den a estos la posibilidad de limitar la recogida y almacenamiento de información «relevante o sensible». En 2006, se reveló que Swift – consorcio de clearing bancario con sede en Bélgica – transfería secretamente a Washington información financiera que pudiera tener, presuntamente, relación con sospechosos de terrorismo. El escándalo – precipitado por el Wall Street Journal – obligó a Swift a inventar un mecanismo por el que esos datos se almacenarían exclusivamente en Suiza. Apagado el rescoldo, se renegociaron los términos en los que «excepcionalmente», Estados Unidos podría tener acceso a la información que le interesa. No muy distinto fue el caso de la información sobre pasajeros de líneas aéreas, que Europa «comparte» con Estados Unidos.
Cuando, en 2012, la Comisión propuso una directiva destinada a reforzar las reglas sobre privacidad, los lobbies de las compañías estadounidenses presionaron para que diera marcha atrás; de hecho, la directiva sobre protección de datos aún no ha sido aprobada por el Parlamento Europeo. Los sucesivos expedientes abiertos contra Google – que dieron lugar a sanciones económicas en España, Francia e Italia – fueron la expresión de ese enfrentamiento. Se superponen las posiciones de tres o cuatro instancias europeas, que involucran a poderosos comisarios: Neelie Kroes, Joaquín Almunia y Viviane Reding.
Kroes quiere cerrar su mandato con la aprobación – imposible con las elecciones europeas en el calendario – de su paralizada agenda digital 2020, Almunia sigue teniendo en la mira el proceder de Google, y Reding ha dicho recientemente, de visita en Washington, que «la protección de los datos no es una carga burocrática ni es proteccionismo, para nosotros es un derecho fundamental».
Por mucho que García Bercero sostenga que no tiene nada que ver, las revelaciones sobre espionaje de la NSA reventaron cualquier atisbo de acuerdo próximo. Cada parte ha endurecido su postura, con un matiz interesante: varios proveedores estadounidenses de servicios cloud, temen perder negocio si insisten en gestionar los datos de sus clientes europeos desde el otro lado del Atlántico. De hecho, algunas – como Microsoft y HP – han empezado a instalar datacenter en Europa, o tienen planes para hacerlo próximamente.
La posición europea dista de ser homogénea. Reino Unido se alinea con el punto de vista americano, mientras Francia y Alemania han descubierto que el conflicto puede ayudar a desarrollar la llamada European Cloud Strategy. Además de diseñar estándares técnicos de seguridad y transparencia para generalizar la confianza en la nube y potenciar la competitividad europea, la CE ha calculado ambiciosamente los beneficios económicos.
Según el documento Unleashing the potential of cloud computing in Europe, la ausencia de un marco común perturba la competitividad europea. Podría inducirse un añadido al PIB comunitario de entre 88.000 y 250.000 millones de euros entre 2015 y 2020, y se crearían 2,5 millones de empleos (!) si los 27 siguieran las recomendaciones de un grupo de expertos convocado al efecto. Estas cifras pueden ser fantasiosas, pero lo interesante es que entre las recomendaciones está la de potenciar el poder de compra del sector público migrando sus sistemas a la nube, en favor de proveedores no necesariamente europeos pero instalados físicamente en Europa. La condición sería cumplir con la nonata directiva de protección de datos. En ese punto están las cosas.