Ley de Mercados Digitales (DMA)
El Reglamento (UE) 2022/1925, más conocido como Reglamento de Mercados Digitales, tiene por objeto garantizar una competencia leal en el sector digital. Para ello, las empresas designadas por la Comisión Europea como «guardianes de acceso» tienen obligaciones especiales, adicionales a las normas generales de competencia, para interoperar con servicios de terceros y evitar la «dependencia de un proveedor».
F5 no ha sido designada como guardián de acceso por la Comisión Europea y no prevé serlo en un futuro próximo. Aunque F5 ofrece un «servicio básico de plataforma» a través de sus soluciones de computación en la nube, no alcanza los umbrales de ingresos y usuarios necesarios para ser considerada un guardián de acceso, ni goza de una «posición consolidada y duradera» en el mercado de los servicios de computación en la nube. Por tanto, las obligaciones reforzadas que la DMA impone a los guardianes de acceso no son aplicables a F5.
Los clientes cuyo centro de actividad principal se encuentra en Europa, Oriente Medio o África (en conjunto, EMEA) reciben servicios mediante contratos con F5 Networks, Ltd. F5 Networks, cuya sede se encuentra en el Reino Unido y que está constituida conforme a la legislación de dicho país, es el centro de las operaciones de F5 en EMEA. Las autoridades de la UE y Suiza han reconocido que la legislación del Reino Unido ofrece protección para los datos personales y cumple plenamente los requisitos del capítulo V del RGPD y de la legislación suiza equivalente.
Los clientes con sede en la región de Asia-Pacífico (APAC) contratan con F5 Networks Singapore Pte Ltd. en Singapur. Todos los demás clientes (incluidos aquellos con sede en Norteamérica) contratan con F5, Inc. en Estados Unidos. Para todos los servicios de F5, el Anexo de Protección de Datos (DPA), complementado por los Términos Específicos del Servicio, incluye las Cláusulas Contractuales Tipo y las disposiciones aplicables a todas las transferencias a F5 sujetas legalmente a dichos requisitos. Estas Cláusulas Contractuales Tipo van acompañadas del anexo sobre transferencias internacionales de datos publicado por el Gobierno del Reino Unido para las transferencias desde dicho país, así como de las cláusulas adicionales publicadas por el Comisionado Federal de Protección de Datos y Transparencia de Suiza para las transferencias desde Suiza. Para los servicios pertinentes, F5 también mantiene una certificación conforme al Marco de Privacidad de Datos UE-EE. UU., la extensión del Reino Unido al Marco de Privacidad de Datos UE-EE. UU. y el Marco de Privacidad de Datos Suiza-EE. UU.
Sí. Para los servicios pertinentes, F5 mantiene una certificación conforme al Marco de Privacidad de Datos UE-EE. UU., la extensión del Reino Unido al Marco de Privacidad de Datos UE-EE. UU. y el Marco de Privacidad de Datos Suiza-EE. UU.
No. Estas dos disposiciones legales estadounidenses, que fueron el objeto principal de la sentencia Schrems II, no afectan a F5. En cualquier caso, debido a las mejoras introducidas en la legislación estadounidense tras la sentencia Schrems II, la Comisión Europea determinó, en su Decisión de Ejecución de 10 de julio de 2023 con arreglo al Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, relativa al nivel adecuado de protección de los datos personales en el marco de privacidad de datos UE-EE. UU., que las inquietudes anteriores sobre dichas disposiciones habían quedado resueltas. El Comité Europeo de Protección de Datos (CEPD) analizó la decisión de la Comisión Europea y señaló (en su nota informativa sobre las transferencias de datos a Estados Unidos en virtud del RGPD tras la adopción de la decisión de adecuación el 10 de julio de 2023) que «todas las salvaguardias establecidas por el Gobierno estadounidense en el ámbito de la seguridad nacional (incluido el mecanismo de recurso) se aplican a todos los datos transferidos a Estados Unidos, independientemente del instrumento de transferencia utilizado» (es decir, con independencia de que los datos se transfieran a Estados Unidos mediante el marco de privacidad de datos, cláusulas contractuales tipo u otro instrumento de transferencia).
F5 nunca ha recibido una solicitud de acceso a datos ni ningún otro tipo de requerimiento en virtud de la sección 702 de la FISA. Muchos servicios de F5 no pertenecen al tipo de servicios que pueden ser objeto de un requerimiento conforme a la sección 702 de la FISA. Además, en el caso de casi todos los clientes de los servicios de F5, F5 no trata el tipo de datos que puede ser objeto de un requerimiento conforme a la sección 702 de la FISA, que se aplica a datos sobre la proliferación de armas de destrucción masiva, los planes de potencias extranjeras para atacar Estados Unidos, información de inteligencia sobre las actividades clandestinas de espías extranjeros u otra «información de inteligencia extranjera» en el sentido de la FISA.
F5 tampoco puede recibir una orden para entregar datos de clientes en virtud de la Orden Ejecutiva 12333, porque no existen órdenes de ese tipo. La Orden Ejecutiva 12333 asigna determinadas responsabilidades dentro de la comunidad de inteligencia de Estados Unidos, pero no impone obligación alguna al sector privado. F5 cifra los datos en tránsito y utiliza medidas de seguridad adicionales para protegerlos frente a las actividades teóricas de interceptación que preocuparon al tribunal que dictó la sentencia Schrems II antes de la decisión de adecuación de la Comisión Europea de 2023 mencionada anteriormente.
La CLOUD Act no otorgó al Gobierno de Estados Unidos nuevas facultades para exigir datos a las empresas que operan en el país. El Gobierno estadounidense no emite «órdenes en virtud de la CLOUD Act» y F5 nunca ha recibido ninguna. La CLOUD Act aclaró que, cuando el Gobierno de Estados Unidos sigue el procedimiento legal vigente correspondiente (por ejemplo, obteniendo una orden de un juez de un tribunal federal de distrito) para exigir a una empresa que facilite determinados datos que obren en su poder, custodia o control, la ubicación de dichos datos no puede servir de fundamento para que la empresa impugne la orden (aunque sí podría hacerlo un conflicto con la legislación vigente en dicha ubicación). La CLOUD Act está en vigor desde antes de la sentencia Schrems II de 2020. Tras dicha sentencia, Estados Unidos introdujo diversas mejoras en sus normas y prácticas relativas al acceso gubernamental a los datos. Posteriormente, la Comisión Europea evaluó estas mejoras y determinó que la legislación estadounidense aplicable a las solicitudes de datos del Gobierno de Estados Unidos ofrece ahora un nivel de protección adecuado en el sentido del RGPD. Véase la Decisión de Ejecución de 10.7.2023, con arreglo al Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, relativa al nivel adecuado de protección de los datos personales en el marco de privacidad de datos UE-EE. UU. El Comité Europeo de Protección de Datos (CEPD) analizó esta decisión y señaló (en su Nota informativa sobre las transferencias de datos a Estados Unidos en virtud del RGPD tras la adopción de la decisión de adecuación el 10 de julio de 2023) que «todas las salvaguardias establecidas por el Gobierno de Estados Unidos en el ámbito de la seguridad nacional (incluido el mecanismo de recurso) se aplican a todos los datos transferidos a Estados Unidos, independientemente del instrumento de transferencia utilizado» (es decir, con independencia de que los datos se transfieran a Estados Unidos mediante el Marco de Privacidad de Datos, las cláusulas contractuales tipo u otro instrumento de transferencia).
Dada la naturaleza de las relaciones de F5 con sus clientes y la cantidad limitada de datos —normalmente cifrados— que F5 trata por cuenta de estos, este tipo de requerimientos es extremadamente infrecuente. La política de F5 ante cualquier requerimiento de datos de clientes consiste en: (i) notificarlo de inmediato al cliente, siempre que la ley lo permita, y colaborar con él para resolverlo; o (ii) si la notificación al cliente fuera ilegal, intentar remitir a la autoridad solicitante al cliente. Si estas medidas no resolvieran el asunto, F5 evaluaría la legalidad del requerimiento y plantearía todas las impugnaciones razonables contra él (por ejemplo, mediante un recurso), incluido si el cumplimiento de la solicitud vulneraría el RGPD u otras leyes aplicables. Durante este proceso, F5 solicitaría la suspensión de los efectos del requerimiento hasta que la autoridad judicial competente se hubiera pronunciado sobre el fondo del asunto, incluido cualquier procedimiento de recurso. F5 no revelaría ningún dato en tal situación salvo que, y hasta que, estuviera obligada a hacerlo conforme a las normas procesales aplicables. Si se llegara a ese punto, F5 revelaría únicamente los datos mínimos necesarios para cumplir con la parte del requerimiento original que siguiera vigente.
Todos los contratos de clientes relativos a los servicios de F5 (el Acuerdo de Servicios para Usuarios Finales o EUSA) incluyen Términos Específicos del Servicio que incorporan y complementan la Adenda de Protección de Datos (DPA) de F5, la cual incluye las Cláusulas Contractuales Tipo con el texto adicional pertinente para las transferencias sujetas a la legislación del Reino Unido o de Suiza. En determinados casos, el cliente y F5 tendrán un contrato diferente que incorpore estas mismas garantías, como el contrato para servicios específicos de soporte de F5. Los clientes también pueden consultar https://www.dataprivacyframework.gov/list, donde se indica que F5 cuenta con certificación conforme al Marco de Privacidad de Datos UE-EE. UU., la Extensión del Reino Unido al Marco de Privacidad de Datos UE-EE. UU. y el Marco de Privacidad de Datos Suiza-EE. UU.
Para las transferencias a entidades de F5 en «terceros países», incluido el Reino Unido, F5 y sus clientes se basan en la Adenda sobre Transferencias Internacionales de Datos a las Cláusulas Contractuales Tipo de la Comisión Europea, que está disponible en el sitio web de la Oficina del Comisionado de Información del Reino Unido y se incorpora por referencia al DPA de F5 para las transferencias pertinentes regidas por la legislación británica. Además, para determinados servicios, F5 está certificada conforme a la Extensión del Reino Unido del Marco de Privacidad de Datos UE-EE. UU.
