Protection of personal data in cyberspace: the EU-US E-market regime

Abstract

The object of study of this research is the right to Personal Data Protection within the framework of the EU-US E-Market legal regime. Its characteristics, as well as the features of the main actors participating into that E-Market, make possible to consider it as a proper basis for the development of an International/Universal legal system treaty-based. The Actors and Relations included by the research are the duty bearers of Personal Data Protection law, both State and Private Entity Activities. Nonetheless, the Informal Power Relation between State and Private organization is also taken into account since there are some informal agreements or coordination between State Agencies and IT Corporations on data sharing and processing. The time frame of the research is 2001-2016 (after the terrorist’s attack in USA on 9/11 until the most recent reform of the EU-US E-Market regime in 2016). The research’s point of departure is International Human Rights Law, as far as it recognizes a general framework to support and regulate personal data protection on cyberspace realm. Nonetheless, the distinctive characters of cyberspace demand a well designed, at universal level, specific regulation and mechanisms to guarantee such fundamental rights relating personal data protection internationally. Accordingly, Research Hypothesis is represented in double issues: first, effective personal data protection on cyberspace needs the establishment of an International/Universal legal system treaty-based; second, EU Regime on personal data protection in cyberspace and current EU-US agreements on this issue can be used as a model for initiating such International/Universal Treaty. The structure of the thesis is divided into six chapters, being Chapter 1 the research design and Chapter 6 the conclusions and recommendations coming from the research. So, Chapter 2 analyzes Universal Legal Instruments, EU Laws and EU-US Agreements in force before 5th June 2013 (critical turning point date because of the revelations of Mass Electronic Surveillance presented then on World Wide Web).

Within this legal framework, Chapter 3 studies hard cases about personal data protection in US domestic courts and in the Court of Justice of European Union, in order to search for precise interpretation of the right to personal data protection in cyberspace that, later, had to be taken into account by US and EU in their further legal reforms. Chapter 4 analyses and reviews the legal instruments enacted through the reform of the EU personal data protection regime and the new EU-US Bilateral Agreements currently in force. Finally, Chapter 5 evaluates the possibility to initiate an International Treaty for regulating data using across borders. Considering the initiatives of either international governmental organizations or non-governmental movements in the field, the chapter shows how a set of principles can be extracted from the reforms in the EU and EU-US regime and how they can be used to create an International Regime for protection of personal data in cyberspace.

L'objecte d'estudi d'aquesta recerca és el dret a la protecció de les dades personals en el marc del règim jurídic aplicable al mercat electrònic UE-Estats Units. Les seves característiques, així com les dels principals actors que intervenen en aquest mercat, permeten considerar aquest règim jurídic com una base adequada per al possible desenvolupament d'un tractat internacional de vocació universal sobre protecció de dades personals en el ciberespai. Els actors i les relacions incloses en la recerca són els responsables de les obligacions jurídiques en matèria de protecció de dades personals, tant entitats públiques com a privades. Malgrat això, també es tenen en compte les ‘relacions informals de poder’ entre Estat i organitzacions privades, donada l'existència d'acords informals o coordinació entre tots dos per a l'intercanvi i processament de dades. El marc temporal de la recerca és 2001-2016 (després dels atemptats del 9/11 a Estats Units i fins a la més recent reforma del règim UE-EUA culminada en 2016). El punt de partida d’aquesta recerca és el Dret Internacional dels Drets Humans, que conté el marc general per al suport i regulació de la protecció de dades personals en el ciberespai. Ara bé, els caràcters distintius del ciberespai exigeixen una regulació i mecanismes específics ben dissenyats, a nivell universal, per garantir internacionalment els esmentats drets fonamentals relatius a la protecció de dades personals. Conseqüentment, la hipòtesi de recerca es formula de la següent manera: en primer lloc, la protecció eficaç de les dades personals en el ciberespai necessita l'establiment d'un sistema jurídic internacional d'abast universal basat en tractats; en segon lloc, el règim de la UE sobre protecció de dades personals en el ciberespai i els actuals acords UE- Estats Units sobre aquesta qüestió poden utilitzar-se com a model per a l'elaboració d'aquest Tractat Internacional. L'estructura de la tesi es divideix en sis capítols, essent el Capítol 1 el disseny de la recerca i el Capítol 6 les conclusions i recomanacions que es desprenen de la recerca.

Així, el Capítol 2 analitza els Instruments Jurídics Universals, les normes de la UE i els acords UE-EUA vigents abans 5 de juny de 2013 (data crítica a causa de les revelacions sobre Vigilància Electrònica en massa, presentades mundialment aquest dia). Dins d'aquest marc jurídic, el Capítol 3 realitza una anàlisi jurisprudencial i analitza una selecció de casos sobre protecció de dades personals suscitades davant els tribunals interns d'Estats Units i davant el Tribunal de Justícia de la Unió Europea, amb l'objectiu d'identificar la interpretació precisa del dret a la protecció de dades personals en el ciberespai que, posteriorment, ha hagut de tenir en compte la reforma normativa a Estats Units i en la UE sobre aquesta matèria. El Capítol 4 analitza i revisa els instruments jurídics promulgats en virtut de la reforma del règim de protecció de dades personals de la UE i els nous acords bilaterals entre la UE i els Estats Units actualment en vigor. Finalment, el Capítol 5 avalua la possibilitat d'elaborar un Tractat Internacional d'abast universal que garanteixi el dret a la protecció de dades personals que ‘circulen’ pel ciberespai. Tenint en compte les iniciatives formulades per organitzacions governamentals internacionals i pels moviments no governamentals especialitzats, el capítol mostra com es poden extreure un conjunt de principis de les reformes de la UE i del règim aplicable a l'espai UE-EUA i com aquests principis poden utilitzar-se per a la creació d'un règim internacional de protecció de dades personals en el ciberespai.

El objeto de estudio de esta investigación es el derecho a la protección de los datos personales en el marco del régimen jurídico aplicable al mercado electrónico UE- Estados Unidos. Sus características, así como las de los principales actores que intervienen en este mercado, permiten considerar este régimen jurídico como una base adecuada para el posible desarrollo de un tratado internacional de vocación universal sobre protección de datos personales en el ciberespacio. Los actores y las relaciones incluidas en la investigación son los responsables de las obligaciones jurídicas en materia de protección de datos personales, tanto entidades públicas como privadas. No obstante, también se tienen en cuenta las ‘relaciones informales de poder’ entre Estado y organizaciones privadas, dada la existencia de acuerdos informales o coordinación entre ambos para el intercambio y procesamiento de datos. El marco temporal de la investigación es 2001-2016 (después de los atentados del 9/11 en Estados Unidos y hasta la más reciente reforma del régimen UE-EEUU culminada en 2016). El punto de partida de la investigación es el Derecho Internacional de los Derechos Humanos, que contiene el marco general para el apoyo y regulación de la protección de datos personales en el ciberespacio. Sin embargo, los caracteres distintivos del ciberespacio exigen una regulación y mecanismos específicos bien diseñados, a nivel universal, para garantizar internacionalmente tales derechos fundamentales relativos a la protección de datos personales. Consecuentemente, la hipótesis de investigación se formula del siguiente modo: en primer lugar, la protección eficaz de los datos personales en el ciberespacio necesita el establecimiento de un sistema jurídico internacional de alcance universal basado en tratados; en segundo lugar, el régimen de la UE sobre protección de datos personales en el ciberespacio y los actuales acuerdos UE-Estados Unidos sobre esta cuestión pueden utilizarse como modelo para la elaboración de dicho Tratado Internacional.

La estructura de la tesis se divide en seis capítulos, siendo el Capítulo 1 el \diseño de la investigación y el Capítulo 6 las conclusiones y recomendaciones que se desprenden de la investigación. Así, el Capítulo 2 analiza los Instrumentos Jurídicos Universales, las normas de la UE y los acuerdos UE-EEUU vigentes antes del 5 de junio de 2013 (fecha crítica debido a las revelaciones sobre Vigilancia Electrónica en Masa presentadas mundialmente ese día). Dentro de ese marco jurídico, el Capítulo 3 realiza un análisis jurisprudencial y analiza una selección de casos sobre protección de datos personales suscitados ante los tribunales internos de Estados Unidos y ante el Tribunal de Justicia de la Unión Europea, con el objetivo de identificar la interpretación precisa del derecho a la protección de datos personales en el ciberespacio que, posteriormente, ha debido tener en cuenta la reforma normativa en Estados Unidos y en la UE sobre esta materia. El Capítulo 4 analiza y revisa los instrumentos jurídicos promulgados en virtud de la reforma del régimen de protección de datos personales de la UE y los nuevos acuerdos bilaterales entre la UE y los Estados Unidos actualmente en vigor. Por último, el Capítulo 5 evalúa la posibilidad de elaborar un Tratado Internacional de alcance universal que garantice el derecho a la protección de datos personales que ‘circulan’ en el ciberespacio. Teniendo en cuenta las iniciativas formuladas por organizaciones gubernamentales internacionales y por los movimientos no gubernamentales especializados, el capítulo muestra cómo se pueden extraer un conjunto de principios de las reformas de la UE y del régimen aplicable en el espacio UE-EEUU y cómo esos principios pueden utilizarse para la creación de un régimen internacional de protección de datos personales en el ciberespacio.