Schrems II

Schrems II es la denominación abreviada de la sentencia C-311/18 del Tribunal de Justicia de la Unión Europea, dictada el 16 de julio de 2020. La sentencia invalidó el marco del Escudo de Privacidad UE-EE. UU. (Privacy Shield) que hasta entonces regía los flujos de datos transatlánticos, e impuso un conjunto de obligaciones mucho más estrictas a cualquier operador de la UE que transfiriera datos personales a Estados Unidos.

Para los editores de prensa que gestionan comentarios de lectores de la UE en plataformas alojadas en EE. UU., Schrems II es el quebradero de cabeza legal que reabrió el debate sobre la elección de proveedor de comentarios entre 2020 y 2022.

Qué cambió

Antes de Schrems II, un editor de la UE que usara un sistema de comentarios alojado en EE. UU. (Disqus, OpenWeb, Coral) podía apoyarse en el Escudo de Privacidad como mecanismo de autocertificación. El TJUE dijo: no es suficiente. En concreto:

• El Escudo de Privacidad quedó invalidado de inmediato. Los operadores que se apoyaban en él tuvieron que buscar otra base jurídica.
• Las Cláusulas Contractuales Tipo (CCT) siguen siendo una posible base, pero requieren una evaluación caso por caso de si el país de destino (EE. UU.) ofrece realmente una protección equivalente a la de la UE.
• La evaluación caso por caso recae sobre el editor, incluida la valoración de las leyes de vigilancia estadounidenses (FISA 702, EO 12333) que pueden obligar al proveedor estadounidense a revelar datos de la UE.

En la práctica, esto significa: si gestionas comentarios en un sistema alojado en EE. UU. y tu DPO hace su trabajo, hay que mantener un rastro documental de evaluaciones de riesgo, con una responsabilidad nada trivial si la evaluación es errónea.

La situación en 2026

En 2023 se adoptó un nuevo Marco de Privacidad de Datos UE-EE. UU. (que sustituye al Escudo de Privacidad). Está en vigor, pero es objeto de litigios activos, con una probable sentencia «Schrems III» que se espera que lo cuestione.

Para los editores que quieren una respuesta estable que no dependa del siguiente asunto del TJUE, la vía más sencilla es alojar los comentarios dentro de la UE con un proveedor controlado por la UE. Eso elimina por completo la cuestión de la transferencia transfronteriza, las evaluaciones de las CCT y la exposición a la vigilancia estadounidense.

Por qué esto importa para la elección de proveedor

Esta es una de las diferencias más concretas entre Logora y las plataformas de comentarios estadounidenses:

• Logora, solo UE (OVH, Francia). Sin transferencia de datos transatlántica. Schrems II no aplica.
• Disqus / Viafoura / OpenWeb, con sede o alojamiento en EE. UU. Schrems II aplica. Se requiere evaluación de las CCT.
• Coral (Vox), de código abierto. La residencia de los datos es la que elijas para alojarlo. Si alojas en la UE, Schrems II queda sin efecto.

Conceptos relacionados

• RGPD, el marco dentro del cual opera Schrems II
• Acuerdo de Tratamiento de Datos, artículo 28 del RGPD
• Datos propios (first-party data)

Consulta la comparación Logora vs Disqus para ver cómo aparece Schrems II en la selección de proveedor.