Ley de Servicios Digitales (DSA)

Los clientes cuyo centro de actividad principal se encuentra en Europa, Oriente Medio o África (en conjunto, EMEA) reciben servicios mediante contratos con F5 Networks, Ltd. F5 Networks, cuya sede se encuentra en el Reino Unido y que está constituida conforme a la legislación de dicho país, es el centro de las operaciones de F5 en EMEA. Las autoridades de la UE y Suiza han reconocido que la legislación del Reino Unido ofrece protección para los datos personales y cumple plenamente los requisitos del capítulo V del RGPD y de la legislación suiza equivalente.

Los clientes con sede en la región de Asia-Pacífico (APAC) contratan con F5 Networks Singapore Pte Ltd. en Singapur. Todos los demás clientes (incluidos aquellos con sede en Norteamérica) contratan con F5, Inc. en Estados Unidos. Para todos los servicios de F5, el Anexo de Protección de Datos (DPA), complementado por los Términos Específicos del Servicio, incluye las cláusulas contractuales tipo y las disposiciones aplicables a todas las transferencias a F5 sujetas legalmente a ellas. Estas cláusulas contractuales tipo van acompañadas del anexo sobre transferencias internacionales de datos publicado por el Gobierno del Reino Unido para las transferencias desde dicho país, así como de las disposiciones adicionales publicadas por el Comisionado Federal de Protección de Datos y Transparencia de Suiza para las transferencias desde Suiza. Para los servicios pertinentes, F5 también mantiene una certificación conforme al Marco de Privacidad de Datos UE-EE. UU., la extensión del Reino Unido al Marco de Privacidad de Datos UE-EE. UU. y el Marco de Privacidad de Datos Suiza-EE. UU.

Sí. Para los servicios pertinentes, F5 mantiene una certificación conforme al Marco de Privacidad de Datos UE-EE. UU., la extensión del Reino Unido al Marco de Privacidad de Datos UE-EE. UU. y el Marco de Privacidad de Datos Suiza-EE. UU.

No. Estas dos disposiciones legales estadounidenses, que fueron el objeto principal de la sentencia Schrems II, no afectan a F5. En cualquier caso, debido a las mejoras introducidas en la legislación estadounidense tras la sentencia Schrems II, la Comisión Europea determinó en su Decisión de Ejecución de 10.7.2023 con arreglo al Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, relativa al nivel adecuado de protección de los datos personales en el marco de privacidad de datos UE-EE. UU. que las inquietudes anteriores sobre dichas disposiciones se habían resuelto. El Comité Europeo de Protección de Datos (CEPD) analizó la decisión de la Comisión Europea y señaló (en su Nota informativa sobre las transferencias de datos en virtud del RGPD a los Estados Unidos tras la adopción de la decisión de adecuación el 10 de julio de 2023) que «todas las garantías establecidas por el Gobierno estadounidense en el ámbito de la seguridad nacional (incluido el mecanismo de recurso) se aplican a todos los datos transferidos a los EE. UU., independientemente del instrumento de transferencia utilizado» (es decir, independientemente de si los datos se transfieren a los Estados Unidos mediante el Marco de Privacidad de Datos, las cláusulas contractuales tipo u otro instrumento de transferencia).

F5 nunca ha recibido una solicitud de acceso a datos ni ningún otro tipo de orden en virtud de la sección 702 de la FISA. Muchos de los servicios de F5 no son del tipo que puede ser objeto de una orden conforme a la sección 702 de la FISA. Además, en el caso de casi todos los clientes de los servicios de F5, F5 no trata el tipo de datos que puede ser objeto de una orden conforme a la sección 702 de la FISA, que se aplica a datos sobre la proliferación de armas de destrucción masiva, los planes de potencias extranjeras para atacar a Estados Unidos, información de inteligencia sobre las actividades clandestinas de espías extranjeros u otra «información de inteligencia extranjera» en el sentido de la FISA.

F5 tampoco puede recibir una orden para entregar datos de clientes en virtud de la Orden Ejecutiva 12333, porque no existe tal orden. La Orden Ejecutiva 12333 asigna determinadas responsabilidades dentro de la Comunidad de Inteligencia de Estados Unidos, pero no impone obligación alguna al sector privado. F5 cifra los datos en tránsito y aplica medidas de seguridad adicionales para protegerlos frente a las hipotéticas actividades de interceptación que preocuparon al tribunal en el asunto Schrems II antes de la decisión de adecuación de la Comisión Europea de 2023 mencionada anteriormente.

La CLOUD Act no otorgó al Gobierno de Estados Unidos nuevas facultades para exigir datos a las empresas que operan en el país. El Gobierno estadounidense no emite «órdenes en virtud de la CLOUD Act» y F5 nunca ha recibido ninguna. La CLOUD Act aclaró que, cuando el Gobierno estadounidense sigue el procedimiento legal vigente correspondiente (por ejemplo, obteniendo una orden de un juez de un tribunal federal de distrito) para exigir a una empresa que facilite determinados datos que obren en su poder, custodia o control, la ubicación de dichos datos no puede servir de fundamento para que la empresa impugne la orden (aunque sí podría hacerlo un conflicto con la legislación vigente en dicha ubicación). La CLOUD Act está en vigor desde antes de la sentencia de 2020 Schrems II. Tras la sentencia Schrems II, Estados Unidos introdujo diversas mejoras en sus normas y prácticas relativas al acceso gubernamental a los datos. Posteriormente, la Comisión Europea evaluó estas mejoras y determinó que la legislación estadounidense aplicable a las solicitudes de datos del Gobierno de Estados Unidos ofrece ahora un nivel de protección adecuado en el sentido del RGPD. Véase la Decisión de Ejecución de 10.7.2023 con arreglo al Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo relativa al nivel adecuado de protección de los datos personales en el marco de privacidad de datos UE-EE. UU.. El Comité Europeo de Protección de Datos (CEPD) analizó esta decisión y señaló (en su Nota informativa sobre las transferencias de datos a Estados Unidos en virtud del RGPD tras la adopción de la decisión de adecuación el 10 de julio de 2023) que «todas las salvaguardias establecidas por el Gobierno estadounidense en el ámbito de la seguridad nacional (incluido el mecanismo de recurso) se aplican a todos los datos transferidos a Estados Unidos, independientemente del instrumento de transferencia utilizado» (es decir, con independencia de que los datos se transfieran a Estados Unidos mediante el Marco de Privacidad de Datos, cláusulas contractuales tipo u otro instrumento de transferencia).

Dada la naturaleza de las relaciones de F5 con sus clientes y la cantidad limitada de datos —normalmente cifrados— que F5 trata por cuenta de estos, este tipo de requerimientos es extremadamente infrecuente. La política de F5 ante cualquier requerimiento de datos de clientes consiste en: (i) notificarlo de inmediato al cliente, siempre que la ley lo permita, y colaborar con él para resolverlo; o (ii) si la notificación al cliente fuera ilegal, intentar remitir a la autoridad solicitante al cliente. Si estas medidas no resolvieran el asunto, F5 evaluaría la legalidad del requerimiento y plantearía todas las impugnaciones razonables contra él (por ejemplo, mediante un recurso), incluido si atender la solicitud supondría infringir el RGPD u otras leyes aplicables. Durante este proceso, F5 solicitaría la suspensión de los efectos del requerimiento hasta que la autoridad judicial competente se hubiera pronunciado sobre el fondo del asunto, incluido cualquier procedimiento de recurso. En tal situación, F5 no revelaría ningún dato salvo que, y hasta que, estuviera obligada a hacerlo conforme a las normas procesales aplicables. Si se llegara a ese punto, F5 revelaría únicamente los datos mínimos necesarios para cumplir con la parte del requerimiento original que siguiera vigente.

Todos los contratos de clientes relativos a los servicios de F5 (el «Acuerdo de Servicios para Usuarios Finales (EUSA)») incluyen Términos Específicos del Servicio que incorporan y complementan la Adenda de Protección de Datos (DPA) de F5, que incluye las cláusulas contractuales tipo con el texto adicional pertinente para las transferencias sujetas a la legislación del Reino Unido o de Suiza. En determinados casos, el cliente y F5 tendrán un contrato diferente que incorpore estas mismas garantías, como el contrato para servicios específicos de soporte de F5. Los clientes también pueden consultar https://www.dataprivacyframework.gov/list, donde se indica que F5 está certificada conforme al Marco de Privacidad de Datos UE-EE. UU., la extensión del Reino Unido al Marco de Privacidad de Datos UE-EE. UU. y el Marco de Privacidad de Datos Suiza-EE. UU.

Para las transferencias a entidades de F5 en «terceros países», incluido el Reino Unido, F5 y sus clientes se basan en la Adenda sobre Transferencias Internacionales de Datos a las Cláusulas Contractuales Tipo de la Comisión Europea, que está disponible en el sitio web de la autoridad británica de protección de datos (Information Commissioner's Office) y se incorpora por referencia al DPA de F5 para las transferencias pertinentes sujetas a la legislación del Reino Unido. Además, para determinados servicios, F5 está certificado conforme a la Extensión del Reino Unido al Marco de Privacidad de Datos UE-EE. UU.