Este 2023 lo hemos empezado con una auténtica batalla campal entre Irlanda y el resto de países miembros de la Unión Europea, más concretamente entre la autoridad de control en materia de protección de datos de dicho país, la Data Protection Commissioner of Ireland, y el resto de autoridades de control de Europa, entre ellas la de España, la Agencia Española de Protección de Datos y el Comité Europeo de Protección de Datos (European Data Protection Board, su traducción en inglés).
El epicentro de este terremoto no ha sido otro que Mark Zuckerberg y su compañía Meta, concretamente las empresas Facebook, Instagram y Whatsapp. En 2016 se aprobaba el Reglamento General de Protección de Datos 2016/679, cuya entrada en vigor se acordó que fuera dos años más tarde, concretamente en mayo de 2018, dando cierto “margen” a responsables y encargados del tratamiento a adecuar sus actividades a la nueva regulación, que este 2023, cumplirá 5 años de vigencia.
La protección de datos y META
Es importante exponer determinados datos para entender todo este conflicto generado en las últimas semanas. La multinacional tecnológica META, ingresa anualmente en torno a unos 14.000 millones de dólares por publicidad, por lo que una de las principales fuentes de ingresos proviene de dicha actividad. Con la entrada de la nueva normativa en materia de protección de datos en 2018, desapareció el llamado consentimiento tácito dando lugar a unas estrictas reglas para el tratamiento de datos, establecidas en el artículo 6.1 del Reglamento General de Protección de Datos 2016/679.
Días antes de la entrada en virgo del RGPD 2016/679, META realizó una serie de modificaciones en sus términos y condiciones cuando un usuario se daba de alta en cualquiera de sus servicios o redes sociales. Entre esos cambios, incorporó en el “contrato” de alta de una cuenta una serie de finalidades, entre ellas, el procesamiento de datos para fines de publicidad comercial, acogiéndose así a lo establecido en el artículo 6.1-B del Reglamento General de Protección de Datos que permite tratar datos bajo la premisa de cumplimiento de un contrato.
Ese mismo día, 26 de mayo de 2018, Max Schrems, causante de la caída de los dos escudos de privacidad entre la UE y EEUU (Safe Harbour y Privacy Shield), presentó una denuncia en Irlanda ante la Data Protection Commissioner, dado que es allí, en Irlanda, donde META tiene constituida su matriz en la Unión Europea, en tanto este país ofrece determinadas ventajas y beneficios fiscales para las empresas tecnológicas.
Resolución caso META
Se ha tardado casi 5 años en resolverse la denuncia que presentó Max Schrems ante la Data Protection Commissioner contra Meta (Instagram, Facebook e Instagram) debido a que las autoridades de control no se han puesto de acuerdo. En un principio Irlanda estableció una sanción de 38 millones de euros a Meta por incumplir el principio de información del artículo 13 del RGPG 2016/679 pero no por la base legal que utilizaba la multinacional estadounidense para tratar datos con fines publicitarios, ya que la autoridad de control, consideraba que era una base legal establecida en la propia normativa.
Como este era un caso que afectaba a muchas personas distintos países, se envió un borrador de la propuesta de resolución al resto de autoridades de control de la Unión Europea, que pusieron el grito en el cielo.
Diez de las cuarenta autoridades de control en materia de protección de datos realizaron observaciones a esa propuesta de sanción que, finalmente, como generó conflicto y desacuerdo, fue analizado por el Comité Europeo de Protección de Datos que finalmente resolvió imponer una sanción de 390 millones de euros e Meta (210 a Facebook y 180 a Instagram) por considerar que la base legal utilizada no era la correcta, es decir, el artículo 6.1 – B del RGPD, siendo la base legal adecuada el consentimiento expreso del interesado (artículo 6.1-A del RGPD).
¿Y qué pasa con Whatsapp?
La decisión del Comité Europeo de Protección de Datos significa que Meta deberá permitir a los usuarios disponer de una versión de todas sus aplicaciones que no utilice datos personales para anuncios en un plazo de tres meses. La decisión seguiría permitiendo a Meta utilizar datos no personales (como el contenido de una historia) para personalizar anuncios o pedir a los usuarios su consentimiento a los anuncios mediante una opción de “sí/no”.
Los usuarios deben poder retirar su consentimiento en cualquier momento y Meta no puede limitar el servicio si los usuarios deciden hacerlo. Aunque esto limitará drásticamente los beneficios de Meta en la UE, no prohibirá totalmente los anuncios. En cambio, la decisión pondrá a Meta al mismo nivel que otros sitios web o aplicaciones, que deben ofrecer una opción de “sí/no” a los usuarios.
Tras esta resolución del European Data Protection Board, la autoridad de control de Irlanda emitió un duro comunicado contra el órgano por estar extralimitándose en sus funciones e interfiriendo en la capacidad de decisión del organismo irlandés. En cuanto a WhatsApp la resolución, con una sanción de 5.5 millones de euros (muy inferior a las de Facebook e Instagram) concluye que Meta intentó “eludir” el requisito de consentimiento del RGPD añadiendo una cláusula a los términos y condiciones de la publicidad.
La autoridad de control de Irlanda ha adaptado su limitada decisión, pero se niega a investigar otros asuntos, como ordenó el Comité Europeo de Protección de Datos. Las multas que la Data Protection Commissioner of Ireland anunció la semana pasada sobre WhatsApp las fija Irlanda, a pesar de que la decisión final la haya tomado el European Data Protection Board — el comité europeo resuelve, la DPC fija la cuantía de la sanción—.
En definitiva, el organismo europeo entiende que WhatsApp no puede forzar a sus usuarios a aceptar el uso de sus datos por parte de la app de mensajería para que el servicio “mejore” y por razones de “seguridad”.
Fórmate en uno de los empleos más demandados del mercado laboral de la mano de nuestro Máster Profesional en Dirección Compliance & Protección de Datos.
