Multa del GDPR: 1.200 millones de euros contra Meta por transferencias de datos

Cómo evitar una sanción basada en las leyes del GDPR para mi empresa?

Las autoridades irlandesas han impuesto a Meta, la empresa matriz de Facebook, una multa récord de 1.200 millones de euros, la mayor jamás impuesta en virtud del Reglamento General de Protección de Datos (RGPD). La magnitud de la multa, que podría incluso haberse ampliado a más de 4.000 millones de euros, pone de manifiesto la gravedad de las infracciones cometidas por Meta en su tratamiento de los datos de los usuarios. Esta multa ha elevado la suma total de las multas de Meta relacionadas con el GDPR a 2.500 millones de euros, lo que supone 6 de las 10 mayores multas relacionadas con el GDPR. Además, las autoridades irlandesas han emitido una orden judicial para detener y revertir las transferencias de datos personales de la UE a Estados Unidos. Unos diez años después de la denuncia inicial de Max Schrems ante las autoridades irlandesas, esta multa es un paso significativo para responsabilizar al gigante tecnológico y garantizar el cumplimiento del GDPR. En las operaciones entre empresas (B2B), la necesidad de medidas técnicas y organizativas (MTO) relativas a las transferencias de datos a países fuera de Europa sigue creciendo. El activista por la privacidad de los datos Max Schrems señala que la aplicación de estas medidas podría afectar a cualquier proveedor de servicios en la nube con sede en Estados Unidos. De hecho, parece probable que haya más actividad relacionada por parte de las autoridades de la UE hasta que se establezca un nuevo marco de transferencia de datos entre la UE y Estados Unidos.

¿Qué ha ocurrido hasta ahora?

Meta ha sido multada porque la transferencia de datos personales a Estados Unidos infringe el Reglamento General de Protección de Datos (RGPD), concretamente la sentencia Schrems II. La decisión de multar a Meta se debe a que las leyes y prácticas de vigilancia de Estados Unidos se consideran incompatibles con las estrictas normas de privacidad del GDPR, tal y como especifican las sentencias Schrems y Schrems II del Tribunal de Justicia de la Unión Europea (TJUE). Es importante señalar que la multa no se refiere a los últimos diez años, ni siquiera a la fecha de entrada en vigor del RGPD, sino únicamente a las infracciones cometidas desde la sentencia Schrems II, de 16 de julio de 2020, lo que podría explicar el importe relativamente "pequeño" de 1 200 millones de euros. La multa fue impulsada por las denuncias y demandas presentadas por Max Schrems, un destacado activista de la privacidad de datos. La Junta Europea de Protección de Datos (JEPD), un organismo de reciente creación para coordinar las medidas del RGPD entre las autoridades nacionales, desempeñó un papel esencial en la ejecución de la acción contra Meta. La multa subraya la importancia de salvaguardar los datos personales y defender los derechos de privacidad de los datos en la era digital.

¿En qué consiste la decisión del EDPB?

La decisión vinculante 1/2023 del EDPB forzó la mano de las autoridades irlandesas. La Autoridad de Supervisión irlandesa (IE SA) había decidido no multar a Meta ni ordenar a la empresa que detuviera las transferencias de datos. El EDPB anuló la decisión irlandesa y obligó a la IE SA a tomar medidas: en primer lugar, había que multar a Meta por infringir las normas del GDPR basándose en las directrices del EDPB. En segundo lugar, Meta tendría que dejar de transferir y almacenar ilegalmente datos de usuarios del Espacio Económico Europeo (EEE) dentro de Estados Unidos, y en tercer lugar, Meta tendría que cumplir en un plazo de seis meses tras recibir la decisión de la IE SA.

¿Por qué se fijó la multa en 1.200 millones de euros?

La multa de 1.200 millones de euros se calculó sobre la base de varios factores determinados por el Consejo Europeo de Protección de Datos (CEPD). Entre ellos figuran la gravedad de la infracción, la gran cantidad de datos personales implicados y el importante número de personas afectadas. También se tuvo en cuenta la larga duración de la infracción, que sigue en curso. La EDPB concluyó que Meta IE (la empresa matriz de Facebook) había actuado con el máximo nivel de negligencia y tenía una gran responsabilidad. Las violaciones de seguridad afectaron a varias categorías de datos personales, incluida información sensible. Además, la EDPB estableció que el servicio de Meta se basaba en la transferencia internacional de datos.

¿Qué significa esto para mi empresa? ¿Cómo responder?

Para responder eficazmente a la situación actual, se recomiendan en general los siguientes pasos:

1. Entender el tema: empiece por informarse a fondo sobre el asunto en cuestión. Lea la bibliografía adecuada, como libros blancos, documentos oficiales y análisis de expertos, para comprender a fondo las implicaciones y los requisitos.

2. Busque orientación legal: consulte con expertos legales o responsables de protección de datos especializados en el GDPR para asegurarse de que sus acciones se alinean con las expectativas declaradas por las autoridades reguladoras, y para obtener asesoramiento profesional adaptado a las necesidades específicas de su organización.

3. Revise las transferencias de datos: examine todas las transferencias de datos personales dentro de su organización, especialmente las que implican datos personales de ciudadanos de la UE. Identifique qué transferencias implican nubes con sede en Estados Unidos y determine su cumplimiento del GDPR.

4. Evaluar los riesgos: reevalúe los riesgos potenciales asociados a las transferencias de datos a proveedores de nube estadounidenses, teniendo en cuenta las recientes medidas de aplicación y multas. Analice la probabilidad de incumplimiento y el impacto potencial en su negocio.

5. Abordar los riesgos: desarrollar una estrategia para mitigar los riesgos y garantizar el cumplimiento del RGPD. Esto puede implicar reducir la dependencia de los proveedores de nube estadounidenses, explorar servicios de nube alternativos dentro de la UE y aplicar salvaguardias adicionales para las transferencias de datos. También podría considerarse la posibilidad de adoptar un enfoque multicloud. Los datos muy sensibles y su procesamiento se ubicarían con un proveedor de nube europeo y otras aplicaciones permanecerían con uno de los proveedores globales.

6. Introducir cambios: aplicar los cambios necesarios para ajustarse a los requisitos del RGPD y reducir la exposición a posibles multas. Esto podría incluir la modificación de las prácticas de procesamiento de datos, la actualización de los contratos con los proveedores de la nube o la adopción de tecnología que mejore la privacidad.

7. Supervisar y adaptarse: los actuales problemas de transferencia de datos entre la UE y Estados Unidos solo pueden resolverse mediante un cambio en el procesamiento de datos o en las leyes de vigilancia de Estados Unidos. Para evitar riesgos, se recomienda por tanto vigilar continuamente la evolución del panorama normativo y ajustar las prácticas de gestión de datos en consecuencia. Manténgase informado sobre cualquier actualización o cambio en las directrices del GDPR para garantizar continuamente el cumplimiento.

¿Es este el final de las transferencias de datos personales entre la UE y EE.UU.?

Los últimos acontecimientos no significan necesariamente el fin de las transferencias de datos personales entre la UE y EE.UU.. Aunque Meta ha insinuado la posibilidad de interrumpir los servicios de Facebook en Europa, lo más probable es que recurra la decisión para ganar tiempo hasta que entre en vigor un nuevo marco de transferencia de datos entre la UE y EE.UU., previsto para 2023. Meta ha declarado que no interrumpirá totalmente los servicios de Facebook. Sin embargo, es importante señalar que la situación puede no prolongarse indefinidamente, ya que futuras decisiones jurídicas como la "Schrems III" del TJCE podrían volver a afectar a las transferencias de datos entre la UE y EE.UU.. Por consiguiente, existe un riesgo permanente que podría provocar una reducción de las transferencias de datos y una mayor atención a la aplicación de medidas para proteger estas transferencias, especialmente en el sector B2B. También es probable que se produzcan repercusiones en las transferencias de datos con países no pertenecientes al EEE más allá de Estados Unidos.

Lista de abreviaturas

• GDPR: Reglamento General de Protección de Datos
• EDPB: Consejo Europeo de Protección de Datos
• B2B: empresa a empresa
• Medidas técnicas y organizativas
• TJCE - Tribunal de Justicia de las Comunidades Europeas
• SEPD: Supervisor Europeo de Protección de Datos
• IE SA - Autoridad de Supervisión de Irlanda
• EEE: Espacio Económico Europeo