Meta, la empresa propietaria de Facebook, ha sido multada con 1.200 millones de euros y se le ha ordenado suspender las transferencias de datos de los usuarios de Facebook en Europa a los EE. UU.
La multa, dictada por el Comisionado de Protección de Datos de Irlanda, es la mayor impuesta por la Unión Europea por incumplir la normativa de protección de datos.
Se espera que la decisión tenga ramificaciones más amplias para las empresas que comparten datos entre Europa y EE. UU., que ahora enfrentan incertidumbre regulatoria.
La Comisión de Protección de Datos (DPC) descubrió que Meta Ireland seguía incumpliendo el Reglamento General de Protección de Datos al no cumplir con un fallo del Tribunal de Justicia Europeo en 2020 que requería protecciones de privacidad adicionales para los datos transferidos de Europa a los EE. UU.
El DPC encontró que el uso de cláusulas contractuales estándar (SCC) por parte de Meta Ireland, un mecanismo legal aprobado por la UE para transferir datos a los EE. UU., junto con medidas complementarias, no abordaron “los riesgos para los derechos y libertades fundamentales de los interesados que fueron por el TJUE en su sentencia.”
Según la decisión, Meta Ireland debe suspender cualquier transferencia futura de datos a los EE. UU. en un plazo de cinco meses.
Se le ha dado seis meses para que sus operaciones de procesamiento cumplan con el Reglamento General de Protección de Datos (GDPR), al cesar el procesamiento y almacenamiento ilegal de datos personales de la UE en los EE. UU. transferidos en violación de GDPR.
Meta reclama ‘precedente peligroso’
Meta dijo que apelará el fallo, incluida la “multa injustificada e innecesaria”, y buscará la suspensión de las órdenes por vía judicial.
Escribiendo en una publicación de blog, el presidente de Asuntos Globales de Meta, Nick Clegg, y la directora legal Jennifer Newstead, dijeron que la decisión crearía un precedente peligroso para otras compañías que transfieren datos entre la UE y los EE. UU.
“Esta decisión es defectuosa, injustificada y sienta un precedente peligroso para las innumerables otras empresas que transfieren datos entre la UE y EE. UU.”, dijeron.
El DPC descubrió que Meta incumplió un fallo del Tribunal de Justicia de la Unión Europea en 2020, que anuló el acuerdo de intercambio de datos entre EE. UU. y Europa entre EE. UU. y Europa, Privacy Shield.
La decisión de 2020 introdujo requisitos más estrictos para las empresas que utilizan cláusulas contractuales estándar como base legal para transferir datos a los EE. UU.
El tribunal determinó que las personas deben recibir una “protección esencialmente equivalente” para sus datos cuando se transfieren a los EE. UU. y otros países, como la recibirían en la UE bajo el RGPD y la Carta Europea de los Derechos Fundamentales, que garantiza a las personas el derecho a comunicaciones privadas y la protección de sus datos privados.
Cláusulas contractuales tipo
El caso tendrá un impacto en cadena para las empresas que confían en las cláusulas contractuales estándar de la UE como mecanismo legal para transferir datos de la UE a EE. UU.
También es probable que ejerza presión sobre la UE y los EE. UU. para finalizar un nuevo acuerdo sobre la adecuación de la protección de datos, conocido como el Marco Transatlántico de Privacidad de Datos.
“La decisión del DPC de que las cláusulas contractuales estándar no son un mecanismo válido para transferir datos personales a los EE. UU. tendrá un impacto significativo en la capacidad de las organizaciones de todas las formas y tamaños para compartir y recibir datos de Europa de manera legal”, dijo el abogado Edward Machin. , en el bufete de abogados Ropes & Gray’s.
“También iniciará una carrera contra el tiempo para que los legisladores finalicen el marco de transferencia de datos entre la UE y los EE. UU. antes del final del período de transición de seis meses que el DPC le ha dado a Meta para que sus transferencias cumplan”, agregó.
Diez años de batalla legal
La decisión es la última de una batalla legal de diez años entre el abogado austriaco Max Schrems y Meta.
La raíz es la discrepancia entre las leyes de privacidad de la UE y las leyes de vigilancia de los EE. UU., incluida la Ley de Vigilancia de Inteligencia Extranjera (FISA), que otorga a las agencias de inteligencia de los EE. UU. amplios poderes para recopilar datos personales y comunicaciones de ciudadanos no estadounidenses.
Schrems dijo en un comunicado que las leyes de vigilancia de EE. UU., incluida FISA 702, que permite atacar a ciudadanos no estadounidenses fuera de EE. UU., también es un problema para todos los demás grandes proveedores de nube de EE. UU., como Microsoft, Google o Amazon.
“A menos que se arreglen las leyes de vigilancia de EE. UU., Meta tendrá que reestructurar fundamentalmente sus sistemas”, dijo.
“Hay un entendimiento en ambos lados del Atlántico de que necesitamos una causa probable y la aprobación judicial de la vigilancia. Es hora de otorgar estas protecciones básicas a los clientes de la UE de los proveedores de la nube de EE. UU.”, agregó.
Futuro de la protección de datos UE-EE.UU.
Se espera que el Marco transatlántico de privacidad de datos entre en vigor en el verano, pero se espera que enfrente más desafíos legales.
Un desafío legal podría resultar en que el Tribunal Europeo anule el nuevo marco, que previamente anuló su predecesor Privacy Shield en 2020 y Safe Harbor en 2015.
Eddie Powell, socio de protección de datos del bufete de abogados londinense Fladgate, dijo que el tamaño de la multa de Meta reflejaba el hecho de que los sistemas de Meta estaban estructurados para que los datos recopilados en sus plataformas de redes sociales tuvieran que enviarse a EE. UU. “sin ningún tipo de cortafuegos”. .
Pero dijo que la multa, equivalente a cerca del 1% de la facturación mundial de Meta, podría haber sido significativamente mayor, hasta un máximo del 4% de la facturación mundial de Meta.
Meta: ‘preguntas serias’
Clegg y Newstead dijeron en su publicación de blog que el DPC “inicialmente reconoció que Meta había continuado con sus transferencias de datos entre la UE y los EE. UU. de buena fe, y que una multa sería innecesaria y desproporcionada”, pero la Junta Europea de Protección de Datos lo anuló.
Argumentaron que el EDPB, el regulador europeo independiente de protección de datos, había optado por ignorar el progreso que los legisladores estaban logrando para resolver el “conflicto fundamental” entre el acceso del gobierno de EE. UU. a los datos europeos y los derechos de privacidad de los europeos.
La decisión “plantea serias dudas sobre un proceso regulatorio que permite al EDPB invalidar a un regulador principal de esta manera, ignorando los hallazgos de su investigación de varios años sin otorgar a la empresa en cuestión el derecho a ser escuchada”, dijeron.