Multa europea de 1.200 M a Facebook por el envío ilegal de datos de usuarios a EEUU

Meta, la dueña de Facebook, ha recibido este lunes una multa de 1.200 millones de euros por haber enviado datos de usuarios europeos a Estados Unidos sin la suficiente garantía para los derechos fundamentales de los usuarios europeos, en una decisión adoptada por la autoridad irlandesa de protección de datos (DPC) adelantada por el Wall Street Journal. Se trata de una multa récord en esta cuestión. Hasta ahora, la mayor multa se había aplicado contra Amazon, por valor de 746 millones de euros, impuesta en 2021 por la autoridad de protección de datos de Luxemburgo. El anuncio de la DPC llega después de una decisión de abril del Comité Europeo de Protección de Datos (EDPB) que ya dejaba el camino despejado para la imposición de una multa.

"Dada la gravedad de la infracción, el EDPB consideró que el punto de partida para el cálculo de la multa debería estar entre el 20% y el 100% del máximo legal aplicable", ha explicado el EDPB en una nota de prensa. El EDPB es la junta de todas las autoridades nacionales de protección de datos y tiene como objetivo supervisar el cumplimiento del Reglamento General de Protección de Datos (RGPD) de la Unión Europea, que desde 2018 da a los reguladores la capacidad de imponer multas por valor del 4% de los ingresos anuales de las compañías que violen las reglas. "Apelaremos la sentencia, incluida la multa injustificada e innecesaria, y solicitaremos la suspensión de las órdenes por vía judicial", ha señalado Meta en un comunicado.

Andrea Jelinek, presidenta del EDPB, ha señalado que la autoridad "encontró que la infracción es muy grave". "Se trata de transferencias que son sistemáticas, repetitivas y continuas. Facebook tiene millones de usuarios en Europa, por lo que el volumen de datos personales transferidos es enorme. La multa sin precedentes es una fuerte señal para las organizaciones de que las infracciones graves tienen consecuencias de largo alcance", ha explicado en un comunicado emitido este lunes.

Los mecanismos de intercambio de datos entre Estados Unidos y la Unión Europea siempre han sido un punto delicado. En 2020, el Tribunal de Justicia de la Unión Europea tumbó el sistema de intercambio de datos, el "escudo de protección", y desde entonces Washington y Bruselas han estado negociando un nuevo marco. Ahora hay progresos tangibles en el Data Privacy Framework (DPF). Pero, desde hace una década, la DPC irlandesa ha puesto la lupa sobre Facebook. Helen Dixon, comisaria de protección de datos de Irlanda, ha liderado los trabajos con los que se ha cercado la última herramienta con la que Facebook seguía enviando datos a EEUU.

La conclusión a la que ha llegado Dixon es que el mecanismo utilizado por Meta, cláusulas contractuales, seguía incumpliendo la sentencia del 2020. "El riesgo para los derechos y libertades fundamentales de los ciudadanos de la UE (...) aún no ha sido abordado", señala la comisaria en su decisión, publicada este lunes. La decisión da seis meses para que Facebook deje de procesar y almacenar datos enviados a EEUU que hubieran sido mandados en violación de las normas establecidas por el GDPR.

El origen del caso se encuentra en las revelaciones de Edward Snowden, un antiguo trabajador de la Agencia de Seguridad Nacional de Estados Unidos que destapó que las autoridades accedían a datos confidenciales a través de empresas tecnológicas. En el mismo mes de junio de 2013 en el que se conoció dicha información, un demandante presentó una queja ante la autoridad irlandesa de protección de datos. "En esencia, la Demanda sostenía que, a la luz de la divulgación del documento de Snowden, la transferencia de datos personales relacionados con (los usuarios europeos de Meta US) por parte de Meta Ireland a su matriz estadounidense, Meta US, era ilegal según la ley de protección de datos nacional y de la UE", recuerda ahora la decisión del DPC. No es la primera multa que recibe Facebook a raíz de este tipo de escándalos. En 2019, recibió una multa de 5.000 millones de dólares de la Comisión Federal de Comercio de Estados Unidos por el caso de Cambridge Analytica.