Meta ordenó suspender las fuentes de datos de Facebook de la UE, ya que recibe una multa de privacidad de 1.200 millones de euros

Finalmente sucedió: Meta, la empresa anteriormente conocida como Facebook, recibió una orden de suspensión formal que le obligaba a dejar de exportar datos de usuarios de la Unión Europea a los Estados Unidos para su tratamiento.

EL Junta Europea de Protección de Datos (EDPB) confirmó hoy que Meta ha sido multada con 1.200 millones de euros (casi $ 1.300 millones), lo que parece ser una suma récord para una sanción en virtud del Reglamento General sobre protección de datos del bloque (GDPR). (El récord anterior es para Amazon, que fue apuñalado por $ 887 millones por el uso indebido de datos de clientes para la orientación de anuncios en 2021).

La sanción de Meta es por violar las condiciones establecidas en la regulación paneuropea que rige las transferencias de datos personales a los llamados terceros países (en este caso, Estados Unidos) sin garantizar la protección adecuada de la información de las personas.

Los jueces europeos han encontrado previamente que los programas de vigilancia de EE. UU. entran en conflicto con los derechos de privacidad de la UE.

En un comunicado de prensa que anuncia la decisión de hoy, el presidente de EDPB, Andrea Jelinek, dijo:

El SEPD constató que la infracción de Meta IE es muy grave ya que se refiere a transferencias sistemáticas, repetitivas y continuas. Facebook tiene millones de usuarios en Europa, por lo que el volumen de datos personales transferidos es enorme. La multa sin precedentes es una fuerte señal para las organizaciones de que las violaciones graves tienen consecuencias de largo alcance.

En el momento de redactar este informe, la Comisión Irlandesa de Protección de Datos (DPC), el organismo responsable de implementar la decisión vinculante del SEPD, no había hecho ningún comentario. (Pero es la decisión final se puede encontrar aquí.)

Meta publicó rápidamente un entrada en el blog con su respuesta a la orden de suspensión en la que confirmó que apelaría. También trató de culpar del problema a un conflicto entre la legislación de la UE y de EE. UU., en lugar de sus propias prácticas de privacidad, con Nick Clegg, presidente de asuntos globales y Jennifer Newstead, directora legal, escribiendo:

Estamos apelando estos fallos y buscaremos de inmediato una suspensión de los tribunales que pueden suspender los plazos de implementación, dado el daño que estas órdenes causarían, incluso a los millones de personas que usan Facebook todos los días.

En abril pasado, el gigante de la tecnología publicitaria advirtió a los inversores que alrededor del 10% de sus ingresos publicitarios globales estarían en riesgo si se implementara una suspensión de las fuentes de datos de la UE.

Cuando se le preguntó antes de la decisión sobre los preparativos para una posible suspensión, el portavoz de Meta, Matthew Pollard, se negó a proporcionar «orientación adicional». En cambio, se refirió a una declaración anterior en la que la compañía dijo que el caso estaba relacionado con un «conflicto histórico entre las leyes europeas y estadounidenses» que, según dice, está siendo resuelto por legisladores europeos y estadounidenses que trabajan en nuevos datos transatlánticos. acuerdo de transferencia. Sin embargo, el marco de datos transatlánticos reiniciado al que se refirió Pollard aún no se ha adoptado.

También se debe tener en cuenta que, si bien la multa y la orden de suspensión de hoy se limitan a Facebook, Meta está lejos de ser la única empresa afectada por la continua incertidumbre legal relacionada con las transferencias de datos entre la UE y EE. UU.

La decisión del DPC irlandés se deriva de una denuncia presentada contra la filial irlandesa de Facebook. hace casi una década por el activista de privacidad Max Schrems, quien criticó duramente al principal regulador de protección de datos de Meta en la UE, acusando al regulador irlandés de privacidad de tomar un camino intencionalmente largo y sinuoso para frustrar la aplicación efectiva del libro de reglas del bloque.

Schrems argumenta que la única forma segura de resolver el catastrófico bucle de flujo de datos entre la UE y los EE. UU. es que los EE. UU. se apoderen de la ortiga y reformen sus prácticas de vigilancia.

Respondiendo a la orden de hoy en un comunicado (a través de sus derechos de privacidad sin fines de lucro, noyb), Schrems dijo: “Nos complace ver esta decisión después de diez años de litigio. La multa podría haber sido mucho mayor, dado que la multa máxima supera los 4 mil millones y que Meta infringió la ley a sabiendas para obtener ganancias durante diez años. A menos que se arreglen las leyes de vigilancia de EE. UU., Meta tendrá que reestructurar fundamentalmente sus sistemas.

El DPC, que supervisa varios gigantes tecnológicos con sede regional en Irlanda, rechaza regularmente las críticas de que sus acciones crean un cuello de botella para la aplicación de GDPR, argumentando que sus procesos reflejan lo que se necesita para realizar la debida diligencia en casos transfronterizos complejos. También busca a menudo culpar de los retrasos en la toma de decisiones a otros supervisores que plantean objeciones a sus proyectos de decisión.

Sin embargo, debe tenerse en cuenta que las objeciones a los fallos propuestos por el DPC contra Big Tech han llevado a una aplicación más estricta impuesta a través de un mecanismo cooperativo integrado en el RGPD, como en decisiones anteriores contra Meta Y Gorjeo. Esto sugiere que el regulador irlandés es regularmente abajo-aplicar el RGPD en las plataformas digitales más potentes y hacerlo de forma que genere problemas adicionales para el funcionamiento efectivo de la normativa, ya que alarga el proceso de aplicación. (En el caso de las fuentes de datos de Facebook, por ejemplo, se presentaron objeciones contra el proyecto de decisión del DPC el pasado agosto — por lo que llevó alrededor de nueve meses pasar de ese borrador a una decisión final y una orden de suspensión ahora).

Como se señaló anteriormente, con la decisión de hoy, el DPC también está implementando una decisión vinculante tomada por el EDPB el mes pasado para resolver el desacuerdo en curso sobre el proyecto de decisión de Irlanda: Gran parte de la sustancia de lo que se ordenó hoy en Meta proviene, no de Dublín, sino del organismo de vigilancia del bloque para los reguladores de privacidad.

Aparentemente, esto incluye la existencia de una sanción financiera, ya que el Consejo señala que solicitó al DPC que modificara su borrador para incluir una sanción, escribiendo:

Dada la gravedad de la infracción, el SEPD consideró que el punto de partida para el cálculo de la multa debería estar entre el 20 % y el 100 % del máximo legal aplicable. El SEPD también instruyó a IE DPA para ordenar a Meta IE que lleve las operaciones de procesamiento de conformidad con el Capítulo V del RGPD, cesando el procesamiento ilegal, incluido el almacenamiento, en los Estados Unidos de los datos personales de los usuarios transferidos en violación del RGPD, dentro de 6 meses. después de la notificación de la decisión final de la IE SA.

La sanción legal máxima aplicable a la que se puede sancionar a Meta en virtud del RGPD es el 4% de su facturación anual mundial. Y desde su facturación del año pasado fue de $116.61 mil millones, lo máximo a lo que podría haber sido sentenciado aquí habría sido más de $4 mil millones. Por lo tanto, el regulador irlandés optó por multar a Meta considerablemente menos de lo que podría haberlo hecho.

En declaraciones públicas adicionales hoy, Schrems denunció nuevamente el enfoque del DPC, acusando al regulador de trabajar principalmente para frustrar la aplicación de GDPR. “Nos tomó diez años de juicios contra los irlandeses DPC para lograr este resultado. Tuvimos que iniciar tres procesos contra DPC y arriesgó millones en costos de litigio. El regulador irlandés hizo todo lo posible para evitar esta decisión, pero fue anulada sistemáticamente por los tribunales y las instituciones europeas. Es un poco absurdo que la multa récord vaya a Irlanda, el estado miembro de la UE que hizo todo lo posible para evitar que se impusiera esta multa”, dijo.

Entonces, ¿qué sucede a continuación para Facebook en Europa?

Nada de inmediato. La decisión establece un período de transición antes de tener que suspender las fuentes de datos, de alrededor de seis meses, para que el servicio continúe operando mientras tanto.

Meta también ha dicho que apelará y parece estar tratando de suspender la implementación mientras lleva su caso a los tribunales.

Schrems tiene previamente sugerido la empresa eventualmente tendrá que federar la infraestructura de Facebook para poder ofrecer un servicio a los usuarios europeos que no requiera exportar sus datos a los Estados Unidos para su procesamiento.

Pero en A corto plazo, Meta debería poder evitar tener que suspender las fuentes de datos UE-EE. UU., ya que el período de transición en la decisión de hoy debería darle tiempo suficiente para que se adopte el acuerdo de transferencia transatlántica de datos mencionado anteriormente.

Informes anteriores sugirieron que la Comisión Europea podría adoptar el nuevo acuerdo de datos UE-EE. UU. en julio, aunque se negó a proporcionar una fecha para esto, ya que dice que múltiples partes interesadas están involucradas en el proceso.

Tal cronograma significaría que Meta obtendría un nuevo respaldo para evitar tener que suspender el servicio de Facebook en la UE; y puede seguir confiando en este mecanismo de alto nivel mientras esté en funcionamiento.

Si así es como se desarrolla la siguiente sección de esta tortuosa denuncia, significará que una denuncia contra las transferencias ilegales de datos de Facebook que data de hace casi una década en este momento quedará, una vez más, sin resolverse, lo que generará dudas sobre si ¿Es realmente posible que los europeos ejerzan los derechos legales establecidos en el RGPD? (Y, de hecho, que los gigantes tecnológicos adinerados, cuyas filas están repletas de abogados bien pagados y ¿Se puede regular a los cabilderos?)

Al mismo tiempo, se esperan desafíos legales al nuevo acuerdo de transferencia transatlántica de datos, y Schrems le está dando al pacto UE-EE. UU. una pequeña posibilidad de sobrevivir al escrutinio legal.

Por lo tanto, Meta y otros gigantes estadounidenses cuyos modelos comerciales se basan en la exportación de datos para ser procesados ​​en el estanque pronto podrían encontrarse en este ciclo catastrófico lo suficientemente pronto.

«Meta planea confiar en el nuevo acuerdo para las transferencias en el futuro, pero probablemente no sea una solución permanente», sugirió Schrems. “En mi opinión, el nuevo acuerdo tiene quizás un diez por ciento de posibilidades de no ser asesinado por el TJUE. A menos que se arreglen las leyes de vigilancia de EE. UU., Meta probablemente tendrá que mantener los datos de la UE en la UE.

Esta historia está creciendo: actualice para obtener actualizaciones…