Tras dos decisiones vinculantes de la Junta Europea de Protección de Datos (EDPB), la Comisión Irlandesa de Protección de Datos (DPC) ha anunciado los resultados de sus dos investigaciones sobre el funcionamiento de los servicios de Facebook e Instagram de Meta. El grupo de defensa de la privacidad Noyb (None of Your Business), el denunciante original, puso a disposición las decisiones del DPC el 11 de enero de 2023.
La DPC multó a Meta por un total de 390 millones de euros: 210 millones de euros en relación con Facebook y 180 millones de euros en relación con Instagram. La DPC también le dio a Meta tres meses para poner en cumplimiento sus operaciones de procesamiento de datos.
¿Cuál fue la decisión y qué pasa a continuación con Meta?
El DPC descubrió que Meta infringió el RGPD al procesar datos personales de usuarios de la UE con el fin de proporcionar publicidad basada en el comportamiento, luego de afirmar incorrectamente (a través de sus términos y condiciones) que esto se realizó sobre la base legal de que el procesamiento era necesario para la realización de un contrato con el usuario. Las decisiones del DPC también establecen que Meta violó los principios de transparencia y equidad del RGPD.
Dos de los hallazgos clave del EDPB en su decisión vinculante en relación con Facebook, y reflejados en las decisiones finales del DPC, fueron que:
- “La principal finalidad por la que un usuario utiliza el servicio de Facebook es para comunicarse con los demás ”, no para recibir publicidad personalizada. Como tal, “ como regla general, el procesamiento de datos personales para publicidad comportamental no es necesario para ejecutar un contrato ”, en parte porque existen alternativas menos intrusivas.
- Sería “ extremadamente difícil argumentar que un usuario promedio puede comprenderlo por completo, ser consciente de sus consecuencias e impacto en sus derechos a la privacidad y la protección de datos, y esperarlo razonablemente basándose únicamente en los Términos de servicio de Facebook”, lo que lleva a la conclusión de que Meta no había sido debidamente transparente con sus usuarios.
Meta respondió : "creemos firmemente que nuestro enfoque respeta el RGPD" y que "tienen la intención de apelar tanto la sustancia de los fallos como las multas ". Meta afirmó además que las decisiones: “no impiden la publicidad personalizada en nuestra plataforma ”.
Noyb ha manifestado que la única opción que le queda a Meta es obtener el consentimiento libre, informado, expreso y revocable de los usuarios para el uso de sus datos personales para publicidad comportamental. Sin embargo, la declaración de Meta indica que creen que podrían estar disponibles otras bases legales. Una de esas posibilidades es que Meta pueda buscar establecer una base legal basada en su interés legítimo para el procesamiento, lo que requeriría que Meta demuestre un equilibrio entre su interés legítimo para proporcionar a los anunciantes herramientas de publicidad conductual en las plataformas de uso gratuito y los derechos y libertades de sus usuarios.
Se le ha dado a Meta tres meses para implementar los cambios, por lo que es probable que haya más información disponible antes de fines de marzo de 2023. Sin embargo, Meta ha indicado que tiene la intención de apelar la decisión y cualquier acción estará sujeta al resultado de cualquier apelación.
Pensamientos finales
Existen posibles efectos colaterales de estas decisiones en Meta. Otras jurisdicciones con regímenes de protección de datos comparables a los de la UE (como el Reino Unido) podrían considerar las decisiones del DPC como punto de referencia. También hay una pregunta abierta sobre si Meta puede ser responsable ante los usuarios directamente por daños y perjuicios con respecto al procesamiento que realizaron durante los últimos cinco años.
Además, noyb ha declarado que considera inadecuados aspectos de las decisiones publicadas del DPC, con el argumento de que las decisiones no abordan todo el uso de datos personales por parte de Meta (estas decisiones se relacionan específicamente con la publicidad conductual).
Finalmente, la EDPB ha pretendido dirigir una investigación más general sobre el procesamiento de Meta de los datos personales confidenciales de los usuarios, como datos de salud o datos que revelan las creencias religiosas de una persona (conocidos como "datos de categoría especial"). El DPC ha dicho que impugnará esta dirección del EDPB por motivos jurisdiccionales.
Este artículo se ha producido únicamente con fines informativos. Su contenido no constituye asesoramiento legal y fue elaborado el 12 de enero de 2023.. Cualquier traducción es proporcionada por Datacenter Dynamics sin aportes del autor.
[Any translation is provided by Datacenter Dynamics without input from the author.]