La multa de 1.200 millones de euros a Meta esta semana es la mayor jamás impuesta según las normas de protección de datos de la UE. El propietario de Facebook apenas tiene un historial intachable, y ha sido multado antes por protecciones de privacidad laxas, incluidos $ 5 mil millones por parte de los reguladores estadounidenses en 2019 por el escándalo de Cambridge Analytica. Sin embargo, en este caso, Meta, como muchas otras empresas, está atrapada en un desajuste entre la legislación de la UE y la de EE. UU. La decisión en su contra indica en efecto que no existe una base legal que funcione para que Meta haga lo que ha estado haciendo: transferir datos de usuarios de la UE a los EE. UU. A menos que tenga éxito un nuevo intento de crear un marco para cerrar la brecha legal, las implicaciones para las empresas de tecnología, los consumidores e Internet son de gran alcance.
El quid es que la legislación de la UE desde 1995 ha prohibido las transferencias de datos personales a terceros países a menos que ofrezcan niveles “adecuados” de protección de datos. Pero la UE impone protecciones mucho más altas que los EE. UU., reforzadas por su Reglamento general de protección de datos de 2018 y una carta de derechos fundamentales. Tal como lo expusieron las filtraciones de Snowden de la inteligencia de EE. UU. hace una década, según la legislación de EE. UU. es más fácil para las agencias de aplicación de la ley acceder a los datos de los usuarios, y más difícil para los consumidores buscar reparación.
El Tribunal de Justicia de la Unión Europea anuló dos marcos sucesivos de la UE y los EE. UU. diseñados para facilitar la transferencia legal de datos personales (Safe Harbor y Privacy Shield) después de que un activista de la privacidad austriaco, Max Schrems, cuestionara las prácticas de Facebook.
El tribunal determinó que las leyes estadounidenses no cumplían con los requisitos que eran “esencialmente equivalentes” a los exigidos por la legislación de la UE. Facebook continuó con las transferencias sobre la base de cláusulas contractuales respaldadas por la Comisión Europea, aunque el TJUE también planteó preguntas al respecto en 2020. Después de más quejas de Schrems, la Comisión de Protección de Datos en Irlanda, sede de la sede europea de Meta, falló contra el uso de estas cláusulas. No recomendó una multa, pero otros reguladores europeos la anularon en consultas.
Meta tiene cinco meses para suspender las transferencias de datos a los EE. UU. y seis meses para detener cualquier procesamiento de los datos de los ciudadanos de la UE enviados anteriormente allí. Algunos activistas europeos dicen que los reguladores deberían haber ido más allá y haber eliminado los datos en los EE. UU. Meta planea apelar el fallo. Su gran esperanza, junto con otras empresas tecnológicas, es que un tercer marco de privacidad de datos entre la UE y los EE. UU. que entre en vigor mientras tanto demuestre ser capaz de resistir los desafíos legales. Schrems dice que puede probarlo.
El presidente Joe Biden firmó una orden ejecutiva en octubre pasado que refuerza las salvaguardas en torno a la recopilación de inteligencia de EE. UU. y crea un tribunal para que los ciudadanos busquen reparación. Algunos expertos de la UE tienen la esperanza de que el nuevo marco cumpla la prueba de ser esencialmente equivalente a los estándares de la UE. De lo contrario, se necesitaría una reforma más profunda de las leyes de inteligencia de EE. UU. o una dilución del RGPD de la UE, lo que parece políticamente insostenible. Los ánimos ya se encendieron cuando se eliminó el escudo de privacidad en 2020, con un EE. UU. descontento que acusó a la UE de hipocresía dada la forma en que se comportan las agencias de seguridad de algunos estados miembros.
De lo contrario, las empresas se verían obligadas a almacenar todos los datos personales de la UE en servidores de la UE, lo que, según dicen, podría complicar o bloquear todo tipo de actividades, desde las redes sociales transfronterizas hasta el intercambio de datos de ensayos clínicos. La UE se enorgullece con razón de los estándares líderes en el mundo sobre privacidad de datos, una preocupación legítima y creciente de los consumidores, mientras que EE. UU. dice que está protegiendo las actividades de seguridad de las que también se benefician los aliados. Pero las dos partes deben encontrar una manera de garantizar que los flujos de datos personales necesarios puedan continuar legalmente. Un desacoplamiento digital entre Occidente y China puede que ya sea inevitable, pero sería realmente lamentable ver una fractura de Internet entre las principales democracias del mundo.
