GDPR: el Tribunal de Justicia de la UE renueva la personalización de la metapublicidad

“El día del desastre del RGPD para Meta”, así saludó Max Schrems, presidente de Noyb, la sentencia de hoy del Tribunal de Justicia de la Unión Europea (TJUE). El caso se remonta a 2019, cuando la Oficina Federal de Cárteles investigó las actividades de Facebook y señaló que las violaciones de la privacidad deberían tratarse como un abuso de posición dominante. En su orden, el regulador pidió a Facebook que dejara de combinar datos de los usuarios de sus diferentes servicios (WhatsApp e Instagram) sin su consentimiento. La empresa estadounidense intentó bloquear esta orden ante los tribunales. Este último recurrió al TJUE en busca de aclaraciones jurídicas sobre algunos de los argumentos de Meta.

Una autoridad de competencia puede comprobar el cumplimiento del RGPD

La red social argumentó que la autoridad de competencia alemana no tenía competencia para controlar el cumplimiento del procesamiento de datos con el RGPD en el contexto de una investigación por abuso de posición dominante. Para el Tribunal, esta posibilidad "puede resultar necesaria" y otorga al regulador el derecho "de examinar también la conformidad del comportamiento de esta empresa con normas distintas de las relativas al derecho de la competencia, como las normas GDPR". Esto abre la posibilidad de litigios adicionales relacionados con el RGPD desde la perspectiva del derecho de competencia.

Ley IA: Las grandes empresas europeas quieren una regulación mínima

El tribunal tiene algunas reservas sobre esta jurisdicción. El regulador de la competencia no debería “sustituir a las autoridades de supervisión establecidas por el presente Reglamento”. Convocatorias de consulta y cooperación entre diferentes autoridades (competencia y protección de datos personales). Finalmente, la autoridad de competencia debe verificar si “el comportamiento o actitud similar ya ha sido objeto de una decisión de la autoridad de control competente o del Tribunal”. Entonces no podrá desviarse de él.

Falta de consentimiento para el superperfilado

La otra parte de la decisión se refiere específicamente al “superperfilado” realizado por Meta, combinando datos de usuarios recopilados dentro y fuera de Facebook. Como siempre en estas circunstancias, la cuestión del consentimiento está en el centro de las discusiones, especialmente en lo que respecta a los datos llamados sensibles. Y la Corte observa en este caso que estos últimos se caracterizan porque “pueden revelar, entre otras cosas, el origen racial o étnico, las opiniones políticas, las creencias religiosas o la orientación sexual”. El tratamiento de estos datos está, en principio, prohibido por el RGPD, pero el TJUE remite la evaluación a los tribunales nacionales.

El Tribunal de Justicia rechaza varios de los argumentos de Meta relativos a la justificación del tratamiento de datos sensibles. “El simple hecho de que un usuario consulte sitios web o aplicaciones no significa que obviamente esté haciendo públicos sus datos”. Por tanto, no existe presunción de consentimiento por defecto. Asimismo cuando el usuario “introduzca datos de un determinado sitio web o aplicación” o “active botones de selección”, salvo que “previamente haya explicado su elección”. Finalmente, sobre el consentimiento para datos no sensibles, Max Schrems resume en un mensaje la posición del Tribunal "en lugar de tener una opción de 'sí/no' para anuncios personalizados, simplemente trasladaron la cláusula de consentimiento a los términos y condiciones generales. Esto es no sólo es injusto, sino que también es claramente ilegal”. Ahora queda por ver cómo reacciona Meta tras este parón.

Cigref se incorpora al máster en gestión de SI de CentraleSupélec