Europa es incapaz de controlar qué uso hacen las grandes tecnológicas de los datos personales de los usuarios. Irlanda tiene mucho que ver en ello. Las autoridades del país celta, cuya laxa política fiscal le ha merecido alojar las sedes europeas de Apple, Google, Facebook, Microsoft, Oracle, Twitter o Dropbox, son especialmente lentas en resolver las demandas que les llegan. Y cuando lo hacen imponen sanciones bajas. Algunos de los reguladores más activos en la defensa de la privacidad de sus ciudadanos, como el alemán o el francés, llevan tiempo quejándose de ello.
Más información
El Irish Council for Civil Liberties (ICCL), una asociación independiente centrada en la protección de los derechos digitales, publica este lunes un estudio que le pone cifras al problema: el 98% de las demandas transfronterizas que ha recibido la Comisión Irlandesa de Protección de Datos (DPC, por sus siglas inglesas, el equivalente a la española AEPD) están todavía pendientes de resolución.
Desde que el Reglamento General de Protección de Datos (RGPD), el documento que regula en la UE cómo se debe tratar la información de los ciudadanos en la esfera digital, entró en vigor en 2018, la autoridad irlandesa ha acumulado en su mesa 164 demandas de relevancia europea. Hasta mayo de 2021 solo ha elevado cuatro al Comité Europeo de Protección de Datos (EDPB por sus siglas inglesas), el organismo comunitario que supervisa el trabajo en esta materia de los Estados miembros. Para ponerlo en contexto, en ese mismo tiempo, la AEPD, que cuenta con un presupuesto inferior que su agencia homóloga irlandesa, ha emitido 41 dictámenes.
Más información
La actitud de Irlanda en este asunto es crucial para el resto de Europa. La agencia irlandesa de protección de datos (DPC) asume el papel de autoridad líder en todas las demandas dirigidas contra empresas afincadas en ese país. Y mientras esos casos estén en sus manos, ninguna otra autoridad puede intervenir. El propio RGPD fijó esta política de ventanilla única para simplificar los procesos y evitar que hubiera varias agencias implicadas en cada caso. Ese mecanismo está haciendo de tapón. “El cumplimiento del RGPD por parte de las grandes tecnológicas está paralizado por la incapacidad de Irlanda de resolver casos transfronterizos”, concluye el informe.
La reciente multa impuesta por la DPC a WhatsApp, a quien se le reclaman 225 millones de euros por no informar a sus usuarios sobre cómo compartía sus datos personales con su matriz Facebook, es representativa de la situación. Primero, porque la resolución llega tres años después de presentarse la demanda. Y en segundo lugar, porque la cuantía de la multa es elevada gracias a las presiones que recibió del resto de Europa: la propuesta preliminar de la autoridad irlandesa era una sanción de 50 millones. Sin embargo, al presentarla al resto de países europeos, ocho agencias concluyeron que no era proporcional ni disuasoria. Al haber opiniones discrepantes, intervino el Comité Europeo de Protección de Datos, que elevó la suma hasta los 225 millones, casi cinco veces más de la propuesta inicial.
El oasis legal irlandés
Además de ser benévolas con las big tech en términos impositivos, las autoridades irlandesas tampoco les ponen demasiados problemas en el área legal. El propio comisario europeo de Justicia, Didier Reynders, tuvo que presionar hace unos meses a Dublín para que investigara a Facebook por la filtración de los datos personales de 530 millones de usuarios. El Parlamento Europeo, por su parte, acaba de instar al EDPB a que revise los procedimientos y mecanismos necesarios para lograr que las causas no se demoren tanto y para que no haya tantas diferencias entre los distintos países. “Eso, junto a algunos otros recientes informes de Bruselas en los que se expresa la preocupación de que Irlanda no sea suficientemente proactiva y rápida, pueden empezar a cambiar las cosas”, sostiene Alejandra Matas, directora del área New Law de la división jurídica de PwC Tax.
Más información
El abogado austriaco Max Schrems y su equipo conocen bien el proceder del DPC irlandés. Tras años de litigios lograron que Facebook deba alojar en Europa los datos de sus usuarios europeos (si los guardasen en Estados Unidos se les aplicaría la normativa de privacidad de ese país, menos garantista que la comunitaria).
Su demanda original fue desestimada por las autoridades irlandesas en 2013; siguieron litigando en los tribunales europeos hasta que en 2015 les dieron la razón. “No sabemos si es por motivos políticos, por falta de recursos o por algún otro motivo, pero no cabe duda de que la autoridad de protección de datos de Irlanda es mucho más lenta que las demás. Todo el mundo quisiera saber por qué”, asegura Romain Robert, director de programa de NOYB (acrónimo de None of Your Business, No es asunto tuyo), la organización que fundó Schrems para enfrentarse legalmente a las grandes tecnológicas.
Como en Irlanda están afincadas las principales empresas de internet, se podría pensar que la agencia irlandesa tendrá más trabajo que otras como autoridad líder. “Por eso puede que, en parte, tenga más retraso en la tramitación de unos expedientes que son complejos porque deben coordinarse con otros países afectados”, señala Borja Adsuara, experto en derecho digital.
Las conclusiones del informe del ICCL van en ese sentido: hacen falta más recursos en toda Europa, y especialmente en Irlanda, para poder proteger los derechos digitales de los ciudadanos. Según los datos recabados por el estudio, en todas las agencias de protección de datos del continente trabajan 293 especialistas en tecnología. Y una tercera parte están en Alemania. Solo cinco países tienen más de 10 especialistas dedicados a estas tareas: Alemania (99), Francia (30), España (30), Irlanda (28) y Grecia (12).
