La institución del Reglamento general de protección de datos (RGPD) constituye un avance considerable en la supervisión y protección de los datos personales de los usuarios de las plataformas en línea. Por ejemplo, coloca la responsabilidad en las organizaciones que procesan datos personales con obligaciones de información y transparencia con respecto al procesamiento de datos que se lleva a cabo dentro de su territorio.
Obligaciones relativas a la información y consentimiento de sus usuarios sobre el depósito de trazadores
Sin embargo, existe un problema, en el caso de procesamiento de datos transfronterizo, ¿qué autoridad es competente para actuar? El 15 de junio de 2021, el Tribunal de Justicia de la Unión Europea puso fin a el debate sobre este tema entre la Autoridad de Protección de Datos de Bélgica y Facebook Irlanda. Ella cree que el hecho de que el RGPD designe a la autoridad local irlandesa como líder no priva a otras autoridades de todos los medios de acción.
El 11 de septiembre de 2015, la Comisión Belga para la Protección de la Privacidad (CPVP) incautó al Tribunal de Primera Instancia de Bruselas por una acción por violación, por parte del gigante Facebook, de sus obligaciones en materia de información y el consentimiento de sus usuarios en relación con el depósito. de trazadores.
La Comisión considera que la recopilación de datos de los usuarios y el uso de información sobre el comportamiento de navegación de los usuarios belgas de Internet se llevan a cabo infringiendo la legislación belga y europea. La autoridad de control belga acusa a Facebook de rastrear a sus usuarios de Internet, tengan o no una cuenta en la aplicación a través de “módulos sociales”, programas que permiten a los usuarios de Internet dar “me gusta” a una publicación o compartir un artículo. Ya sea que el usuario sea miembro de la aplicación o no, Facebook tendrá acceso a los datos personales en su computadora cuando visite una página pública de Facebook, como un evento público, por ejemplo. Esto permite a Facebook identificar todos los sitios web a los que accede este usuario cuando contienen un botón de redirección con la famosa “f” blanca sobre un fondo azul. Teniendo en cuenta que el procesamiento de datos tiene lugar a través de las fronteras, la denuncia presentada por el CPVP se dirige tanto a Facebook Bélgica como a Facebook Irlanda y Facebook EE. UU.
El 16 de febrero de 2018, el Tribunal de Primera Instancia de Bruselas sancionó a la red social y ordenó al gigante cumplir con la ley belga. Esto implica que Facebook debe dejar de recopilar datos de sus usuarios sin informarles primero. Facebook apeló al Tribunal de Apelación de Bruselas. Sin embargo, el 25 de mayo de 2018 entró en vigor el RGPD que establece el mecanismo de ventanilla única en el artículo 56, párrafo 1 [1] . Se trata de un nuevo procedimiento que tiene como objetivo armonizar a nivel europeo las decisiones de las autoridades de protección de datos relativas al tratamiento transfronterizo.
Antes de la entrada en vigor del RGPD, las empresas establecidas en más de un estado miembro debían ponerse en contacto con las autoridades de cada uno de los estados en los que estaban establecidas. Estos pasos impidieron una aplicación uniforme del Derecho de la Unión. Para paliar los problemas que rodean a este sistema, se creó la ventanilla única europea. Permite a las empresas establecidas en la Unión Europea que implementan el tratamiento transfronterizo de datos, beneficiarse de un procedimiento de control simplificado: a partir de ahora habrá un interlocutor único que tomará una decisión única válida en todo el territorio de la Unión. El punto de contacto único se denomina “autoridad principal” y corresponde a la autoridad de control del Estado miembro en el que la empresa ha establecido su establecimiento principal. Será responsable de todos los procedimientos y de coordinar la toma de decisiones con las demás autoridades de protección de datos interesadas. Esta consulta conducirá entonces a una única decisión.
A la vista de estas nuevas disposiciones, el Tribunal de Apelación se preguntará si este mecanismo garantiza a Facebook Irlanda frente a las medidas cautelares llevadas a cabo por autoridades distintas de la Autoridad Irlandesa y, en consecuencia, si solo es competente para pronunciarse sobre la acción entablada contra Facebook Bélgica. Mediante sentencia de 8 de mayo de 2019, el Tribunal de Apelación decidió remitir una cuestión preliminar al Tribunal de Justicia de la Unión enEuropea: “ Artículo 55, párrafo 1, artículos 56 a 58 y artículos 60 a 66 del [Reglamento 2016/679], leídos conjuntamente con los artículos 7, 8 y 47 de la [Carta], en caso de que se interpreten como lo que significa que una autoridad de control que, en virtud de la legislación nacional adoptada de conformidad con el artículo 58, apartado 5, de dicho Reglamento, sea competente para emprender acciones legales ante un tribunal de su Estado miembro contra infracciones de dicho Reglamento, no puede ejercer esta competencia en relación con procesamiento transfronterizo de datos si no es la autoridad supervisora principal en relación con este procesamiento transfronterizo de datos? “. El Tribunal de Apelación belga se pregunta si, en vista del establecimiento del mecanismo de ventanilla única, la autoridad de control belga puede continuar sus procedimientos contra Facebook.
La autoridad nacional que no tiene la competencia en principio para actuar debe cooperar y dialogar con la autoridad principal para tratar de llegar a una decisión
El TJUE confirma que es posible que una autoridad que no es una “autoridad principal” emprenda acciones legales si el mecanismo de cooperación no funciona correctamente si el GDPR le ha otorgado la competencia para adoptar una decisión que encuentre violaciones del GDPR y si ha ejercido esta facultad de conformidad con los procedimientos de cooperación y control previstos en el RGPD. El artículo 60 del RGPD establece que, en principio, es la autoridad principal la competente para adoptar cualquier decisión relacionada con una infracción del RGPD en el contexto del procesamiento transfronterizo de datos. Sólo a modo de excepción, el artículo 56 según el cual “ cada autoridad de control es competente para tramitar una denuncia que se le presente o una posible infracción de este reglamento, si su objeto se refiere únicamente a un establecimiento en el Estado miembro a los que notifique o afecte significativamente a los interesados en ese Estado miembro únicamente ‘. No obstante, el TJUE recordó en su comunicado de prensa que “Este El mecanismo [de ventanilla única] requiere una cooperación estrecha, leal y eficaz entre estas autoridades, a fin de garantizar una protección coherente y homogénea de las normas relativas a la protección de datos personales y así preservar su efecto útil. En este sentido, el RGPD establece la competencia en principio de la autoridad supervisora principal para adoptar una decisión que determine que el procesamiento transfronterizo ignora las reglas previstas por este reglamento, mientras que la competencia de otras autoridades supervisoras nacionales para adoptar tal decisión, incluso provisionalmente, constituye la excepción. ”. Esto significa que antes de tomar cualquier decisión, la autoridad nacional que no tiene la competencia en principio para actuar debe cooperar y dialogar con la autoridad principal para tratar de llegar a una decisión.
La segunda pregunta que surge es si una autoridad estatal de control o el controlador de datos que no tiene un establecimiento puede actuar. El artículo 3 (1) del RGPD establece que el reglamento se aplica al procesamiento de datos personales que se lleva a cabo en el marco de las actividades de un establecimiento de un controlador o de un procesador en el territorio de la Unión, ya sea que el procesamiento tiene lugar en la Unión. Según el artículo 58, párrafo 5, es necesario que cada Estado miembro adopte una ley que su autoridad de control pueda demandar. Sin embargo, los jueces recordarán que el RGPD no tiene por objeto limitar los poderes de acción de la Autoridad supervisora, por lo que no es necesario que la empresa tenga un establecimiento en el territorio de la Autoridad supervisora. Controlar quién desea emprender acciones legales, sin embargo, se debe respetar el ámbito territorial del reglamento, lo que implica que el responsable del tratamiento debe tener un establecimiento en el territorio de la Unión.
Por último, el Tribunal de Apelación consideró si la autoridad de control belga debería emprender acciones contra el establecimiento ubicado en su territorio o contra el establecimiento principal que está establecido en otro Estado de la Unión. Del razonamiento de los jueces europeos se desprende que el tratamiento de datosLos datos personales en cuestión son realizados exclusivamente por Facebook Irlanda, este tratamiento debe considerarse realizado “en el marco de las actividades de un establecimiento del responsable del tratamiento”, en el sentido del artículo 3, apartado 1, del Reglamento de 2016. / 679. En consecuencia, la Autoridad de Supervisión belga tenía tanto poder para entablar acciones legales contra el establecimiento principal que se encuentra en Bélgica como contra Facebook Irlanda ya que “ la acción en el tribunal se refiere al procesamiento de datos llevado a cabo en el marco de las actividades de esta establecimiento y que dicha autoridad es competente para ejercer esta facultad ”. En otras palabras, el tribunal belga tenía jurisdicción para actuar contra Facebook Irlanda.
Con esta decisión, el TJUE aclara los términos de aplicación de la ventanilla única y da solución, al menos parcialmente, a la apropiación indebida a la que podría estar sujeto este sistema. Ahora, incluso en ausencia de una ley, una autoridad supervisora tiene el poder de emprender acciones legales para sancionar la violación del GDPR. Este procedimiento podría ayudar a combatir la omnipotencia que Irlanda parecía querer proteger.
Todas las autoridades de los Estados miembros de la Unión son competentes para controlar las acciones de estos gigantes en los asuntos transfronterizos
Esta sentencia permite a las Comisiones de Control de Protección de Datos fortalecer su poder frente a los gigantes. En Francia, Facebook ha estado en la mira de la Comisión Nacional de Informática y Libertades desde la violación de datos de 20 millones de franceses. Una falla resultó en la divulgación de los números de teléfono de la mitad de los usuarios franceses de Facebook y, a pesar de las obligaciones de información derivadas del GDPR, la multinacional se ha abstenido de alertar a los usuarios afectados. Otro caso en torno a Facebook, que la empresa recibió duras críticas, fue el lanzamiento de una actualización de WhatsApp que implicó la recopilación de datos de pago a Facebook sin que los usuarios estuvieran claramente informados.
Ahora sabemos que casi todas las empresas digitales han establecido su establecimiento europeo en Irlanda. En principio, el control de estas empresas como Facebook, Twitter, Google etc. Según se informa a la Comisión de Protección de Datos de Irlanda, pero parece que ahora todas las autoridades de los Estados miembros de la Unión son competentes para supervisar las acciones de estos gigantes en los asuntos transfronterizos y no solo la autoridad principal.
Los tratos de Irlanda con GAFA a menudo han suscitado fuertes críticas por parte de las autoridades de protección de datos de la UE. La Autoridad irlandesa ha sido acusada de no tomar suficientes medidas contra las empresas de tecnología de la información. El 25 de marzo de 2021, los eurodiputados votaron a favor de una resolución en la que intervinieron: el Parlamento Europeo “ está particularmente preocupado porque la autoridad irlandesa de protección de datos suele cerrar la mayoría de los casos mediante una regulación en lugar de una sanción y que los casos llevados a Irlanda en 2018 ni siquiera han llegado a la etapa de proyecto de decisión. ”
Y, lamentablemente, la “ventanilla única” no compensa la falta de acción de las autoridades irlandesas, “ el éxito del” mecanismo de ventanilla única “depende del tiempo y el esfuerzo de las autoridades ” y la resolución deplora la falta de recursos que impide su correcto funcionamiento.
El 20 de mayo de 2021, los eurodiputados se unieron para poner fin a estos abusos y votaron a favor de una resolución que pide la implementación de un procedimiento de infracción por parte de la Comisión Europea contra Irlanda por no aplicar el GDPR.
Esta resolución europea sigue en particular la sentencia Schrems II en la que los jueces europeos invalidaron el “escudo protector” que gobierna el intercambio de datos entre la Unión Europea y los Estados Unidos. Eurodiputados oExpresaron su decepción por las acciones de la Comisión de Protección de Datos de Irlanda (DPC), que prefirió acudir a los tribunales en lugar de tomar una decisión, a pesar de su competencia. Pero esta es solo una decepción entre otras, el verdadero punto de controversia es la multitud de quejas sobre las que las autoridades irlandesas se han abstenido de pronunciarse desde la entrada en vigor del RGPD en 2018. Según la asociación austriaca Noyb, solo el 0,07% de Las denuncias presentadas ante la CNIL irlandesa son exitosas, esta situación es una bendición para GAFAM que puede continuar su actividad sin respetar los principios del RGPD sin preocuparse.
Eternoscorp queda a su disposición para cualquier consulta relacionada con la protección de datos y los controles que se ejercen sobre la misma
[1] “ Sin perjuicio del artículo 55, la autoridad de control del establecimiento principal o del establecimiento único del responsable o encargado del tratamiento es competente para actuará como autoridad supervisora principal con respecto al tratamiento transfronterizo llevado a cabo por este responsable o encargado, de conformidad con el procedimiento previsto en el artículo 60. “
| 
Besoin de conseils en lien avec ce sujet ?
Faites appel à nos experts !
Que pensez-vous de cette analyse ?
Réagissez !