- Es la primera gran sanción del reglamento europeo de protección de datos a una plataforma de alcance mundial.
- El reproche se centra en dos cosas: información poco clara y consentimiento no válido para personalizar la publicidad.
- Cualquier empresa que trate datos personales debería revisar cómo informa y cómo recoge el consentimiento.
El 21 de enero de 2019, la CNIL, la autoridad francesa de protección de datos, anunció una multa de 50 millones de euros a Google. Según la resolución, la empresa incumplió el Reglamento General de Protección de Datos (RGPD) por falta de transparencia, por información insuficiente a los usuarios y por no obtener un consentimiento válido para personalizar los anuncios. La sanción responde a quejas presentadas por la asociación La Quadrature du Net, en nombre de unas 10.000 personas, y por la organización noyb, fundada por Max Schrems.
El RGPD es aplicable desde el 25 de mayo de 2018 y permite sanciones de hasta el 4 % de la facturación mundial anual del grupo o 20 millones de euros, según la cifra que resulte mayor. Los 50 millones quedan muy por debajo de ese tope, pero se trata de la primera vez que una autoridad europea sanciona con el nuevo marco a una gran plataforma de internet, y eso la convierte en una referencia.
Qué reprocha la autoridad
La CNIL considera que la información esencial sobre cómo se usan los datos para la publicidad personalizada está repartida en varios documentos y es difícil de encontrar y de comprender. También entiende que el consentimiento que se obtenía no era específico ni inequívoco, requisitos que el Reglamento exige para que una persona acepte de verdad que se traten sus datos con una finalidad concreta.
El enfoque es relevante porque no discute que se haga publicidad personalizada, sino el modo de informar y de pedir permiso. El mensaje para el mercado es que un consentimiento global, que se acepta de una vez para muchos usos distintos, difícilmente cumple lo que exige la norma, aunque el servicio sea gratuito y la plataforma tenga una gran base de usuarios.
Qué significa en España
En España, el RGPD se complementa con la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales, y la autoridad competente es la Agencia Española de Protección de Datos. Las obligaciones son las mismas para una multinacional que para una pyme: informar con claridad, tener una base legal para cada uso y poder demostrar el consentimiento cuando este es la base elegida.
Esto afecta a más empresas de las que se suele pensar: cualquier web con formularios, newsletters, cookies de seguimiento o campañas de marketing trata datos personales. La sanción no depende del tamaño de la empresa en términos absolutos, sino de la gravedad de la infracción, de su duración y de la diligencia mostrada, y en las pymes los errores más frecuentes son sencillos: textos poco claros, casillas ya marcadas o consentimientos sin registro.
Qué conviene revisar
Un repaso práctico empieza por el registro de actividades de tratamiento: qué datos se recogen, para qué y con qué base legal. Después, los textos informativos en web, formularios y contratos, que deben ser claros y estar al alcance. Y por último, cómo se recoge y se guarda el consentimiento para marketing y cookies, y si los proveedores que tratan datos por cuenta de la empresa tienen el contrato exigido.
No hace falta una gran estructura para hacerlo bien, pero sí constancia: documentar lo que se hace y revisarlo cuando cambia el servicio o la herramienta utilizada. Un asesor especializado puede ayudar a priorizar según el tipo de datos y el volumen de tratamiento de cada empresa. Una medida útil y poco costosa es nombrar a una persona de referencia para la protección de datos, aunque no sea obligatorio un delegado, de modo que alguien responda de mantener al día los registros, atender las solicitudes de los usuarios y vigilar los cambios.
La protección de datos se demuestra con documentos y procesos, no solo con buenas intenciones.
Este artículo es información general. No es asesoramiento jurídico, fiscal ni de inversión, y no tiene en cuenta las circunstancias particulares de nadie.
