El 24 de julio de 2019 la FTC anunció un acuerdo por el que Facebook pagará 5.000 millones de dólares y aceptará nuevos controles de privacidad; con la SEC, otros 100 millones. Qué exige y qué enseña a las empresas.
El 24 de julio de 2019, la Comisión Federal de Comercio de Estados Unidos (FTC) anunció un acuerdo con Facebook por el que la compañía pagará 5.000 millones de dólares y aceptará nuevas obligaciones de privacidad durante 20 años. La FTC lo presenta como la mayor sanción impuesta a una empresa por violar la privacidad de los consumidores, casi veinte veces superior a la mayor penalización por privacidad o seguridad de datos impuesta hasta entonces en el mundo. El mismo día, la Comisión de Bolsa y Valores de EE. UU. (SEC) anunció un acuerdo separado por 100 millones.
Qué se le reprochaba
La FTC sostiene que Facebook incumplió la orden que había aceptado en 2012. Según la agencia, la red social compartió datos de los amigos de sus usuarios con aplicaciones de terceros incluso cuando esos usuarios habían elegido ajustes de privacidad más restrictivos, siguió haciéndolo al menos hasta junio de 2018 pese a haber anunciado en 2014 que lo dejaría, y no vigiló de forma adecuada a los desarrolladores. También le atribuye prácticas engañosas: usó para publicidad los números de teléfono que los usuarios facilitaban para funciones de seguridad y los indujo a error sobre el control del reconocimiento facial.
Qué obligaciones nuevas
La orden, de 20 años, crea un comité de privacidad dentro del consejo, formado por miembros independientes que solo pueden ser cesados por una supermayoría del consejo. Facebook debe designar responsables de cumplimiento aprobados por ese comité, y Mark Zuckerberg y esos responsables tendrán que certificar cada trimestre, y una vez al año de forma global, que se cumple el programa de privacidad; una certificación falsa conlleva sanciones civiles y penales a título personal.
Un evaluador independiente revisará el programa cada dos años y rendirá cuentas al comité. Los productos nuevos o modificados deberán pasar una revisión de privacidad antes de lanzarse, y cualquier incidente que afecte a datos de 500 o más usuarios deberá documentarse y comunicarse a la FTC en un plazo de 30 días. La orden exige también más control de las aplicaciones de terceros, prohíbe usar con fines publicitarios los teléfonos facilitados por seguridad y requiere consentimiento expreso para nuevos usos del reconocimiento facial que excedan lo informado.
La SEC, por su parte, acusa a Facebook de haber presentado durante más de dos años como una posibilidad hipotética el riesgo de que se hiciera un uso indebido de los datos de sus usuarios, cuando la compañía sabía desde 2015 que un desarrollador los había utilizado de forma indebida. Facebook aceptó pagar 100 millones sin admitir ni negar los hechos.
Cómo sigue y qué enseña
El Departamento de Justicia presentará la demanda y la orden en un tribunal federal de Washington, y el acuerdo no tendrá efecto legal hasta que un juez lo apruebe. La FTC votó 3 a 2 para remitirlo: los comisionados Rohit Chopra y Rebecca Kelly Slaughter votaron en contra.
Para las empresas europeas y españolas, el caso deja tres enseñanzas. La primera, que la privacidad se vigila desde el consejo y no solo desde el departamento técnico, hasta el punto de que las certificaciones de cumplimiento pueden comprometer personalmente a los directivos. La segunda, que incumplir un compromiso ya asumido ante una autoridad agrava la sanción: aquí la multa nace de violar una orden de 2012. La tercera, que lo que se dice a inversores y financiadores sobre los riesgos debe coincidir con lo que la empresa sabe.
En la Unión Europea, el Reglamento General de Protección de Datos, aplicable desde mayo de 2018, permite multas de hasta el 4 % de la facturación mundial anual o 20 millones de euros, si esta cifra es mayor, y las autoridades nacionales, como la Agencia Española de Protección de Datos, pueden imponerlas. Conviene revisar con qué terceros se comparten datos, qué se informa a los usuarios del uso real de cada dato y quién responde internamente de ello. Su asesor puede indicarle cómo le afecta en su caso.
La privacidad ya no es un asunto técnico: es una responsabilidad del consejo.
Este artículo es información general. No es asesoramiento jurídico, fiscal ni de inversión, y no tiene en cuenta las circunstancias particulares de nadie.
