Underc0de

La Comisión de Protección de Datos de Irlanda (DPC) ha anunciado una multa de $ 1.3 mil millones en Facebook después de afirmar que la compañía violó el Artículo 46 (1) del GDPR (Reglamento General de Protección de Datos).

Más específicamente, se descubrió que Facebook transfirió datos de usuarios de la plataforma con sede en la UE a los Estados Unidos, donde las regulaciones de protección de datos varían según el estado y se han considerado inadecuadas para proteger los derechos de los interesados de la UE.

El artículo 46 (1) del GDPR prohíbe las transferencias de datos personales a países u organizaciones internacionales que carezcan de salvaguardias que garanticen mecanismos de seguridad y reparación legal.

Como resultado de la infracción, el DPC impuso una multa récord de € 1.2 mil millones ($ 1.3 mil millones) a la empresa matriz de Facebook, Meta Ireland, y solicitó que todas las transferencias de datos que violen el GDPR se suspendan dentro de los cinco meses posteriores a la decisión.

Además, Meta deberá dejar de procesar o retener cualquier dato transferido ilegalmente de la UE a los Estados Unidos dentro de los seis meses posteriores al anuncio de DPA.

La línea de tiempo

Facebook había estado transfiriendo datos entre países europeos y EE. UU. bajo el Escudo de privacidad UE-EE. UU. de 2016 del GDPR, que permitió el almacenamiento de datos de la UE con empresas estadounidenses en la lista del Escudo de privacidad.

Los cambios en las transferencias internacionales de datos bajo GDPR se cambiaron en el caso "Schrems II" de julio de 2020, donde el TJUE juzgó que cualquier transferencia de datos personales en la Decisión del Escudo de Privacidad es ilegal y se deben introducir regulaciones de control de datos más estrictas.

En agosto de 2020, el DPC irlandés inició una investigación sobre las actividades de transferencia de datos de Meta. En julio de 2022, publicó un borrador de decisión destacando que el gigante tecnológico estaba violando el Artículo 46 (1) del GDPR.

El 13 de abril de 2023, el Comité Europeo de Protección de Datos (CEPD) adoptó una decisión vinculante, instruyendo a la DPA a imponer una multa a Meta y ordenarle que cumpla con GDPR.

Hoy, el DPC irlandés impone la multa administrativa de $ 1.3 mil millones que refleja la decisión del CEPD, castigando a Meta con una sanción determinada en las directrices del CEPD (20% a 100% del máximo aplicable), dada la gravedad de la infracción.

La respuesta de Meta

Meta ha respondido a la decisión a través de una publicación de blog, diciendo que las transferencias de datos transfronterizas sin problemas son de crucial importancia para la continuidad del negocio, y encuentra que la multa administrativa y las órdenes de restricción tendrán un impacto severo en sus servicios en Europa.

La compañía dice que todas las transferencias transatlánticas de datos están controladas por Cláusulas Contractuales Estándar (SCC) utilizadas por todas las organizaciones, que el TJUE aceptó previamente como una alternativa válida para determinar las "garantías legales".

"Al igual que miles de otras empresas, Meta utilizó SCC creyendo que cumplían con el Reglamento General de Protección de Datos (GDPR)", comenta el gigante tecnológico.

La compañía considera que la multa es injusta, innecesaria y desproporcionada, y planea apelar el fallo e impugnar la gravedad de la multa y las órdenes subyacentes.

"No se trata de las prácticas de privacidad de una empresa: existe un conflicto de leyes fundamental entre las normas del gobierno de los Estados Unidos sobre el acceso a los datos y los derechos de privacidad europeos, que se espera que los responsables políticos resuelvan en el verano", explicó Meta.

Meta critica la decisión de CEPD de ignorar el reconocimiento de DPC de que la compañía había actuado previamente de buena fe y también destaca el mal momento de estos procedimientos, considerando que el próximo Marco de Privacidad de Datos (DPF) pronto se implementará, resolviendo los conflictos legales actuales.

Fuente: https://www.bleepingcomputer.com