La Comisión Europa (CE) pone la mira en las ‘big tech’. Tanto los altos funcionarios comunitarios como los políticos nacionales han criticado en reiteradas ocasiones las “grandes salvaguardas” que estableció el Reglamento General de Protección de Datos (RGPD), en vigor desde el año 2018. El reglamento recoge numerosas multas para aquellas que lo incumplan, con sanciones de hasta un 4% de la facturación anual global para las infracciones más graves. Sin embargo, cincos años después, parece que esas sanciones no están llegando por lo que Bruselas ha decidido actuar y dar el paso hacia una reforma.

El Reglamento encargó a las agencias de cada país la misión de investigar a las grandes tecnológicas que se establecieran en su territorio. En la práctica, eso dejó en manos de los gobiernos nacionales la decisión de decidir con qué intensidad investigar las violaciones de privacidad que afectan a ciudadanos de todo el continente. Ahora, la CE sospecha que “algunos no están siendo todo lo efectivos que deberían en esa labor”, por lo que ha decidido inspeccionar su labor. “La Comisión Europea solicitará a todas las autoridades nacionales supervisoras de protección de datos que compartan con la Comisión, con carácter bimensual y estrictamente confidencial, una visión general de las investigaciones transfronterizas a gran escala”, advierte el Ejecutivo Comunitario en un comunicado.

De igual modo, la Comisión estipula que estos informes deberán incluir varios detalles claves -el número de caso, controlador o procesador involucrado, tipo de investigación-, junto con un resumen del alcance de la investigación incluidas las disposiciones del RGPD en cuestión, las APD en cuestión, las principales medidas procesales adoptadas y las fechas, así como la investigación o cualquier otra medida adoptada.

Irlanda, en el punto de mira

Aunque Bruselas no hace referencia a ningún país en concreto, todas las miradas están puestas en Irlanda. Y es que, la Comisión de Protección de Datos de Irlanda (DPC) suele atraer la mayoría de las críticas por su enfoque del RGPD. No solo por cuánto tiempo puede tomar una investigación, sino también por si realmente investiga el problema. Un ejemplo de ello es la protesta por la actuación del regulador irlandés ante una denuncia contra Facebook que ha tardado casi cinco años en decidir que la vía en la que Facebook e Instagram recaban el consentimiento de sus usuarios para hacer publicidad personalizada es “ilegal”. La multa de 400 millones (que incluye una orden contra Meta para que cambie sus métodos antes de tres meses) se hizo pública a principios del pasado mes de enero.

“El problema aquí es quién está vigilando a los vigilantes”, argumenta a Techcrunch Johnny Ryan, miembro principal del Consejo Irlandés para las Libertades Civiles (ICCL), el grupo de derechos humanos que se quejó ante el defensor del pueblo europeo sobre el monitoreo de la Comisión de la implementación del RGPD por parte del país irlandés.

«El nuevo compromiso de la Comisión Europea debería transformar la aplicación digital y de datos de Europa», señala Ryan, reiterando que “anteriormente, los grandes casos permanecieron inactivos durante años”. Ahora, añade, “deberíamos ver una aceleración en la investigación y la aplicación y quedará claro dónde la Comisión Europea debe tomar medidas rápidas”. “Si los cambios de la Comisión también se aplican retrospectivamente, es decir, a la gran lista existente de casos de las big tech, será aún mejor», subraya.

En definitiva, parece que el Ejecutivo Comunitario tiene muchas razones para actuar contra la aplicación fallida del RGPD. Aun así, todavía hay muchos interrogantes. Además de la pregunta de si los cambios de la CE sobre cómo supervisará el RGPD se aplicarán retrospectivamente o no, por el momento, Bruselas tampoco ha dicho nada al respecto de cuándo se implementará exactamente esta nueva orden mundial. También existe otro interrogante sobre cómo definirá exactamente la Comisión «a gran escala» este contexto y si sus requisitos de información abarcarán o no todos los casos transfronterizos del RGPD o solo un subconjunto. Además, también podría haber cierto margen de maniobra para que los reguladores lleguen a acuerdos no públicos con las grandes tecnológicas.