Recientemente la DPC ha anunciado su decisión final sobre una investigación contra LinkedIn Ireland Unlimited Company. El resultado, la DPC ha sancionado a LinkedIn Irlanda con 310 millones de euros por vulnerar el RGPD.
La Comisión de Protección de Datos de Irlanda (DPC, por sus siglas en inglés) es la autoridad independiente responsable de supervisar y garantizar la protección de los datos personales y el cumplimiento del Reglamento Europeo de Protección de Datos (RGPD) en Irlanda. En España, la autoridad equivalente a la DPC es la Agencia Española de Protección de Datos (AEPD).
Esta investigación comenzó en el 2018, tras una denuncia presentada ante la Autoridad de Protección de Datos de Francia por parte de la organización francesa La Quadrature Du Net. Este caso fue transferido a la DPC debido a su papel como autoridad principal supervisora de LinkedIn en Europa, ya que la red social tiene su sede en Irlanda.
El foco de la investigación se centró en cómo LinkedIn procesaba datos personales de los usuarios para fines de análisis de comportamiento y publicidad dirigida. Esto incluía tanto los datos proporcionados directamente por los usuarios como los obtenidos a través de socios externos.
La DPC determinó que LinkedIn había vulnerado el RGPD al procesar dichos datos de manera ilícita, ya que no podía justificar estas prácticas en ninguna de las bases legales exigidas:
- Consentimiento del usuario: El consentimiento obtenido por LinkedIn no fue otorgado de forma libre, suficientemente informada, específica ni inequívoca.
- Interés legítimo: Los derechos y libertades fundamentales de los usuarios prevalecen sobre el interés legítimo alegado por LinkedIn.
- Necesidad contractual: LinkedIn no logró justificar que el tratamiento de estos datos personales fuera necesario para cumplir un contrato, especialmente en lo relacionado con fines de análisis y publicidad.
Además, LinkedIn incumplió las obligaciones de transparencia del RGPD al no informar claramente a los usuarios sobre las bases legales que respaldaban su uso de datos. Según la DPC, estas prácticas eran potencialmente engañosas, inesperadas e incluso perjudiciales para los usuarios, infringiendo el principio de equidad del RGPD.Y, por ello le impuso:
- Una amonestación oficial por sus prácticas de tratamiento de datos.
- Una orden para ajustar su procesamiento de datos y alinearlo con el RGPD.
- Una multa de 310 millones de euros, una de las más altas impuestas por el incumplimiento del RGPD hasta la fecha.
Con esta decisión, la DPC refuerza la necesidad de que las empresas actúen con transparencia y respeten los derechos fundamentales de los usuarios al manejar sus datos personales.
Ranking de sanciones actualizado
Han transcurrido algo más de dos años desde que publicamos nuestro primer ranking sobre sanciones por incumplir el RGPD, y desde entonces, los importes de las sanciones impuestas han seguido alcanzado cifras récord.
Si repasamos ese ranking de finales de 2020, veremos que la sanción más alta era la de 50 millones de euros impuesta por Comisión Nacional de Informática y Libertades de Francia (CNIL) a Google.
En la versión actualizada de nuestro ranking, esa sanción ha desaparece del top 5. Este aumento en los importes de las multas se debe a que el RGPD permite calcular las sanciones en función del volumen de negocio total anual global del último ejercicio financiero de la empresa infractora. En concreto, el RGPD establece lo siguiente:
- Infracciones graves: se sancionan con una multa de hasta 10 millones de euros o con el 2% del volumen de facturación anual global de la empresa, dependiendo de cuál de los dos importes sea mayor.
- Infracciones muy graves: se sancionan con una multa de hasta 20 millones de euros o con el 4% del volumen de facturación anual global de la empresa, dependiendo de cuál de los dos importes sea mayor.
De esta manera, las empresas con mayores ingresos están sujetas a sanciones proporcionalmente más altas, lo que incrementa considerablemente el impacto de las multas.
Ahora sí os dejamos el ránking de sanciones actualizado…
1. Meta (Facebook) – 1.2 mil millones de euros
- Autoridad de control: Comisión de Protección de Datos de Irlanda (DPC).
- Motivos: Meta fue multada en mayo de 2023 por transferir datos personales de usuarios de la UE a EE. UU. sin las garantías adecuadas.
- Nota informativa: https://www.edpb.europa.eu/news/news/2023/12-billion-euro-fine-facebook-result-edpb-binding-decision_en
2. Amazon – 746 millones de euros
- Autoridad de control: Comisión Nacional de Protección de Datos de Luxemburgo (CNPD).
- Motivos: En julio de 2021, Amazon fue multada por no obtener un consentimiento adecuado de los usuarios para el tratamiento de datos en la publicidad personalizada.
- Nota informativa: https://cnpd.public.lu/en/actualites/international/2021/08/decision-amazon-2.html
3. LinkedIn – 310 millones de euros
- Autoridad de control: Comisión de Protección de Datos de Irlanda (DPC).
- Motivos: En octubre de 2024, LinkedIn fue multada por no obtener el consentimiento adecuado de los usuarios para el tratamiento de sus datos personales relacionados con la publicidad personalizada, por haber realizado un tratamiento de datos personales in una base de legitimación y por haber incumplido el principio de transparencia.
- Nota informativa: https://www.dataprotection.ie/en/news-media/press-releases/irish-data-protection-commission-fines-linkedin-ireland-eu310-million
4. WhatsApp – 225 millones de euros
- Autoridad de control: Comisión de Protección de Datos de Irlanda (DPC).
- Motivos: En septiembre de 2021, WhatsApp fue multada por no informar adecuadamente a los usuarios sobre el uso de sus datos, especialmente en relación con el intercambio de datos con otras empresas del grupo Meta.
- Nota informativa: https://www.dataprotection.ie/en/dpc-guidance/law/decisions/whatsapp-ireland-ltd-august-2021-0#WhatsApp
5. Google – 150 millones de euros
- Autoridad de control: Comisión Nacional de Informática y Libertades de Francia (CNIL).
- Motivos: En diciembre de 2021, Google fue por dificultar a los usuarios el proceso de rechazo de cookies en sus sitios web, violando la ley de protección de datos.
- Nota informativa: https://www.cnil.fr/en/closure-injunction-issued-against-google
Si necesitas asesoramiento en materia de protección de datos, desde Qualgest podemos ayudarte. Contacta con nosotros y te ofreceremos una solución a medida para que cumplas con todas las obligaciones exigidas en la normativa de protección de datos.
