La Comisión Europea ha sido declarada responsable de infringir las normas de protección de datos de la UE en una sentencia histórica que podría abrir la puerta a demandas colectivas en la región.
En una acción civil interpuesta por un ciudadano de la UE residente en Alemania, el Tribunal General de la UE determinó que la Comisión había infringido el derecho del individuo a la protección de sus datos personales al transferir sus datos a destinatarios en los EE. UU.
En el momento de la transferencia de datos, no se podía garantizar que los EE. UU. tuvieran un nivel adecuado de protección de los datos personales de los ciudadanos de la UE.
Este fue el resultado de una sentencia del Tribunal de Justicia de la Unión Europea (TJUE) en el caso ‘Schrems II’ en 2020, que invalidó el esquema de transferencia de datos del Escudo de Privacidad por temor a que los datos de los ciudadanos de la UE pudieran ser accedidos por agencias de seguridad e inteligencia estadounidenses.
En el momento de la transferencia de datos relacionados con el ciudadano, el 30 de marzo de 2022, las transferencias de datos personales entre la UE y EE. UU. eran ilegales en ausencia de garantías adecuadas, como una cláusula estándar de protección de datos.
«Por lo tanto, la Comisión no cumplió las condiciones establecidas por la legislación de la UE para la transferencia por parte de una institución, órgano, oficina u organismo de la UE de datos personales a un tercer país», señaló el Tribunal General en su sentencia.
En 2023, la UE adoptó un nuevo mecanismo de transferencia de datos personales con EE. UU., que permite el libre flujo de datos personales entre las dos regiones sin garantías adicionales.
El asunto se remonta a los años 2021 y 2022, cuando el ciudadano residente en Alemania visitó la página web de la Conferencia sobre el Futuro de Europa, gestionada por la Comisión.
En concreto, se había registrado en el evento «GoGreen» a través de dicha página web utilizando el servicio de autenticación EU Login de la Comisión, tras haber seleccionado la opción de iniciar sesión con su cuenta de Facebook.
Afirmó que durante sus visitas a dicha página web, sus datos personales, incluida su dirección IP e información sobre su navegador y terminal, fueron transferidos a la empresa estadounidense Amazon Web Services (AWS) en su calidad de operador de la red de distribución de contenidos Amazon CloudFront. La red era utilizada por la página web de la Comisión.
Además, cuando se registró en el evento «GoGreen» utilizando su cuenta de Facebook, sus datos personales fueron transferidos a la empresa estadounidense Meta Platforms, Inc.
El TJUE declaró que la Comisión no era responsable de la transferencia de datos a la empresa estadounidense AWS, ya que el contrato entre la Comisión y AWS establecía que la plataforma en la nube era necesaria para garantizar que los datos permanecieran, en reposo y en tránsito, en Europa.
Sin embargo, la Comisión era responsable de los datos transferidos a Meta a partir de la inscripción de las personas en el evento “GoGreen”. Esto se debe a que, mediante el hipervínculo “Iniciar sesión con Facebook” que aparece en la página web EU Login, la Comisión creó las condiciones para la transmisión de su dirección IP a Facebook.
El tribunal pagó 400 euros (412 dólares) en compensación al demandante por el daño moral sufrido como resultado de la transferencia de su dirección IP a los EE. UU.
Sin embargo, desestimó la solicitud del demandante de anular la transferencia de sus datos personales, así como su reclamación de 800 euros (824 dólares) en compensación por el daño moral que afirmaba haber sufrido como resultado de la vulneración de su derecho de acceso a la información.
A pesar de la pequeña suma de indemnización involucrada en este caso, se espera que el fallo tenga grandes consecuencias, ya que es la primera vez que se otorga una indemnización por transferencias ilegales de datos.