Multa a Meta de 390 millones de euros por vulnerar la Ley de Privacidad europea en su servicio de publicidad personalizada

La filial europea, con sede en Irlanda, de la multinacional tecnológica estadounidense Meta, matriz de las plataformas y redes sociales Facebook, Instagram y WhatsApp, ha sido multada al pago de una sanción de 390 millones de euros por parte de la Comisión de Protección de Datos (DPC) de Irlanda. Organismo regulador encargado de controlar la correcta aplicación del Reglamento General de Protección de Datos (GDPR), parte de la Ley de Privacidad y de la Carta de los Derechos Humanos Fundamentales de la Unión Europea, desde el que se ha apreciado un incumplimiento por parte de Meta Irlanda de sus obligaciones en cuanto a la transparencia sobre los términos en los que ofrecen sus servicios las plataformas Facebook e Instagram, así como un indebido acceso a los datos personales de los que se ha servido para brindar su servicio de publicidad personalizada.

Según a este respecto han entrado a explicar este mismo 4 de enero de 2023 desde el DPC, como resultado de unas denuncias interpuestas por dos ciudadanos europeos de Austria y Bélgica contra Facebook e Instagram el 25 de mayo de 2018, fecha en la que pasaba a entrar en vigor el GDPR, el organismo regulador se encargó de abrir una investigación con el fin de dilucidar si los cambios impuestos por la compañía para amoldarse al nuevo Reglamento se ajustaban o no a sus mismos términos. Entrando en este sentido a poner especial atención en el modo en el que desde Meta habían aprovechado para cambiar las bases legales sobre las que legitiman el procesamiento de los datos personales de los usuarios de ambas plataformas, y que incluían como requisito del “contrato” con los nuevos Términos de servicio actualizados de las plataformas que los usuarios debían aceptar para poder seguir accediendo y hacer uso de las mismas. Una “obligación” que defendían sobre los mismos términos del GDPR, entendiendo que el poder acceder y hacer uso de los datos personales de los usuarios resultaba necesario para el correcto ofrecimiento por su parte de sus servicios, incluidos entre ellos la de prestar unos servicios personalizados de publicidad comportamental.

Como resultado de estas, “exhaustivas”, investigaciones, y tras elevar consultas al Comité Europeo de Protección de Datos (EDPB), desde donde se emitió un dictamen, vinculante, a fecha del pasado 5 de diciembre, el pasado 31 de diciembre desde el DPC terminaban por adoptar las resoluciones finales de la causa, resolviendo la investigación decretando que Meta Irlanda no contaba con bases de derecho para establecer sus Términos de servicio actualizados como base para procesar los datos personales de los usuarios de Facebook e Instagram con fines de publicidad conductual. Así como que, y en consecuencia misma de lo anterior, el procesamiento de datos llevado a cabo por la tecnológica supone una infracción de los términos del artículo 6 del GDPR, desde el que se regula la licitud del tratamiento de datos por las compañías, al entender que todo ello no suponía en ningún caso una obligatoriedad ante la que debían ceder los usuarios para que desde Meta pudieran darles acceso a los servicios que se ofrecen desde Facebook e Instagram. Compañías a las que, como respuesta, desde el DPC han termino por imponer una multa de 210 y de 180 millones de euros, respectivamente. Sanción a la que han sumado una orden desde la que dan un plazo de 3 meses a Meta Irlanda para que corrija sus operaciones de procesamiento de datos.

¿El fin de la publicidad personalizada en las plataformas de Meta en Europa?

En respuesta a estas elevadas sanciones, y al plazo estipulado para que se lleve a cabo una reestructuración de uno de los pilares fundamentes para la compañía, como lo es sin duda la publicidad personalizada que ofrecen a los usuarios de sus principales redes sociales, desde Meta han respondido anunciando su intención de apelar tanto el contenido de la sentencia como las multas. Buscando enfatizar a este respecto el que la sentencia anunciada ahora no impide que pueda ofrecerse publicidad personalizada en sus distintas plataformas, y queriendo limitar su alcance a que lo único que, a su entender, debe de hacer ahora Meta es acogerse a alguno de los otros 6 supuestos que se establecen en el Artículo 6 del GDPR para dar visos de licitud al procesamiento de los datos de los usuarios que llevan a cabo. Queriendo igualmente señalar a este respecto el que, inciden, inclusive con esta sentencia en ningún caso Meta va a necesitar del permiso expreso de cada usuario para ofrecerles anuncios personalizados.

“Ha habido especulaciones inexactas e informaciones erróneas sobre lo que significan estas medidas”, destacan desde la compañía tecnológica a través de un comunicado, y por ello “queremos asegurarles a los usuarios y a las empresas que podrán seguir beneficiándose de la publicidad personalizada en toda la UE a través de las plataformas de Meta”. “Creemos firmemente que nuestro enfoque respeta el GDPR y, por lo tanto, estamos decepcionados por estas decisiones y tenemos la intención de apelar tanto el contenido de las sentencias como las multas”.

Dicho esto, se abren a profundizar desde la compañía estadounidense, “las insinuaciones de que Meta ya no va a poder ofrecer anuncios personalizados en toda Europa a menos de que primero se haya logrado el consentimiento de cada usuario son incorrectas”, buscan zanjar la cuestión desde Meta. “Es importante tener en cuenta que estas conclusiones no impiden la publicidad personalizada en nuestra plataforma”, y que “hacen referencia únicamente a qué base legal utiliza Meta al ofrecer cierta publicidad”, por lo que “los anunciantes pueden seguir usando nuestras plataformas para llegar a potenciales clientes, hacer crecer su negocio y crear nuevos mercados”.

Tratando a partir de ahí de aclarar algunos detalles sobre el camino que tratará de seguir ahora la compañía tecnológica, el “GDPR contempla una variedad de bases legales bajo las cuales se pueden procesar los datos”. “Facebook e Instagram son servicios inherentemente personalizados, y creemos que brindar a cada usuario su propia experiencia única, incluidos los anuncios que ven, es una parte necesaria y esencial de ese servicio”, por lo que “hasta la fecha, nos hemos basado en una base legal llamada ‘Necesidad contractual’ para mostrar a las personas anuncios de comportamiento en función de la actividad que muestran en nuestras plataformas”, en cualquier caso sujetos “a su correspondiente configuración de seguridad y privacidad”, puesto que resultaría “muy inusual que un servicio de redes sociales no se adaptara a la individualidad de cada uno de sus usuarios”. No obstante, desde el DPC se ha establecido que “Meta debe cambiar su enfoque con respecto a esta base legal sobre la que procesa los datos de los usuarios” para sus anuncios personalizados. “Empresas similares utilizan una selección de esas bases legales para procesar datos, y estamos evaluando una variedad de opciones que nos permitirán continuar ofreciendo un servicio totalmente personalizado a nuestros usuarios”.