El RGPD falla ante las tecnológicas

Una queja de privacidad contra Facebook, Instagram, WhatsApp o TikTok rara vez termina en el regulador nacional del país desde el que se presenta. Acaba en Dublín. La Comisión de Protección de Datos de Irlanda gestiona casi toda la gran aplicación del RGPD contra las tecnológicas globales, y su antigua directora acaba de reconocer que el sistema no funciona bien para los problemas de mayor alcance. Helen Dixon afirmó este mes, en un acto de la Law Society, que el RGPD «no siempre resulta útil para cuestiones sistémicas» (Law Society of Ireland).

La admisión tiene peso porque procede de quien dirigió la aplicación irlandesa de la norma durante sus años más activos, y resume una tensión estructural que lleva ocho años acumulándose.

Cómo una ciudad se convirtió en la capital europea de la privacidad

El RGPD creó en su artículo 56 un mecanismo de «ventanilla única» (EUR-Lex). La idea era práctica: en vez de obligar a una empresa a tratar con 27 reguladores nacionales distintos, la autoridad del país donde tuviera su sede principal en la UE se encargaría de todos los casos transfronterizos. Apple, Google, Meta, TikTok, LinkedIn y Microsoft fijaron sus sedes europeas en Irlanda. La DPC se convirtió, en la práctica, en el regulador europeo de privacidad para buena parte de la industria tecnológica (anonym.community).

El procedimiento se articula mediante la cooperación prevista en el artículo 60. La DPC, como autoridad principal de control, investiga una denuncia y redacta un proyecto de decisión. Después lo comparte con las demás autoridades nacionales de protección de datos afectadas por el caso, conocidas como autoridades de control interesadas. Si presentan objeciones, algo que ocurre con frecuencia, la disputa pasa al Comité Europeo de Protección de Datos, que dicta una resolución vinculante (EUR-Lex). Es un sistema en el que Dublín escribe la sentencia, pero los otros 26 reguladores pueden discutir el alcance de la condena.

El diseño buscaba evitar que las empresas eligieran al regulador más complaciente. En la práctica, generó otro problema: una agencia de tamaño medio se convirtió en el cuello de botella de la aplicación de la privacidad en todo un continente.

Grandes multas, cobro lento

La DPC ha impuesto alrededor del 80% de las grandes multas tecnológicas de la UE bajo el RGPD (anonym.community). Las sanciones más visibles son 1.200 millones de euros a Meta por transferencias ilícitas de datos de usuarios europeos a Estados Unidos, 530 millones de euros a TikTok por permitir el acceso de ingenieros chinos a datos europeos y 310 millones de euros a LinkedIn por elaborar perfiles de comportamiento de forma ilegal (anonym.legal).

Imponer multas y cobrarlas son tareas distintas. Las empresas recurren casi todas las grandes decisiones, y los tribunales irlandeses pueden suspender el pago mientras avanza el litigio. La distancia entre las sanciones anunciadas y el dinero realmente ingresado sigue siendo amplia. Otros reguladores nacionales afrontan sus propias limitaciones: el sistema de cooperación del artículo 60 les permite plantear objeciones, pero no actuar por su cuenta en casos transfronterizos contra estas compañías. Observan mientras Dublín decide.

Una reforma con fecha

Un nuevo Reglamento de procedimiento del RGPD, que entrará en vigor en abril de 2027, introduce un plazo de 15 meses para que las autoridades principales emitan proyectos de decisión en casos transfronterizos (Netguardia). Con el sistema actual, algunas investigaciones se han prolongado durante años. La multa de 1.200 millones de euros a Meta tardó cinco años desde la denuncia inicial hasta la decisión final. La reforma también fija calendarios más claros para que las autoridades de control interesadas presenten objeciones y para que las disputas lleguen al CEPD (Netguardia).

El arreglo procedimental ataca la lentitud. No corrige la asimetría de fondo: una agencia nacional, sometida a los tribunales irlandeses y al derecho administrativo irlandés, asume la responsabilidad regulatoria sobre tecnológicas que prestan servicio a 450 millones de europeos. El reconocimiento de Dixon de que el marco tiene dificultades ante los problemas sistémicos (Law Society of Ireland) apunta precisamente a lo que la reforma de 2027 deja intacto. Las decisiones llegarán antes, pero seguirán circulando por el mismo canal estrecho. La cuestión de fondo es si Europa acabará revisando ese canal, y no solo la velocidad del tráfico que pasa por él.