Los observadores de la privacidad deseosos de profundizar en el razonamiento regulatorio detrás de dos decisiones importantes contra Meta a principios de este mes, que anularon el reclamo de necesidad contractual de Facebook e Instagram como una base legal válida para publicar publicidad conductual en los usuarios de la Unión Europea, ahora pueden revisar el detalle después de que el demandante, grupo de derechos de privacidad noyb, publicara los documentos de la decisión en línea.

Puede encontrar la decisión de 188 páginas de Facebook aquí y la decisión de 196 páginas de Instagram aquí, las cuales presentan redacciones de Meta, ya que se le permitió eliminar información comercialmente confidencial, por lo que se perdieron algunos detalles interesantes.

(Por ejemplo, se eliminó un párrafo en el documento de Facebook en el que la compañía proporciona una estimación de cuánto tiempo llevará hacer cumplir las órdenes de ejecución, junto con otra oración en esta sección que detalla el trabajo involucrado. Así que solo puedo especular si las palabras en realidad se han cubierto aquí, o simplemente una línea de emojis gritando).

El principal regulador de protección de datos de Meta, la Comisión Irlandesa de Protección de Datos (DPC), emitió las decisiones finales, pero solo después de más de un año de disputas con las DPA de la UE que no estaban de acuerdo con su borrador. decisión (que no se opuso a Meta alegando la necesidad contractual de microtarget). anuncios); y finalmente, luego de incorporar una decisión vinculante del Consejo Europeo de Protección de Datos (EDPB), que resolvió la disputa al obligar a la DPC a rechazar el reclamo de necesidad contractual de Meta.

El EDPB también exigió a Meta que aumentara sustancialmente el tamaño de la sanción financiera emitida a Meta por infringir el Reglamento General de Protección de Datos (RGPD) de la UE.

Entonces, si bien el nombre y la marca DPC irlandeses se encuentran en estos documentos, son el producto de un proceso de corregulación integrado en el RGPD, a través de un mecanismo cooperativo para tratar casos transfronterizos.

Los detalles del documento ya están alimentando nuevos ataques contra el DPC por su muy criticado enfoque de la aplicación del RGPD, y nadie cuestiona por qué el regulador irlandés modificó la decisión (vinculante) de EDPB, que dice que solicitó enperíodo de tres meses para la ejecución de la orden desde el momento en que se notifica la orden (también conocido como en algún momento de diciembre) hasta la notificación de la decisión del DPC (en algún momento de enero). “Esta salida del DPC de la decisión del EDPB parece ser ilegal”, argumenta noyb.

También está en desacuerdo con el hecho de que el DPC parece restringir el alcance de la decisión del EDPB, para limitarla a Procesamiento solo para publicidad.

“Parece que el DPC no abordó otros aspectos de la denuncia, lo que en sí mismo puede ser ilegal”, sugiere.

noyb también expresa su preocupación por el nivel de la sanción financiera impuesta por el regulador irlandés, que el EDPB exigió al DPC que reevaluara y aumentara sustancialmente de acuerdo con su decisión vinculante de que hubo una violación de la base legal (y del principio de equidad). del RGPD). ), no solo transparencia como decidió inicialmente el DPC.

El grupo de privacidad señala que el regulador irlandés ha optado por aplicar la sanción más pequeña en relación con “el procesamiento ilegal real de datos personales de millones de usuarios de la UE”: solo 60 millones de euros en el caso de Facebook y 50 millones de euros en el caso de Instagram. , que representa una pequeña fracción de los ingresos que Meta ha podido generar durante este período al procesar ilegalmente los datos de las personas.

noyb continúa advirtiendo que las decisiones del DPC pueden no poner fin a un caso que ya ha acumulado más de 4,5 años desde que se presentaron las quejas originales de “consentimiento forzado” en mayo de 2018, ya que argumenta que los hallazgos del regulador no no parece estar completamente resuelto. tratar sus quejas, ya que las decisiones se centran en anuncios personalizados y no cubren cuestiones como el uso de datos personales para mejorar la plataforma de Facebook o para contenido personalizado (que también requieren una base legal válida según la legislación de la UE).

Otro problema que noyb destaca es la negativa del DPC a realizar investigaciones adicionales solicitadas por el EDPB, algo que el DPC cuestiona como extralimitación jurisdiccional y busca anular, como informamos a principios de este mes.

También señala otro conflicto que, según él, podría llevarlo a apelar la decisión, señalando que bajo la ley austriaca o alemana (también conocida como la ley que se aplica a noyb), la queja define el alcance del procedimiento, mientras dice que el DPC cree que puede limitar el alcance de una queja bajo la ley irlandesa, y agrega: “noyb Es posible que tenga que apelar la decisión por estos motivos”.

El DPC ha sido contactado para hacer comentarios.