Multa a Grindr de Protección de Datos
Multa de protección de datos millonaria: el regulador noruego multa al operador de la aplicación de citas Grindr
La autoridad noruega de protección de datos ha impuesto una multa de 65.000.000 de coronas -unos 6,5 millones de euros- a la popular aplicación de citas Grindr por la divulgación ilegal de datos personales de los usuarios a una serie de socios publicitarios. Ya en enero de 2021, la autoridad de control responsable, «Datatilsynet», había anunciado en un comunicado de prensa la apertura de un procedimiento de multa y ya se planteaba la posibilidad de imponer una multa por valor de 100 millones de coronas (equivalente a unos 9,6 millones de euros).
Las reclamaciones provocaron la investigación
La intervención de las autoridades vino precedida de las correspondientes denuncias tanto del consejo noruego de consumidores «Forbrukerrådet» como de la asociación europea de protección de datos «none of your business» (noyb). Los operadores de la aplicación de citas fueron acusados de haber cedido los datos de los usuarios a socios publicitarios con fines de marketing sin ninguna base legal para hacerlo. Entre los datos compartidos estaban la localización GPS, la dirección IP, el identificador de publicidad, la edad, el sexo y el hecho de que el usuario en cuestión estaba en Grindr. Debido a que la aplicación está explícitamente dirigida a la comunidad LGBTQ y goza de un alto nivel de popularidad entre ellos, se puede suponer que se transmitieron datos especialmente sensibles, como la orientación sexual del usuario, sin una base legal. Esta circunstancia también se refleja en el importe de la multa impuesta.
Comercialización ilegal de los datos de los usuarios
En este caso, los interesados tuvieron que aceptar activa y plenamente la declaración de protección de datos cuando se registraron por primera vez en la app de citas y no tuvieron la oportunidad de oponerse a la divulgación ilícita de datos, que formaba parte de las disposiciones de datos que requerían el consentimiento.
La aplicación sólo permitía el pleno consentimiento de la política de privacidad y la correspondiente divulgación de datos a terceros. Así, el uso de la app y la búsqueda de socios asociada estaba vinculada a la divulgación no autorizada. En este punto se puede cuestionar si la aceptación de los avisos de protección de datos por parte del usuario es necesaria y, por tanto, lícita. Los avisos de protección de datos en el sentido de los artículos 13 y 14 del RGPD tienen por objeto proporcionar información transparente a las personas afectadas por el tratamiento de datos y no constituyen CGC jurídicamente vinculantes que requieran el consentimiento. Por error, esta circunstancia se da una y otra vez en varios sitios web. En consecuencia, los responsables de la aplicación deben informar a los interesados de forma detallada y transparente sobre el tratamiento de datos en los avisos de protección de datos.
Al mismo tiempo, esto significa que no se requiere el consentimiento explícito del usuario. Para cumplir con las obligaciones de información impuestas, basta con tomar nota de la información sobre protección de datos proporcionada.
Fue precisamente esta circunstancia la que la autoridad de control noruega criticó en el presente caso y constató en el curso del procedimiento de multa que Grindr había transmitido datos personales de los usuarios sin una base de legitimación. La autoridad de control consideró que los usuarios no tenían posibilidad de oponerse a la transferencia de sus datos, algunos de los cuales eran sensibles, sin renunciar al uso de la app. El hecho de que Grindr no informara suficiente y específicamente a los usuarios sobre la transferencia de datos y sus beneficiarios también justificó la multa.
El RGPD es efectivo más allá de las fronteras de la UE
Llegados a este punto, algunos se preguntarán por qué se permite a la autoridad de supervisión noruega aplicar directamente las disposiciones del RGPD y sancionar con multas a las empresas con sede allí, a pesar de que Noruega no es un Estado miembro de la Unión Europea. La sencilla razón es que Noruega, como Estado miembro del Espacio Económico Europeo (EEE), está directamente sujeta a las disposiciones del RGPD y estas también se aplican en consecuencia en la legislación noruega.
Clasificación y perspectivas
La multa impuesta a la aplicación de citas Grindr puede calificarse ciertamente de notable, desde muchos puntos de vista. No sólo el hecho de que la multa de 6,5 millones de euros sea la más alta jamás impuesta por la autoridad supervisora noruega. Pero también la sanción de la presente violación por parte del propio Grindr. Porque la práctica -los operadores de plataformas similares- sigue basándose en un modelo de negocio bastante lucrativo basado en el marketing conductual. Sólo este ejemplo muestra claramente el valor de los datos personales. Fiel al lema, cuanto más profunda e íntima sea la información, más valiosa será su comercialización.
Hace poco informamos en este contexto sobre el servicio de streaming «spotify», que genera una parte nada despreciable de su facturación mediante la reproducción de publicidad precisa. Pero otras empresas de Internet también se aprovechan de la situación y obtienen enormes beneficios de los conjuntos de datos que han obtenido.
Sólo en este contexto, las multas de esta magnitud son bienvenidas y necesarias como elemento disuasorio. Esto es especialmente cierto cuando las personas afectadas no han consentido expresamente ese tratamiento posterior, y mucho menos han sido informadas de forma transparente, o cuando la transferencia implica datos muy sensibles, como la orientación sexual en este caso. En este último caso, la transferencia de datos tiene un regusto especialmente desagradable: la transferencia de información altamente sensible, como la orientación sexual, a Estados autoritarios o que no toleran el libre desarrollo y la expresión asociada, la castigan o persiguen sistemáticamente a los afectados.
Es cuestionable hasta qué punto la multa impuesta a Grindr tendrá un impacto en la práctica. Esperemos que se produzca realmente el efecto disuasorio esperado y que se produzca un replanteamiento entre los actores globales que hacen uso de estos mismos modelos de negocio. Esto es dudoso en este momento, ya que la mayoría de los proveedores lo utilizan para aumentar sus beneficios.
En conclusión, es de esperar que las autoridades de supervisión competentes -en interés de los ciudadanos afectados- siguen «forzando la mano» de las empresas y hagan uso activamente de su derecho y de los recursos disponibles en virtud del artículo 58 del RGPD. Esta es la única manera de frenar cualquier violación de la protección de datos y preservar el derecho a la autodeterminación informativa. Los ciudadanos se lo agradecerán.
