Irlanda deja de ser el refugio de privacidad del sector tecnológico

Irlanda cierra la puerta

La Comisión de Protección de Datos de Irlanda (DPC) ha impuesto a Google una multa de 403 millones de euros por incumplimientos del RGPD remontados a 2018 y 2019. En papel, se trata de una medida de ejecución importante pero habitual —una más entre las numerosas multas del RGPD impuestas en toda la Unión desde que el reglamento entró en vigor—. Pero la verdadera historia no está en la cifra. Está en lo que representa la multa: una ruptura decidida con la larga postura de Irlanda como la jurisdicción de privacidad con mano suave de la UE.

Durante años, la narrativa fue cómoda. Google, Meta, TikTok, X: todas canalizaron sus operaciones europeas a través de Dublín. Irlanda albergaba sus sedes europeas. Y la DPC irlandesa, bajo dirección anterior, era ampliamente entendida como un regulador que prefería el diálogo a la confrontación. Las empresas podían creer razonablemente que Dublín las amortiguaría frente a las interpretaciones más duras del RGPD. Esa suposición ya no es válida.

Quién gana, quién pierde

El perdedor inmediato es Google. La multa en sí misma es dolorosa, pero la orden de poner sus prácticas en conformidad dentro de seis meses es el instrumento más afilado. Google ha admitido que la infracción concernía a tres funciones —Actividad web y de aplicaciones, Historial de ubicaciones y Precisión de ubicación—, cubriendo un período de mayo de 2018 a febrero de 2020. La DPC determinó que la empresa procesaba datos de ubicación de maneras que no eran lícitas, justas ni transparentes, y que la retención excesiva de datos agravaba el problema. Los individuos, señaló la DPC, podrían no haber sabido que su ubicación se utilizaba para definir la segmentación publicitaria o inferir intereses personales.

La respuesta de Google fue predecible: calificó el caso como relativo a políticas históricas y señaló las mejoras realizadas desde 2019, incluidos los controles de borrado automático y la posibilidad de desactivar los anuncios personalizados. La empresa no tiene razón al sostener que sus prácticas han evolucionado. Pero la multa confirma que esa evolución llegó tarde, y que el organismo de control irlandés ya no está interesado en aceptar el progreso de buena fe como sustituto del cumplimiento pasado.

El ganador mayor es menos evidente. Cada empresa tecnológica con operaciones europeas debería leer esto como una señal. Si Google —con sus recursos legales, su poder de cabildeo y su trayectoria de colaboración con los reguladores de la UE— puede recibir una multa tan agresiva por prácticas de datos de ubicación anteriores a la Ley de Mercados Digitales y la Ley de Inteligencia Artificial, entonces la ventana para asumir una indulgencia regulatoria se cierra para todos.

El precedente que importa

Tres elementos de este caso resonarán más allá de Google.

En primer lugar, el alcance de la investigación. La DPC inició su inquiry hace seis años, a partir de denuncias de organizaciones europeas de derechos de los consumidores. No se trata de un regulador que espera un titular para perseguir a una empresa. Es un organismo de control que construye casos de manera metódica, a veces con años de antelación, a partir de quejas ciudadanas. La lección para las empresas tecnológicas es que el riesgo regulatorio no es cíclico —es acumulativo—. Una denuncia presentada en 2018 puede producir una multa de 403 millones de euros en 2025. Las empresas que diseñan sus prácticas de datos con la suposición de que las investigaciones de la UE son lentas o están constreñidas políticamente operan con información desactualizada.

En segundo lugar, la materia del caso. Los datos de ubicación se sitúan en la intersección de la publicidad, la vigilancia y la autonomía personal. La DPC destacó que la información de ubicación puede revelar detalles íntimos sobre un individuo: su hogar, su lugar de trabajo, sus citas médicas, sus relaciones. El RGPD trata esta categoría de datos como particularmente sensible no porque esté explícitamente enumerada como datos de categoría especial, sino por lo que puede inferirse de ellos. Este razonamiento, si es adoptado por otras autoridades de control nacionales, podría expandir enormemente el paisaje de aplicación más allá de Google. Cualquier empresa que recopile datos de ubicación —aplicaciones de transporte, dispositivos de fitness, redes sociales— enfrenta ahora un camino más claro hacia la escrutinio regulatorio.

En tercer lugar, el timing y el tono. Graham Doyle, el comisario adjunto de la DPC, no dudó en sus palabras. Declared que las fallas de Google significaban que los individuos podían haber desconocido que su ubicación se utilizaba para influirlos con anuncios, y que habían perdido el control sobre sus datos personales. Este no es el lenguaje de un regulador que negocia un acuerdo. Es el lenguaje de un regulador que hace un ejemplo público. La DPC está señalando que tratará las violaciones de datos de ubicación con la misma seriedad que la Comisión Europea ha reservado para el abuso de posición de guardián bajo el DMA.

Qué sucede después

Google debe cumplir dentro de seis meses. Eso significa reestructurar cómo recopila, retiene y divulga los datos de ubicación para los usuarios europeos. La empresa ya ha introducido algunas de las herramientas que citó en su declaración —controles de borrado automático, ajustes de gestión de anuncios, información de privacidad consolidada—. Pero es poco probable que la DPC acepte un plan de cumplimiento construido sobre nuevas funcionalidades superadas a arquitecturas antiguas. La orden requiere poner el procesamiento de datos en conformidad, lo que implica cambios en los sistemas subyacentes, no solo nuevas pantallas de opt-in.

Más allá de Google, la sentencia plantea una pregunta práctica para la industria: si la DPC irlandesa ahora está dispuesta a imponer multas de varios millones de euros a las empresas más grandes del sector, ¿qué hace eso con la propuesta de valor de Irlanda como destino de sede europea? La respuesta no es sencilla. Las empresas no pueden relocation fácilmente sus operaciones europeas, y ningún otro estado miembro de la UE ofrece la misma combinación de tradición de derecho consuetudinario, infraestructura legal en idioma inglés y política tecnológica proactiva. Pero el costo de esa comodidad acaba de subir de manera significativa.

El Comité Europeo de Protección de Datos, que coordina la aplicación transfronteriza, también podría tomar nota. Este caso fue manejado unilateralmente por la DPC irlandesa, pero involucraba las operaciones de Google en toda la UE. Otros estados miembros podrían citar esta multa como justificación para sus propias investigaciones sobre las prácticas de datos de Google. El precedente no se confina a la jurisdicción de Irlanda —es un punto de referencia para toda la Unión—.

La imagen más amplia

La multa de 403 millones de euros es un hito, pero no es el punto final. La aplicación del RGPD ha estado escalando durante años, y este caso se inscribe en un patrón más que romper con él. Lo que distingue esta sentencia es la disposición del regulador para tratar la infracción como una declaración definitiva de principio en lugar de una posición de negociación. La DPC no le pide a Google que corrija sus errores y siga adelante. Está requiriendo cumplimiento estructural y fijando un plazo.

Para las empresas tecnológicas globales, la implicación es clara: la era de tratar la regulación de privacidad de la UE como un asunto de cumplimiento regional ha terminado. El RGPD ahora se aplica con intensidad creciente, e Irlanda —anti vista como una excepción permisiva— la está haciendo cumplir de forma agresiva. Las empresas que diseñaron sus estrategias europeas basándose en el arbitraje regulatorio están pagando el precio. Aquellas que se adapten integrando la privacidad en su arquitectura desde el principio descubrirán que la multa, por grande que sea, es más barata que la alternativa.