Instagram recibe una nueva multa de 405 millones de euros por infracciones del GDPR

Esta semana ha saltado la noticia de que la popular plataforma de intercambio de fotos y vídeos Instagram ha sido multada con 405 millones de euros (403 millones de dólares) por violar la Ley de Protección de Datos de Irlanda de 2018. Como el país de Irlanda es una de las muchas naciones que conforman la Unión Europea, la DPA de 2018 se promulgó con el propósito de implementar las numerosas disposiciones del Reglamento General de Protección de Datos (GPDR) en la legislación irlandesa, ordenando efectivamente que las empresas y organizaciones se adhieran a requisitos estrictos al vender productos y servicios a los millones de ciudadanos que conforman el país.

En este último punto, la multa que el Comisionado de Protección de Datos de Irlanda (DPC) impuso recientemente a Instagram estaba relacionada con la supuesta incapacidad de la empresa para proteger la información personal de los menores que han estado utilizando la plataforma de medios sociales en el país en los últimos años. Como se afirma en un artículo de Reuters que se escribió en relación con el asunto el 6 de agosto de 2022, “La investigación, que comenzó en 2020, se centró en los usuarios menores de entre 13 y 17 años a los que se les permitió operar cuentas comerciales, lo que facilitó la publicación del número de teléfono y/o la dirección de correo electrónico del usuario.”

La APD de Irlanda

Asimismo, la DPA de Irlanda de 2018 establece que la “edad digital de consentimiento para Irlanda es de 16 años. Por lo tanto, 16 años es la edad mínima a la que un niño puede dar su consentimiento para el tratamiento de sus datos personales con respecto a los servicios de la sociedad de la información.” Por esta razón, Instagram habría tenido que obtener el consentimiento de los padres o tutores de cualquier usuario de su plataforma dentro del país de Irlanda que fuera menor de 16 años, ya que no hacerlo supondría esencialmente una violación de los derechos de protección de datos y privacidad personal de estas personas menores de edad. Además, este requisito legal no es en absoluto exclusivo de Irlanda, ya que muchos otros Estados de la UE también imponen restricciones similares a los datos personales de los menores.

No obstante, dado que Instagram es sin duda una de las plataformas de redes sociales más extendidas actualmente en todo el mundo, las prácticas de recopilación y conservación de datos que han dado lugar a multas económicas en Irlanda se habrían considerado perfectamente legítimas en muchas otras partes del mundo. A modo de comparación, la principal ley de protección de datos de menores de Estados Unidos, la Children’s Online Privacy Protection Act (COPPA), ofrece a los padres estadounidenses los medios para supervisar y regular el uso que sus hijos hacen de Internet. Sin embargo, a pesar de que muchas empresas han recibido cuantiosas multas por violar la COPPA en los últimos años, el panorama de la privacidad de datos en Estados Unidos es mucho menos estricto que el de la UE.

La respuesta de Instagram

Por otra parte, en respuesta a las acusaciones de violación de la privacidad y a las multas impuestas a Instagram, un portavoz de Meta, la empresa matriz de la plataforma de redes sociales, emitió un comunicado en el que afirmaba: “Esta investigación se centró en ajustes antiguos que actualizamos hace más de un año, y desde entonces hemos lanzado muchas funciones nuevas para ayudar a mantener la seguridad de los adolescentes y la privacidad de su información. Aunque hemos colaborado plenamente con el CPD a lo largo de su investigación, no estamos de acuerdo con la forma en que se ha calculado esta multa y tenemos la intención de recurrirla. Seguimos revisando cuidadosamente el resto de la decisión”.

Para contextualizar, los representantes que trabajan para Instagram han declarado públicamente que, si bien los usuarios tenían la capacidad de enviar su propia información de contacto al crear cuentas comerciales en la plataforma de medios sociales antes de septiembre de 2019, cualquier usuario menor de 18 años que haya creado cualquier tipo de cuenta a través de la plataforma en línea después de esta fecha tendrá su cuenta configurada como privada automáticamente después de registrarse. Sin embargo, el DPC de Irlanda ha mantenido que la incapacidad de Instagram para proteger la información personal de los menores que utilizan su plataforma supuso una violación de la DPA del país de 2018. Además, el DPC también ha declarado que la información adicional sobre los factores que llevaron a la decisión de multar a Instagram con cientos de millones de dólares se dará a conocer al público en general la próxima semana.

Aunque el GDPR de la UE se aprobó en 2016 y entró en vigor dos años más tarde, en 2018, es obvio que se necesita cierto tiempo para investigar adecuadamente una gran plataforma en línea como Instagram en relación con presuntas violaciones de la privacidad personal. Por esta razón, las principales decisiones de aplicación contra empresas y corporaciones que operan dentro de la UE no se han producido hasta 2022, debido en parte a las formas inherentes en que las principales empresas tecnológicas como Meta recopilan, retienen y divulgan información personal en primer lugar. No obstante, la multa impuesta a Instagram por el CPD de Irlanda esta semana seguramente pondrá sobre aviso a otras empresas de todo el mundo en lo que respecta a la privacidad de los datos en Europa.