Las autoridades europeas de protección de datos imponen multas récord de 2.920 millones por el GDPR

El año pasado, los reguladores de datos europeos impusieron multas por un importe récord de 2.920 millones de euros, un 168 % más que en 2021. Así se desprende del último estudio sobre el GDPR y las violaciones de datos del bufete internacional de abogados DLA Piper, que abarca los 27 Estados miembro de la Unión Europea, más el Reino Unido, Noruega, Islandia y Liechtenstein. La mayor multa de este año, de 405 millones de euros, fue impuesta por el Comisario de Protección de Datos irlandés a Meta en relación con Instagram por presuntos fallos en la protección de los datos personales de los niños. El CPD irlandés también multó a Meta con 265 millones de euros por incumplir la obligación del GDPR en materia de protección de datos desde el diseño y por defecto. No obstante cabe mencionar que ambas multas están siendo recurridas.

A pesar del aumento general de las multas desde el 28 de enero de 2022, la multa de 746 millones de euros que las autoridades de Luxemburgo impusieron a Amazon el año pasado sigue siendo la mayor impuesta por un regulador de datos con sede en la Eurozona hasta la fecha (aunque se cree que el gigante minorista todavía está recurriendo).

El informe también reveló un notable aumento de la atención prestada por las autoridades supervisoras al uso de la inteligencia artificial (IA), mientras que el volumen de violaciones de datos notificadas a los reguladores disminuyó ligeramente con respecto al total del año anterior.

Tendencia al alza

La última edición de la citada encuesta mostró un aumento interanual significativo en el valor agregado de las multas GDPR. "El aumento demuestra la creciente confianza y voluntad de las autoridades de supervisión de imponer multas elevadas por infracciones del GDPR, particularmente contra grandes proveedores de tecnología, y también se ha visto influenciado por el impacto altamente inflacionario del EDPB", reza el informe. "Las autoridades locales de protección de datos sin duda habrán estado observando con interés las decisiones del EDPB en virtud del mecanismo de coherencia del GDPR y sabrán que el EDPB aún no ha reducido ninguna multa propuesta por una autoridad de supervisión principal. Todas las decisiones del EDPB relativas a multas han dado lugar a un aumento significativo de la multa final impuesta", añadió.

La encuesta también puso de relieve las repercusiones de algunas decisiones notables adoptadas este año por las autoridades de control de la protección de datos en relación con la aplicación de los requisitos de Schrems II y del capítulo V del RGPD a determinadas transferencias internacionales de datos personales. Ross McKean, presidente del grupo de Protección de Datos y Ciberseguridad del Reino Unido, declaró: "La avalancha de multas del CPD irlandés dirigidas a las prácticas de publicidad conductual de las plataformas de medios sociales este año tienen el potencial de ser igual de profundas para el futuro del "gran acuerdo" en el corazón de la actual Internet 'libre'. Dado lo que está en juego, podemos esperar años de apelaciones y litigios. La ley está muy lejos de resolverse en estas cuestiones". Irlanda (1.303.514.500 euros), Luxemburgo (746.345.675 euros) y Francia (428.238.300 euros) encabezan la lista del valor total de las multas del RGPD impuestas desde el 25 de mayo de 2018 hasta la fecha, con el Reino Unido (59.242.800 euros) en séptimo lugar.

Foco en la IA

Según el informe, los reguladores de la protección de datos se están centrando cada vez más en el uso de la IA y en el papel que desempeñan los datos personales en la formación de esta tecnología. "La IA está afectando a todos los sectores, desde la automatización de procesos, el aprendizaje automático, los bots de chat y el reconocimiento facial hasta la realidad virtual, entre otros. Los datos personales son a menudo el combustible que impulsa la IA utilizada por las organizaciones. Adapta los parámetros de búsqueda, detecta tendencias de comportamiento y predice posibles resultados futuros", se lee en el informe. Como muchos sistemas de IA utilizan datos personales, la regulación de estos sistemas a menudo entra en el ámbito del GDPR. "Varias autoridades supervisoras de protección de datos han publicado este año orientaciones sobre el uso de datos personales para la IA".

En mayo de 2022, la Oficina del Comisionado de Información del Reino Unido (ICO) multó a la empresa de reconocimiento facial Clearview AI con 7.552.800 libras por infringir las leyes de protección de datos por su uso de imágenes de rostros de personas y datos de información disponible públicamente. Según la OCI, la empresa recopiló más de 20.000 millones de imágenes de rostros y datos de información pública disponible en Internet y en plataformas de redes sociales de todo el mundo para crear una base de datos en línea, pero no informó a los usuarios de que sus imágenes se estaban recopilando o utilizando de esta forma.