Facebook pierde la partida y el tribunal falla a favor de la decisión de la autoridad de control de Irlanda para investigar y suspender las transferencias de datos de Facebook a Estados Unidos.
Tras la sentencia del caso Schrems II del pasado julio, la autoridad de control de Irlanda (Data Protection Commission, “DPC”) inició una investigación sobre Facebook Ireland Ltd y suspendió sus flujos de datos entre Europa y Estados Unidos. Facebook se opuso a la decisión y en consecuencia la recurrió, afirmando que tanto la misma como los procedimientos después adoptados eran susceptibles de revisión judicial. Parece que esta larga batalla legal sobre el derecho de Facebook Ireland para continuar realizando transferencias a Estados Unidos está llegando a su fin. Se espera que esta resolución que reafirma la suspensión de los flujos de datos de Facebook Ireland entre Europa y Estados Unidos tenga importantes efectos en las operaciones de Facebook.
Esta decisión es la culminación de una batalla legal que ha durado ocho años desde que se inició en 2013 mediante una queja presentada por Max Schrems.
Facebook Ireland es la filial de la empresa estadounidense que proporciona las redes sociales de Facebook e Instagram en Europa. La administración y la sede central se encuentran en Dublín. En junio de 2013, Mr Maximilian Schrems presentó una queja frente a la autoridad de control de Irlanda en relación a la transferencia de datos personales a Estados Unidos efectuada por Facebook Ireland, alegando que infringía el derecho nacional y el derecho comunitario, y en octubre de 2013 el DPC informó de que se investigaría la materia “rápidamente con toda la debida diligencia y velocidad”. En mayo de 2016 la DPC remitió a Facebook Ireland y a Mr Schrems su borrador de decisión donde establecía que las Cláusulas Contractuales Tipo no podían aplicarse en relación a la transferencia de datos personales de ciudadanos europeos a Estados Unidos. En julio de 2020, el TJUE emitió su fallo por el cual se indicaba que, conforme al RGPD, los residentes europeos cuyos datos personales se transfieran a un tercer país mediante Cláusulas Contractuales Tipo deben recibir el mismo nivel de protección garantizado por la Unión Europea y el RGPD. Dado que las autoridades estadounidenses no quedan obligadas por las Cláusulas Contractuales Tipo, los datos que allí se transfieran podrían no protegerse de manera suficiente y adecuada. Como resultado, la autoridad de control de Irlanda lanzó una investigación y tomó la medida preliminar de suspender las transferencias de datos de Facebook a Estados Unidos, la cual después Facebook impugnó.
Facebook recurrió la decisión de la autoridad de control de Irlanda y alegó que deberían haber esperado a las recomendaciones del CEPD.
Facebook recurrió la decisión preliminar, al igual que la investigación, y alegó que la autoridad de control de Irlanda debería haber esperado a las recomendaciones del Comité Europeo de Protección de Datos antes de iniciar la investigación y ordenar la suspensión de las transferencias de datos. La compañía afirmó que, como miembro del CEPD, la autoridad de control de Irlanda habría recibido orientaciones inminentes por parte del CEPD y en consecuencia no debería haber actuado antes de ello. Esta guía fue publicada en noviembre de 2020 y el 14 de mayo de 2021, el Alto Tribunal recogió en su fallo que Facebook Ireland “no ha establecido ninguna base para impugnar la decisión o los procedimientos de investigación de la DPC.” El juez rechazó las argumentaciones de Facebook sobre la actuación de la autoridad de control de Irlanda fuera del marco de sus funciones en relación a la manera en que se estaba llevando el caso. Sin embargo, el juez David Barnaville apuntó que la autoridad de control de Irlanda debería haber respondido a ciertas cuestiones planteadas por Facebook en octubre de 2020 por medio de correspondencia.
Facebook no gana la batalla, pues la decisión del tribunal otorga a la autoridad de control de Irlanda el derecho a abrir una segunda investigación contra Facebook bajo voluntad propia.
Esta larga batalla llega a su fin, con el resultado inevitable de la suspensión de las transferencias de datos a Estados Unidos realizadas por Facebook. Una segunda investigación bajo voluntad propia se ha iniciado y está en proceso de manera simultánea a la queja original presentada en 2013 y que condujo a la decisión del TJUE sobre el caso Schrems II. En relación al recurso de Facebook sobre la decisión de la autoridad de control de Irlanda, el Alto Tribunal, en su documento de 127 páginas donde efectúa la revisión judicial del caso, rechaza los argumentos de Facebook. Así, ocho años después de la queja inicial, es ahora firme que la autoridad de control de Irlanda tendrá que actuar para parar las transferencias de datos de Facebook entre Europa y Estados Unidos. Esta decisión tendrá probablemente un fuerte impacto en las operaciones y actividades de Facebook. A pesar de ello, la empresa insiste en que defenderán su cumplimiento frente a la autoridad de control de Irlanda.
