El EDPB resuelve el primer conflicto entre autoridades de control de protección de datos

La Data Protection Commission, autoridad de control de datos de Irlanda, ha emitido, el 20-8-2021, una decisión en la que incrementa en casi el 500 % la multa a WhatsApp, tras el conflicto generado entre las autoridades de control interesadas.

Se ha visto obligada por el Comité Europeo de Protección de Datos (EDPB, en siglas inglesas) y es el primer caso de aplicación del mecanismo que permite el artículo 65 del Reglamento General de Protección de Datos (RGPD).

Resolución de conflictos entre autoridades de control

El artículo 65 del RGPD regula el procedimiento para resolver los conflictos entre las autoridades de control sobre la interpretación y aplicación de este reglamento y atribuye al EDPB la competencia para resolverlos en el plazo de un mes y de forma vinculante. De este modo, pretende una aplicación uniforme en toda la UE.

Este mecanismo se activa cuando el problema afecta a varios Estados miembros. Por ejemplo, cuando una entidad o un grupo de empresas infringe el RGPD en más de un Estado o fuera del Estado de su sede, de forma que son varias las autoridades de control interesadas en investigar y corregir la infracción.

En estos casos, se designa como principal y se le encarga investigar y tramitar el procedimiento a la autoridad de control del Estado donde está la sede principal del grupo o se concentra su mayor actividad. Las demás autoridades, como interesadas, deben colaborar en la investigación y pueden participar en la resolución mediante objeciones, que, si no las atiende la autoridad principal, activan el mecanismo de resolución de disputas.

De esta forma se aplica el RGPD con mayor coherencia y se resuelven los conflictos de interpretación, al solventar el problema con una sola resolución para todos los Estados miembros afectados.

Intervención del EDPB

El 28-7-2021, el EDPB emitió su Decisión Vinculante 1/2021 sobre la disputa surgida en torno al proyecto de decisión de la autoridad irlandesa tras las objeciones presentadas por las autoridades de 8 Estados, entre otros, Francia, Italia, Portugal y Alemania, y los comentarios de otros 9.

En esta decisión, el Comité ordena que se modifiquen los siguientes aspectos de la resolución preliminar: las infracciones cometidas por WhatsApp, el cálculo de la multa y la interpretación del caso de concurrencia de infracciones.

Infracciones

Además de la infracción de las obligaciones de transparencia e información, el EDPB considera que se han infringido también el artículo 13.1 d) del RGPD, en tanto que la falta de información impidió a los usuarios conocer los intereses legítimos perseguidos por la compañía como fundamento para tratar sus datos, y el artículo 5.1 a) del principio de transparencia.

Cálculo de la multa

Por otra parte y en relación con la cuantía de la multa, el EDPB puso de manifiesto que, para determinar el importe de la multa, debía tenerse en cuenta no solo la cifra de negocios de WhatsApp, sino también la de su empresa matriz, Facebook.

Esto ha motivado el incremento de la cuantía final en casi un 500 %.

Concurrencia de infracciones

El EDPB ha resuelto también sobre la interpretación del artículo 83.3 del RGPD, al señalar que, si bien ha de tenerse en cuenta la necesaria proporcionalidad de las multas, en los casos en los que existan múltiples infracciones por operaciones de tratamiento idénticas o vinculadas, cada una de las infracciones computa y debe tenerse en cuenta para calcular el importe final de la multa.

Decisión final de la autoridad irlandesa

Como consecuencia de la decisión vinculante del EDPB, la autoridad de control irlandesa emitió la decisión final citada al principio en la que incorpora las infracciones de los artículos 13.1 d) y 5.1 a) del RGPD y aumenta el importe de la multa a WhatsApp Irlanda de 50 a 225 millones de euros.