El órgano ejecutivo de la Unión Europea enfrenta un escándalo vergonzoso de privacidad después de que se confirmara el viernes que una campaña publicitaria de la Comisión en X (anteriormente Twitter) violó las propias reglas de protección de datos de la UE. La decisión del órgano de supervisión de la UE, el Supervisor Europeo de Protección de Datos (EDPS), se refiere a una campaña publicitaria microdirigida que la Comisión llevó a cabo en X a finales de 2023 y que procesó los datos sensibles (opiniones políticas) de los ciudadanos para orientar los anuncios.
La campaña publicitaria tenía la intención de influir en la opinión en torno a una polémica propuesta legislativa de la UE para obligar a las aplicaciones de mensajería a escanear las comunicaciones de las personas en busca de material de abuso sexual infantil (CSAM). Los críticos han advertido que el plan de la UE corre el riesgo de afectar a una serie de derechos democráticos, amenaza el cifrado de extremo a extremo y es legalmente insostenible. Pero la Comisión ha seguido adelante de todos modos, recibiendo algunas críticas reputacionales. Y ahora este gran golpe a la privacidad.
La decisión del EDPS sigue a una queja de noviembre de 2023 presentada por la organización regional de derechos de privacidad, noyb. Su queja contra la Dirección General de Migración y Asuntos de Interior de la Comisión acusaba al departamento de «microdirigirse ilegalmente». Según noyb, los resultados del supervisor de datos de la UE confirman que la UE actuó ilegalmente, aunque el EDPS solo emitió una reprimenda (sin multa).
En un comunicado de prensa anunciando el resultado de la queja, Felix Mikolasch, abogado de protección de datos de la organización sin fines de lucro, escribió: «Desde Cambridge Analytica está claro que los anuncios dirigidos pueden influir en la democracia. Utilizar preferencias políticas para anuncios es claramente ilegal. Sin embargo, muchos actores políticos confían en ello y las plataformas en línea casi no toman medidas. Por lo tanto, recibimos con agrado la decisión del EDPS».
La queja de noyb destacó cómo la campaña publicitaria de la Comisión buscaba promover indirectamente la regulación del CSAM en un intento por influir en la opinión de los ciudadanos en los Países Bajos. Se dirigió a usuarios en el país que no estaban interesados en palabras clave como: #Qatargate, brexit, Marine Le Pen, Alternative für Deutschland, Vox, cristiano, cristianofobia o Giorgia Meloni.
Estas palabras clave pueden estar asociadas con personas que tienen ciertas opiniones políticas (de derecha), lo que convierte el procesamiento en un sustituto de las opiniones políticas, que se consideran datos sensibles (o de categoría especial) según las leyes de protección de datos de la UE. El estándar legal del bloque para procesar datos personales sensibles de manera legal requiere obtener el consentimiento explícito de las personas de antemano, lo que la Comisión no hizo.
El evento TechCrunch
Ahorra ahora hasta el 4 de junio en TechCrunch Sessions: AI. Ahorra $300 en tu entrada para TC Sessions: AI y obtén un 50% de descuento en una segunda. Escucha a líderes de OpenAI, Anthropic, Khosla Ventures y más durante un día completo de conocimientos expertos, talleres prácticos y networking de alto impacto. Estas ofertas a bajo costo desaparecen cuando se abran las puertas el 5 de junio.
Exhibe en TechCrunch Sessions: AI. Asegura tu lugar en TC Sessions: AI y muestra a más de 1,200 tomadores de decisiones lo que has construido, sin gastar mucho. Disponible hasta el 9 de mayo o hasta agotar existencias.
Berkeley, CA | 5 de junio
REGÍSTRATE AHORA
La UE previamente le dijo a TechCrunch que la campaña publicitaria fue «diseñada e implementada a través de un contrato marco con un contratista». También dijo que su contrato incluía «salvaguardias de protección de datos» destinadas a garantizar el cumplimiento de las regulaciones relevantes. La UE argumentó que era X la que aceptaba la campaña y «se esperaba que la implementara de acuerdo con los términos y condiciones de la plataforma y las normas legales aplicables, en particular el GDPR [Reglamento General de Protección de Datos]».
Entonces, en otras palabras, la Comisión intentó culpar a X por cualquier orientación publicitaria ilegal. (NB: noyb tiene una queja separada contra X por este procesamiento político que sigue bajo investigación por las autoridades de protección de datos). A la luz de la conclusión del EDPS de que se estaba llevando a cabo un procesamiento ilegal en X, nos hemos puesto en contacto con la empresa de redes sociales para obtener una respuesta.
La Comisión también dijo anteriormente que «no tenía la intención de provocar el procesamiento de categorías especiales de datos personales», enfatizando en ese momento (mayo de 2024) que dicho procesamiento «no debería haber ocurrido».
En ese momento, agregó que se habían tomado medidas para asegurar que «todas las reglas existentes se recordaran a todos los servicios». Y, según noyb, la razón por la cual el EDPS solo emitió una reprimenda y no una multa es porque la Comisión detuvo la práctica. Por lo tanto, parece poco probable que veamos más microorientación controvertida de la UE en el futuro cercano.
Actualmente hay un nuevo colegio de comisarios en su lugar. Entonces Ylva Johansson, la comisaria de Asuntos de Interior a cargo de la propuesta de CSAM bajo el último mandato cuando se ejecutó la campaña, ya no ocupa el cargo para recibir la reprimenda del EDPS. La Comisión, a principios de este año, estaba investigando si se habían procesado datos sensibles mediante la campaña, pero la decisión del EDPS cimenta que dicho procesamiento sí ocurrió y fue ilegal.
El hallazgo debería tener implicaciones para la queja aún abierta de noyb contra X, y otras quejas similares sobre microorientación que utiliza datos sensibles. Dado que típicamente estas tecnologías publicitarias podrían llevar a multas reales del GDPR, donde las sanciones pueden llegar hasta el 4% de los ingresos anuales globales.
«Tenemos muchos casos más de microorientación política en los Estados miembros», señaló Mikolasch. «Muchos partidos políticos participan en la misma práctica ilegal. Esperamos que la decisión del EDPS sea una luz guía para las autoridades nacionales que actualmente investigan tales prácticas.»
Nos pusimos en contacto con la Comisión para obtener una respuesta a los hallazgos del EDPS. La portavoz Patricia Poropat envió un breve comunicado por correo electrónico, en el que el ejecutivo de la UE dijo: «Tomamos nota de la decisión del [EDPS] sobre la campaña de la Comisión para crear conciencia sobre la propuesta legislativa de la Comisión para prevenir y combatir el material de abuso sexual infantil en línea. Ahora evaluaremos la decisión del EDPS».
También hemos hecho preguntas al EDPS y a la Comisión de Protección de Datos de Irlanda (DPC), la autoridad que probablemente liderará la investigación sobre la microorientación de X, y actualizaremos este informe si responden.
Actualización: El portavoz de DPC, Risteard Byrne, dijo: «El DPC puede confirmar que hemos recibido una queja del DPC holandés con respecto a este asunto y estamos en contacto tanto con la DPA holandesa como con [noyb] para determinar los detalles completos de la queja. Al recibir estos detalles, esta oficina iniciará su examen de la queja para determinar cómo debería ser progresada.»
Al buscar comentarios, Danny Mekić, el tecnólogo que originalmente descubrió la campaña publicitaria de la Comisión y planteó preocupaciones sobre su uso de la microorientación, recibió con agrado la «acción rápida» del EDPS, diciendo a TechCrunch que está contento con el resultado de la investigación. Sin embargo, cuestionó por qué «no se impuso una sanción más amplia», destacando comentarios hechos por Johansson después de la publicación de su artículo planteando preocupaciones, cuando ella afirmó que la campaña publicitaria era «100%» legal.
«En este caso, dadas las afirmaciones hechas por la comisaria, estaría justificada una investigación más amplia sobre esta práctica ilegal de llamada ‘práctica normal estándar'», dijo Mekić, agregando: «La Comisión Europea no tomó en serio señales tan importantes y fundamentadas de expertos».
Este informe se actualizó con comentarios adicionales.
