Tribunal alemán falla que la tecnología de rastreo de Meta viola la ley europea de protección de datos

• Un tribunal alemán dictaminó que el píxel de rastreo y la tecnología de Meta violan el GDPR
• Este fallo permite que otros usuarios también presenten demandas por daños sin probar individualmente el perjuicio
• El tribunal señaló que Meta obtiene enormes ganancias al identificar y perfilar a las personas
• Expertos advierten que este fallo sugiere un riesgo de litigios masivos para todos los sitios web y apps que usan tecnología de rastreo
• Hay un daño de 5,000 euros por persona, por lo que el monto puede aumentar considerablemente cuanto más visitantes haya

---

Tribunal alemán falla que la tecnología de rastreo de Meta viola la ley europea de protección de datos

Puntos principales del fallo

• El Tribunal Regional de Leipzig, en Alemania, dictaminó que Meta inserta píxeles de rastreo y kits de desarrollo de software (SDK) en sitios web y apps de terceros para recopilar datos personales sin el consentimiento de los usuarios
• El fallo deja claro que esta tecnología viola el Reglamento General de Protección de Datos (GDPR) de Europa
• El tribunal señaló que Meta obtiene enormes ingresos mediante actividades de perfilado basadas en datos personales sin el consentimiento individual de los usuarios
• El comunicado de prensa destacó que, incluso sin iniciar sesión en una cuenta de Facebook o Instagram, Meta puede identificar a una persona cuando visita sitios de terceros

Alcance del fallo

• Este fallo derivó en que Meta deba pagar 5,000 euros (aprox. 5,900 dólares) en una demanda presentada por un usuario alemán de Facebook
• El tribunal indicó que esta decisión sienta un precedente para que muchos usuarios presenten demandas similares sin necesidad de probar de forma concreta un daño individual
• Expertos analizan que este fallo puede representar un riesgo para todos los operadores de sitios web y apps que usan tecnología de rastreo de Meta
• El CEO de la consultora AesirX evaluó que este caso tiene potencial de acción colectiva (class action) y de causar un "impacto fatal en el negocio"

Perspectivas a futuro

• Todos los visitantes en Alemania que no hayan consentido la tecnología de rastreo de Meta podrían quedar incluidos en una acción colectiva
• Si el número de visitantes es alto, el monto de la indemnización podría crecer de forma exponencial
• Expertos consideran que este juicio es uno de los fallos más importantes del año en Europa

Enlace de referencia

• Comunicado oficial del Tribunal Regional de Leipzig

Conclusión

• Este fallo marca una señal de cambio importante en el refuerzo de la protección de datos personales y en la responsabilidad legal de las empresas tecnológicas y los operadores de sitios web
• Aumenta la necesidad de que la industria reevalúe las medidas técnicas para cumplir con el GDPR y la obtención del consentimiento de los usuarios

[GN⁺]

Opiniones de Hacker News

• Aunque este fallo de Leipzig llama la atención, su impacto real quizá no sea tan grande como esos €5,000. El tribunal dejó claro que la víctima puede demandar sin tener que probar un daño individual concreto, pero la forma de las demandas colectivas en Europa sigue siendo muy distinta a la de EE. UU. En Alemania no existe, como en EE. UU., un sistema general de honorarios por éxito, y los incentivos son diferentes porque quien pierde debe asumir las costas, además de que los mecanismos de reparación colectiva siguen siendo limitados. La mayoría de los consumidores alemanes no va a presentar demandas individuales por €5,000 por un pixel de rastreo; el tiempo y el costo no son menores. Personalmente, espero que este tipo de litigios los impulsen asociaciones de protección al consumidor o entidades especializadas con capacidad financiera. Alemania sí está ampliando su marco de demandas colectivas, pero por ahora sigue centrado más en entidades habilitadas que en demandantes individuales.
  • En Alemania existe un sistema en el que todos los consumidores quedan incluidos automáticamente. A diferencia de otros países europeos, no necesitan inscribirse en una demanda aparte para estar cubiertos; están incluidos por defecto. Por eso ya hay demandas colectivas en Alemania contra X y Tiktok reclamando indemnizaciones de EUR 500 y EUR 2000 respectivamente.
  • Alguien podría incluso convertir esto en un producto y hacer negocio con algo tipo: “¡Te regalamos 2500 euros gratis! ¡Firma aquí!”
• Vale la pena notar que este fallo podría no mantenerse tal cual en apelación. El texto completo de la decisión todavía no se ha publicado y por ahora solo conocemos su contenido por un comunicado de prensa. Por ejemplo, el tribunal reconoció la responsabilidad de indemnizar sin siquiera escuchar una descripción concreta del daño por parte del demandante, así que será interesante ver cómo se desarrolla ese enfoque en la sentencia completa. Me parece un punto perfectamente apelable por parte de Meta. Como además hay cuestiones no resueltas del derecho de la UE, también podría remitirse al ECJ. En cualquier caso, este fallo genera incertidumbre jurídica en el corto plazo y probablemente muchas personas intentarán demandar. Pero si pasa a apelación y luego al ECJ, esto podría tardar años, así que habrá que seguirlo de cerca.
  • Me confunde quién sería responsable entre Facebook y el operador del sitio web donde ocurrió el rastreo real. Según mi entendimiento del GDPR, el sitio web es quien debe obtener el consentimiento antes de pasar información a una red publicitaria.
• A estas alturas uno pensaría que ya habría algún bufete algo sospechoso identificando personas en la misma situación que el usuario afectado, ofreciendo llevarles el caso y quedarse con una parte (por ejemplo, 10%) como comisión. Si ellos litigaran por mí, yo también se los dejaría. Pero este tipo de problemas no debería resolverse con demandas individuales, sino con regulación fuerte, por ejemplo imponiendo de verdad multas directas del 4% de la facturación global anual a las empresas, para que dejen de tratar la ley como si fuera solo una recomendación.
  • En otras áreas, como las compensaciones por vuelos, ya hay empresas (legítimas) que ofrecen este tipo de servicios. Bajo la legislación alemana sobre la abogacía hay ciertas restricciones a los honorarios por éxito, pero esta reclamación de 5,000 euros podría considerarse un simple “cobro de créditos” y quizá por eso sería admisible. El mayor riesgo es que el fallo sea revocado en apelación o que otros tribunales regionales fallen distinto. Por eso, hasta que haya una decisión definitiva del tribunal federal supremo o del ECJ, solo quienes tengan bastante capital podrán seguir litigando basándose en este precedente.
  • En Europa no existe nada idéntico a las class action de estilo estadounidense. Sí hay una directiva de la UE sobre “acciones representativas”, pero su alcance es mucho más estrecho que el de las demandas colectivas de EE. UU.
  • Con este precedente, ahora sí parece posible que empiecen a aparecer litigios al estilo class action.
• Hace apenas 5 años, cuando una noticia así aparecía en HN, los usuarios estadounidenses armaban escándalo diciendo que “Europa solo busca pretextos para exprimir a las empresas estadounidenses”. Ahora ese ambiente cambió por completo. Me da gusto ver que, aunque el enfoque europeo tenga algunas limitaciones, al final se está demostrando que iba en la dirección correcta.
  • Esas afirmaciones en realidad van contra los hechos. La mayoría de las multas se imponen a empresas europeas. No solo Big Tech viola la normativa; las empresas europeas también lo hacen con frecuencia. Lo que pasa es que los usuarios de EE. UU. casi no se enteran de esos casos. Además, el actual sistema de protección de datos tiene una historia previa al surgimiento de FAANG, ya que se desarrolló a partir de la Bundesdatenschutzgesetz alemana de los años 90. También se puede consultar este sitio para rastrear multas.
  • ¿Cinco años? Si siento que este mismo tipo de comentarios aparecieron incluso la semana pasada.
  • Soy estadounidense, pero mi preocupación con las leyes europeas de privacidad siempre fue el tema de la jurisdicción. Como eso no aplica en este caso, de verdad estoy de acuerdo con la decisión.
  • En EE. UU. ya se le entregó por completo el mercado publicitario a gigantes como Google y Meta, y las empresas pequeñas se están pasando a modelos de suscripción, así que a menos que la UE termine bloqueando también ese modelo, ya no queda mucho más por hacer.
• Ojalá esto de verdad evolucione hacia una demanda colectiva. Yo sí quisiera participar.
• Ahora sí espero ver este tipo de decisiones hacerse realidad. También vale la pena revisar este análisis en un blog relacionado.
• Como siempre, tengo la sensación de que al final no ocurrirá ningún cambio significativo.
• Me parece interesante que el tribunal haya subrayado la identificabilidad personal incluso sin iniciar sesión. Eso perfora de frente la defensa favorita de las empresas de que se trata de “rastreo anónimo”.
• En este análisis completo de Linkedin se puede ver más en detalle, y el hecho de que en Alemania los consumidores queden incluidos automáticamente en la demanda sin tener que inscribirse la distingue mucho de otros países europeos.
• Creo que este asunto podría terminar convirtiéndose en material de disputa geopolítica y comercial entre Europa y EE. UU., e incluso escalar al tema de los aranceles. En el fondo se trata de si Europa puede ejercer su autoridad para proteger a su propia población, aunque sinceramente tengo mis dudas sobre qué tan bien lo logre.