La Comisión Europea tendrá que indemnizar a un usuario de su web por transferir sus datos a Meta

El caso se remonta a los años 2021 y 2022, cuando el demandante consultó el sitio en Internet gestionado por Bruselas para la organización de eventos con la ciudadanía en el marco de la Conferencia sobre el Futuro de Europa y se registró para un acto en concreto utilizando el servicio de autenticación de la Comisión Europea.

El usuario llevó a cabo su registro a través de este servicio seleccionando la opción propuesta de conectarse sirviéndose de su cuenta de Facebook; un hipervínculo que en la práctica supuso que el Ejecutivo comunitario creó las condiciones que permitieron transferir la dirección IP de esta persona a Meta Platforms.

En su denuncia, el ciudadano estima que al consultar la web gestionada por la Comisión se transfirieron ciertos datos personales como su IP e información sobre su navegador y terminal a destinatarios domiciliados en Estados Unidos, pese a no contar entonces con un acuerdo de protección de datos con este país.

Así, sostiene que la transferencia de estos datos controvertidos sin la protección adecuada supuso un riesgo de que los servicios norteamericanos de seguridad e inteligencia accedieran a sus datos y critica que Bruselas no ofreció garantías adecuadas para justificar este intercambio de datos.

En su sentencia, ante la que cabe recurso de casación, la Justicia europea dicta que la Comisión incurrió en una violación suficientemente caracterizada de una norma jurídica cuyo objeto es conferir derechos a los particulares y reconoce los daños y perjuicios inmateriales del demandante al hallarse en situación de inseguridad en cuanto al tratamiento de sus datos personales.

Precisa que Bruselas ha incumplido las condiciones exigidas por el Derecho de la Unión para que una institución, organismo u órgano de la Unión transfiera datos personales a un tercer país.

Tampoco ha demostrado el Ejecutivo comunitario, dice la sentencia, que existiera ninguna cláusula tipo de protección de datos o contractual con garantías de seguridad, sino que el registro para conectar a través de Facebook mediante la plataforma gestionada por la Comisión Europea quedaba supeditada a las condiciones generales de la propia red social.

En este contexto, el tribunal con sede en Luxemburgo considera que existe una relación de causalidad suficientemente directa entre la infracción de la Comisión y los daños y perjuicios inmateriales sufridos por el interesado, por lo que condena a la institución comunitaria a indemnizar al demandante con 400 euros.

Con todo, la Justicia europea inadmite la petición de otra indemnización de 800 euros por daños y perjuicios por vulneración del derecho de acceso a la información y descarta que datos personales del usuario fueran también transferidos sin garantías a Amazon Web Services, también estadounidense, en su condición de operador de la red de distribución de contenidos denominada Amazon CloudFront.

En este caso, el Tribunal General señala que los datos controvertidos fueron transferidos a un servidor ubicado en Múnich, Alemania, y que, de acuerdo al contrato entre Amazon y la Comisión, se establecieron garantías para que dichos datos permanezcan en reposo y en tránsito en Europa.