CONTENIDO
- 1. La empresa M impugna el acto administrativo
- - Alegaciones de M en la demanda de anulación de la sanción pecuniaria administrativa
- - Posición de la Comisión: la sanción pecuniaria administrativa era conforme a Derecho
- 2. El Tribunal Supremo considera conforme a Derecho el acto administrativo
- - La UE también impone a M una multa de 324.900 millones de wones surcoreanos
- 3. Estrategia de Daeryun frente a los actos administrativos
1. La empresa M impugna el acto administrativo
La empresa tecnológica multinacional M impugnó el acto administrativo por el que la Comisión de Protección de Datos Personales de la República de Corea (en adelante, la Comisión) le impuso una sanción pecuniaria administrativa de 6.700 millones de wones surcoreanos por facilitar sin autorización a otras empresas datos personales de los usuarios de la red social que opera.
En noviembre de 2020, la Comisión constató que M había facilitado sin consentimiento a unas 10.000 empresas datos personales de 3,3 millones de usuarios de su red social en Corea, como su formación académica, trayectoria profesional, lugar de origen, familia y relaciones matrimoniales o sentimentales, por lo que adoptó dicho acto administrativo.
M alegó que la información facilitada a otras empresas ya había sido divulgada voluntariamente por los usuarios, por lo que no constituía datos personales, y que no había infringido la Ley de Protección de Datos Personales de la República de Corea. Sin embargo, también fue desestimado su recurso ante el Tribunal Supremo.
Alegaciones de M en la demanda de anulación de la sanción pecuniaria administrativa
1. M no era la entidad que recopilaba los datos personales
M alegó que los datos de comportamiento obtenidos en sitios web o aplicaciones de terceros habían sido recopilados por las empresas correspondientes, que posteriormente se los facilitaban o le encomendaban su tratamiento. Por tanto, sostuvo que no era la entidad que recopilaba los datos personales.
En consecuencia, afirmó que correspondía a dichas empresas obtener el consentimiento para la recopilación y el uso de los datos personales y que M no tenía la obligación de recabarlo.
2. Alegación de que el procedimiento de consentimiento era correcto
M manifestó que, al registrarse en su red social, los usuarios aceptaban su «política de datos» y que esta incluía información sobre la recopilación y el uso de datos, por lo que se cumplían los requisitos legales.
3. Alegación sobre la ilegalidad de la sanción pecuniaria administrativa
M sostuvo que la Comisión había impuesto una cantidad excesiva y que el método utilizado para calcular la sanción también era ilegal.
Posición de la Comisión: la sanción pecuniaria administrativa era conforme a Derecho
La Comisión sostuvo que la sanción pecuniaria administrativa era conforme a Derecho por los siguientes motivos.
1. Alegación de que M era la entidad que recopilaba efectivamente los datos personales
M generaba directamente identificadores en línea, los asignaba a los usuarios y, a partir de ellos, recopilaba, almacenaba y analizaba datos de comportamiento procedentes de terceros.
La Comisión alegó que, como los sitios web y los usuarios no disponían de esa información, la obligación de obtener el consentimiento correspondía a M.
2. Alegación de que no existió un consentimiento válido
La Comisión señaló que M se había limitado a presentar una extensa política de datos, sin especificar claramente la información exigida por la ley, como la finalidad de la recopilación, las categorías de datos y el periodo de conservación.
También destacó que M ofrecía a los usuarios europeos un procedimiento adecuado para prestar el consentimiento, pero no informaba debidamente a los usuarios de Corea.
Asimismo, indicó que también resultaba problemático que el consentimiento apareciera marcado automáticamente al registrarse, mediante un sistema de exclusión voluntaria.
La Comisión consideró que estas prácticas de M no cumplían los requisitos de información clara y consentimiento previo establecidos en la Ley de Protección de Datos Personales de la República de Corea.
3. Alegación sobre la proporcionalidad de la sanción pecuniaria administrativa
La Comisión consideró que procedía imponer una sanción pecuniaria administrativa porque M no había obtenido un consentimiento válido para la recopilación y el uso de datos personales.
También manifestó que la sanción se había calculado atendiendo al volumen de negocios, la gravedad y la duración de la infracción, y que no procedía ninguna reducción de la sanción debido a la existencia de infracciones anteriores.
Sostuvo que la cuantía se había fijado correctamente dentro del límite máximo legal y que el acto administrativo revestía un interés público considerable para proteger el derecho a la autodeterminación informativa.
2. El Tribunal Supremo considera conforme a Derecho el acto administrativo
En relación con la demanda de M para anular el acto administrativo, el Tribunal Supremo de la República de Corea confirmó el criterio de los tribunales de primera y segunda instancia y desestimó la pretensión de la empresa.
M presentó la demanda en 2021 alegando que el acto administrativo era injustificado, pero obtuvo un resultado desfavorable en primera instancia en 2023 y en segunda instancia en 2024. Su recurso ante el Tribunal Supremo también fue desestimado, por lo que el resultado desfavorable adquirió firmeza.
El Tribunal Supremo consideró que la información en cuestión constituía datos personales y que la entrega de esos datos por M a terceros sin el consentimiento de los usuarios infringía la Ley de Protección de Datos Personales de la República de Corea.
De este modo, confirmó la resolución del tribunal inferior, según la cual no podía entenderse que los usuarios hubieran prestado su consentimiento porque no podían conocer ni prever la información legal que debía facilitárseles para recabarlo.
Asimismo, consideró que M tenía obligaciones como prestadora del servicio, aunque los usuarios hubieran divulgado la información.
La Comisión manifestó que, tras la resolución definitiva, se reanudaron los efectos del acto administrativo cuya ejecución había quedado suspendida durante el litigio. Por ello, requerirá a M que cumpla la orden de rectificación y comprobará su ejecución.
La UE también impone a M una multa de 324.900 millones de wones surcoreanos
El pasado mes de abril, la UE también impuso a M una multa de 200 millones de euros (aproximadamente 324.900 millones de wones surcoreanos).
Se consideró problemático que, en la práctica, se obligara a los usuarios del servicio de M que no abonasen la tarifa de uso a consentir la recopilación de datos con fines publicitarios.
Esta fue la primera sanción adoptada con arreglo a la «Ley de Mercados Digitales (DMA)», cuyo objetivo es regular el poder de mercado de las grandes empresas tecnológicas multinacionales y promover un mercado justo y competitivo.
También se ha señalado que la medida parece constituir una respuesta de la UE, en forma de represalia, a la guerra arancelaria de la Administración Trump.
3. Estrategia de Daeryun frente a los actos administrativos
Tras la sentencia del Tribunal Supremo que declaró conforme a Derecho el acto administrativo, se prevé que este litigio constituya un precedente que subraye la responsabilidad de las grandes plataformas en materia de protección de datos personales.
Determinar quién recopila los datos, en qué casos debe obtenerse el consentimiento expreso de los usuarios y si el cálculo de una sanción pecuniaria administrativa es adecuado son cuestiones difíciles de valorar sin un conocimiento profundo de la normativa y la jurisprudencia aplicables.
Por ello, cuando una empresa recopile o utilice datos personales, o deba impugnar un acto administrativo, puede resultar conveniente contar con la asistencia de un abogado con conocimientos especializados y experiencia práctica en la Ley de Protección de Datos Personales de la República de Corea.
En particular, las empresas que operan servicios basados en plataformas deben examinar desde la fase inicial de diseño los riesgos jurídicos de la estructura de recopilación y uso de datos personales, así como disponer de asesoramiento jurídico para responder estratégicamente si surge posteriormente una controversia.
Daeryun Sociedad de Abogados cuenta con abogados con experiencia en diversos asuntos relacionados con la 🔗infracción de la Ley de Protección de Datos Personales y con 🔗abogados especializados en empresas, que trabajan en equipo en la gestión de los riesgos empresariales.
