La Autoriteit Persoonsgegevens (AP) multó a Uber con 290 millones de euros en agosto de 2024. La sanción fue por enviar datos de conductores a servidores estadounidenses sin un acuerdo de transferencia válido. Ningún caso del RGPD ha producido una multa mayor por una transferencia transfronteriza. La AP también gestionó más de 21.400 reclamaciones en 2023. Eso la convierte en una de las autoridades de protección de datos más activas de Europa.
Lo que la AP encontró en el caso Uber
Uber recopiló datos de conductores en los Países Bajos y Francia. Los datos incluían historial de ubicación, documentos de identidad, registros salariales, registros de conducción y archivos fiscales. Todo ello se transfirió a servidores estadounidenses. La AP dictaminó que el método de transferencia no era válido.
Tres hallazgos sustentaron la decisión:
- Mecanismo de transferencia inadecuado: Uber utilizó Reglas Corporativas Vinculantes (BCR). La AP determinó que no cubrían el volumen ni la sensibilidad de los datos de conductores transferidos.
- Sin Evaluación de Impacto de la Transferencia (TIA): Uber no demostró que la legislación estadounidense dejaba intactas las protecciones de transferencia acordadas.
- Datos sensibles por combinación: Los datos de ubicación, la remuneración y las puntuaciones de rendimiento juntos ofrecen un retrato detallado de cada conductor. La AP trató esta combinación como equivalente a datos personales sensibles.
El caso Uber establece una norma clara. Los datos del personal y los contratistas enviados a EE. UU. necesitan la misma TIA y las mismas medidas adicionales que los datos de los consumidores.
Áreas de aplicación prioritarias de la AP para 2025
Actualizado para 2026
La AP ha identificado tres áreas que vigila de cerca en 2025.
Vigilancia de empleados: Las herramientas de seguimiento del trabajo remoto son el objetivo principal. Esto incluye registros de productividad, captura de pantalla, seguimiento de pulsaciones de teclas y herramientas de localización remota. Antes de implementar cualquier herramienta de este tipo, las empresas deben documentar por qué descartaron opciones menos intrusivas.
Transferencias transfronterizas de datos: Tras el fallo Uber, la AP está verificando los mecanismos de transferencia. Las empresas que dependen de servicios estadounidenses, asiáticos u otros países sin decisión de adecuación están en el punto de mira. Cualquier empresa que use herramientas de software estadounidenses para RRHH, gestión de proyectos o datos de clientes debe tener una TIA actualizada.
Decisiones automatizadas: La puntuación de crédito algorítmica, los filtros de contratación por IA y los sistemas de evaluación del rendimiento generan obligaciones en virtud del artículo 22. La AP se centra en organizaciones que toman decisiones automatizadas sin un paso de revisión humana real. Los trabajadores y los consumidores deben estar cubiertos.
El BSN: un identificador nacional protegido
El Burgerservicenummer (BSN) es un número de servicio ciudadano de 9 dígitos. Se valida mediante el algoritmo Elfproef (prueba de once). Para realizar la comprobación: multiplica cada dígito por un peso decreciente de 9 a −1, suma los resultados. El total debe ser divisible por 11.
La Ley BSN (Wet algemene bepalingen burgerservicenummer) limita el uso del BSN a contextos legales específicos. Estos son: fiscalidad, sanidad, servicios gubernamentales y nóminas de empleadores. El uso de un BSN fuera de esos contextos activa la aplicación de la Ley BSN. La responsabilidad del RGPD se añade a ello.
Por qué las herramientas genéricas fallan con los BSN: Muchas herramientas de PLN no incluyen la comprobación Elfproef. Sin ella, cualquier cadena de 9 dígitos se marca como posible BSN. Eso genera falsas alarmas en documentos financieros y administrativos. Los BSN mal escritos también se escapan. Fallan la comprobación pero aún coinciden con el patrón. Consulta nuestra guía sobre detección de identificadores fiscales europeos e información personal para una comparación completa de los formatos europeos.
NER para textos en neerlandés
El neerlandés (Nederlands) tiene características que confunden a los modelos entrenados en inglés.
Palabras compuestas: El neerlandés une palabras. Persoonsgegevens (datos personales) y Burgerservicenummer (número de identificación ciudadana) son palabras únicas. Los modelos diseñados para el inglés a menudo las dividen en el punto equivocado. Eso rompe el reconocimiento de entidades.
Sufijos de nombre: Los sufijos -je y -tje aparecen en nombres — Annetje, Hansje. Los modelos de reconocimiento de nombres deben manejar tanto la forma base como la forma corta.
Formatos de dirección: Los tipos de calle incluyen Straat, Laan, Weg, Plein y Gracht. Los códigos postales usan cuatro dígitos más dos letras (ejemplo: 1234 AB). Cada código corresponde a una sola calle, por lo que revela más que la mayoría de los códigos postales europeos.
Formato IBAN: Los IBAN neerlandeses tienen 18 caracteres: NL + 2 dígitos de control + código bancario de 4 letras + número de cuenta de 10 dígitos. El país tiene un alto uso de pagos sin contacto. Los documentos financieros contienen muchos IBAN como resultado. Para métodos de puntuación de confianza en distintos tipos de identificadores, consulta detección binaria de información personal y puntuación de confianza.
Lista de verificación técnica para el cumplimiento de la AP
Para cumplir con los estándares actuales de la AP, los sistemas de datos necesitan:
- Detección de BSN con Elfproef — la coincidencia de patrones sola no es suficiente
- NER en neerlandés — un modelo como spaCy
nl_core_newsgestiona compuestos y formas cortas - Detección de IBAN — sensible al formato, no genérica
- Registros de subencargados para todas las transferencias transfronterizas
- TIA para proveedores de EE. UU. — una prioridad de auditoría activa de la AP tras el caso Uber
Tras Uber, una TIA para proveedores de EE. UU. es un requisito básico, no una práctica recomendada. Para un análisis completo del fallo y sus implicaciones para las transferencias, consulta Multa AP a Uber y aplicación transfronteriza.