Por qué Irlanda lidera la aplicación del RGPD
La Comisión irlandesa de Protección de Datos (DPC) es la autoridad líder para la mayoría de las grandes empresas tecnológicas de la UE. Esto no es un accidente.
La baja tasa impositiva de Irlanda atrajo a Apple, Google, Meta, LinkedIn y TikTok. Todas establecieron allí sus principales sedes europeas.
El artículo 60 del RGPD convierte a la DPC en la autoridad líder para estas empresas. De esta regla se derivan tres consecuencias.
Primero, una queja en Alemania sobre Facebook va a la DPC irlandesa, no al BfDI alemán. Segundo, la DPC trabaja con otras autoridades europeas en casos transfronterizos. Tercero, una decisión de la DPC contra Meta aplica en toda la UE.
El resultado es claro. La DPC ha impuesto más valor en multas que todas las demás autoridades europeas juntas. Consulte nuestra guía de cumplimiento del RGPD sobre cómo los patrones de aplicación afectan las decisiones de proveedores.
Tres multas que definen 2024–2025
€530M contra TikTok (mayo 2025): Ingenieros chinos accedieron a registros de usuarios europeos. Esto violó los artículos 44–46 del RGPD. Esas reglas restringen las transferencias a países sin decisión de adecuación europea. China no tiene ninguna. TikTok afirmó tener controles adecuados. La DPC no estuvo de acuerdo.
€310M contra LinkedIn (octubre 2024): LinkedIn se basó en el «interés legítimo» para el análisis de comportamiento. La DPC declaró esto inválido. El tratamiento no era necesario para el propósito declarado. La prueba de equilibrio no favoreció a LinkedIn.
€251M contra Meta (noviembre 2024): La violación de Facebook de 2018 no fue reportada a la DPC a tiempo. La DPC también encontró que los malos registros de auditoría hacían imposible medir lo que había sido expuesto.
Estas tres se suman a la multa anterior de €1.200 millones contra Meta de mayo de 2023. Esa multa también provino de la DPC, por transferencias ilegales UE-EE. UU. Sigue siendo la mayor sanción del RGPD jamás impuesta.
La DPC gestionó más de 8.500 casos transfronterizos en 2024. Explore nuestra página de seguridad y cumplimiento para ver cómo el diseño de conocimiento cero aborda cada fallo.
Lo que revela cada multa
Fallos de acceso transfronterizo
Las tres multas comparten un problema central. Los registros personales eran accesibles para empleados en países sin reglas de privacidad a nivel europeo.
La multa de TikTok fue directa. Los archivos de usuarios europeos llegaron a ingenieros chinos a pesar de los controles declarados.
Qué significa para la selección de proveedores: Pregunte si ingenieros no europeos pueden acceder a registros alojados en la UE. Un proveedor puede alojar en Dublín pero exponer archivos europeos mediante soporte técnico en EE. UU. La residencia en la UE por sí sola no es suficiente. Nuestra guía de procesamiento de entidades muestra cómo los controles de acceso se aplican al artículo 46 del RGPD.
Fallos de base jurídica
La multa de LinkedIn no fue sobre una violación. Fue sobre cómo LinkedIn justificó su tratamiento.
El «interés legítimo» no es un derecho general. Los responsables deben documentar una prueba de equilibrio genuina. Esa prueba debe mostrar que su interés supera los derechos del usuario. Nuestra página de cumplimiento explica cómo revisar las bases jurídicas de los proveedores.
Fallos de registro y notificación
La multa de €251M contra Meta incluyó un hallazgo clave. Los malos registros de auditoría hacían imposible medir el alcance de la violación.
El artículo 33 del RGPD exige notificación de violación a la autoridad en 72 horas. Esa notificación debe incluir el alcance de los registros afectados. No puede reportar un alcance que no puede medir.
Pregunte a los posibles proveedores sobre su estructura de registros de auditoría. Si un proveedor no puede responder «¿qué registros fueron expuestos?» después de un incidente, falla el artículo 33(3)(b).
El patrón en los casos DPC
Examinar las cuatro grandes multas DPC revela un patrón. Los reguladores actúan contra diseños donde los ingenieros de proveedores pueden ver el contenido de los usuarios. Cada gran multa involucró acceso mal controlado a registros personales.
El diseño de conocimiento cero aborda la preocupación central en cada caso. El contenido del usuario está cifrado. El proveedor no tiene claves de descifrado.
En los casos de transferencia de TikTok y Meta, los ingenieros no europeos llegan al servidor pero solo ven texto cifrado. No se expone ningún registro legible. En el caso de violación de Meta, un compromiso total del servidor no produce nada útil. El alcance de la violación se reduce. Para LinkedIn, un proveedor que nunca ve texto plano no puede realizar análisis de comportamiento en él.
Esta es la respuesta directa a cada acción de la DPC. Consulte nuestra resumen de seguridad para detalles, o nuestra declaración del fundador sobre por qué anonym.legal fue construido así desde el principio.
Qué significa «establecimiento principal»
Algunas empresas estructuran su presencia en la UE para controlar qué autoridad tiene jurisdicción. La interpretación de la DPC importa aquí.
El «establecimiento principal» no es solo una dirección. Es donde se encuentra la administración central europea. Para los responsables, es donde se toman las decisiones sobre los objetivos del tratamiento.
Una empresa cuyo equipo de privacidad está en Londres puede no tener ningún establecimiento principal en la UE. Cada autoridad nacional podría entonces reclamar jurisdicción para quejas locales.
Preguntas para evaluar proveedores
Use estas preguntas al evaluar proveedores SaaS que manejan registros personales.
Jurisdicción y acceso:
- ¿Dónde está el establecimiento principal europeo del proveedor?
- ¿Pueden empleados no europeos acceder a registros de usuarios de la UE en operaciones normales?
- ¿Está la empresa matriz del proveedor sujeta al CLOUD Act o a las leyes de seguridad chinas?
Diseño técnico:
- ¿El contenido de usuarios europeos permanece en servidores alojados en la UE?
- ¿Tiene el proveedor las claves de cifrado, o las tiene el cliente?
- ¿Son los registros de auditoría lo suficientemente detallados para medir el alcance de una violación?
Documentación de transferencias:
- ¿Qué mecanismo del artículo 46 del RGPD cubre los flujos UE-EE. UU.?
- ¿Ha completado el proveedor una Evaluación de Impacto de Transferencia?
- ¿Qué medidas técnicas adicionales están en vigor?
La aplicación de la DPC es consistente en un punto. Incluso las empresas con equipos de privacidad y DPO reciben grandes multas cuando su diseño técnico no coincide con sus declaraciones. Consulte nuestros casos de estudio y preguntas frecuentes para más información.
anonym.legal usa servidores Hetzner basados en la UE con diseño de conocimiento cero. Los servidores solo contienen texto cifrado AES-256-GCM. Una violación total no expone registros legibles. La aplicación de escritorio procesa todo el contenido en el dispositivo sin conexiones externas.
Fuentes
- DPC irlandesa — Decisiones de aplicación oficiales — VERIFIED-EXTERNAL
- EDPB — Mecanismo de ventanilla única — VERIFIED-EXTERNAL
- Texto del RGPD — Artículos 33, 44–46, 60 — VERIFIED