Tribunal Supremo de Alemania remite cuestiones sobre protección de datos y transferencia de IPs a Google al TJUE
El Tribunal Supremo de Alemania remite al TJUE cuestiones clave sobre protección de datos y transferencias automáticas a Google, en un caso que podría modificar la normativa.
La disputa legal sobre la integración dinámica de Google Fonts avanza hacia una fase decisiva en Alemania, ya que el Tribunal Supremo federal (BGH) ha decidido suspender un procedimiento y remitir al Tribunal de Justicia de la Unión Europea (TJUE) tres cuestiones fundamentales relacionadas con la protección de datos y la transferencia de información a Google en Estados Unidos.
El caso se originó a raíz de una investigación automatizada en la que un crawler y software adicional revisaron sitios web en busca de Google Fonts, enviando direcciones IP dinámicas a Google en EE. UU. Esto ha planteado importantes interrogantes sobre la naturaleza de estos datos y su protección legal. La instancia judicial en Hannover consideró que una IP dinámica podría no ser un dato personal si Google no puede identificar al usuario, pero el BGH duda de esta postura y solicita aclaraciones sobre si se aplica un estándar relativo u objetivo para determinar si una IP puede considerarse información personal.
Un aspecto central del debate es si un daño inmaterial puede existir cuando la persona no pierde el control sobre sus datos de manera involuntaria, especialmente cuando dicha pérdida de control fue provocada activamente para obtener beneficios económicos. El tribunal quiere definir si en estos casos un reclamo por daños puede ser rechazado cuando la persona afectada creó artificialmente las condiciones para obtener una remuneración, o si basta con que el interés financiero haya sido la motivación principal.
El TJUE deberá precisar si los datos, como las IP enviadas a Google en EE. UU., deben considerarse personales bajo la definición del artículo 4 del RGPD, y si la evaluación debe hacerse con un estándar relativo (basado en si el destinatario puede identificar al usuario) o un estándar objetivo (que considere si con los medios adecuados alguien puede vincular la IP a la identidad). Una interpretación favorable al estándar objetivo reduciría significativamente la protección de datos en estos casos y facilitaría la transferencia de información.
Por otra parte, el tribunal también busca esclarecer si un daño inmaterial puede ocurrir cuando la persona no pierde control de sus datos de forma involuntaria, sino que provoca deliberadamente la situación para obtener beneficios económicos, incluso si no ha habido una pérdida real de control.
Por último, se examina la posible existencia de abuso legal, preguntándose si una persona que crea artificialmente condiciones para obtener un beneficio debe ser considerada excluida de la acción en caso de daño, o si el interés financiero en sí mismo constituye un factor suficiente para justificar reclamaciones. La decisión del TJUE será crucial para orientar la protección de datos y la economía digital, ya que determinará hasta qué punto las empresas y particulares pueden ser responsables en casos de transferencias automatizadas y provocadas intencionalmente.
Mientras tanto, la incertidumbre crece para los operadores de sitios web, dado que el fallo del TJUE, esperado en los próximos meses o años, marcará un cambio en la práctica del uso de scripts automatizados y la protección de datos personales en la Unión Europea. La postura del BGH muestra una actitud escéptica respecto a la práctica extensiva de las multas automatizadas, señalando un posible fin para modelos de negocio basados en la exploración masiva de datos y el aprovechamiento de vulnerabilidades en la protección de la privacidad.
Desde 2016, el TJUE ha establecido que datos pseudonimizados, como las IP dinámicas, no son automáticamente anónimos siempre que exista la posibilidad de reidentificación mediante información adicional o cooperación con terceros. La decisión del TJUE será decisiva para definir los límites precisos y el alcance de la protección de datos bajo el RGPD, y para evitar que esta normativa se convierta en un instrumento para la proliferación de demandas automatizadas y abusivas.