Debido a una violación de los datos personales de sus usuarios, que le acarreó una multa de 2,7 millones de euros de parte de la Autoridad de Protección de Datos (AP) de los Países Bajos, Experian Nederland B.V. tuvo que cesar todas sus operaciones en el país europeo y comprometerse a eliminar toda su base de datos de datos personales antes de que finalice el año, para cumplir con los términos del Reglamento General de Protección de Datos (RGPD) que ignoró durante años.
La multa se basa en que Experian (dedicada a servicios de informes crediticios y análisis de datos) utilizó indebidamente datos personales recopilados de diversas fuentes, tanto públicas como privadas, y no informó a sus clientes. El hecho de que la firma (una de las más grandes del mundo en este mercado) también ofrezca servicios de protección de datos y monitorización de crédito, para que las empresas protejan a sus clientes de filtraciones de datos y los posibles riesgos financieros derivados de la exposición, empeora su violación de la RGPD.
Esta no es la primera vez que la empresa tiene un problema similar: Hace unos años se enfrentó a la Oficina del Comisionado de Información (ICO) británica, por haber recopilado información sobre 51 millones de residentes. Si bien se desconoce el número total de residentes de la UE afectados, cuyos datos personales fueron procesados por Experian, en este incidente específico, es probable que estemos hablando de muchos millones. Al contrario de la infracción en Reino Unido, no se conoce el número aproximado de usuarios afectados en Países Bajos, u otros países de Europa, pero también se estima en millones, cuyos datos personales (altamente sensibles) fueron utilizados indebidamente.
Más noticias: Weir expande servicios de software MMS con compra de Fast2 Mine
La AP empezó a investigar a Experian cuando varios clientes se quejaron de que no podían pagar las cuotas de sus deudas o tenían que pagar depósitos elevados si decidían cambiar de proveedores de servicios. La autoridad descubrió que Experian recopiló datos (como comportamientos de pago negativos, deudas pendientes o quiebras) de fuentes públicas (como el registro mercantil de la Cámara de Comercio) y privadas (como empresas de telecomunicaciones) que vendían la información de sus usuarios, sin informarle a los ciudadanos sobre la recopilación de su información personal, ni obtuvo su consentimiento, ni justificó la necesidad de recopilar los datos.
Este proceso fue largo y generó daños financieros y materiales e inmateriales sustanciales a los afectados (Experian proporcionó evaluaciones crediticias a sus clientes, hasta el 1° de enero de 2025), lo cual podría desatar una ola de demandas por daños morales, en vista de que el Tribunal de Justicia de la Unión Europea da la opción de demandar por esta causa cuando se vulneran sus derechos bajo el RGPD.
La respuesta de Experian ante el fallo fue notablemente drástica y rápida. La compañía reconoció la naturaleza ilegal de sus actividades, declaró que no apelaría a la multa y, lo más notable, tomó la decisión estratégica de cesar completamente todas sus operaciones en Países Bajos y se comprometió a eliminar la totalidad de su base de datos de datos personales recopilados antes de finales de 2024.
Relacionado: Brasil aprueba una estricta ley para proteger a menores en el entorno digital
Este movimiento inédito es un precedente crucial y se lee como que el modelo de negocio de data brokerage y perfilamiento crediticio, como lo operaba Experian, era intrínsecamente incompatible con los rigurosos estándares de necesidad y transparencia exigidos por el GDPR. Expertos aseguran que la retirada total puede deberse a que el costo y la complejidad de reestructurar su modelo de trabajo, para cumplir con las exigencias de la AP, es inasumible. Para ellos, el caso subraya que el interés legítimo no sirve como justificación para la recolección opaca de datos, mientras la AP demostró que los reguladores de protección de datos pueden, y deben, desmantelar modelos de negocio basados en la explotación opaca de datos.
¿Dónde reside la infracción?
Experian cometió varios delitos, todos en contra del Reglamento General de Protección de Datos y, probablemente, todos nacieron desde un modelo de negocio que es incompatible con el RGPD desde su base. Por ejemplo, Experian se enfoca en analizar y comercializar perfiles de riesgo crediticio detallados para que terceros puedan evaluar la solvencia de los consumidores y la única manera de hacer esto adecuadamente es recaudando información crediticia sensible, como el historial de pagos, las deudas pendientes o las declaraciones de quiebra de cada ciudadano a cuyos datos se tiene acceso.
Como ni Experian ni ninguna otra empresa pondría en riesgo su negocio, la analista crediticia se decidió a recolectar datos de múltiples fuentes, pero –para mantener la opacidad– lo hizo comparándolos con información adquirida de fuentes no públicas, mediante la compra de datos de clientes a compañías de telecomunicaciones y energía, que recopilaron estos datos originalmente con fines distintos a la evaluación de riesgo crediticio. Haberlos vendido, comprado y usado para generar perfiles de riesgo fue considerado una violación del principio de lealtad en el procesamiento de datos por la AP.
Para leer: Plan de Acción de IA de Trump: ¿Gana la carrera o redefine las reglas?
Estos actos desleales constituyeron una violación del Principio de Transparencia del RGPD, en sus artículos 13 y 14, que subrayan que la transparencia es un requisito fundamental e indispensable del procesamiento legal. Aunque el fallo más grave fue, según la AP, la omisión del interés legítimo (artículo 6), que no existió en la injustificada compra, venta y uso de datos privados. Asimismo, la falta de notificación adecuada fue un “incumplimiento fundamental” de Experian, que privó a los ciudadanos de ejercer derechos básicos como el de acceso, rectificación o de oposición al procesamiento que, según la ley, debe ser legal, transparente y leal.
La AP señaló la Obligación de Lealtad (fairness) como un acto desleal y violatorio del principio de lealtad del procesamiento de datos establecido en el artículo 5(1)(a) del Reglamento. Experian fue incapaz de justificar la necesidad y la proporcionalidad de su recolección de información (hecho de forma masiva, excesiva y no transparente), por lo que sus actos fueron catalogados como excesivos y desproporcionados que, al final, llevaron a una infracción del artículo 5(1)(c), referido a la violación de Minimización de Datos y Proporcionalidad, que establece que, si un servicio puede lograrse con menos datos, el uso de datos excesivos es ilegal.
La sanción a Experian es un claro indicador del enfoque creciente de los reguladores europeos en la forma en que los data brokers y las agencias analíticas obtienen, agregan y monetizan datos personales. El fallo demuestra que la práctica de adquirir y combinar datos de terceros representa una actividad de alto riesgo legal si no va acompañada de transparencia y una base legal; además, podría forzar a las empresas de análisis crediticio a priorizar la ley y el consentimiento explícito de los usuarios para cualquier procesamiento de datos, aumentar la transparencia sobre cómo se calculan las puntuaciones de crédito y ofrecer mecanismos sencillos y efectivos para que los ciudadanos ejerzan sus derechos de acceso y rectificación.
Add new comment