...DES DE DUBLÍN... Després de l’anunci del Ministeri de Joventut i Infància d’obrir un expedient per bloquejar temporalment els serveis de TikTok a Espanya, després de conèixer-se una investigació de Maldita.es, l’Agència Espanyola de Protecció de Dades (AEPD) ha remès el cas a les autoritats irlandeses. La decisió torna a posar sobre la taula una de les principals particularitats del model regulatori europeu: la supervisió de bona part de les grans plataformes digitals es concentra en el país on aquestes han establert la seva seu principal dins la Unió Europea, amb independència d’on es puguin produir les possibles infraccions.
En ubicar TikTok la seva seu europea a Dublín, la Comissió de Protecció de Dades d’Irlanda (DPC, per les seves sigles en anglès) és l’autoritat de control principal per supervisar el compliment de la normativa europea de protecció de dades per part de la companyia. Per tant, és la institució que ha de tramitar les actuacions relacionades amb el tractament d’informació personal que puguin derivar-se de les denúncies presentades en altres estats membres.
Moncloa va arribar a plantejar fins i tot la possibilitat de bloquejar l’accés a determinats enllaços i continguts concrets de la plataforma que poguessin implicar un tractament il·lícit de dades de menors. L’Executiu va defensar que es tractaria d’una intervenció limitada i justificada per la gravetat dels fets. "Una mesura concreta, proporcionada i adequada amb ple respecte a les llibertats d’expressió", van assenyalar fonts governamentals.
No obstant això, l’Agència Espanyola de Protecció de Dades ha recordat que les seves competències no permeten acordar unilateralment una restricció general d’accés a una plataforma l’autoritat principal de supervisió de la qual es troba en un altre estat membre. "Correspon al Ministeri Fiscal i als òrgans judicials, que constitueixen també la seu natural per proposar i, si escau, acordar judicialment, amb caràcter general, la retirada de continguts penalment il·lícits i qualsevol restricció de l’accés a un servei", afegeix l’organisme espanyol.
La distinció resulta especialment rellevant en un moment en què els governs nacionals busquen respostes més ràpides davant els riscos que les plataformes digitals poden generar per als usuaris més joves. La protecció dels menors, la retirada de continguts il·lícits i el tractament de dades personals són àmbits relacionats, però sotmesos a instruments jurídics i autoritats de supervisió diferents. Una circumstància que obliga a coordinar les actuacions nacionals i comunitàries abans d’adoptar mesures que puguin afectar el funcionament d’aquests serveis.
La finestreta única que condueix a Dublín
La normativa europea estableix un marc harmonitzat de protecció de dades per a tot el bloc comunitari. La seva aplicació s’articula, en bona mesura, mitjançant el mecanisme de finestreta única, dissenyat per evitar que una mateixa empresa hagi de respondre davant procediments independents i potencialment contradictoris en cadascun dels estats membres en què opera.
D’aquesta manera, quan una empresa desenvolupa activitats de tractament de dades en diversos països de la Unió, l’autoritat de protecció de dades de l’estat on té el seu establiment principal assumeix la funció d’autoritat de control principal. Aquesta institució coordina les investigacions i les decisions, tot i que ha de mantenir una cooperació estreta amb les autoritats nacionals afectades.
En el cas de TikTok, Irlanda es converteix així en la porta d’entrada institucional per a bona part de les reclamacions europees relacionades amb la protecció de dades de la plataforma. Això no significa que les autoritats espanyoles quedin completament al marge. L’AEPD pot investigar qüestions dins de les seves competències, recaptar informació i traslladar les seves conclusions a l’autoritat irlandesa, que haurà de coordinar la resposta amb la resta d’organismes implicats.
El sistema també preveu mecanismes per resoldre discrepàncies entre les autoritats nacionals. Si no existeix consens sobre una proposta de resolució, el Comitè Europeu de Protecció de Dades (CEPD) pot intervenir mitjançant un procediment de coherència i adoptar una decisió vinculant. L’objectiu és impedir que l’aplicació d’una mateixa norma europea depengui exclusivament del criteri de l’autoritat del país on una multinacional hagi decidit establir la seva seu.
A aquest entramat s’hi suma la Llei de Serveis Digitals (DSA, per les sigles en anglès), que introdueix obligacions específiques per a les plataformes en matèria de transparència, moderació de continguts, gestió de riscos i protecció dels usuaris. La norma exigeix als intermediaris disposar de mecanismes per actuar davant de continguts il·lícits quan en tenen coneixement, d’acord amb les obligacions que corresponen a cada categoria de servei.
En el cas de les plataformes de molt gran mida (VLOP, per les sigles en anglès), com TikTok, la supervisió de les obligacions sistèmiques previstes a la DSA correspon directament a la Comissió Europea. Brussel·les disposa de competències per investigar possibles incompliments, exigir informació, ordenar mesures correctores i imposar sancions quan escaigui. Per aquest motiu, l’AEPD preveu traslladar també la informació recollida a la institució comunitària perquè pugui actuar en l’àmbit de les seves competències digitals.
El cas evidencia, per tant, que una mateixa controvèrsia pot activar simultàniament diversos nivells de supervisió europea: la protecció de dades, la regulació dels serveis digitals i, quan escaigui, la intervenció de les autoritats judicials nacionals.
El refugi europeu de les grans tecnològiques
La particularitat d’Irlanda no s’entén només pel funcionament de la legislació comunitària. Des de fa dècades, el país ha estructurat bona part del seu model econòmic al voltant de l’atracció d’inversió estrangera i de les grans multinacionals tecnològiques. Dublín s’ha convertit en un dels principals centres tecnològics i fiscals d’Europa, amb la presència de companyies com Google, Meta, Apple, TikTok o Microsoft, que hi han establert les seves seus europees o importants centres d’operacions.
L’estratègia irlandesa ha combinat històricament una fiscalitat empresarial competitiva amb un entorn favorable a la inversió internacional, una política que ha permès al país atreure algunes de les majors companyies del món. El resultat és una elevada concentració d’activitat econòmica, ocupació qualificada i operacions corporatives vinculades al sector tecnològic.
Aquesta posició també té conseqüències reguladores. La concentració de les seus europees de les grans plataformes a Irlanda ha traslladat a les seves autoritats una responsabilitat de supervisió que excedeix àmpliament la mida del seu mercat nacional. La Comissió de Protecció de Dades irlandesa ha de gestionar investigacions que afecten centenars de milions d’usuaris europeus i algunes de les companyies amb més capacitat econòmica i tecnològica del món.
Brussel·les ha mantingut un debat recurrent sobre els riscos que implica aquesta concentració de competències. Una supervisió excessivament lenta o una aplicació poc exigent de les normes pot generar diferències en el nivell de protecció dels ciutadans europeus. Al mateix temps, les decisions de les autoritats nacionals poden tenir repercussions econòmiques de gran abast, especialment en països on l’activitat d’aquestes multinacionals representa una part important de l’ocupació, la inversió i els ingressos fiscals.
Per a Irlanda, la presència d’aquestes companyies constitueix un dels pilars del seu model econòmic. Un eventual trasllat de les seves operacions a altres territoris tindria conseqüències sobre l’ocupació, la recaptació tributària i el pes del sector tecnològic en el seu producte interior brut. Aquesta dependència introdueix una tensió institucional difícil de resoldre: el país ha de garantir el compliment d’una legislació europea que pot exigir mesures contundents contra algunes de les principals empreses establertes al seu territori, alhora que manté un model econòmic estretament vinculat a la seva presència.
Una autoritat desbordada per les grans plataformes
A aquesta equació s’afegeix un problema de capacitat administrativa. La concentració a la Comissió de Protecció de Dades irlandesa d’una part substancial de les grans investigacions europees ha generat durant anys crítiques sobre la disponibilitat de recursos i la velocitat dels procediments. Fonts comunitàries han qüestionat en diferents ocasions els terminis de les investigacions irlandeses, que es poden perllongar durant anys abans d’arribar a una resolució definitiva. També hi ha hagut discrepàncies sobre la proporcionalitat de les sancions proposades inicialment i sobre la capacitat de les autoritats per imposar mesures correctores amb prou rapidesa.
La dificultat no és exclusivament tècnica. Les investigacions contra les grans plataformes requereixen analitzar volums ingents d’informació, estructures empresarials complexes i tractaments de dades que afecten simultàniament diferents mercats. A més, les companyies disposen d’importants equips jurídics i reguladors per defensar les seves posicions durant els procediments administratius. La jurisprudència i la pràctica supervisora irlandeses han prioritzat, en determinats expedients, els acords de compliment i els procediments d’investigació perllongats davant d’intervencions cautelars més immediates. Una aproximació que de vegades ha xocat amb la postura d’altres autoritats nacionals, entre elles la espanyola, partidàries de respostes més ràpides davant determinats riscos per als ciutadans.
El sistema europeu contempla, no obstant això, mecanismes per evitar que aquestes diferències acabin debilitant l’aplicació de les normes. Quan una autoritat nacional presenta una proposta de resolució que altres institucions consideren insuficient, el Comitè Europeu de Protecció de Dades pot intervenir per resoldre les discrepàncies i adoptar decisions vinculants. Això permet, entre altres coses, exigir modificacions en les resolucions i ajustar les mesures o sancions previstes quan no hi ha acord entre els organismes implicats.
L’expedient sobre TikTok torna a posar a prova aquest equilibri entre la competència nacional, la supervisió comunitària i la capacitat de reacció de les institucions europees. Espanya reclama una resposta davant els possibles riscos que afecten els menors, però la decisió sobre bona part de les obligacions de protecció de dades de la plataforma passa per una autoritat situada a més de 1.500 quilòmetres de Madrid.
Des de Dublín, on es concentra una part substancial del poder tecnològic europeu, la qüestió ja transcendeix el cas concret de TikTok. La Unió Europea ha construït un marc normatiu comú per controlar les grans plataformes, però la seva aplicació continua depenent d’una arquitectura institucional en la qual les competències i els recursos no sempre estan distribuïts de manera equilibrada. I és precisament aquesta distància entre l’ambició reguladora de Brussel·les i la capacitat efectiva de les seves autoritats nacionals la que torna a quedar sota examen.