...DESDE DUBLÍN... Tras el anuncio del Ministerio de Juventud e Infancia de abrir un expediente para bloquear temporalmente los servicios de TikTok en España, después de conocerse una investigación de Maldita.es, la Agencia Española de Protección de Datos (AEPD) ha remitido el caso a las autoridades irlandesas. La decisión vuelve a poner sobre la mesa una de las principales particularidades del modelo regulatorio europeo: la supervisión de buena parte de las grandes plataformas digitales se concentra en el país donde estas han establecido su sede principal dentro de la Unión Europea, con independencia de dónde se produzcan las posibles infracciones.
Al ubicar TikTok su sede europea en Dublín, la Comisión de Protección de Datos de Irlanda (DPC, por sus siglas en inglés) es la autoridad de control principal para supervisar el cumplimiento de la normativa europea de protección de datos por parte de la compañía. Es, por tanto, la institución que debe tramitar las actuaciones relacionadas con el tratamiento de información personal que puedan derivarse de las denuncias presentadas en otros Estados miembros.
Moncloa llegó a plantear incluso la posibilidad de bloquear el acceso a determinados enlaces y contenidos concretos de la plataforma que pudieran implicar un tratamiento ilícito de datos de menores. El Ejecutivo defendió que se trataría de una intervención limitada y justificada por la gravedad de los hechos. "Una medida concreta, proporcionada y adecuada con pleno respeto a las libertades de expresión", señalaron fuentes gubernamentales.
Sin embargo, la Agencia Española de Protección de Datos ha recordado que sus competencias no permiten acordar unilateralmente una restricción general de acceso a una plataforma cuya autoridad principal de supervisión se encuentra en otro Estado miembro. "Corresponde al Ministerio Fiscal y a los órganos judiciales, que constituyen también la sede natural para proponer y, en su caso, acordar judicialmente, con carácter general, la retirada de contenidos penalmente ilícitos y cualquier restricción del acceso a un servicio", añade el organismo español.
La distinción resulta especialmente relevante en un momento en el que los gobiernos nacionales buscan respuestas más rápidas ante los riesgos que las plataformas digitales pueden generar para los usuarios más jóvenes. La protección de los menores, la retirada de contenidos ilícitos y el tratamiento de datos personales son ámbitos relacionados, pero sometidos a instrumentos jurídicos y autoridades de supervisión diferentes. Una circunstancia que obliga a coordinar las actuaciones nacionales y comunitarias antes de adoptar medidas que puedan afectar al funcionamiento de estos servicios.
La ventanilla única que conduce a Dublín
La normativa europea establece un marco armonizado de protección de datos para todo el bloque comunitario. Su aplicación se articula, en buena medida, mediante el mecanismo de ventanilla única, diseñado para evitar que una misma compañía tenga que responder ante procedimientos independientes y potencialmente contradictorios en cada uno de los Estados miembros en los que opera.
De esta manera, cuando una empresa desarrolla actividades de tratamiento de datos en varios países de la Unión, la autoridad de protección de datos del Estado donde tiene su establecimiento principal asume la función de autoridad de control principal. Esta institución coordina las investigaciones y las decisiones, aunque debe mantener una cooperación estrecha con las autoridades nacionales afectadas.
En el caso de TikTok, Irlanda se convierte así en la puerta de entrada institucional para buena parte de las reclamaciones europeas relacionadas con la protección de datos de la plataforma. Esto no significa que las autoridades españolas queden completamente al margen. La AEPD puede investigar cuestiones dentro de sus competencias, recabar información y trasladar sus conclusiones a la autoridad irlandesa, que deberá coordinar la respuesta con el resto de los organismos implicados.
El sistema también contempla mecanismos para resolver discrepancias entre las autoridades nacionales. Si no existe consenso sobre una propuesta de resolución, el Comité Europeo de Protección de Datos (CEPD) puede intervenir mediante un procedimiento de coherencia y adoptar una decisión vinculante. El objetivo es impedir que la aplicación de una misma norma europea dependa exclusivamente del criterio de la autoridad del país donde una multinacional haya decidido establecer su sede.
A este entramado se suma la Ley de Servicios Digitales (DSA, por sus siglas en inglés), que introduce obligaciones específicas para las plataformas en materia de transparencia, moderación de contenidos, gestión de riesgos y protección de los usuarios. La norma exige a los intermediarios disponer de mecanismos para actuar frente a contenidos ilícitos cuando tienen conocimiento de ellos, de acuerdo con las obligaciones que corresponden a cada categoría de servicio.
En el caso de las plataformas de muy gran tamaño (VLOP, por sus siglas en inglés), como TikTok, la supervisión de las obligaciones sistémicas previstas en la DSA corresponde directamente a la Comisión Europea. Bruselas dispone de competencias para investigar posibles incumplimientos, exigir información, ordenar medidas correctoras e imponer sanciones cuando proceda. Por este motivo, la AEPD prevé trasladar también la información recabada a la institución comunitaria para que pueda actuar en el ámbito de sus competencias digitales.
El caso evidencia, por tanto, que una misma controversia puede activar simultáneamente varios niveles de supervisión europea: la protección de datos, la regulación de los servicios digitales y, cuando corresponda, la intervención de las autoridades judiciales nacionales.
El refugio europeo de las grandes tecnológicas
La particularidad de Irlanda no se entiende únicamente desde el funcionamiento de la legislación comunitaria. Desde hace décadas, el país ha estructurado buena parte de su modelo económico alrededor de la atracción de inversión extranjera y de las grandes multinacionales tecnológicas. Dublín se ha convertido en uno de los principales centros tecnológicos y fiscales de Europa, con la presencia de compañías como Google, Meta, Apple, TikTok o Microsoft, que han establecido allí sus sedes europeas o importantes centros de operaciones.
La estrategia irlandesa ha combinado históricamente una fiscalidad empresarial competitiva con un entorno favorable a la inversión internacional, una política que ha permitido al país atraer a algunas de las mayores compañías del mundo. El resultado es una elevada concentración de actividad económica, empleo cualificado y operaciones corporativas vinculadas al sector tecnológico.
Esta posición también tiene consecuencias regulatorias. La concentración de las sedes europeas de las grandes plataformas en Irlanda ha trasladado a sus autoridades una responsabilidad de supervisión que excede ampliamente el tamaño de su mercado nacional. La Comisión de Protección de Datos irlandesa debe gestionar investigaciones que afectan a cientos de millones de usuarios europeos y a algunas de las compañías con mayor capacidad económica y tecnológica del mundo.
Bruselas ha mantenido un debate recurrente sobre los riesgos que implica esta concentración de competencias. Una supervisión excesivamente lenta o una aplicación poco exigente de las normas puede generar diferencias en el nivel de protección de los ciudadanos europeos. Al mismo tiempo, las decisiones de las autoridades nacionales pueden tener repercusiones económicas de gran alcance, especialmente en países donde la actividad de estas multinacionales representa una parte importante del empleo, la inversión y los ingresos fiscales.
Para Irlanda, la presencia de estas compañías constituye uno de los pilares de su modelo económico. Un eventual traslado de sus operaciones a otros territorios tendría consecuencias sobre el empleo, la recaudación tributaria y el peso del sector tecnológico en su producto interior bruto. Esta dependencia introduce una tensión institucional difícil de resolver: el país debe garantizar el cumplimiento de una legislación europea que puede exigir medidas contundentes contra algunas de las principales empresas asentadas en su territorio, al tiempo que mantiene un modelo económico estrechamente vinculado a su presencia.
Una autoridad desbordada por las grandes plataformas
A esta ecuación se añade un problema de capacidad administrativa. La concentración en la Comisión de Protección de Datos irlandesa de una parte sustancial de las grandes investigaciones europeas ha generado durante años críticas sobre la disponibilidad de recursos y la velocidad de los procedimientos. Fuentes comunitarias han cuestionado en distintas ocasiones los plazos de las investigaciones irlandesas, que pueden prolongarse durante años antes de alcanzar una resolución definitiva. También han existido discrepancias sobre la proporcionalidad de las sanciones inicialmente propuestas y sobre la capacidad de las autoridades para imponer medidas correctoras con suficiente rapidez.
La dificultad no es exclusivamente técnica. Las investigaciones contra las grandes plataformas requieren analizar volúmenes ingentes de información, estructuras empresariales complejas y tratamientos de datos que afectan simultáneamente a distintos mercados. Además, las compañías disponen de importantes equipos jurídicos y regulatorios para defender sus posiciones durante los procedimientos administrativos. La jurisprudencia y la práctica supervisora irlandesas han priorizado en determinados expedientes los acuerdos de cumplimiento y los procedimientos de investigación prolongados frente a intervenciones cautelares más inmediatas. Una aproximación que ha chocado en ocasiones con la postura de otras autoridades nacionales, entre ellas la española, partidarias de respuestas más rápidas ante determinados riesgos para los ciudadanos.
El sistema europeo contempla, no obstante, mecanismos para evitar que estas diferencias terminen debilitando la aplicación de las normas. Cuando una autoridad nacional presenta una propuesta de resolución que otras instituciones consideran insuficiente, el Comité Europeo de Protección de Datos puede intervenir para resolver las discrepancias y adoptar decisiones vinculantes. Esto permite, entre otras cosas, exigir modificaciones en las resoluciones y ajustar las medidas o sanciones previstas cuando no existe acuerdo entre los organismos implicados.
El expediente sobre TikTok vuelve a poner a prueba este equilibrio entre la competencia nacional, la supervisión comunitaria y la capacidad de reacción de las instituciones europeas. España reclama una respuesta ante los posibles riesgos que afectan a los menores, pero la decisión sobre buena parte de las obligaciones de protección de datos de la plataforma pasa por una autoridad situada a más de 1.500 kilómetros de Madrid.
Desde Dublín, donde se concentra una parte sustancial del poder tecnológico europeo, la cuestión trasciende ya el caso concreto de TikTok. La Unión Europea ha construido un marco normativo común para controlar a las grandes plataformas, pero su aplicación continúa dependiendo de una arquitectura institucional en la que las competencias y los recursos no siempre están distribuidos de manera equilibrada. Y es precisamente esa distancia entre la ambición regulatoria de Bruselas y la capacidad efectiva de sus autoridades nacionales la que vuelve a quedar bajo examen.