Las autoridades reguladoras intensifican la presión: la UE impone a Google una multa colosal de 890 millones de euros, mientras que Corea del Sur persigue a TikTok y Apple por fallos de privacidad. Por su parte, los intermediarios de datos y los gigantes de las pruebas genéticas reciben multas por seguridad descuidada, lo que demuestra que incluso un localizador GPS de coche puede llevarte ante los tribunales.

7
6
7
4
Más
6
3
4

Vistas: 12.5k Tiempo de lectura:3 min.

La UE multa a Google con 890 millones de euros por incumplimientos de la DMA

La UE multa a Google con la friolera de 890 millones de euros por violaciones de la DMA

La Comisión Europea ha multado a Google con 890 millones de euros (1.000 millones de dólares) por infringir la Ley de Mercados Digitales (DMA) de la Unión Europea, una ley diseñada para garantizar la competencia leal en línea.

La Comisión afirmó que Google otorgaba a sus propios servicios, como compras, hoteles, transporte y resultados deportivos, una mejor posición en Google Search que a los servicios competidores. Asimismo, constató que Google impedía a las empresas dirigir a los consumidores hacia canales de compra alternativos, a menudo más baratos.

La Comisión afirmó que, en su calidad de “gatekeeper”, Google no debería tratar sus servicios de forma más favorable, sino aplicar un enfoque transparente, justo y no discriminatorio hacia los rankings.

La multa incluye 460 millones de euros por favorecer sus servicios en los resultados de búsqueda y 430 millones de euros por limitar las opciones de los desarrolladores de aplicaciones. La Comisión ha ordenado a Google que subsane estos problemas en un plazo de 60 días o se enfrentará a sanciones adicionales de hasta el 5 % de su facturación mundial.

Corea del Sur multa a TikTok y Apple por violaciones de la ley de privacidad

Corea del Sur ha multado a TikTok y a dos filiales de Apple con un total de 10 558 millones de wones (más de 6,3 millones de euros) por infringir la Ley de Protección de Datos Personales del país y la antigua Ley de Promoción del Uso de las Redes de Información y Comunicaciones y de Protección de la Información, alegando recopilación ilegal de datos, falta de transparencia y transferencias indebidas de datos al extranjero.

La Comisión de Protección de Datos Personales (PIPC) afirmó que TikTok no informó adecuadamente a los usuarios sobre las transferencias al exterior de datos personales, incluyendo qué información se compartía y por qué. Los reguladores también encontraron que la plataforma recopilaba datos conductuales de aproximadamente 9,45 millones de usuarios surcoreanos mediante tecnologías de rastreo en sitios web y aplicaciones móviles de terceros. Dichos datos, que incluían actividad de navegación, compras, clics e identificadores de dispositivo, se vinculaban a las cuentas de usuario para publicidad personalizada sin aviso adecuado.

Dos filiales de Apple fueron multadas con un total de 250 millones de wones (unos 149 000 €) después de que la PIPC determinó que las grabaciones de voz y las transcripciones de Siri se utilizaban para mejorar el servicio sin una base jurídica adecuada. El organismo regulador también señaló que Apple transfirió datos personales a su sede central en EE. UU. sin informar suficientemente a los usuarios sobre la naturaleza y la finalidad de dichas transferencias. La sanción se redujo después de que Apple reforzó sus controles de privacidad, actualizó sus políticas y amplió las opciones de los usuarios para gestionar las transcripciones de Siri durante la investigación.

Por otra parte, TikTok se enfrenta a acusaciones preliminares por parte de los reguladores de la Unión Europea en relación con configuraciones de cuenta que podrían exponer a los menores a depredadores, ciberacoso y contactos no deseados. La plataforma podría enfrentarse a una multa de hasta el 6 % de sus ingresos anuales globales si se sostienen las acusaciones. Los reguladores señalaron que las cuentas de los menores pueden configurarse como públicas, lo que permite que el contenido sea visto por un amplio público, y recomendaron cambios en la configuración de privacidad por defecto para proteger mejor a los usuarios jóvenes.

España multa a 23andMe con más de 2 millones de euros por un breach de datos de 2023

El regulador de protección de datos de España ha multado a 23andMe con 2,4 millones de euros (unos 2,7 millones de dólares) por fallos de ciberseguridad que provocaron una grave filtración de datos en 2023 que afectó a 6,9 millones de personas en todo el mundo, incluidas más de 2 600 en España.

Según el organismo regulador, los directivos de la empresa se enteraron de la filtración después de que alguien intentara vender datos robados de clientes en Reddit. Las autoridades también señalaron que 23andMe tardó 12 días en notificarlo a las autoridades españolas, lo que retrasó las medidas para reducir el impacto del ataque.

La investigación determinó que 23andMe no utilizaba medidas básicas de seguridad, incluida la autenticación multifactor obligatoria. La empresa tampoco limitaba la cantidad de datos que podía accederse o descargarse desde una única dirección IP, lo que facilitó la ejecución del ataque de credential stuffing.

La filtración expuso información sensible de los clientes, incluidos datos de ascendencia genética. Parte de la información sustraída se puso posteriormente a la venta en la Dark Web.

23andMe negó inicialmente que se hubiera producido una filtración. Tras confirmar el incidente, la empresa culpó a los clientes por utilizar contraseñas débiles o reutilizadas. Antes, este mes, 23andMe acordó pagar 18 millones de dólares para resolver las reclamaciones de una coalición de 42 fiscales generales estatales de EE. UU. en relación con la filtración.

Empresa vinícola portuguesa multada con más de 14.000 € por seguimiento GPS

Una empresa vinícola portuguesa ha sido multada con €14.790 por utilizar un localizador GPS en un vehículo de la empresa para supervisar el rendimiento laboral de un empleado.

Adega Moor, con sede cerca de Lisboa, exigía a un comercial que presentara informes diarios sobre las visitas a clientes. El gerente de la empresa comparaba después los informes con los datos del GPS del vehículo del empleado para verificar si la información coincidía.

La empresa alegó que el GPS solo se utilizaba ocasionalmente para verificar la visita de un cliente y que no estaba destinado al monitoreo habitual. Sin embargo, el Tribunal de Apelación de Lisboa determinó que el responsable consultaba repetidamente el historial del GPS, lo que lo convertía en una forma de monitoreo continuo del rendimiento.

El tribunal dictaminó que esta práctica incumple el artículo 20, apartado 1, del Código Laboral de Portugal, que prohíbe a los empleadores utilizar tecnología de vigilancia para supervisar el rendimiento laboral de los empleados. Si bien los sistemas GPS pueden utilizarse para proteger los vehículos y los bienes de la empresa, no pueden emplearse para realizar un seguimiento de cómo los empleados llevan a cabo su trabajo.

El tribunal confirmó la multa y señaló además que, aunque el empleado hubiera dado su consentimiento para la vigilancia, esta habría seguido siendo ilegal según la legislación portuguesa.

Obtener una demo

ImmuniWeb puede ayudarle a prevenir brechas de datos y cumplir con los requisitos normativos.

Broker de datos de EE. UU. sancionado con 2M € por violaciones del RGPD

La autoridad italiana de protección de datos, el Garante, ha multado a el broker de datos estadounidense Lusha Systems Inc. con 2 millones de euros por violar las reglas de privacidad bajo el RGPD.

Lusha recopila información personal, como cargos profesionales, direcciones de correo electrónico y números de teléfono, a partir de fuentes que incluyen la extracción de datos de redes sociales y otros intermediarios de datos. A continuación, la empresa vende el acceso a los datos con fines comerciales y de lucha contra el fraude.

El Garante constató que Lusha trató los datos de numerosas personas en Italia sin una base legal válida. Asimismo, señaló que la empresa no proporcionó información clara sobre cómo se recopilaban y utilizaban los datos personales.

La autoridad señaló que la base de datos incluía información sobre el personal que trabaja para instituciones gubernamentales, las fuerzas del orden y el poder judicial.

El Garante determinó que las actividades de Lusha caen bajo el RGPD, a pesar de que la empresa tiene su sede fuera de la Unión Europea. El supervisor ordenó a Lusha que dejara de tratar los datos personales de las personas en Italia y que eliminara la información que había recopilado.

7
6
7
4
Más
6
3
4

Etiquetas:Ley de Privacidad Ley de Protección de Datos Ley de notificación de brechas de datos Multa Sanción RGPD Fuga de datos Violación de la privacidad Ciberseguridad Digital Markets Act

Próximos pasos: