TikTok, multado con 530M€ por GDPR, logra que revisen la prohibición de enviar datos a China

¿Qué ha ocurrido?

El 18 de junio de 2025, el Tribunal Superior de Irlanda emitió una sentencia que marca un hito en la aplicación del Reglamento General de Protección de Datos (GDPR) de la UE. El fallo aborda dos aspectos clave del caso de TikTok contra la Comisión de Protección de Datos (DPC) irlandesa. Por un lado, el tribunal confirmó la multa de 530 millones de euros impuesta a la plataforma por violar el GDPR, específicamente por no proteger adecuadamente los datos de los usuarios menores de edad y por fallos en la transparencia. Por otro lado, el tribunal devolvió a la DPC la orden que prohibía a TikTok transferir datos de usuarios europeos a China, solicitando una revisión más detallada de las medidas de seguridad implementadas por la empresa. Esta decisión no anula la prohibición, sino que la suspende temporalmente mientras la DPC reevalúa la evidencia.

El caso se originó a partir de investigaciones iniciadas en 2021, tras denuncias de que TikTok transfería datos personales de usuarios europeos a servidores en China, donde podían ser accesibles por las autoridades chinas bajo la Ley de Inteligencia Nacional de 2017. En septiembre de 2023, la DPC emitió una orden provisional para detener estas transferencias, pero TikTok recurrió ante el Tribunal Superior. La sentencia actual es el resultado de ese recurso.

¿Por qué es importante?

Esta decisión tiene implicaciones profundas para la privacidad de los datos de más de 100 millones de usuarios activos mensuales de TikTok en Europa. El caso sienta un precedente sobre cómo las autoridades europeas abordan las transferencias internacionales de datos a países sin un nivel de protección adecuado, como China. A diferencia de Estados Unidos, que cuenta con un marco como el Data Privacy Framework, China no tiene una decisión de adecuación de la UE, lo que hace que cualquier transferencia sea potencialmente ilegal a menos que se implementen salvaguardas suficientes.

Además, refuerza la aplicación del GDPR contra grandes plataformas tecnológicas, mostrando que las sanciones multimillonarias son una realidad. La multa de 530 millones de euros es una de las más altas bajo el GDPR, solo superada por las de Amazon (746 millones en 2021) y Meta (1.200 millones en 2023). Sin embargo, el hecho de que la prohibición de transferencias haya sido devuelta para revisión indica que los tribunales aún están definiendo los límites de la soberanía digital europea frente a las empresas globales.

El contexto geopolítico también es relevante: la sentencia llega en un momento de creciente tensión entre la UE y China en materia tecnológica. Mientras que la UE ha intensificado el escrutinio sobre plataformas como TikTok y Shein, China ha criticado lo que considera medidas proteccionistas. Este caso podría influir en las negociaciones sobre flujos de datos en el marco del Diálogo Digital UE-China.

¿Qué consecuencias tendrá?

A corto plazo, TikTok gana tiempo para demostrar que sus transferencias de datos a China cumplen con los estándares europeos. La DPC deberá reevaluar la evidencia presentada por la empresa, incluyendo las garantías contractuales y técnicas, como las cláusulas contractuales tipo (SCC) y las evaluaciones de impacto. Si finalmente se confirma la prohibición, TikTok podría tener que almacenar y procesar los datos de usuarios europeos exclusivamente dentro de la UE o en países con decisiones de adecuación, como el Reino Unido o Japón. Esto implicaría una reestructuración significativa de su infraestructura, con costos estimados en cientos de millones de euros.

A largo plazo, la sentencia podría influir en futuras regulaciones sobre flujo de datos transfronterizos y en la relación entre la UE y China en materia digital. Por ejemplo, podría acelerar la adopción de la Ley de Gobernanza de Datos y la Ley de Datos de la UE, que buscan crear un mercado único de datos. También podría sentar un precedente para casos similares contra otras plataformas chinas como WeChat o Alibaba.

Para los usuarios, las consecuencias inmediatas son limitadas. La app seguirá funcionando con normalidad, pero deberán estar atentos a posibles cambios en la política de privacidad. Si la prohibición se confirma, TikTok podría tener que pedir consentimiento explícito para transferencias internacionales, lo que podría afectar la experiencia del usuario en funciones como la personalización de contenido.

¿Qué deben saber los lectores?

• La multa de 530 millones de euros es firme y TikTok deberá pagarla. La empresa ya ha declarado que apelará, pero el tribunal ha rechazado la suspensión del pago.
• La prohibición de transferir datos a China está en revisión, no anulada. La DPC tiene un plazo de seis meses para emitir una nueva decisión, aunque podría extenderse.
• TikTok ha sido declarado responsable de violar el GDPR, lo que afecta su reputación y podría llevar a demandas colectivas de usuarios. En 2024, ya se presentaron varias demandas en Países Bajos y Alemania.
• Los usuarios europeos deben estar atentos a posibles cambios en la política de privacidad de la app. TikTok podría implementar medidas como el almacenamiento local de datos o la encriptación de extremo a extremo.
• Este caso es un hito en la aplicación del GDPR a las transferencias internacionales de datos. Marca la primera vez que un tribunal europeo revisa una orden de suspensión de transferencias a China.

“El tribunal ha dejado claro que las empresas tecnológicas no pueden eludir sus obligaciones con los datos de los ciudadanos europeos, incluso si operan a escala global.”

La decisión llega en un momento de creciente escrutinio sobre las prácticas de datos de las plataformas chinas. Mientras tanto, TikTok continúa operando en Europa, pero con la sombra de una posible restricción total a sus transferencias de datos. La DPC deberá ahora equilibrar la protección de datos con la realidad de un negocio global, en un caso que podría definir el futuro de la gobernanza de datos en la UE.