Estrenamos desde el Blog de Skiller una sección abierta («La voz del experto») para que diversos expertos en el mundo tecnológico nos compartan sus opiniones, reflexiones y preocupaciones sobre las divergentes realidades digitales que están ocurriendo en nuestros días con Diego Fierro Rodríguez, quién es letrado de la Administración de Justicia Letrado en el Ministerio de Justicia de España. Imparte cursos para cuerpos generales como formador en el Instituto Andaluz de Administración Pública y colabora habitualmente con revistas de investigación y difusión jurídica, como Economist & Jurist, Law & Trends, Legaltoday y Confilegal, estando enfocado en el estudio de aspectos vinculados con la Administración de Justicia y las nuevas tecnologías, entre otras materias. Igualmente, es codirector de la Revista Acta Judicial (…).
«El amanecer de las acciones colectivas por datos personales en Europa marca un punto de inflexión en la lucha por la privacidad frente a las grandes tecnológicas, impulsado por la combinación del Reglamento General de Protección de Datos (en adelante, RGPD) y la Directiva de la Unión Europea sobre Acciones de Representación Colectiva, en vigor desde 2020. Este nuevo marco jurídico, diseñado tras el escándalo de emisiones de Volkswagen para proteger a grandes grupos de consumidores que sufren un mismo daño, ha otorgado a las organizaciones de defensa de los derechos digitales una herramienta poderosa para exigir compensaciones masivas por violaciones de datos personales.
Según un artículo de Ellen O’Regan publicado en POLITICO el 14 de julio de 2025, grupos como la holandesa SOMI, el Consejo Irlandés para las Libertades Civiles y la austriaca Noyb están liderando acciones colectivas contra gigantes tecnológicos como TikTok, Meta y Microsoft, aprovechando la capacidad del RGPD para identificar conductas ilegales que afectan a millones de usuarios simultáneamente. La sentencia del Tribunal General de la Unión Europea en el caso de Thomas Bindl, que estableció un precedente al otorgar 400 euros por la incertidumbre causada por un manejo indebido de datos, ha encendido las alarmas en el sector tecnológico, donde una acción colectiva de un millón de personas podría traducirse en 400 millones de euros en daños. Este artículo analiza en profundidad el impacto de estas acciones colectivas, los desafíos para su implementación en Europa, las barreras en países como Irlanda y las implicaciones para Big Tech en un contexto de creciente escrutinio regulatorio.
La Directiva de Acciones de Representación Colectiva, aprobada en 2020, responde a la necesidad de armonizar los mecanismos de reparación colectiva en la UE, donde, según Florence Danis, abogada de Linklaters, las vías legales para acciones grupales eran previamente «bastante dispares» entre los Estados miembros. Países como Países Bajos y Bélgica cuentan con una tradición consolidada de acciones colectivas, mientras que en otros, como Irlanda, las opciones legales eran limitadas o inexistentes. La directiva establece que solo organizaciones sin ánimo de lucro, independientes y centradas en los consumidores, pueden iniciar estas acciones, incorporando salvaguardas para evitar litigios abusivos, un problema asociado al sistema de class actions estadounidense. En el ámbito de la privacidad, el RGPD se presta particularmente a estas acciones, ya que, como señala Ursula Pachl, de Noyb, «probablemente todos en Europa sufren el mismo comportamiento ilegal si una gran empresa tecnológica incumple el RGPD». Esta universalidad de los daños permite a los activistas agrupar a miles o millones de usuarios afectados por una misma infracción, transformando violaciones individuales en demandas colectivas de gran envergadura. La combinación de la directiva y el RGPD crea un entorno propicio para que las organizaciones de defensa de los derechos digitales, como SOMI, que ha iniciado acciones contra TikTok y Meta, o Noyb, que prepara una demanda contra la agencia de calificación crediticia CRIF, exijan compensaciones significativas.
Un caso emblemático que ilustra el potencial de estas acciones es el de Thomas Bindl, resuelto por el Tribunal General de la Unión Europea en enero de 2025. Bindl demandó a la Comisión Europea por la incertidumbre generada al hacer clic en un enlace de «Iniciar sesión con Facebook» en una de sus páginas web, lo que resultó en un manejo potencialmente indebido de sus datos personales. El tribunal le otorgó 400 euros en daños, un monto que, según Guillaume Couneson, abogado de Linklaters, sorprendió por su magnitud y generó preocupación en las empresas tecnológicas debido al «efecto multiplicador» que podría tener en acciones colectivas. Si un millón de personas reclamaran 400 euros cada una, las empresas enfrentarían demandas por 400 millones de euros, una cifra que podría escalar rápidamente en el caso de gigantes tecnológicos con millones de usuarios en Europa. Este precedente judicial, junto con la capacidad de las organizaciones no gubernamentales para movilizar a los consumidores, representa una amenaza financiera significativa para Big Tech, especialmente en un continente donde el escrutinio regulatorio es mucho más riguroso que en Estados Unidos. A diferencia del sistema estadounidense, donde las class actions a menudo son impulsadas por abogados oportunistas que buscan una parte de las ganancias, la directiva europea limita estas acciones a entidades sin ánimo de lucro, lo que reduce el riesgo de litigios frívolos, pero no elimina los desafíos financieros para los demandantes.
La aplicación del RGPD, diseñada para ser ejecutada por las autoridades nacionales de protección de datos, ha enfrentado críticas por su lentitud y falta de uniformidad, particularmente en Irlanda, donde se concentran las sedes europeas de muchas grandes tecnológicas. El principio del «one-stop shop» del RGPD otorga a la Comisión de Protección de Datos de Irlanda (en adelante, DPC) la responsabilidad de supervisar a empresas como Meta y TikTok, lo que ha resultado en multas récord, como los 1.200 millones de euros impuestos a Meta por transferencias de datos a EE. UU. y los 530 millones contra TikTok por transferencias a China. Sin embargo, la DPC ha sido criticada por su percepción de inacción o lenidad, con un informe del Consejo Irlandés para las Libertades Civiles de 2023, indicando que el 67% de sus investigaciones a nivel europeo fueron anuladas por otras autoridades que exigían medidas más estrictas. Esta frustración ha impulsado a grupos como Noyb a recurrir a las acciones colectivas como una vía alternativa para presionar a las empresas tecnológicas, complementando las multas administrativas con demandas de compensación directa para los usuarios afectados. La capacidad de las acciones colectivas para «surgir como setas» tras una infracción confirmada por una autoridad de protección de datos, como señala Couneson, amplifica su impacto potencial.
Irlanda, a pesar de ser un foro natural para estas acciones debido a la presencia de las sedes de Big Tech, presenta barreras significativas. Las leyes irlandesas, algunas de las cuales datan del siglo XIV y fueron reafirmadas por la Corte Suprema en 2017, prohíben la financiación de terceros para acciones colectivas, y la implementación de la directiva limita las contribuciones de los consumidores a 25 euros por persona. Estas restricciones, según Pachl, infringen la obligación de los Estados miembros de garantizar que las limitaciones financieras no obstaculicen estas demandas, un problema que Noyb ha elevado a la Comisión Europea.
No obstante, la directiva permite a los demandantes elegir tribunales en otros países, como Francia, para representar a consumidores de diferentes Estados miembros, lo que podría sortear las limitaciones irlandesas. Esta flexibilidad jurisdiccional amplía las oportunidades para las acciones colectivas, pero también plantea desafíos logísticos y financieros, ya que las organizaciones sin ánimo de lucro deben asumir los costos de litigar en múltiples países. Karen Shin, abogada de Blank Rome, señala que el sistema europeo, donde la parte perdedora paga los costos legales, podría desincentivar a las organizaciones a iniciar casos sin una alta probabilidad de éxito.
Las implicaciones de este auge de las acciones colectivas son profundas para Big Tech y el panorama regulatorio europeo. A diferencia de las multas del RGPD, que se destinan a los Estados, las compensaciones de las acciones colectivas benefician directamente a los consumidores, lo que podría incentivar una mayor participación ciudadana en la defensa de sus derechos de privacidad. Sin embargo, el éxito de estas acciones depende de la capacidad de las organizaciones no gubernamentales para superar barreras financieras y legales, así como de la armonización de los sistemas judiciales nacionales. La preocupación de las empresas tecnológicas radica no solo en las cuantiosas sumas que podrían enfrentar, sino también en la presión para mejorar sus prácticas de manejo de datos ante un escrutinio cada vez más intenso.
El caso de Bindl, aunque modesto en su alcance individual, ha establecido un estándar que podría transformar las violaciones de privacidad en un riesgo financiero significativo, especialmente en un contexto donde los usuarios europeos están cada vez más conscientes de sus derechos. En última instancia, el amanecer de las acciones colectivas por datos personales en Europa no solo refuerza la protección de los consumidores, sino que también desafía a Big Tech a operar con mayor transparencia y responsabilidad en un mercado que ya no tolera infracciones sin consecuencias».