TikTok y el teatro Kabuki de las transferencias internacionales de datos

 

 

Lo llaman “sesgo del coste hundido”: como ya perdí medio fin de semana en estudiarme la sanción de la DPC a TikTok en su día, no podía no hacer lo mismo con la sentencia de la semana pasada que la revisó.

 

(By the way, es vergonzoso decir esto, pero se entienden mucho mejor las sentencias británicas y norteamericanas en inglés, que las españolas en legalés).

Empezando por el final: el Irish juez Rory Mulcahy ratificó la sancionzaca de 530 millones de euros a TikTok, pero anuló las medidas adicionales: principalmente la suspensión de transferencia internacionales, devolviéndola a la DPC, para que vuelva a pronunciarse. Al final del post explico exactamente sobre qué.

 

1. ¿Por qué?

 

Sustancialmente, al resolver en (muy) distinto sentido la alegación fundamental de TikTok, que era la misma: invertir la carga de la prueba (que /debía probar la DPC, no TikTok)

(i) el incumplimiento de la regulación de transferencias internacionales y

(ii) la efectiva capacidad de la matriz china para identificar a los interesados desde China (el personal de soporte IT accedía desde China a los datos alojados en Singapur).

De esta forma, se han fundido en una sola, dos de mis principales obsesiones majaras de los últimos años: las transferencias internacionales y la doctrina SRB / Scania.

 

 

2. ¿De dónde venimos?

 

Digámoslo sin ambages, que no es la primera vez:

Todas las empresas incumplen la regulación de transferencias internacionales del RGPD cuando exportan datos a un tercer Estado que no ha sido “declarado adecuado”.

 

 

3.  ¿Por qué?

 

Dos razones

Primera: Porque el estándar normativo de equivalencia exigido es materialmente imposible de cumplir.

Y no porque las empresas no hayan echado horas generando papel: el problema está en un doble factor lejos, muy lejos de su control:

a.- Por una parte, la legislación y prácticas de las autoridades del país importador son las que son -es decir, simplemente no cumplen el estándar de protección “esencialmente equivalente” europeo- y nunca ninguna estipulación entre privados ha compensado eso.

Por el amor de Dios, ¿Acaso cumplen ese estándar los estados “declarados adecuados” como UK, Canadá o Argentina? (No me mencionen a EEUU o Israel, que me da la risa).

La regla se cumple incluso dentro de Europa: se pueden encontrar casos en la propia jurisprudencia del Tribunal Europeo de Derechos Humanos en los que un estado miembro de la UE ha espiado a ciudadanos de otro.

b.- Este déficit estructural y ubicuo simplemente no puede ser compensado efectivamente por cláusulas contractuales (ni cláusulas corporativas vinculantes) ni por medidas organizativas ordinarias.

Esto lo conté en forma de cuentos: Hay un “guisante” de carácter público que ni todos los colchones privados del mundo pueden cubrir ni compensar.

 

Segunda.-  Porque el estándar de verificación de la legislación y prácticas impuesto por el EDPB no deja más opciones de cumplimiento que el cifrado duro (ilegible desde la orilla del importador), sin oportunidad para el risk based approach o consideraciones sobre cada flujo de exportación específico de datos.

 

4. Entonces ¿Pasamos de todo y que “viva el vino”?

 

La conclusión de todo esto no es, no puede ser “pues que viva el vino”.

Espóiler: esta ha sido la conclusión dominante hasta la fecha.

El vino, o alguna de sus variantes abstemias: la “crónica ausencia de TIAs” (reconozcámoslo: son muy complicadas de hacer) o las “clónicas TIAs carentes de matiz” y sin análisis normativo que las soporten han sido la tónica habitual. En el mejor de los casos.

Dicho esto, el vino no es una opción tan loca si tenemos en cuenta el precio que cobran los despachos internacionales por hacer el análisis normativo de cada país importador, que es el soporte clave para la TIA.

Y el resultado: sus TIAs son como trucos de mago chungo: literalmente siempre el mismo conejo con distinto collar.

Es obvio hoy que esta opción (la llamaremos la “opción Cardhu”) se consigue hoy mucho más rápido y por mucho menos con la ayuda de IA.

 

 

5. ¿Qué ha cambiado? Ya llegamos, ya llegamos a lo de TikTok

 

Afortunadamente, ya vamos teniendo resoluciones judiciales sobre el tema, no sólo de autoridades de cumplimiento.

Ya tenemos nociones mucho más claras de “lo que no funciona” y de “lo que funciona”.

 

Hay dos cosas distintas aquí:

a.- La empresa exportadora (o importadora) poco pueden hacer si el Estado importador no ofrece un marco adecuado, como hemos visto.

b.- Pero ¡amigo! la accountability no desaparece (como argumenta espectacularmente el juez Rory Mulcahy en su sentencia.

 

Aunque la empresa no pueda arreglar la legislación extranjera, sí debe analizar si esa legislación aplica realmente a su flujo concreto, si existe posibilidad de acceso, qué actores pueden acceder, para qué fines… y determinar y aplicar las medidas pertinentes en su mano para reducir el riesgo.

TikTok se agarró con manos y pies al risk based approach y alegó ante la DPC y ante la autoridad judicial que le correspondía hacer a la DPC lo que ella misma no hizo: realizar un assessment que acreditara la existencia de riesgo en general, y en particular en su flujo de datos.

La carta de la “inversión de la carga de la prueba” no funciona en este caso porque -y así lo dice el juez literalmente-, el riesgo se asesora a priori, y TikTok hizo un pobre trabajo en este sentido.

TikTok no abordó adecuadamente el riesgo de que el procesamiento ocurra físicamente en ordenadores dentro de China, lo que sitúa esa actividad bajo la soberanía y jurisdicción directa de sus autoridades.

Esta es la bofetada que volvió a recibir TikTok en plena cara: por simple accountability, no puedes pretender que la DPC haga el trabajo que tú no hiciste correctamente en su momento.

 

6. Ratificación judicial de la sanción.

 

La DPC en la sanción impugnada despachó para siempre lo de las TIAs complacientes y las “medidas adicionales” de pega.

TikTok tenía SCCs, tenía informes jurídicos, cifrado, medidas técnicas y organizativas avanzadas (el “Project Clover”), y todo eso no bastó porque el problema real era el acceso remoto desde China por personal situado en China a datos de usuarios europeos almacenados fuera de China.

 

7. Medidas adicionales

 

Ante el tribunal, TikTok ha conseguido revertir, no la sanción, pero sí las medidas adicionales impuestas (la suspensión de las transferencias de datos, que no es poco) esgrimiendo fundamentalmente dos argumentos:

 

1.- El principio de territorialidad (si los datos están fuera de China, el gobierno chino no tiene jurisdicción legal para exigirlos). Esto ya fue alegado in extenso ante la DPC, y seguramente será desestimado de nuevo.

Lo que el órgano judicial impone la evaluación de un (¡tercer!) informe aportado por TikTok que la DPC se negó a considerar, por extemporáneo.

 

2.- Falta de motivación sobre el “Proyecto Clover”: TikTok implementó un conjunto de medidas técnicas y de gobernanza (Proyecto Clover), incluyendo seudonimización avanzada y el uso de un tercero independiente (NCC Group) para auditar los flujos de datos. La DPC rechazó estas medidas, pero no proporcionó argumentos técnicos ni legales sobre por qué consideraba que la seudonimización era ineficaz para prevenir una eventual reidentificación de los usuarios por parte del Estado chino.

De facto, el Tribunal irlandés ha impuesto una inversión de la carga de la prueba en términos del test de identificabilidad sobre la DPC.

Este, este es el tuit. Lo desarrollamos más abajo.

 

En el caso TikTok, pues, se dan la mano dos de mis temas favoritos: la doctrina SRB / Scania y las transferencias internacionales de datos.

Pero es domingo cuando escribo esto y ya apetece cañufla.

Podemos hacer un balance ejecutivo y útil para quien haya estado (o ejem, siga) en la opción vino, le dé pereza la opción Cardhu y however tenga curro por hacer en sus flujos internacionales.

 

8. Lo que no funciona:

 

• Nunca han funcionado las pataletas (los argumentos que pretenden justificar en la imposibilidad material de cumplimiento, su cumplimiento meramente formal o ni eso “porque es lo único que se puede hacer”). Todos hemos estado ahí alguna vez.
• No funciona invocar las SCCs como si fueran agua milagrosa o un sortilegio de Harry Potter.
• No funciona esconder el riesgo decisivo -el acceso remoto a datos “en claro”, sin cifrar- tras fórmulas ambiguas sobre dónde “se almacenan” los datos o lo poco que dura el acceso rollo “es efímero”.
• No funciona alegar cifrado cuando el proveedor necesita impepinablemente descifrar para operar.
• No funciona ampararse en consentimientos abiertos o únicos del interesado para transferencias continuas y recurrentes.
• Y, en general, no funciona la idea de que basta con que la reidentificación, el acceso o la comunicación estén “prohibidos” en abstracto si en el mundo real siguen siendo materialmente posibles: es una lógica compartida con la doctrina Scania y seudonimización: la prohibición legal no puede eliminar por sí sola el riesgo real ni permite ignorarlo.

 

9. Lo que funciona

 

Así las cosas, sí funcionan para mitigar la sanción determinados argumentos, pero en un sentido limitado.

 

• Tatúense esto: El mayor riesgo no es tener una TIA insuficiente(una TIA por definición es insuficiente, como hemos repetido catorce veces antes), sino no tener ninguna TIA.
• Funciona el risk based approach. El juez dice “I do not rule out the possibility that a supervising authority might nonetheless conclude that there is, in fact, no meaningful risk”. Ese es el espíritu.
• Funciona la acreditación de diligencia real versus teatro kabuki del cumplimiento: haber hecho una TIA seria, haber identificado correctamente el flujo de datos, haber descrito con precisión el acceso remoto, haber actualizado la información facilitada al interesado, haber reducido el perímetro de datos, haber implementado medidas técnicas eficientes frente a riesgos concretos.
• También funciona la adaptación y mejora (aun durante el expediente sancionador) en términos de transparencia, como ocurrió con la lega-legalización de la política de privacidad, que la DPC tuvo en cuenta para modular la sanción en ese punto.
• En otras palabras, estos argumentos no “legalizan” lo que estructuralmente no puede legalizarse, pero sí acreditan menor culpabilidad, mayor diligencia y actitud de cumplimiento.
• Llegados a este punto en el que sé que sólo cuento con el 10% de los que empezaron a leer, puedo decir en “petit comité”: no funciona, -nunca funciona- tomar a los ímprobos funcionarios de las autoridades de control por gilipollas.

 

10. El cambio de jurisprudencia

 

Comentábamos que la sentencia ratificó la sanción, pero dejó sin efecto la obligación adicional de suspender las transferencias internacionales de datos de ByteDance (TikTok) a China.

Al hacer esto, devolvió a la DPC el asunto para que hiciera un mejor trabajo y, esta vez, sí, se pronunciara sobre si entendía que había posibilidad efectiva de reidentificación de interesados por parte de las personas que accedían a los datos de los interesados desde China (de facto: los empleados de IT, potencialmente, las autoridades chinas).

Y si entendía esto, que clarificara por qué.

Hete aquí la cuestión.

 

11.  El plot-twist que nadie ha pillado

 

La conclusión habitual que he leído sobre la sentencia irlandesa es: “la DPC tiene que motivar mejor sus decisiones”.

Cierto. Trivial. Siguiente pregunta.

Pero lo importante es qué hizo que TikTok ganase en el tribunal lo que perdió ante la DPC.

Y no fue una TIA más espesa, ni más SCCs. No fue un dictamen jurídico de despacho americano con doce socios de gris marengo en el membrete.

Fueron dos assessments independientes: el Mittal Report y el informe del NCC Group. Documentos que ponían encima de la mesa, con metodología verificable, que la seudonimización del Project Clover hacía operativamente inviable la reidentificación desde China de usuarios europeos.

La DPC los descartó olímpicamente, no los rebatió con fundamento. Ese fue su error.

Y esto no es una sentencia irlandesa rara y aislada. Es una corriente:

La sentencia irlandesa no es un hecho aislado: en los últimos meses hemos detectado otros tres antecedentes judiciales en Tribunales supremos de dos países que aplican exactamente lo mismo.

 

• El Consejo de Estado francés en Criteo (marzo 2026).
• El Consejo de Estado francés en IQVIA (mayo 2026).
• El Tribunal Supremo español (marzo 2026, STS 1215/2026).
• Y ahora la High Court irlandesa en TikTok (junio 2026).

 

¡Cuatro!

El contexto es el que es: en el plano administrativo, las autoridades de cumplimiento no saben muy bien qué hacer con la doctrina SRB / Scania.

Los tribunales, en cambio, la están aplicando con toda naturalidad. Y, elocuentemente, están haciendo aplicarla a las autoridades, allí donde la información que llega a la sede judicial no les permite hacerlo a ellos.

 

 

12.  La pata técnica

 

Estas sentencias apuntan en la misma dirección: la identificabilidad no es, no puede ser una mera presunción administrativa: es debate sobre los hechos.

Al responsable le corresponde hacer el estudio casuístico, el informe normativo del país destinatario, la TIA, etc…

… y a la autoridad de turno le corresponde argumentar sólidamente por qué considera que las medidas documentadas son o no suficientes.

El parágrafo 461 de la sentencia irlandesa es lapidario: la pregunta correcta no es si el responsable ha demostrado que los interesados no pueden ser identificados — eso es probatio diabólica: los hechos negativos no se pueden probar.

 

 

La pregunta correcta es si efectivamente, de hecho y en el caso concreto, pueden ser identificados por el destinatario o por las autoridades del Estado importador con los medios razonablemente disponibles.

Y “efectivamente”, “de hecho“ significa: testing técnico, métricas de reidentificación, perímetro real del dato accesible, capacidades reales del importador.

Tiro piedras contra mi propio tejado: lo que mueve la aguja en una transferencia internacional no es la documentación jurídica. Son las PETs: la seudonimización efectiva, el cifrado, la separación de claves, la minimización real del dato exportado.

 

13. La verdad incómoda

 

Más piedras contra mi tejado:

Casi todas las TIAs del mercado — las mías, las del despacho americano de los doce socios inmaculados, las de la boutique londinense — comparten estructura, fuentes y, francamente, la misma canción: “el flujo concreto de datos no es plausiblemente de interés para las autoridades del Estado importador”.

Se nos ocurrió a todos ya en 2020, y ahí seguimos.

Lo que cambia entre una TIA y otra es, en buena medida, el precio.

Y el precio de un set de TIAs “Cardhu versión” se come el presupuesto entero asignado al cumplimiento del capítulo V del RGPD.

¿El problema? Que ese mismo presupuesto, gastado en su totalidad en papel, deja a cero la partida de medidas técnicas. Y las medidas técnicas, según la jurisprudencia citada, son precisamente lo que te puede salvar el partido.

Recuerden: la grandeza de la aplicación de la doctrina SRB / Scania (bien entendida) es que si consigues el objetivo, evitas la aplicación del RGPD. Pero aunque te quedes cerca, siempre mitigas la responsabilidad, porque la seudonimización siempre protege al interesado.

 

 

14.  This is the way

 

Mi consejo honesto a clientes con transferencias internacionales en 2026 es relativamente simple, y va contra mi propio interés comercial:

Ahorra en documentación jurídica. Invierte en seudonimización.

La parte más exigente de la TIA— el análisis normativo del país importador, mapeo del marco de acceso por autoridades públicas, derecho comparado — es exactamente la parte que la IA hace bien si la pilota un jurista con criterio.

Calvo, a ser posible.

La revisión, contextualización al flujo concreto del cliente y valoración contextual de la identificabilidad exige mano humana, pero es una fracción del trabajo.

El resultado: una TIA solvente, defendible y específica del cliente, a una fracción del coste tradicional.

Y presupuesto liberado para medidas técnicas reales de seudonimización, cifrado y minimización del dato exportado. Y su documentación.

Ya se pueden imaginar cómo va a terminar esto:

 

La inevitable promosió

 

Llevo años haciendo TIAs, y las que he hecho han funcionado.

Defendí a una multinacional frente a una denuncia presentada por el equipo de Max Schrems precisamente en esta materia, y la AEPD archivó sin sanción.

Esto no es marketing, bitch; es hemeroteca.

Hoy hago esas mismas TIAs con un workflow basado en IA y revisión manual experta que reduce sustancialmente el tiempo y el coste, con calidad equiparable a la de los doce socios americanos.

Si tu empresa tiene transferencias internacionales y la última factura de TIA que viste se acerca peligrosamente al presupuesto que deberías estar gastando en seudonimización, contáctanos.

 

Jorge García Herrero

Abogado y Delegado de Protección de Datos.