Las aguas del Mar de China siempre fueron peligrosas, pero aquí podemos tener elementos de futura valoración de las TIAs y salvaguardas adicionales que se ponen como velas al Dios de las Transferencias para no encallar el barco en cosas de las DPAs. Este post empezó como versión en LinkedIn a un par de días de la publicación de la resolución, y ahora lo puede disfrutar en forma de artículo en puerto seguro. Y puedes combarlo con otro maravilloso resumen de este TikTokazo en el último número de la ferpecta newsletter Zero Party Data: Comentario de la sancionzaca de la DPC a TikTok (530 millones).
Vamos al tema. Aquí tenemos a una empresa china, pero tampoco se puede descartar el proveedor estadounidense con transferencia sucesiva a subproveedores chino. Y la intentona del proveedor chino de decir que los datos están almacenados en Singapur, Malasia (parecen el as en la manga de China para garantía formal) y Estados Unidos, pero sin comentar la del acceso remoto desde China. O la aquí tratada de que un sistema de nube implica impepinablemente el procesamiento temporal en local desde el dispositivo en el país en el que se accede.
En esta resolución es importante lo que se sanciona, pero también lo que se omite del objeto de investigación. Y el mantra que ya sabemos de que el mundo alberga horrores internacionales que no se pueden conjurar del todo. Y que todo entra mejor con un meme inicial.
1) Si alguien se pregunta si las autoridades hacen caso a esos dos informes que el EDPS encargó para el análisis de normativa de acceso de autoridades en China-Rusia e India (Mileu Report I), y Turquía y México (Mileu report ¿II?), pues aquí tiene la respuesta. Todos andamos igual de perdidos con los terceros países, pero aquí jugará como limitante el punto de que EDPB dice bien claro que no expresado aquí no lo dice el EDPB, ergo orientativo más que vinculante.
2) La sorprendente jugada de que la DPC asuma como fuente los informes que presente TikTok, frente al Mileu del EDPS. Va a ser un hacha de doble filo para TikTok, pero es buena jugada para salir del paso de autoridad que tiene que fallar con suficiente concreción de la legalidad china.
Y un segundo (y luego un tercer informe XU, e informe “Fang”) y primer informe de nuevo especialista en el que sale aquel Proyecto Clover con el que nos dieron tanto la turra. No fue casualidad esa publicidad masiva de mejora en materia de protección que saltaba hasta por Linkedin. Y que fueron en contestación al borrador preliminar de decisión.
La cazada de informe sin firmar por nadie.
3) Que podría haber sido peor ni no se hubiera dejado fuera la liada de que parte de los datos se almacenaban en China. Se limita el guantazo al acceso remoto desde China que se hacía de los datos en Singapur y Estados Unidos fuera de la propia China.
4) La que ya se sabe de que ir realizando cambios y mejoras en el procedimiento ayuda. Otra cosa es que aquí había algo gordo a nivel de megacorpo.
5) TikTok jugando al gato y ratón, vía diccionario, para justificar que la solución de nube del Grupo no es almacenamiento en China. Sí, pero procesamiento en local = consecuencia inevitable de cualquier solución de acceso remoto. Y recordatorio de que esto está fuera del objeto del guantazo. En España tuvimos la nuestra con la mítica de la empresa especializada en lingüística de dos cláusulas de La Caixa.
6) Recordatorio de los elementos nucleares post Schrems del tercer país para transferir (o acceder desde allí) datos personales. Lo nuclear de una TIA, aka las “European Essential Guarantees (EEG)” y las “Supplementary Measures Recommendations”.
7) Recordatorio del elemento nuclear de que la TIA es vital al no tener las SCCs la capacidad de obligar o limitar a las autoridades públicas del tercer país. Y que toca tenerla.
8) Cosas interesantes de la normativa china, vía “2º informe XU”. Suena a coladero si las autoridades chinas quieren, aunque en bonito de informe caro. Leyenda: “legislative jurisdiction” as the power of a State to legislate against persons, things, and conduct.; “adjudicative jurisdiction” as the power to subject persons, things, and conduct to judicial process; “enforcement jurisdiction” as compelled compliance in accordance with the law.
Tan bonito, que la irlandesa les tira a la cara que estos informes tan maravillosos no permiten demostrar que no aplique esta normativa a los empleados chinos de TikTok, ni que el límite de territorialidad chino nunca pueda llegar a los datos almacenados fuera.
9) Y ojo con la validez de expresiones típicas de informe caro de no nos constan problemas por China, y sólo centrarse en el punto de si las autoridades piden específicamente el acceso a los datos de europeos que estuvieran almacenados en servidores chino (la carta que querían jugar desde TikTok para defenderse).
10) La foto fija de muchas TIAs y países con normativa de acceso. Está regulado, pero no tanto como para que no haya indefiniciones o agujeros. O no se publica por tema de seguridad. Cambien China por casi cualquier tercer país al que se quiere llevar. A ver si en Brasil que entrará como país seguro no tardando, está clarísimo de la muerte. ¿y en el Israel seguro de Pegasus?
11) La irlandesa entre en modo ultrainstinto. No está diciendo nada que no venga recogido en el artículo 15.1.b de las SCCs de hacer lo posible para dispensa de hipotética prohibición + documentarlo. Ni tampoco nada ajeno a la normativa europea de no poder informar, al menos, hasta que se considere que no se ponen en riesgo x investigación.
12) Aquí la DPC tiene más razón que un santo. Lo de alegar cifrado en tránsito o de extremo a extremo no cuela si el importador tiene la clave y la prestación del servicio implica que no lo esté. Pocas garantías o medidas complementarias te van a comprar si parten de que no puede asegurar el no acceso de Winnie a la miel local y la pasa volando por allí.
13) La DPC yendo a la línea de flotación de que te salga en la TIA que hay riesgo bajo de que pase nada. Lo de “teórico o remoto” o “hipotético o muy improbable que se materialice”, empieza a contar si puedes garantizar y probar que el país tiene nivel de protección equivalente.
14) Basándose en las directrices del EDPB de las excepciones del artículo 49 (las mismas que decían que los elementos de “ocasional” y “no repetitiva” se debían tener en cuenta en el resto de supuestos, aunque el tenor literal parecía limitarlo al IL), se marca la irlandesa el punto de que un consentimiento único para transferencia continua Y/O para distintos “conjuntos” no es compatible con el deber de informar de los riesgos al interesado.
Ya se tenía que informar de los países concretos y los riesgos de cada uno, pero ojo con que el consentimiento nada para algo que no sea ocasional y no repetitivo.
Siguiendo la línea del EDPB, tal cual.
-En la nota a pie 47 de las directrices 5/2020 del consentimiento: “Téngase también en cuenta el Documento de trabajo relativo a una interpretación común del artículo 26, apartado 1, de la Directiva 95/46/CE, de 24 de octubre de 1995 (WP 114), p. 11, en el que el GT29 ha indicado que el consentimiento para la transferencia de datos que tiene lugar de manera periódica o permanente es inapropiado.”
-En esas mismas directrices de las excepcionales al art. 49: “Como demuestra el análisis anterior, el RGPD establece un umbral elevado para el uso de la excepción relativa al consentimiento. Este elevado umbral combinado con el hecho de que el consentimiento prestado por un interesado puede retirarse en cualquier momento, significa que el consentimiento podría no ser una solución viable a largo plazo para las transferencias a terceros.”
15) Tiene sentido el dar información concreta de si se accede desde otros terceros países a lo almacenado en un tercer país para dar información significativa al interesado, pero complica la trama.
16) La típica de a ver si la UE se queda sin TikTok con la suspensión. Y la típica de la DPA de la protección de datos es mas importante. No coló, así que suspensión y de arreglar el tema del acceso remoto. Y hasta aquí. A ver si empezamos a hacer resoluciones más concisas.
Actualización de estado en 2026: vuelta a la DPC
Habiéndose publicado este mismo junio del 2026 el fallo del tribunal irlandés que estaba conociendo el recurso de TikTok a la sanción, toca actualizado el presente artículo. Y dejar el final abierto para ver cómo acaba, aunque ANTES ya estaba abierto. No seria la primera vez que los tribunales le aguan la fiesta a una DPA.
-Aunque el tribunal inadmite los motivos de recurso de TikTok y confirma las infracciones impuestas, anula la acción correctiva de suspensión de transferencias y devuelve al DPC el tema para nueva valoración del fondo. Dejando claro que la DPC hizo bien en matizar y desdoblar conceptos. Por ejemplo, las de “datos a los que se accede remotamente” y “datos accesibles remotamente”.
-Llama la atención el argumento del recurso de que la DPC no cumplió con su obligación de investigación adecuada, por cuanto asumieron el análisis de la normativa china que aportaba TikTok. No muerdas la mano, no vaya a ser que fuera peor un análisis propio sobre China.
Aunque poco problema para el tribunal, ya que considera que la actuación de la DPC fue correcta en este punto.
-Sobre lo mollar: el Tribunal devuelve el tema la DPC, al constatar que no hizo correcta valoración del tercer informe Xu y de las medidas correctivas del Proyecto Clover implementadas. Sobre el informe XU, que, aunque llegó sobre la campana, argumenta queda claro por qué no se incorporó como tal. Le pesa a la DPC que se comunicara a TikTok que se tendría en cuenta todo lo que enviaran.
-Y sobre el proyecto Clover, que es la típica de implementar medidas durante el procedimiento para bajar la cuantía. No se gastaron poco en este tema
Que la propia suspensión no encaja bien con la proporcionalidad. Se declara ahora, pero aplica a hechos previos Clover del 2023. Y todo lo que rodea al tema: el no haber entrado de verdad a valorar si los elementos faltantes a los que alude el tribunal, se podrían haber considerar suficientes para no intentar la suspensión de transferencia.
-Como gran finale, el zapatazo a la DPC para que se moje sobre la seudonimización/doctrina SRB que se alude por el otro lado. Y haciendo un Marchena: la consideración experta de la DPC en este tema, pero…..
