La regla del RGPD sobre "datos de categoria especial": por que afecta a un directorio de anuncios para adultos incluso sin oficina en Europa

La multa que no trataba de un ataque informatico

En diciembre de 2021, la autoridad noruega de proteccion de datos multo a Grindr LLC con 65 millones de coronas. Nadie habia entrado en los servidores de Grindr. Ninguna base de datos se habia filtrado. La empresa habia hecho lo que hacen, sin pensarlo dos veces, la mayoria de los sitios con inicio de sesion y presupuesto publicitario: compartio identificadores con socios publicitarios para poder gestionar anuncios dirigidos y medir si funcionaban. Es exactamente la misma tuberia que hay detras de un Meta Pixel o una etiqueta de conversion de Google Ads en miles de sitios web corrientes.

La defensa de Grindr fue que nada de eso revelaba realmente la orientacion sexual de nadie. Un usuario podia elegir un apodo, saltarse la foto y no compartir nada explicito sobre quien era. El regulador no acepto ese argumento. Sostuvo que ser un usuario conocido de una aplicacion construida en torno a una minoria sexual especifica "indica fuertemente, y parece reflejar con precision en la mayoria de los casos", que la persona pertenece a esa minoria, haya escrito una palabra al respecto o no. La multa se mantuvo en apelacion, y un tribunal noruego volvio a confirmarla en 2025.

El razonamiento importa mas que la cifra. Un operador de clasificados que lee sobre este caso suele archivarlo como "eso es un problema de las apps de citas, nosotros vendemos anuncios". Pero la prueba legal que aplico el regulador no tenia que ver con como se llamaba la aplicacion de Grindr. Tenia que ver con lo que una persona razonable podia deducir a partir de los datos, y esa prueba no se detiene en la puerta de una app de citas. Un directorio construido en torno a anuncios personales para adultos produce exactamente el mismo tipo de dato: una cuenta en ese tipo de plataforma, navegando por una categoria concreta, contactando con un tipo especifico de anuncio. Nada de eso requiere una sola palabra explicita para decirle a un tercero algo intimo sobre la persona que hay detras.

Esta es la pieza que se le escapa a un operador centrado en contracargos, verificacion de edad y moderacion de contenido, todos ellos riesgos reales e inmediatos. El derecho de proteccion de datos es una via completamente distinta, con su propio regulador, sus propias multas, y una prueba legal construida exactamente para este tipo de plataforma, aunque se redacto sin pensar en ningun sitio para adultos.

Por que cuenta incluso cuando nadie lo dice en voz alta

El derecho europeo tiene un nombre para los datos que permiten deducir un hecho sensible sin que se declare directamente: inferencia. En agosto de 2022, el Tribunal de Justicia de la Union Europea fallo sobre un caso que no tenia nada que ver con contenido para adultos. Un funcionario publico lituano estaba obligado a declarar, entre otras cosas, el nombre de su pareja, y esa declaracion se publico en internet. El tribunal sostuvo que nombrar a una pareja del mismo sexo, sin una sola palabra sobre orientacion, seguia contando como tratamiento de datos sobre orientacion sexual, porque un lector podia llegar a esa conclusion mediante lo que el tribunal llamo una operacion intelectual de comparacion o deduccion.

Esa prueba viaja mucho mas alla de un funcionario lituano. La pregunta nunca es "dijo la plataforma que esta persona es gay, heterosexual, o cualquier otra cosa". La pregunta es si un dato, combinado con un razonamiento ordinario, permite a un lector llegar a esa conclusion. Una categoria de anuncio, un campo de "busco", una descripcion de servicio, o simplemente una cuenta activa en una plataforma organizada en torno a un tipo especifico de anuncio personal pueden superar ese umbral por si solos, sin ninguna etiqueta explicita adjunta.

Segun el RGPD, en cuanto un dato supera ese umbral, deja de ser un dato personal ordinario y pasa a ser lo que el reglamento llama una categoria especial, el termino del articulo 9 para el mismo grupo que incluye los historiales medicos, las creencias religiosas y la afiliacion sindical. No es una etiqueta menor. El articulo 9 comienza prohibiendo por completo el tratamiento de este tipo de datos, y solo levanta esa prohibicion para una lista breve y cerrada de situaciones especificas. Los datos personales ordinarios, en cambio, solo necesitan una de varias bases juridicas habituales, y esa brecha entre los dos regimenes es exactamente donde se encuentra hoy, sin saberlo, la mayoria de los sitios de clasificados.

El efecto practico es que un campo construido solo para busqueda y filtrado, que permite a un visitante acotar los anuncios por categoria o preferencia, esta cumpliendo en silencio una doble funcion. Ayuda a un visitante a encontrar lo que busca, y tambien es exactamente el tipo de dato que un regulador senalaria como prueba de que la plataforma trata categorias especiales de datos tanto del visitante como de la persona anunciada. Quitar la etiqueta que un usuario podria escribir no basta para librarse de la regla; la prueba del TJUE se basa en lo que se puede deducir, no en lo que se declaro.

Por que "no tenemos oficina en Europa" no ayuda

La reaccion mas comun ante todo esto, por parte de un operador con sede lejos de Bruselas, es que los reguladores europeos no tienen alcance aqui. Esa reaccion es incorrecta, y el RGPD es explicito sobre el porque. El articulo 3(2) aplica el reglamento a cualquier empresa, este donde este, en cuanto ofrece bienes o servicios a personas ubicadas en la UE, sin importar si alguna de ellas paga por algo, o en cuanto monitoriza el comportamiento de personas ubicadas en la UE. Ninguno de los dos supuestos requiere una entidad europea, una cuenta bancaria europea o un empleado europeo.

Las directrices que usan los reguladores para aplicar ese articulo si dicen que un sitio web que simplemente carga para un visitante en Alemania no basta, por si solo, para activarlo. Lo que inclina la balanza es la evidencia de que la empresa esta realmente dirigiendose a personas en la UE: precios mostrados en euros, marketing dirigido a una audiencia europea, o, muy concretamente, ofrecer el propio sitio en idiomas europeos. Una plataforma de clasificados que ya ofrece paginas en frances, aleman, italiano, espanol y portugues para atraer exactamente a esos visitantes esta cerca del ejemplo de manual que usan los reguladores para explicar cuando se aplica la regla.

Esto no es motivo para eliminar cada idioma europeo o bloquear geograficamente a los visitantes de la UE, lo cual cambiaria un problema de cumplimiento por otro mucho mayor a nivel de negocio. Es motivo para dejar de tratar "no estamos registrados en Europa" como una respuesta a una pregunta de proteccion de datos. La obligacion se vincula al tratamiento de datos sobre personas en la UE, no al lugar donde este constituida la empresa que creo la plataforma. Un negocio que ya invierte tiempo y dinero en traducir su sitio para llegar a visitantes europeos ya ha hecho lo que los reguladores buscan como prueba de que queria alcanzarlos.

La infraestructura publicitaria que se rompe en silencio

La mayoria de los sitios gestionan todo su cumplimiento de privacidad a traves de un solo mecanismo: un banner de cookies que ofrece aceptar o rechazar el rastreo no esencial, a veces con un interruptor para el "interes legitimo". Ese banner se diseno para datos personales ordinarios, donde una empresa realmente puede apoyarse en una base juridica general como el interes legitimo para gestionar analitica o servir anuncios sin pedir nada mas especifico. Los datos de categoria especial no funcionan asi. El articulo 9(2) tiene su propia lista separada y cerrada de condiciones que pueden levantar la prohibicion general, y el interes legitimo no esta en ella. Una plataforma necesita una base normal del articulo 6 y, ademas, una condicion separada del articulo 9(2), y saltarse la segunda es precisamente la brecha que el regulador noruego encontro en la configuracion de Grindr.

La condicion que encaja con una plataforma comercial es el consentimiento explicito, y el consentimiento explicito es un umbral materialmente mas alto que el consentimiento ordinario que suele recoger un banner de cookies. Tiene que ser una declaracion clara, especifica y afirmativa sobre el tipo particular de dato que se comparte, y no puede satisfacerse metiendo una linea sobre "compartir datos con socios publicitarios" dentro de una politica de privacidad general que un visitante acepta simplemente al seguir navegando. Los reguladores han sido directos al respecto: el consentimiento para este tipo de tratamiento tiene que sostenerse por si solo, separado del resto de los terminos que un usuario acepta, nombrando que se recoge y quien lo recibe.

Esto recae exactamente sobre las dos herramientas a las que recurren primero la mayoria de los operadores de clasificados: un Meta Pixel y una etiqueta de conversion de Google Ads, ambas disenadas para decirle a una plataforma publicitaria que visitante hizo que, en que pagina, para que los anuncios puedan dirigirse y medirse. En un sitio de mercancia general, eso es un rastreo poco notable. En un sitio organizado en torno a una categoria especifica de anuncio personal, la misma senal le dice a la plataforma receptora que un visitante concreto esta navegando por esa categoria, funcionalmente la misma divulgacion que le costo la multa a Grindr, solo que pasando por la tuberia de otro proveedor. Esta es una segunda razon, independiente, ademas de la dificultad de siquiera abrir una cuenta publicitaria con Google o Meta para esta categoria, para construir trafico a traves de canales que nunca reciben este tipo de senal.

Nada de esto significa que un operador tenga que gestionar el sitio sin ninguna analitica. Significa que el flujo de consentimiento para una plataforma de esta categoria no puede ser el mismo banner de un clic construido para una libreria. El paso de aceptacion explicita, especifico y sin agrupar tiene que suceder, y tiene que suceder antes de que se active cualquier script capaz de enviar senales a nivel de categoria a un tercero, no despues.

La trampa del "pero ya es publico"

Un argumento especifico surge a menudo una vez que un operador entiende el resto de esto: los anuncios del sitio son publicos de todas formas, visibles para cualquiera que cargue la pagina, asi que como puede haber un problema de proteccion especial. El RGPD si tiene una excepcion que suena como que encaja: el articulo 9(2)(e) levanta la prohibicion general para datos que el propio interesado ha hecho manifiestamente publicos. Suena como un encaje natural para un directorio de anuncios publicos.

Es tambien el argumento exacto que Grindr utilizo y perdio. La empresa senalo que un perfil solo se volvia visible para otros usuarios de la aplicacion, presentando esa visibilidad como la propia eleccion del usuario de hacer publica la informacion. El regulador lo rechazo, sosteniendo que la excepcion exige un acto deliberado y especifico de la propia persona para hacer publico precisamente ese dato, no la decision de la plataforma de mostrar los datos de la cuenta a quien vea una pagina. Incluso un anuncio totalmente publico, sin ninguna barrera de acceso, no supera automaticamente ese umbral, porque la pregunta que plantea la excepcion es sobre la propia intencion de quien publica de hacer publico ese hecho concreto, no sobre quien acaba viendo la pagina despues.

Una casilla marcada al registrarse, enterrada en un formulario de inscripcion, que diga que un perfil "sera visible en la plataforma", no es lo mismo que un acto deliberado e informado para hacer publico un hecho sensible especifico. Los reguladores han sido consistentes al interpretar esta excepcion de forma restrictiva, y un operador que construye un argumento de cumplimiento sobre ella se esta apoyando en la unica condicion que ya se puso a prueba contra un patron de hechos casi identico, y que no se sostuvo.

Que hacer de verdad este trimestre

El punto de partida no es una herramienta nueva, es un documento: una Evaluacion de Impacto relativa a la Proteccion de Datos. El articulo 35(3)(b) la hace obligatoria antes del tratamiento a gran escala de datos de categoria especial, no una buena practica opcional, y una plataforma con un volumen relevante de anuncios organizados en torno a inserciones personales entra de lleno en ese requisito en cuanto tiene trafico real de la UE. Encargar esta evaluacion, incluso una modesta hecha correctamente, produce el rastro documental que le muestra a un regulador que el negocio se tomo el asunto en serio antes de que se lo preguntaran, el factor individual mas importante en como se gestiona una primera reclamacion.

Despues viene un inventario, no un rediseno: cada script que se activa antes de que un visitante haga alguna eleccion, cada pixel, cada etiqueta de analitica, cada herramienta de mapa de calor o grabacion de sesion. El objetivo es saber, especificamente, cuales de ellos reciben una senal que revela que categoria de contenido esta viendo un visitante, porque es exactamente el mismo tipo de dato del que trata todo este articulo. Los documentos ya recogidos para la verificacion de identidad conllevan una version paralela de esta misma exposicion, y el mismo instinto, saber exactamente que se conserva y quien puede acceder a ello, se aplica a ambos.

El consentimiento necesita su propio paso, separado de la casilla de terminos y condiciones, que nombre claramente que categorias de datos se comparten y con que empresas concretas, recogido mediante una accion afirmativa y no asumido por seguir navegando. Es mas friccion en el registro, y tambien es la unica version del consentimiento que sobrevive al estandar que un regulador aplicara realmente si llega una reclamacion.

La ultima pieza es la mas sencilla de enunciar y la mas dificil de renunciar: minimizar lo que sale de la plataforma. Una etiqueta que nunca recibe senales a nivel de categoria sobre un visitante no puede convertirse en prueba en un caso como el de Grindr, sin importar como este construido el resto del programa de cumplimiento. La integracion mas segura con cualquier proveedor de publicidad o analitica es aquella a la que nunca se le dio, para empezar, la senal sensible.

Tratar esto de la misma manera en que una cuenta de pagos o un contrato de hosting ya han ensenado a la mayoria de los operadores a tratar una exposicion de alto riesgo: resolver la respuesta antes de que un regulador haga la pregunta, no despues. Los negocios que salen intactos de una primera reclamacion de proteccion de datos son los que ya pueden mostrar una evaluacion de impacto archivada, un flujo de consentimiento construido para esta categoria especifica de datos, y una respuesta documentada sobre que sale exactamente de la plataforma y adonde va.