El falso lío de la jurisdicción: la estrategia de las Big Tech para no rendir cuentas

La reciente decisión contra Meta y YouTube en California por las afectaciones a la salud mental de menores de edad derivadas del diseño adictivo que tienen sus plataformas plantea una pregunta relevante: ¿qué tan factible es que estas corporaciones respondan en el resto del mundo por este tipo de hechos? La respuesta no es sencilla. De hecho, de una región a otra varían las posibilidades de garantizar los derechos de los usuarios digitales.

Actualmente, los datos personales son mucho más que un insumo técnico para ayudar a mejorar los servicios digitales. La captura masiva de datos es el modelo de negocios de las grandes compañías, en especial las redes sociales, cuya poca regulación contrasta con su gran capacidad de afectar derechos como la salud mental. Cuando una plataforma registra los hábitos de consumo de una familia en el Caribe o la actividad en línea de un menor de edad en la Amazonía, es información que es procesada y monetizada por empresas que tienen su centro de operaciones principal en California o Seattle.

¿Cómo las Big Tech se hacen intocables? El argumento de falta de jurisdicción

La receta ha sido más o menos uniforme. Una autoridad nacional de protección de datos investiga a una plataforma tecnológica, que opera globalmente, por el tratamiento de datos de sus ciudadanos. La plataforma responde que las leyes locales no le aplican porque el tratamiento ocurre en servidores ubicados en otro país. La autoridad nacional insiste y la empresa responde con demandas judiciales. El proceso se extiende por años. Y mientras el proceso dura, los datos de millones de ciudadanos continúan siendo explotados sin que ninguna norma o autoridad los logre proteger de manera efectiva.

La argumentación que usan va en dos niveles. La primera es la fragmentación corporativa. Al tiempo que tienen una empresa principal en Estados Unidos, operan con oficinas comerciales en otros países alrededor del mundo. Cuando los ciudadanos buscan que la filial local responda por el tratamiento de datos, estas invocan el hecho de que la empresa principal no tiene presencia física ni legal en el territorio, por lo tanto, la ley doméstica no les aplica. De hecho, a pesar de la evidente conexión societaria, la corporación suele indicar que la empresa matriz y la local son totalmente independientes. Una estrategia que les ha permitido hacer explotación comercial de los datos sin asumir responsabilidades regulatorias.

La segunda es enfatizar en que solo hace el tratamiento de datos en Estados Unidos, no en el extranjero. Dado que los servidores están en ese territorio, las empresas alegan que solo se rigen por normas estadounidenses y no del lugar en donde reside el titular de los datos personales. Se trata de un argumento inconsistente pues la empresa tecnológica tiene clientes, ofrece servicios y los datos son capturados en dispositivos que se encuentran en países distintos a Estados Unidos; a pesar de ello, sostiene que las leyes domésticas de estos países no les aplican. De modo que la jurisdicción se vuelve un criterio flexible que se interpreta a conveniencia de las empresas.

Europea y América Latina: la disputa por la protección de los datos

En materia de protección de datos, Europa es una referencia obligada porque fue pionera en establecer un principio que hoy parece elemental: una empresa tecnológica no puede escapar de la ley solo porque sus servidores, su matriz o sus decisiones corporativas estén ubicadas en otro país. Las plataformas digitales no pueden invocar su carácter global para escapar de las normas del lugar en que producen efectos. Esta idea atraviesa decisiones fundamentales del Tribunal de Justicia de la Unión Europea (TJUE), como Google Spain vs. AEPD (2014), Schrems I (2015) y Schrems II (2020).

El caso Google Spain vs. AEPD (2014) fue un punto de quiebre. Google pretendía separar su motor de búsqueda global de la actividad comercial de su filial española, dedicada a la venta de publicidad. El TJUE rechazó esa fragmentación, pues entendió que el servicio de búsqueda y la explotación comercial de los datos formaban parte de una misma operación económica. La empresa no podía beneficiarse del mercado español y, al mismo tiempo, negar su sometimiento al derecho europeo. Si la empresa captura valor económico en un territorio, dirige servicios a sus habitantes y afecta sus derechos, no puede después alegar que jurídicamente no está en ese territorio.

La misma lógica aparece en los casos Schrems I (2015) y Schrems II (2020). El TJUE invalidó sucesivamente el Safe Harbor y el Privacy Shield, al considerar que esos mecanismos no garantizaban una protección adecuada frente a los riesgos de vigilancia masiva por parte de Estados Unidos. El mensaje fue contundente: la protección de datos personales es un derecho fundamental y no puede sacrificarse en nombre de acuerdos comerciales, cláusulas contractuales o mecanismos de autorregulación empresarial. Si una compañía transfiere datos fuera de Europa, debe garantizar que las personas conserven un nivel de protección equivalente al previsto por el derecho europeo.

En América Latina, algunos casos recientes en Brasil y Argentina muestran que la discusión ya no es exclusivamente europea. En Brasil, la Autoridad Nacional de Protección de Datos suspendió cautelarmente la política de privacidad de Meta, que permitía utilizar información publicada en Facebook, Instagram y Messenger para entrenar sistemas de inteligencia artificial generativa. La decisión fue importante porque trató el asunto como un problema de derechos y no como una simple modificación de términos y condiciones. Por su parte, en Argentina se ha denunciado que Meta estaría usando datos personales para entrenar inteligencia artificial sin consentimiento real, específico e informado. Ambos casos expresan una preocupación común: las grandes plataformas no pueden tratar a los usuarios latinoamericanos como fuentes gratuitas de información ni a los Estados como espectadores tardíos de decisiones tomadas desde oficinas ubicadas en el norte global.

Lo que está en juego en estas discusiones

Cada vez más jueces e instancias internacionales se enfrentan al desafío de precisar las reglas de tratamiento de datos por parte de estas empresas. Por ejemplo, en agosto del 2026 se llevará a cabo ante la Comisión Interamericana de Derechos Humanos, la audiencia temática “Rendición de cuentas de las plataformas digitales y su impacto en los derechos humanos”. Este espacio podría dar luces sobre una estándar convencional para la protección de datos personales frente a las grandes plataformas tecnológicas. Frente a esto, la experiencia en otras jurisdicciones deja claro que la fragmentación corporativa y el carácter extranjero de las empresas tecnológicas no es un obstáculo para garantizar los derechos de las y los nacionales de la región, en relación con sus datos personales.

Hoy existe suficiente evidencia sobre la relación entre captura masiva de datos, diseño adictivo y salud mental, por lo que se volvió indispensable seguir adaptando los marcos jurídicos nacionales y exigir su cumplimiento efectivo.