AEPD sanciona a Freepik por transferir datos personales a EE.UU. sin garantías adecuadas tras la invalidación del Privacy Shield

La decisión se refiere a una reclamación presentada por NOYB (European Centre for Digital Rights) contra FREEPIK COMPANY S.L. La reclamación denuncia que, a través de código HTML incrustado en la página web de Freepik, se recogieron y transferieron datos personales de la parte reclamante a Estados Unidos utilizando los servicios de Facebook, incluyendo Facebook Connect. La parte reclamante alega que esta transferencia carecía de base jurídica, ya que el Tribunal de Justicia de la Unión Europea había invalidado el «EU-US Privacy Shield» en el fallo «Schrems II».

Freepik argumenta que cumplió con las cláusulas contractuales tipo y que la normativa estadounidense no menoscaba el nivel de protección del RGPD. Sin embargo, la Agencia Española de Protección de Datos concluye que Freepik no pudo garantizar una protección adecuada de los datos transferidos a Facebook Inc. debido a la vigilancia de la inteligencia de EE.UU. Por ello, se decide apercibir a Freepik por la infracción del artículo 44 del RGPD, que regula las transferencias de datos personales a terceros países. La sanción se justifica por la falta de cumplimiento de las garantías necesarias para proteger los datos personales transferidos.