En resumen
- La Data Protection Commission (DPC) de Irlanda ha multado con 11 millones de euros a la filial irlandesa de Match Group por no entregar a los usuarios de Tinder una copia completa de sus datos.
- La resolución incluye una amonestación y una orden de adecuación en tres meses; Match Group ha anunciado que recurrirá.
- Las plataformas deberían revisar si sus herramientas de descarga cubren todas las categorías de datos o explican con claridad qué se excluye.
La Data Protection Commission (DPC) de Irlanda ha impuesto una multa de 11 millones de euros a la filial irlandesa de Match Group, MTCH Technology Services Limited, por las carencias de la herramienta con la que Tinder atendía el derecho de acceso. El caso importa porque afecta a un mecanismo que casi todas las plataformas ofrecen: el botón de «descargar mis datos».
Qué ha decidido la DPC
La investigación se abrió de oficio en 2020, con la DPC como autoridad de control principal, y examinaba cómo gestiona Tinder las solicitudes de acceso y supresión y durante cuánto tiempo conserva los datos. Según la información publicada, el foco estuvo en la herramienta de autoservicio «Download My Data», que se presentaba como vía para obtener una copia de los datos, pero no entregaba toda la información almacenada.
Además de la multa, la DPC emitió una amonestación y ordenó adaptar los procedimientos en el plazo de tres meses. Esa orden incluye, según los medios, entregar todos los datos pertinentes o indicar con claridad qué información no puede facilitarse por motivos de privacidad. Se habrían omitido categorías como datos analíticos o de geolocalización, o entregado solo en forma resumida.
El subdirector de la DPC, Graham Doyle, señaló que las herramientas automatizadas pueden ser útiles, pero deben mostrar con transparencia qué datos se proporcionan a la persona.
Recurso y calendario
Match Group ha anunciado que recurrirá. La compañía ya había provisionado 12,6 millones de dólares y sostiene que las políticas cuestionadas buscaban sobre todo proteger la seguridad y la privacidad de los usuarios. El procedimiento tuvo antes conclusiones preliminares (enero de 2024) y un proyecto de decisión (julio de 2026). Con el recurso, el pago queda en suspenso hasta que se resuelva.
Qué deben revisar las plataformas
- Que la descarga automática incluya todas las categorías de datos personales, también las inferidas o analíticas, salvo excepción justificada.
- Que, si se excluye algo (por derechos de terceros, por ejemplo), se explique al usuario de forma visible.
- Que existan canales alternativos cuando la herramienta no baste.
- Que la documentación interna permita demostrar qué datos se tratan y dónde están.
La mirada de CEA Digital Law
Desde el Comité Euro Americano de Derecho Digital - CEA Digital Law vemos en esta resolución un recordatorio práctico: el derecho de acceso del artículo 15 del RGPD se mide por su resultado, no por la existencia de una herramienta. Un panel de descarga cómodo no sustituye a una respuesta completa.
Para América Latina y el Caribe, donde leyes como la LGPD brasileña o la ley mexicana reconocen el acceso, la lección es anticiparse: auditar los flujos de exportación de datos antes de que lo haga el regulador. En África, donde varias autoridades jóvenes consolidan su práctica, el criterio de la DPC ofrece una referencia útil sobre transparencia en herramientas de autoservicio.
Queda abierta una cuestión relevante: cómo equilibrar un acceso completo con la protección de datos de terceros y la seguridad. Convendría que las autoridades europeas publicaran pautas comunes sobre el contenido mínimo de estas descargas, lo que daría seguridad jurídica a empresas y usuarios mientras se resuelve el recurso.
Fuentes
- Extra.ie: Ireland's data watchdog hands Tinder fine
- Global Dating Insights: Match Group to appeal €11 million GDPR fine
- Archynewsy: Tinder fined €11M over incomplete user data tool
- ua.news (citando a Politico Europe)
CEA Digital Law
Boletín
Eventos, noticias y análisis sobre derecho digital, en tu correo. Solo cuando hay algo que contar.
