En materia de protección de datos, Europa es una referencia obligada porque fue pionera en establecer un principio que hoy parece elemental: una empresa tecnológica no puede escapar de la ley solo porque sus servidores, su matriz o sus decisiones corporativas estén ubicadas en otro país. Las plataformas digitales no pueden invocar su carácter global para escapar de las normas del lugar en que producen efectos. Esta idea atraviesa decisiones fundamentales del Tribunal de Justicia de la Unión Europea (TJUE), como Google Spain vs. AEPD (2014), Schrems I (2015) y Schrems II (2020).

El caso Google Spain vs. AEPD (2014) fue un punto de quiebre. Google pretendía separar su motor de búsqueda global de la actividad comercial de su filial española, dedicada a la venta de publicidad. El TJUE rechazó esa fragmentación, pues entendió que el servicio de búsqueda y la explotación comercial de los datos formaban parte de una misma operación económica. La empresa no podía beneficiarse del mercado español y, al mismo tiempo, negar su sometimiento al derecho europeo. Si la empresa captura valor económico en un territorio, dirige servicios a sus habitantes y afecta sus derechos, no puede después alegar que jurídicamente no está en ese territorio.

La misma lógica aparece en los casos Schrems I (2015) y Schrems II (2020). El TJUE invalidó sucesivamente el Safe Harbor y el Privacy Shield, al considerar que esos mecanismos no garantizaban una protección adecuada frente a los riesgos de vigilancia masiva por parte de Estados Unidos. El mensaje fue contundente: la protección de datos personales es un derecho fundamental y no puede sacrificarse en nombre de acuerdos comerciales, cláusulas contractuales o mecanismos de autorregulación empresarial. Si una compañía transfiere datos fuera de Europa, debe garantizar que las personas conserven un nivel de protección equivalente al previsto por el derecho europeo.

En América Latina, algunos casos recientes en Brasil y Argentina muestran que la discusión ya no es exclusivamente europea. En Brasil, la Autoridad Nacional de Protección de Datos suspendió cautelarmente la política de privacidad de Meta, que permitía utilizar información publicada en Facebook, Instagram y Messenger para entrenar sistemas de inteligencia artificial generativa. La decisión fue importante porque trató el asunto como un problema de derechos y no como una simple modificación de términos y condiciones. Por su parte, en Argentina se ha denunciado que Meta estaría usando datos personales para entrenar inteligencia artificial sin consentimiento real, específico e informado. Ambos casos expresan una preocupación común: las grandes plataformas no pueden tratar a los usuarios latinoamericanos como fuentes gratuitas de información ni a los Estados como espectadores tardíos de decisiones tomadas desde oficinas ubicadas en el norte global.