Cómo trabajamos

noyb sigue la idea del litigio selectivo y estratégico para reforzar el derecho a la intimidad: En la práctica, perseguimos este objetivo analizando a fondo y priorizando las violaciones de la privacidad, identificando los puntos débiles legales de estos casos y litigando con la mejor estrategia posible y el método más eficaz para lograr el máximo impacto. noyb presenta denuncias contra las empresas ante la autoridad responsable de la protección de datos (APD) o lleva los casos directamente a los tribunales. En nuestra estrategia de litigación, diferenciamos entre casos de establecimiento de normas y acciones coercitivas.

Casos de establecimiento de normas: El RGPD es una ley bastante nueva, por lo que muchos elementos aún no están claros o son objeto de controversia. Mediante el desarrollo de casos complejos dirigidos a esos aspectos inciertos, noyb pretende lograr una decisión de los más altos tribunales u organismos de protección de la intimidad de la Unión Europea (TJUE u OEPD) que establezca una norma para la futura interpretación del RGPD.

Medidas de ejecución: En algunos casos, la ley es muy sencilla, pero las empresas simplemente no la cumplen. Por lo tanto, noybno pretenden lograr una decisión del TJUE o de la JEPD, sino garantizar que las autoridades nacionales de protección de datos apliquen la ley sobre el terreno para detener las actividades ilegales de las empresas. Para un impacto aún mayor, noyb suele iniciar procedimientos masivos y presentar demandas en varios países. Dos ejemplos de este tipo de acciones son noybsobre transferencia ilegal de datos a EE.UU. o nuestras denuncias masivas contra los banners engañosos de cookies.

También utilizamos las relaciones públicas y las iniciativas de los medios de comunicación para apoyar el derecho a la privacidad sin tener que acudir a los tribunales. Además, promovemos una comprensión común del RGPD y proporcionamos una plataforma de información llamada GDPRhub, que resume las decisiones y la literatura jurídica sobre el RGPD. Por último noyb está aunando fuerzas con otras organizaciones para maximizar el impacto del GDPR, todo ello evitando estructuras paralelas.

Por un lado, noyb recibe pistas sobre violaciones de la intimidad por parte de nuestros miembros colaboradores, del público en general o de denunciantes, por otro lado noybidentifica posibles proyectos en función de los siguientes factores:

• Impacto alto y directo: Un caso o proyecto debe repercutir directamente en el mayor número posible de personas, por ejemplo, porque se dirige a toda una industria o a una práctica común en diferentes sectores industriales y Estados miembros. Además, pretendemos ampliar la escala de nuestros proyectos para amplificar aún más el impacto y provocar el cumplimiento en general debido al llamado efecto indirecto.
• Altas probabilidades de éxito: Como organización financiada mediante donaciones, noyb tiene que asignar fondos a proyectos que tengan grandes posibilidades de éxito. Los casos perdidos pueden ser contraproducentes para el objetivo general de promover la privacidad y la protección de datos. Aunque nuestro objetivo es iniciar casos con altas posibilidades de éxito (por ejemplo, porque la violación es obvia y la ley está clara, lo que ocurre con nuestras "acciones de aplicación"), hay casos que necesitan aclaración pero merece la pena correr el riesgo ("casos de establecimiento de normas").
• Elevada relación entrada/salida: Sólo nos involucramos en casos o proyectos que tengan una alta relación insumo/producto para maximizar el uso de nuestros fondos. Por lo tanto, nos centramos en los mayores actores y en los problemas de privacidad.
• Estratégico: El litigio estratégico se basa en considerar todos los elementos que pueden afectar al caso o proyecto y tomar decisiones informadas al respecto. Para cada caso, deben evaluarse individualmente el calendario, la jurisdicción, los costes, los modelos de hechos, los denunciantes y los controladores. noyb también supervisa las actividades de las APD y los tribunales para aprovechar las condiciones más favorables (tasas judiciales, tiempo medio de tramitación, experiencia y similares) para nuestras denuncias.

Las denuncias se presentan ante una autoridad nacional de protección de datos (APD) y son una forma rentable de hacer cumplir el RGPD. Al recibir una denuncia, la autoridad debe investigar y emitir una decisión en un plazo razonable (por ejemplo, en Austria, en medio año). A menudo, diferentes APD tienen que cooperar para llegar a una decisión en virtud del RGPD, por ejemplo, si el usuario afectado y la empresa implicada no se encuentran en el mismo país. Si la APD no se pronuncia en el plazo establecido o si el interesado no está de acuerdo con el razonamiento jurídico, la decisión puede recurrirse ante los tribunales competentes.

Hay dos tipos de demandas. El primero son las demandas dirigidas directamente contra una empresa. Estas demandas suelen costar más que las denuncias, pero a menudo son una herramienta aún más poderosa. Una ventaja es que las demandas no están sujetas a un procedimiento transfronterizo, como sería el caso de una denuncia contra una empresa situada en un Estado miembro diferente. Por ejemplo, se aplicaría un procedimiento transfronterizo si el denunciante viviera en Austria, pero la empresa denunciada tuviera su sede en Irlanda.

Otro tipo de pleito es el proceso de apelación de una denuncia. Este tipo de acción legal se dirige contra la decisión de la autoridad. El tribunal puede remitir el caso a la siguiente instancia, hasta el Tribunal de Justicia, que debe decidir sobre cuestiones fundamentales de interpretación jurídica.