Introducción

En una decisión trascendental para los derechos de privacidad digital en Canadá, la Corte de Apelación de Columbia Británica ha desestimado un recurso de apelación interpuesto por Clearview AI Inc., confirmando que la legislación de privacidad de la provincia se aplica a las empresas tecnológicas extranjeras que recopilan datos de los residentes de Columbia Británica. La decisión en Clearview AI Inc. v. British Columbia (Information and Privacy Commissioner), 2026 BCCA 67, refuerza la autoridad del Comisionado de Información y Privacidad (el Comisionado) para regular cómo se extrae la información personal de internet, incluso cuando la empresa no tiene presencia física en la provincia.

Este fallo aborda cuestiones fundamentales relativas al alcance de la ley provincial en la era digital, específicamente en lo que respecta a la Ley de Protección de la Información Personal (PIPA).

Antecedentes y Hechos del Caso

Clearview AI Inc. es una empresa tecnológica con sede en los Estados Unidos que gestiona un motor de búsqueda para el reconocimiento facial. Según se detalla en la sentencia, el software de Clearview extrae rostros humanos y metadatos asociados de sitios web de acceso público como YouTube, Facebook e Instagram. Para el año 2017, la empresa había acumulado una base de datos de tres mil millones de imágenes faciales, que aumentó a 30 mil millones para el año 2023.

Clearview comercializaba sus servicios principalmente a agencias de seguridad y fuerzas del orden, permitiéndoles cargar una foto de una persona de interés y recibir imágenes coincidentes de la web. Tras una investigación conjunta de los comisionados de privacidad canadienses, el Comisionado de BC ordenó a Clearview cesar la oferta de sus servicios en BC, detener la recopilación de imágenes de residentes de BC y eliminar los datos existentes.

Clearview solicitó una revisión judicial, argumentando que la PIPA no se aplicaba a sus operaciones por ser una entidad estadounidense y que, incluso si se aplicara, la información estaba disponible públicamente y exenta de los requisitos de consentimiento. El Tribunal Supremo de Columbia Británica desestimó la solicitud, lo que dio lugar a esta apelación.

El Desafío Jurisdiccional

La cuestión central en la apelación era si la PIPA es constitucionalmente aplicable a Clearview. La empresa argumentó que carecía de una conexión suficiente con Columbia Británica, ya que sus operaciones se realizaban íntegramente fuera de Canadá y era indiferente a la ubicación de las personas cuyos datos extraía.

La Corte de Apelación rechazó este argumento, aplicando la prueba de conexión real y sustancial establecida en Unifund Assurance Co. v. Insurance Corp. of British Columbia. En la redacción del tribunal, el juez Iyer determinó que una conexión virtual es suficiente para fundamentar la jurisdicción. La Corte señaló que el modelo de negocio de Clearview depende de un conjunto de datos global que inevitablemente incluye a residentes de Columbia Británica. Al extraer activamente datos de residentes de BC para construir su base de datos comercial, Clearview estableció una conexión suficiente con la provincia. La Corte enfatizó que internet no crea una zona libre de ley donde las entidades extranjeras puedan ignorar las protecciones de privacidad locales.

El Argumento de la "Disponibilidad Pública"

Un aspecto crítico de la defensa de Clearview fue la afirmación de que las imágenes se extrajeron de sitios web públicos y, por lo tanto, entraban en la excepción de información disponible públicamente de la PIPA. La sección 12(1)(e) de la PIPA permite la recopilación sin consentimiento si la información está disponible a través de una fuente prescrita.

La Corte confirmó la interpretación estricta de los Reglamentos de la PIPA realizada por el Comisionado. Los reglamentos enumeran fuentes específicas como revistas, libros y periódicos. La Corte razonó que las plataformas de redes sociales son distintas de estas publicaciones tradicionales. Mientras que un periódico es creado por autores, el contenido de las redes sociales es generado por usuarios que conservan una medida de control e interés de privacidad en sus imágenes. En consecuencia, la Corte dictaminó que la extracción masiva de datos biométricos de las redes sociales no califica para la exención de disponibilidad pública.

Análisis del Propósito Razonable

Bajo la PIPA, las organizaciones solo pueden recopilar, usar o divulgar información personal para fines que una persona razonable consideraría apropiados. Clearview argumentó que su propósito —asistir a las fuerzas del orden— era razonable.

La Corte discrepó, respaldando la conclusión del Comisionado de que la identificación masiva y la vigilancia de individuos por parte de una entidad privada constituye una invasión irrazonable de la privacidad. La decisión destacó que los beneficios potenciales para la aplicación de la ley no compensaban el daño significativo a la privacidad y autonomía individual. La naturaleza indiscriminada de la recopilación, realizada sin el conocimiento ni el consentimiento de los sujetos, hizo que el propósito fuera irrazonable bajo el estatuto.

Implicaciones para la Ley de BC y de Canadá

Esta decisión tiene profundas implicaciones para la privacidad de datos internacional. Confirma que las empresas extranjeras no pueden evadir las leyes de privacidad canadienses simplemente ubicando sus servidores y oficinas en el extranjero. Si las actividades digitales de una organización impactan significativamente los derechos de privacidad de los residentes de Columbia Británica, los tribunales y reguladores locales ejercerán su jurisdicción.

Además, el fallo aclara los límites de la excepción de datos disponibles públicamente. Las empresas no pueden asumir que, debido a que la información es accesible en línea, es libre para su explotación comercial. La distinción establecida entre las publicaciones tradicionales y el contenido de las redes sociales generado por el usuario sienta un precedente que protege la huella digital de los individuos frente a la recopilación no autorizada.

Asesoramiento Práctico para Organizaciones

Para las empresas que operan en el espacio digital, este caso sirve como una advertencia vital sobre el cumplimiento de datos:

Esta sentencia refuerza que en Columbia Británica, el derecho a la privacidad se trata como cuasiconstitucional, y los tribunales interpretarán la legislación de manera amplia para proteger ese derecho contra las amenazas tecnológicas en evolución. Para consultas sobre este tema u otros asuntos legales como poder notarial, acuerdo de representación, litigio sucesorio, negligencia profesional, despido injustificado, divorcio, crianza de los hijos y manutención o apelación de inmigración, Sinclair Centre Law está a su disposición.

  • La jurisdicción es amplia: No asuma que la falta de presencia física exime a su organización de las leyes de privacidad provinciales. Si procesa datos de residentes, es probable que deba cumplir con los estatutos locales.
  • Público no significa: Revise sus prácticas de extracción de datos. La información encontrada en redes sociales o sitios web públicos no está automáticamente exenta de los requisitos de consentimiento.
  • Prueba de razonabilidad: Realice evaluaciones de impacto de la privacidad para garantizar que su recopilación de información personal cumpla con la prueba de la persona razonable. La utilidad comercial no valida automáticamente las intrusiones en la privacidad.
  • Órdenes correctivas: Tenga en cuenta que los reguladores tienen el poder de ordenar la eliminación de datos y el cese de actividades comerciales, y los tribunales están dispuestos a hacer cumplir estas órdenes de manera amplia, incluyendo requisitos de mejores esfuerzos para eliminar datos.