Multa de 11 M€ de la DPC a Tinder: una descarga de datos de autoservicio debe decir qué deja fuera

Si su sitio web o su app permite a las personas descargar sus propios datos, o se los muestra en un portal de privacidad o en un centro de preferencias, compruebe qué deja fuera esa herramienta. El 13 de noviembre de 2026, la Data Protection Commission (DPC) de Irlanda anunció una multa de 11 millones de euros a MTCH Technology Services Limited, la empresa de Match Group responsable de Tinder. La herramienta «Download My Data» de Tinder entregaba a los usuarios solo una parte de sus datos personales y no se lo decía.

Multa de 11 M€ de la DPC a Tinder: una descarga de datos de autoservicio debe decir qué deja fuera

La decisión de la DPC

La DPC abrió la investigación por iniciativa propia en enero de 2020, como autoridad de control principal de MTCH en la UE. Examinó cómo respondía Tinder a los usuarios que pedían una copia de sus datos.

Tinder atendía esas solicitudes mediante una herramienta automatizada llamada «Download My Data». La DPC concluyó que la herramienta no proporcionaba a los usuarios todos sus datos personales. Algunas categorías de información se omitían sin avisar al usuario o se entregaban solo de forma resumida. Eso infringe el artículo 15, apartado 3, del RGPD, que da a toda persona el derecho a obtener una copia de los datos personales que una empresa trata sobre ella.

El comunicado de la DPC no enumera las categorías que faltaban. RTÉ, citando a la comisionada Niamh Sweeney, informó de que parte de la actividad se entregaba como totales diarios, por ejemplo el número de deslizamientos o de coincidencias en un día concreto, y de que no se incluían datos analíticos que podían comprender el género y la ubicación.

La decisión tiene tres partes:

• Un apercibimiento
• Una multa de 11 millones de euros
• Una orden de adecuar el tratamiento al RGPD en un plazo de tres meses

Match Group ha anunciado que recurrirá y afirma que Tinder colaboró con la DPC durante toda la investigación. La DPC publicará la decisión completa más adelante.

Una descarga parcial está permitida; una que calla lo que falta, no

La DPC no ha dicho que una herramienta de autoservicio deba devolverlo todo. El comisionado adjunto Graham Doyle señaló que las herramientas automatizadas de acceso pueden ser una forma útil y eficiente de dar acceso a los datos personales, y añadió, en esencia:

Estas herramientas no tienen que proporcionar una copia completa de los datos personales, pero deben ser leales y transparentes con las personas sobre el alcance de los datos facilitados.

Los usuarios de Tinder no podían saber que el archivo estaba incompleto. Quien descarga sus datos y no ve un historial de ubicación da por hecho que no se conserva ninguno. No presentará una segunda solicitud por unos datos cuya existencia desconoce, así que el derecho de acceso termina en lo que la herramienta sabe exportar.

Esto coincide con las directrices del CEPD sobre el derecho de acceso. Una herramienta de autoservicio es una forma aceptada de responder a una solicitud y, cuando hay muchos datos, la empresa puede facilitarlos por capas, siempre que la persona pueda obtener todas las capas si las pide.

Según la DPC, decenas de miles de usuarios utilizaron la herramienta durante el periodo examinado.

Cómo revisar su propia herramienta

La misma prueba vale para cualquier herramienta que muestre a las personas sus propios datos: una exportación de la cuenta, una página «mis datos», un portal de privacidad o un centro de preferencias.

Enumere todos los sistemas que guardan datos personales

Una exportación suele construirse a partir de la base de datos principal del producto. Los eventos de analítica, las audiencias de las plataformas publicitarias, los tickets de soporte, las notas del CRM, los registros de consentimiento y los atributos inferidos, como segmentos o puntuaciones, están en otros sistemas y se quedan fuera. Compare la exportación con su registro de actividades de tratamiento, no con la base de datos de la que se generó.

Diga qué cubre la descarga

Si la herramienta devuelve solo una parte de los datos, dígalo en la pantalla donde la persona inicia la descarga y dentro del propio archivo. Nombre las categorías que no se incluyen.

Ofrezca una vía para obtener el resto

Junto a la descarga, enlace un formulario para solicitar una copia completa. Quien la pide por ese formulario presenta una solicitud de acceso normal, y se aplica el plazo de un mes.

No sustituya los datos por resúmenes

Tinder entregaba algunos datos solo de forma resumida. Un recuento de eventos no es una copia de los eventos. Si usted conserva los registros detallados, la persona tiene derecho a ellos.

Revise la herramienta cuando cambie el producto

Una función, un SDK o una herramienta de analítica nuevos suelen traer una nueva categoría de datos personales. Añada la exportación a su lista de comprobación de lanzamientos para que no se quede por detrás del producto.

Los centros de preferencias tienen el mismo hueco

Un centro de preferencias hace una promesa parecida: esto es lo que usted ha aceptado. Si muestra la elección del boletín pero no el consentimiento para SMS, las opciones de cookies del banner o el ajuste de personalización de la app, la persona ve una imagen parcial y no tiene motivos para dudar de ella.

La solución es la misma. Muestre todos los consentimientos en los que se apoya, o indique cuáles se gestionan en otro lugar y enlace a ellos.

Solicitudes de datos en UniConsent

El Privacy Portal de UniConsent ofrece a sus usuarios una página, en su propio dominio, para gestionar su consentimiento y sus preferencias de marketing y para presentar solicitudes de acceso, supresión, rectificación y portabilidad. Cada solicitud se sigue frente a su plazo legal y cada paso queda registrado con fecha y hora.

Puede colocar el formulario de solicitud junto a su propia herramienta de descarga, de modo que un usuario que necesite más de lo que la herramienta ofrece tenga una forma clara de pedirlo.

Las elecciones de consentimiento del banner de cookies, de sus formularios y de sus apps se guardan juntas con su historial, por lo que la parte de consentimiento de una respuesta de acceso está completa. Consulte el registro de auditoría del consentimiento.

Regístrese y configure un portal de privacidad para su sitio web.

Para otras decisiones recientes, consulte el resumen de multas del RGPD de 2026.

Referencias

• Data Protection Commission fines MTCH €11 million following Inquiry into Tinder users' personal data requests - DPC
• Tinder owner fined €11m by Data Protection Commission - RTÉ
• Data Protection Commission fines Tinder owner €11m - Irish Examiner
• Guidelines 01/2022 on data subject rights - Right of access - EDPB