La Agencia Española de Protección de Datos (AEPD) ha sancionado con 300.000 euros a WhatsApp por comunicar datos a Facebook sin haber obtenido un consentimiento válido de los usuarios y ha impuesto otra sanción del mismo importe a Facebook por tratar esos datos para sus propios fines sin consentimiento, según la resolución del organismo respecto al procedimiento sancionador iniciado contra estas dos empresas.
En octubre de 2016, FACUA-Consumidores en Acción trasladó las irregularidades a la AEPD tras la reclamación de un socio de Sevilla por este asunto. El expediente incoado por Protección de Datos también incluye sendas denuncias presentadas por OCU, el abogado Luis Gervas de la Pisa y otro particular.
La Agencia ha impuesto 300.000 euros de sanción a cada entidad –la cuantía máxima correspondiente a las infracciones graves declaradas– teniendo en cuenta factores como el volumen de tratamientos efectuados, el volumen de negocio de las infractoras o la vinculación de la actividad de éstas con los tratamientos de datos de carácter personal, entre otros.
En el año 2014, WhatsApp fue adquirida por Facebook y, en agosto de 2016, la primera actualizó los términos de su servicio y la política de privacidad, introduciendo cambios como el hecho de compartir información de los usuarios de WhatsApp con Facebook.
La aceptación de esas nuevas condiciones se impuso como obligatoria para poder hacer uso de la aplicación de mensajería. Esa comunicación de datos personales a Facebook, que no tiene relación con las finalidades determinadas en la recogida de datos original, se realizó "sin ofrecer a los usuarios una información adecuada y sin la opción de mostrar su negativa a las mismas".
En el caso de usuarios que ya tenían instalada la aplicación WhatsApp, la compañía solo habilitó mecanismos para rechazar que la información cedida pudiera ser utilizada con la finalidad de "mejorar" la "experiencia con los productos y publicidad en Facebook", pero no con otros fines recogidos en la política de privacidad. Además, estos usuarios tenían que aceptar los nuevos términos antes de un plazo concreto para seguir utilizando el servicio.
No se podía instalar la 'app' sin aceptar las condiciones
Asimismo, a los usuarios nuevos no se les ofrecía la opción de negarse a que sus datos fueran cedidos a Facebook para los fines publicitarios o de "mejora de experiencia" antes mencionados, sin permitir instalar la aplicación en caso de no aceptar esas condiciones. La comunicación de datos personales exige el consentimiento del afectado, según el artículo 11 de la LOPD. El actual marco normativo exige que ese consentimiento, además, debe ser "libre, específico e informado".
En este caso, la resolución de la AEPD recoge que exigir que los usuarios presten su consentimiento como requisito para poder hacer uso de la aplicación de mensajería WhatsApp y considerando su implantación social, puede entenderse, en los términos del Grupo de Autoridades Europeas de Protección de Datos, como "algo que ejerce una influencia real en la libertad de elección del interesado". Para la APED, el consentimiento "no puede considerarse libre y, en consecuencia, no puede considerarse válido".
Además, para que el consentimiento prestado por el usuario sea válido, este ha de ser informado y específico, de tal modo que la ausencia de información o una información insuficiente determina la falta de consentimiento. La resolución añade que la información sobre a quién se pueden ceder los datos, las finalidades para las que se le ceden o la utilización que harán de los mismos los cesionarios "se ofrece de forma poco clara, con expresiones imprecisas e inconcretas que no permiten deducir, sin duda o equivocación, la finalidad para la cual van a ser cedidos".
Respecto a la infracción declarada a Facebook, la resolución establece que como se deduce de las propias declaraciones de ambas entidades, la red social ha utilizado la información de los usuarios cedida por WhatsApp con finalidades específicas de sus servicios y, en definitiva, en beneficio de su actividad.
Facebook destina esos datos "a su propia finalidad publicitaria y de mejora de sus productos", así como para otras finalidades, por lo que requiere de un consentimiento "libre, específico e informado" de los usuarios para tratar esos datos.
En consecuencia, las deficiencias expuestas en relación con la información facilitada a los usuarios de WhatsApp sobre la cesión de sus datos personales y el consentimiento prestado se reproducen respecto a Facebook, por lo que el consentimiento otorgado a la compañía por parte de los usuarios, "no puede considerarse libre, específico e informado", añade la resolución de la Agencia.
En octubre de 2016, FACUA-Consumidores en Acción trasladó las irregularidades a la AEPD tras la reclamación de un socio de Sevilla por este asunto. El expediente incoado por Protección de Datos también incluye sendas denuncias presentadas por OCU, el abogado Luis Gervas de la Pisa y otro particular.
La Agencia ha impuesto 300.000 euros de sanción a cada entidad –la cuantía máxima correspondiente a las infracciones graves declaradas– teniendo en cuenta factores como el volumen de tratamientos efectuados, el volumen de negocio de las infractoras o la vinculación de la actividad de éstas con los tratamientos de datos de carácter personal, entre otros.
En el año 2014, WhatsApp fue adquirida por Facebook y, en agosto de 2016, la primera actualizó los términos de su servicio y la política de privacidad, introduciendo cambios como el hecho de compartir información de los usuarios de WhatsApp con Facebook.
La aceptación de esas nuevas condiciones se impuso como obligatoria para poder hacer uso de la aplicación de mensajería. Esa comunicación de datos personales a Facebook, que no tiene relación con las finalidades determinadas en la recogida de datos original, se realizó "sin ofrecer a los usuarios una información adecuada y sin la opción de mostrar su negativa a las mismas".
En el caso de usuarios que ya tenían instalada la aplicación WhatsApp, la compañía solo habilitó mecanismos para rechazar que la información cedida pudiera ser utilizada con la finalidad de "mejorar" la "experiencia con los productos y publicidad en Facebook", pero no con otros fines recogidos en la política de privacidad. Además, estos usuarios tenían que aceptar los nuevos términos antes de un plazo concreto para seguir utilizando el servicio.
No se podía instalar la 'app' sin aceptar las condiciones
Asimismo, a los usuarios nuevos no se les ofrecía la opción de negarse a que sus datos fueran cedidos a Facebook para los fines publicitarios o de "mejora de experiencia" antes mencionados, sin permitir instalar la aplicación en caso de no aceptar esas condiciones. La comunicación de datos personales exige el consentimiento del afectado, según el artículo 11 de la LOPD. El actual marco normativo exige que ese consentimiento, además, debe ser "libre, específico e informado".
En este caso, la resolución de la AEPD recoge que exigir que los usuarios presten su consentimiento como requisito para poder hacer uso de la aplicación de mensajería WhatsApp y considerando su implantación social, puede entenderse, en los términos del Grupo de Autoridades Europeas de Protección de Datos, como "algo que ejerce una influencia real en la libertad de elección del interesado". Para la APED, el consentimiento "no puede considerarse libre y, en consecuencia, no puede considerarse válido".
Además, para que el consentimiento prestado por el usuario sea válido, este ha de ser informado y específico, de tal modo que la ausencia de información o una información insuficiente determina la falta de consentimiento. La resolución añade que la información sobre a quién se pueden ceder los datos, las finalidades para las que se le ceden o la utilización que harán de los mismos los cesionarios "se ofrece de forma poco clara, con expresiones imprecisas e inconcretas que no permiten deducir, sin duda o equivocación, la finalidad para la cual van a ser cedidos".
Respecto a la infracción declarada a Facebook, la resolución establece que como se deduce de las propias declaraciones de ambas entidades, la red social ha utilizado la información de los usuarios cedida por WhatsApp con finalidades específicas de sus servicios y, en definitiva, en beneficio de su actividad.
Facebook destina esos datos "a su propia finalidad publicitaria y de mejora de sus productos", así como para otras finalidades, por lo que requiere de un consentimiento "libre, específico e informado" de los usuarios para tratar esos datos.
En consecuencia, las deficiencias expuestas en relación con la información facilitada a los usuarios de WhatsApp sobre la cesión de sus datos personales y el consentimiento prestado se reproducen respecto a Facebook, por lo que el consentimiento otorgado a la compañía por parte de los usuarios, "no puede considerarse libre, específico e informado", añade la resolución de la Agencia.
REDACCIÓN / ANDALUCÍA DIGITAL
FOTOGRAFÍA: I. TÉLLEZ / J.P. BELLIDO / JOSÉ ANTONIO AGUILAR
FOTOGRAFÍA: I. TÉLLEZ / J.P. BELLIDO / JOSÉ ANTONIO AGUILAR
