Declaración común del GC de Autoridades de Protección de Datos sobre Facebook
El 13 de noviembre de 2014 Facebook anunció una revisión global de sus políticas de privacidad, de cookies y de sus términos de uso. Tras este anuncio, se creó un Grupo de Contacto a nivel europeo formado por las Autoridades de Protección de Datos de Holanda, Francia, España, Alemania (Hamburgo) y Bélgica. Los miembros de este Grupo comenzaron a realizar investigaciones nacionales relacionadas, entre otros aspectos, con la calidad de la información facilitada a los usuarios, la validez del consentimiento y el tratamiento de datos personales, con fines publicitarios.Tres de los miembros (Francia, Bélgica y Holanda), acaban de publicar los resultados.
RESULTADOS DE LOS PROCEDIMIENTOS NACIONALES
FRANCIA. El Comité Restringido de la CNIL ha decidido imponer una sanción de 150.000 € a Facebook Inc. y Facebook Ireland Limited. El Comité considera que el Grupo Facebook no tiene una base legal para combinar la información de la que dispone con los titulares de las cuentas para mostrar publicidad específica. Considera que el Grupo Facebook realiza un seguimiento ilegal de los usuarios de internet a través de la cookie “datr”. El banner de la cookie y la mención de la información recopilada "dentro y fuera de Facebook" no permiten a los usuarios entender claramente que sus datos personales son recopilados sistemáticamente tan pronto como navegan en un sitio web de terceros que incluye un plug-in social.
BÉLGICA. La Comisión de Privacidad de Bélgica ha venido siguiendo los cambios realizados por Facebook en septiembre de 2015 y mayo de 2016, después de emitir sus primeras recomendaciones el 15 de mayo de 2015. Ahora, de nuevo, acaba de emitir nuevas recomendaciones a Facebook sobre el seguimiento que realiza de usuarios y no usuarios de la red social a través de cookies, plug-ins sociales y píxeles.
La Comisión considera que Facebook sigue incumpliendo la legislación belga y de la UE sobre protección de datos en lo que respecta al seguimiento de usuarios y no usuarios de Facebook a través de los dispositivos mencionados (cookies, plug-ins sociales, etc).
En particular, no se cumplen los requisitos legales relativos al consentimiento, el tratamiento justo, la transparencia y la proporcionalidad, entre otros, debido a las deficiencias en la información que Facebook proporciona a los interesados y a la insuficiencia de las opciones que ofrece.
También considera que la recopilación de datos personales por parte de Facebook utilizando cookies, plug-ins sociales y píxeles es excesiva en varias circunstancias por lo que ha solicitado la ejecución judicial de sus recomendaciones ante el Tribunal de Primera Instancia de Bruselas. La vista oral se celebrará del 12 al 13 de octubre de 2017.
HOLANDA. El Grupo Facebook viola la legislación holandesa sobre protección de datos. Esa es la conclusión de la Autoridad Holandesa de Protección de Datos después de su investigación sobre el tratamiento de datos personales de 9,6 millones de usuarios de Facebook en Holanda.
La empresa viola la legislación holandesa sobre protección de datos, incluyendo no ofrecer información suficiente a los usuarios sobre el uso de sus datos personales. La Autoridad holandesa también ha encontrado que Facebook utiliza datos personales confidenciales de los usuarios sin su consentimiento explícito. Por ejemplo, los datos relativos a las preferencias sexuales se utilizaron para mostrar anuncios específicos. El Grupo Facebook ha realizado cambios para poner fin al uso de este tipo de datos para este propósito. La Autoridad holandesa evalúa actualmente si las otras violaciones han cesado. Si no fuera así, la Autoridad holandesa puede decidir emitir una sanción.
HAMBURGO (Alemania). La Autoridad de Hamburgo ha emitido dos órdenes diferentes relacionadas con el Grupo Facebook. Un caso se centró en el uso de seudónimos. Facebook apeló contra la decisión. El Tribunal Superior Administrativo levantó la orden para permitir el uso de seudónimos, sin tomar una decisión sobre la cuestión de si la Autoridad de Hamburgo era competente. En cambio, el Tribunal se refirió al procedimiento en curso ante el Tribunal de Justicia de la Unión Europea para decidir sobre el derecho aplicable (en el caso de la Autoridad de Schleswig Holstein, asunto EU-CJ C-210/16) (*1).
En un segundo procedimiento, la Autoridad de Hamburgo ordenó al Grupo Facebook que dejara de combinar datos de los usuarios de WhatsApp sin su consentimiento previo.
El 25 de abril de 2017, el Tribunal Administrativo (inferior) confirmó la validez de esta orden, sin decidir sobre la ley aplicable (*2).
ESPAÑA. La Agencia Española de Protección de Datos ha abierto dos procedimientos de infracción tras las investigaciones preliminares sobre la política de privacidad y las condiciones de uso de Facebook.
Estos procedimientos, teniendo en cuenta los resultados de las investigaciones, se basan en la supuesta infracción de las disposiciones de la legislación española en materia de protección de datos.
LEY APLICABLE
En cada una de las investigaciones nacionales antes mencionadas, el Grupo Facebook ha impugnado la aplicabilidad de la legislación nacional de protección de datos del Estado miembro en cuestión. Según el Grupo Facebook, sólo le sería aplicable la legislación irlandesa sobre protección de datos y sólo la Autoridad irlandesa sería competente para supervisar el tratamiento de datos personales de los usuarios del servicio en Europa.
Sin embargo, las Autoridades unidas en el Grupo de Contacto concluyen que sus respectivas leyes nacionales de protección de datos se aplican al tratamiento de datos personales de usuarios y no usuarios del Grupo Facebook en sus respectivos países y que cada Autoridad tiene competencia.
A raíz de la jurisprudencia del Tribunal de Justicia de la Unión Europea (los casos de Google España, Weltimmo y Amazon) (*3), las Autoridades señalan que el Grupo Facebook tiene oficinas en varios países de la UE. Estas oficinas tienen como objetivo promover y aumentar las ventas de publicidad dirigida a usuarios nacionales y no usuarios del servicio. Por sus ingresos, el Grupo Facebook depende casi por completo de la venta de espacio publicitario, y los datos personales deben ser procesados necesariamente para el tipo de servicios de publicidad dirigida que ofrece.
Por lo tanto, las actividades de estas oficinas están "indisolublemente asociadas" al tratamiento de datos que realiza el Grupo Facebook, y todas las oficinas nacionales investigadas son establecimientos pertinentes en virtud del Artículo 4.1.a de la Directiva Europea de Protección de Datos 95/46 /CE.
*1. ECJ, Request for a preliminary ruling from the Bundesverwaltungsgericht (Germany) filed on 14 April 2016, Wirtschaftsakademie Schleswig-Holstein GmbH v Unabhängiges Landeszentrum für Datenschutz Schleswig-Holstein, Case C-210/16.
*2. URL: http://justiz.hamburg.de/aktuellepresseerklaerungen/8628054/pressemitteilung/
*3. ECJ C -131/12 (Google Spain), ECLI:EU:C:2014:317, C-230/14 (Weltimmo), ECLI:EU:C:2014:317 and C‑191/15 (Amazon), ECLI:EU:C:2016:612.
Comunicado completo en www.agpd.es