En la entrada de hoy trataremos la sanción a WhatsApp y Facebook que les ha impuesto la AEPD por ceder y tratar, respectivamente, datos personales sin consentimiento tal y como adelantamos en noticias anteriores.
El pasado 15 de marzo del presente año, la Agencia Española de Protección de Datos (AEPD) dictó una resolución por la que sancionaba tanto a Facebook como a WhatsApp por una infracción grave de la Ley Orgánica de Protección de datos con una multa de 300.000€ a cada empresa. En la resolución, se concluye que la cesión de datos entre ambas empresas no cumple con la normativa europea ni española.
HECHOS:
En 2014, Facebook adquirió Whatsapp y en agosto de 2016 procedió a actualizar los términos del servicio y la política de privacidad, introduciendo cambios como el hecho de poder compartir información de los usuarios de Whatsapp con Facebook.
El problema surge porque la aceptación de las nuevas condiciones se impuso por parte de la aplicación de manera condicionada, de tal forma que su no aceptación, impediría el uso de la aplicación de mensajería. Así, no se brindaba la posibilidad de que el usuario se negase a su cesión ni prestase su consentimiento de manera libre, como exige la normativa de protección de datos.
Asimismo, tampoco se ofreció una información adecuada de dicha cesión de datos personales a Facebook, que, por ende, no tiene ninguna relación con las finalidades establecidas en la recogida de datos original por parte de WhatsApp.
SENTENCIA:
Sanción WhatsApp Facebook por ceder y tratar, respectivamente, datos personales sin consentimiento.
En cuanto a la multa de Facebook (reincidente en este tema), la resolución de la AEPD establece que la red social está utilizando la información de los usuarios de Whatsapp para sus propias finalidades como son, entre otras, la publicidad y mejora de sus productos, finalidades para las que se requiere el consentimiento libre, específico e informado de los usuarios y que obviamente no se solicitó.
En su resolución, la AEPD recuerda que el artículo 11 de la Ley Orgánica de Protección de Datos exige que, en la comunicación de datos personales, el consentimiento del afectado debe ser libre, específico e informado.
Considera además, que la ausencia de información o una información insuficiente determina la falta de consentimiento. En este caso, la información sobre a quién se pueden ceder los datos, las finalidades para las que se le ceden o su utilización “se ofrece de forma poco clara,
con expresiones imprecisas e inconcretas que no permiten deducir, sin duda o equivocación, la finalidad para la cual van a ser cedidos”.
Por ello y porque el hecho de que los usuarios tuvieran que prestar su consentimiento como requisito para poder hacer uso de la aplicación «ejerce una influencia real en la libertad de elección del interesado» y este permiso no puede considerarse libre, detalla la resolución.
Considerando todo lo expuesto y en atención al volumen de tratamientos efectuados o a la vinculación de la actividad de ambas empresas con los tratamientos de datos, la Agencia les impuso la máxima sanción posible en base a las infracciones graves probadas y que ascienden a 300.000 euros a cada entidad.
