← España

A5-00001-2018

Subdirección General Inspección de Datos 1/25 Procedimiento Nº A5/00001/2018 RESOLUCIÓN: R/00862/2018 PROCEDIMIENTO DE EXENCIÓN DEL DEBER DE INFORMACIÓN AL INTERESADO Con fecha 8/11/2017, tuvo entrada una solicitud de la ASOCIACIÓN PARA EL DESARROLLO DE LA INGENIERIA DEL CONOCIMIENTO (ADIC) relativa a exención del deber de informar en la recogida y tratamiento de datos contenido en el artículo 5.5 de la Ley Orgánica 15/1999, de 13/12, de Protección de Datos de Carácter Personal (LOPD). ANTECEDENTES PRIMERO: ADIC es una entidad privada especializada en extracción de conocimiento a partir de grandes volúmenes de datos heterogéneos (BIG DATA) y la optimización de procesos empresariales en campos como la banca, salud, medios sociales, energía etc. Desarrolla productos y servicios que usa en técnicas analíticas e ingeniería algorítmica para transformar en valor los datos disponibles en las empresas. Entre ellas se encuentra LYNGUO, un software de monitorización de comentarios públicos en redes sociales (TWITTER, FACEBOOK, INSTAGRAM, BLOGS, FOROS, YOU TUBE y prensa digital). En relación a dicha actividad, ADIC inscribió el fichero DATOS MEDIOS SOCIALES PLATAFORMA LYNGUO, siendo su finalidad y usos: “Los datos recogidos en los medios sociales se emplean como entrada a la plataforma LYNGUO donde son procesados para su uso estadístico en cuadros de mandos visualizados por los clientes.” Finalidades:” fines estadísticos, históricos o científicos; otras finalidades” En “origen y procedencia de los datos”: Clientes y usuarios, en “tipos de estructura y organización del fichero” como datos identificativos consta: “fecha, hora, fuente de red social, identificador del usuario en red social, opinión.”, nivel de seguridad: “básico”. En cuanto al tratamiento de datos al que se pretende aplicar la exención del deber de informar señala que “La herramienta se nutre de información que se maneja en las redes sociales” ”ADIC adquiere los datos de proveedores externos, en uno de los casos el proveedor es la propia red social, con los que tiene un contrato de prestación de servicios. El proveedor nutre a ADIC de información sobre los comentarios de los usuarios en redes sociales” “Todo se efectúa en cumplimiento de la legalidad vigente puesto que los usuarios de dichas redes sociales han aceptado los términos y condiciones del propietario de la red social haciendo publica la información que facilitan a través de la red social”. Como ejemplo al registrarse como usuario nuevo en TWITTER, el usuario acepta que “Al utilizar cualquiera de nuestros servicios, usted da su consentimiento para la C/ Jorge Juan 6 28001 - Madrid http://www.agpd.es https://sedeagpd.gob.es Subdirección General Inspección de Datos 2/25 recopilación, la transferencia, la manipulación el almacenamiento, la revelación y otros usos de su información según lo descrito en esta política de privacidad”, y en la misma figura que “Esta política de privacidad describe como y cuando recopilamos , empleamos y compartimos su información en nuestras páginas webs, SMS, API, notificaciones de correo electrónico, aplicaciones, botones, inserciones , anuncios y en nuestros otros servicios vinculados con esta Política” Igualmente sucede en FACEBOOK, donde al registrarse el usuario acepta que sus datos personales se utilicen así: Aplicaciones, sitios web e integraciones de terceros en nuestros Servicios o que utilizan nuestros Servicios: “Cuando utilizas aplicaciones, sitios web u otros servicios de terceros que emplean nuestros Servicios o están integrados en ellos, estas plataformas pueden recibir información acerca de lo que publiques o compartas. Por ejemplo, si juegas a un juego con tus amigos de Facebook o utilizas los botones “Comentar” o “Compartir” de FACEBOOK en un sitio web, el desarrollador del juego o el sitio web pueden obtener información sobre tus actividades en el juego o recibir un comentario o enlace que compartas desde su sitio web en FACEBOOK. Además, si descargas o utilizas estos servicios de terceros, estos pueden acceder a tu perfil público, que incluye tu nombre o identificador de usuario, tu intervalo de edad, tu país e idioma, tu lista de amigos y cualquier otro dato que compartas con ellos. La información que recopilan estos sitios web, aplicaciones o servicios integrados está sujeta a sus propias condiciones y políticas. “ De esta manera, en cumplimiento de dichos términos y condiciones, ADIC adquiere de su proveedor externo la información con la que ha de nutrir a la herramienta. A continuación se explica el comportamiento de la herramienta, para entender el proceso de gestión de la información tratada: En primer lugar, se lanza una consulta a las redes sociales que consiste en una serie de términos de búsqueda que pueden acotarse con diversos operadores que permiten consultar, por ejemplo en un idioma o zona geográfica específica. La herramienta devolverá todos aquellos tuits/comentarios que contengan al menos uno de estos términos, y cumplan los criterios establecidos. Una vez descargados, los tuits son analizados mediante técnicas de procesamiento de lenguaje natural. De este análisis se extrae: - El sentimiento positivo, negativo o neutro que se desprende del texto en función de las estructuras lingüísticas utilizadas. -La categoría temática de la que habla el texto para su posterior clasificación. Con estos resultados se realizan las siguientes estadísticas generales: 1) Volumen total de comentarios asociados a una marca o tema 2) Evolución temporal del volumen 3) Volumen total de usuarios únicos que hablan de esa marca o tema 4) Volumen total de usuarios con influencia social (+ 1000 seguidores) 5) Volumen total de comentarios por red social 6) Nube de ideas con las palabras más frecuentes 7) Nube de ideas con los hashtags más frecuentes 8) Ranking de contenidos (URLs) más compartidos C/ Jorge Juan 6 28001 - Madrid http://www.agpd.es https://sedeagpd.gob.es Subdirección General Inspección de Datos 3/25 9) Ranking de contenidos (URL5) que han recibido más comentarios 10) Ranking de contenidos (URLs) que han recibido más “likes” 11) Porcentaje de sentimiento positivo, negativo y neutro para cada marca o tema 12) Evolución temporal del sentimiento 13) Distribución de los comentarios en categorías temáticas 14) Análisis de sentimiento para cada una de las categorías temáticas 15) Estadísticas de sentimiento por red social 16) Gráficas comparativas para varias marcas que miden: -Nº de seguidores de los usuarios que mencionan a cada marca -Grado de actividad de los usuarios que mencionan a cada marca -Reputación general para cada marca (sentimiento positivo) -Nivel de viralización de contenidos para cada marca (contenidos compartidos) 17) Ránking de usuarios más activos 18)Ránking de usuarios más mencionados 19) Ránking de usuarios que reciben más “likes” 20) Ránking de usuarios que hablan más en positivo de la marca 21) Ránking de usuarios que hablan más en negativo de la marca 22)Ránking de usuarios cuyos contenidos se comparten más Todos estos datos se utilizan de forma agregada para el establecimiento de porcentajes generales y estadísticas de tendencias. Para la visualización de la información la herramienta cuenta con tres módulos, Dashboard y Gráficas personalizadas, donde se encuentran las métricas descritas anteriormente, y el módulo Warehouse, donde se almacena y se puede consultar la totalidad de los datos analizados. La plataforma LYNGUO, con esta información procedente de diferentes redes sociales, podría estar tratando datos de carácter personal de terceros que deben ser informados en cumplimiento de la normativa vigente en materia de protección de datos. Los datos objeto del tratamiento serían los siguientes: • Usuario • Localización (únicamente referida a la ciudad) • Nombre • Descripción Usuario (si activa o pública en el perfil del usuario) • Localización Usuario (si activa o pública en la descripción de la biografía del usuario) URLBIo (si activa o pública en el perfil del usuario) Los datos se conservarán para el cliente durante un tiempo acotado, generalmente un año, de forma que se borrarán automáticamente, cuestión que además se regula contractualmente. Se ha tener en cuenta que si bien con TWITTER toda la información es pública, de otras redes sociales solo se trata la información pública de los usuarios, o bien aquélla que, perteneciendo C/ Jorge Juan 6 28001 - Madrid http://www.agpd.es https://sedeagpd.gob.es Subdirección General Inspección de Datos 4/25 a perfiles privados, hayan hecho públicas en los perfiles de empresas o entidades en las que hayan decidido opinar. “CAUSAS EN LAS QUE SE FUNDAMENTA LA IMPOSIBILIDAD O EL CARÁCTER DESPROPORCIONADO DEL ESFUERZO QUE IMPLICARÍA EL CUMPLIMIENTO DEL DEBER DE INFORMAR” Como dato, se informa de que el volumen medio mensual que procede de una sola de las redes sociales monitoreadas, TWITTER, se encuentra entre los 2.000.000 y los 3.000.000 de datos, constituyendo esta red social aproximadamente el 90% de la información procesada. Dentro de su diseño de todo este proceso, ADIC considera inviable el hecho de afrontar el deber de información a los afectados que supondría la exigencia normativa actual. “MEDIDAS COMPENSATORIAS Y CLÁUSULA INFORMATIVA QUE, MEDIANTE SU DIFUSION PERMITA COMPENSAR LA EXENCION DEL DEBER DE INFORMACION.” Con el fin de obtener la exención al deber de información de los interesados, ADIC propone algunas alternativas: - Promover la inclusión en sus contratos con los clientes una cláusula que contenga la obligación del cliente de informar, vía electrónica (por ejemplo, en su web o en las propias RRSS) de la monitorización de éstas, con estas finalidades. Por ejemplo, en el sentido de que el cliente hará todos los esfuerzos para publicitar el uso de la herramienta e informar los usuarios de que se usa esta herramienta para monitorizar, etc. Existen ya casos de entidades que anuncian públicamente la monitorización que realizan de las redes sociales, por ejemplo, en el sentido de la monitorización de los perfiles de sus seguidores o de aquellos que les mencionan, con el fin de mejorar la experiencia de sus usuarios con las empresas en cuestión. La cláusula contractual podría ser la siguiente: - El cliente dará a conocer el uso de la herramienta LYNGUO a sus usuarios, publicando una nota informativa en su web, twitteando noticias, o en cualquier medio, de manera que los usuarios sean conocedores de que sus datos personales podrían ser monitorizados, en cumplimiento de la normativa vigente en materia de protección de datos. - Por otro lado, ADIC se comprometería a publicar en su propia página web y redes sociales, de forma periódica, las funcionalidades de la herramienta, así como, en la medida en que el cliente lo consienta, el acuerdo adoptado con el cliente para la colaboración establecida. - ADIC además eliminará del análisis aquellos usuarios que contactaran directamente con ADIC o con cualquiera de los clientes y manifieste su oposición al tratamiento de sus datos y de los comentarios que públicamente manifiesta en las redes sociales. ADIC procederá en el menor tiempo posible desde la recepción de la petición y tras comprobar la identidad del usuario, a su inclusión en una lista que le excluye del tratamiento y análisis de sus datos. SEGUNDO: Con el fin de aclarar la petición se solicitó a ADIC: 1. -¿Desde cuánto tiempo lleva haciendo el tratamiento de datos por el que pide la exención? C/ Jorge Juan 6 28001 - Madrid http://www.agpd.es https://sedeagpd.gob.es Subdirección General Inspección de Datos 5/25 Con fecha 12/03/2018 respondió que el desarrollo software que soporta el tratamiento de datos se implementó en modo piloto en 2012. 2. -Cuando utiliza el término proveedores externos, ¿a quienes se refiere? Se le solicita que aporte copia de un contrato tipo de los que suscribe o ha suscrito con algún proveedor externo, e informe del tipo de proveedores externos con los que trabajan. Indica que son dos compañías estadounidenses, GNIP (propiedad de TWITTER proporciona acceso a TWITTER) y DATASIFT, que comercializa el acceso a los datos de las plataformas sociales, blogs, foros, medios digitales, FACEBOOK e INSTAGRAM. “Desde febrero 2018 ya no se guarda ni se muestra el usuario de FACEBOOK en LYNGUO dado que esta plataforma social ya no lo facilita. De esta manera, no se guarda ningún dato que pudiera identificar al emisor del comentario en FACEBOOK.” Aportan copia de contratos con proveedores en ANEXO 1, en concreto con DATASIFT y TWEETER redactados en inglés. Como la denunciada no dispone de los documentos en castellano, con fecha 27/03/2018 se remiten al servicio de interpretación-traducción de la AEPD, si bien el 28/03/2018, dicha empresa solicita que se subsanen las copias de los contratos que son ilegibles al cambio de página, donde se corta el literal. Se pide copia íntegra a la solicitante el 2/04/2018 que lo remite el mismo día. Finalmente en correo de 12/04/2018 el Servicio de traducción presenta los dos contratos traducidos, que en resumen indican:

  1. a)“FORMULARIO DE PEDIDO PARA CLIENTES DE Twitter”, Acuerdo marco: Acuerdo de licencia principal con fecha 1/08/2017 entre el cliente y TWITTER INTERNATIONAL Company. En el punto 3 se indica: “Autorización para usar la tecnología de TWITTER solo para acceder al contenido y las ampliaciones de TWITTER para llevar a cabo análisis de tales contenidos y aplicaciones de TWITTER según se expone en el artículo 5,
  2. b)mostrar el contenido de TWITTER solo a usuarios finales en la aplicación del cliente según condiciones permitidas en el pedido.” La mayoría de las clausulas se ocupan del uso y restricciones del mismo y a las copias de datos a usuarios finales por parte del cliente (ADIC en este caso)
  3. b)El contrato con DATASIFT consiste en la impresión de las condiciones generales del servicio procedente de la página web datasift.com/terms. Esta entidad domiciliada en Reino Unido establece como condiciones del servicio la creación de una cuenta para convertirse en cliente. Ofrece acceso y uso de su interfaz de aplicaciones (API) y herramientas de interfaz de cribado de datos (herramientas). Las condiciones generales suponen la obtención de datos con las herramientas y servicios que ofrece el sitio. Se establece la concesión de licencia para utilizar los servicios que ofrecen para acceso y visualización de los datos, copiarlos, o crear trabajos derivados de los datos, En el apartado Información de terceros se indica que los datos disponible a través de los servicios se los proporciona DATASIFT pero se han obtenido o autorizado de fuentes de datos, que pueden consistir en redes sociales, tableros de mensajes, blogs y otros sitios donde los usuarios publiquen comentarios, opiniones y otro contenido como fotos, videos o enlaces. Tales datos pueden incluir detalles como una imagen de perfil, publicaciones, comentarios, nombre de usuario, edad.. “Los usuarios de fuentes de datos deben comprender que aunque somos propietarios y operadores de nuestro sitio web, no somos propietarios ni operamos los sitios web operados por fuentes de datos, y no somos responsables de las prácticas de privacidad de las fuentes de datos o sus sitios web, y no existe obligación por su parte de cumplir con esta política de privacidad C/ Jorge Juan 6 28001 - Madrid http://www.agpd.es https://sedeagpd.gob.es Subdirección General Inspección de Datos 6/25 3. -Cláusulas de las redes sociales que considera que posibilitan la cesión de datos de usuarios a terceros (la Asociación) para los fines por los que la misma trata los datos (monitorización de opiniones, comentarios junto con datos personales). Aporta extracto de las plataformas donde se contienen las cláusulas de privacidad, señalando la dirección web de procedencia: TWITTER: Se informa que la información que usted nos facilita a través de TWITTER es información que nos está pidiendo que hagamos pública. “Puede facilitarnos información de perfil para hacerla pública en TWITTER como por ejemplo una breve biografía, su ubicación, su sitio web. Además, su información pública incluye los mensajes que tuitea, los metadatos facilitados con los tuits, información sobre su cuenta, como el momento de su creación, los tuits que marca como “ME GUSTA” ”TWITTER disemina, amplia e instantáneamente hace su información pública a una amplia gama de usuarios, clientes y servicios, incluyendo motores de búsqueda. Por defecto casi siempre publicamos la información que usted nos facilita a través de los servicios de TWITTER hasta el momento en que usted la elimina, ponemos a su disposición configuraciones o características como tuits protegidos. Para ciertos campos de información de perfil le ofrecemos ajustes de visibilidad para seleccionar quien puede ver esta información en su perfil. Si nos proporciona información de perfil u no puede ver un ajuste de visibilidad, esa información es pública.” INSTAGRAM: Se informa que cualquier información o contenido que divulgues voluntariamente para publicarlo en el Servicio como contenido de usuario, se pone a disposición del público y se controla mediante la configuración de privacidad que establezcas. Para cambiar la configuración de privacidad del servicio, cambia la configuración de tu perfil. Una vez que hayas compartido el contenido de usuario o lo hayas hecho público, otros usuarios pueden volver a compartir dicho contenido de usuario.” “otros usuarios que utilicen la API de Instagram pueden haber copiado la información de un usuario”. YOU TUBE: Se indica que si compartes información públicamente esta puede ser indexada por motores de búsqueda, incluido GOOGLE. 4. Se solicita que informen si cuando se solicita por el cliente un tipo de explotación de datos con una finalidad concreta, se procede al mismo tiempo y en ese momento a suscribir un contrato con el proveedor externo de las redes sociales, precisando si la herramienta que recoge los datos en redes sociales lo hace tras concertar el correspondiente contrato con el servicio que se solicita y la mención de los fines del tratamiento, o si la Asociación ofrece un catálogo de búsquedas y tipos de datos a tratar y su finalidad. ¿Si es el cliente el, que marca el fin del tratamiento de los datos o si es ofertado por la Asociación?. Manifestó que no se suscribe un contrato específico con el proveedor de datos, pues el acceso a los datos ya está cubierto en el contrato celebrado con anterioridad. El cliente contrata con ADIC acceso a una instancia de LYNGUO que se configura para realizar peticiones a diversas fuentes de datos a través de los proveedores externos. ADIC configura la herramienta LYNGUO para recolectar los datos a petición del cliente una vez suscrito el contrato, siendo el cliente el que marca el fin del tratamiento. 5. Se solicita que aporte copia de contrato tipo suscrito con un cliente que contenga un servicio, y si se indica que la ASOCIACIÓN es encargado de tratamiento. C/ Jorge Juan 6 28001 - Madrid http://www.agpd.es https://sedeagpd.gob.es Subdirección General Inspección de Datos 7/25 Aporta en ANEXO 2 copia de un contrato denominado “de servicios de consultoría y monitorización” con “Ediciones el País” de 1/01/2014, duración de un año. Se indica que ADIC se dedica a la investigación y el desarrollo en el campo de la ingeniería del conocimiento y a la prestación de servicios informáticos, y en particular explota el sistema LYNGUO, del cual es titular, y presta servicios de consultoría relacionados con el mismo. El objeto es la celebración de un contrato para realizar una monitorización y análisis de los temas, contenidos y noticias que se generan en la web 2.0 expresado en la cláusula Primera: “ el objetivo de medir a través de las métricas diseñadas por ADIC el impacto que estas noticias tienen en la sociedad.” La actividad se lleva a cabo en las instalaciones de ADIC y se prestan con sus medios técnicos y materiales con personal de su plantilla. En la cláusula DECIMOTERCERA se recoge el epígrafe: ”Acceso a Datos Personales”, en el que se indica:” La presente cláusula tiene por objeto establecer las obligaciones y responsabilidades de las partes intervinientes respecto de los ficheros que contengan datos de carácter personal de Las Partes (en adelante, los datos), a los cuales tengan acceso exclusivamente para el cumplimiento de los servicios que en la actualidad o en el futuro ADIC preste a El País, de conformidad con lo previsto en el artículo 12 de la LOPD. Ambas partes asumen las responsabilidades que puedan corresponderles derivadas de la legislación vigente sobre protección de datos de carácter personal, específicamente de la legislación citada en el párrafo anterior y muy especialmente en relación con los pactos prevenidos en los párrafos siguientes. La entrega de los datos, por parte de El País a ADIC a través de cualquier medio, no tiene la consideración legal de comunicación o cesión de datos, sino de simple acceso a los mismos como elemento necesario para la realización de los servicios establecidos. Los datos son propiedad exclusiva de El País, extendiéndose también esta titularidad a cuantas elaboraciones, evaluaciones, segmentaciones o procesos similares que, en relación con los mismos, realice ADIC de acuerdo con los servicios que presta, declarando las partes que estos datos son confidenciales a todos los efectos, sujetos en consecuencia al más estricto secreto profesional, incluso una vez finalizada toda relación contractual entre las partes derivada de los servicios prestados. ADIC en relación con los datos, se obliga específicamente a: 1. Utilizar o aplicar los datos personales exclusivamente para la realización de los fines establecidos y, en su caso, de acuerdo con las instrucciones impartidas por El País. 2. No comunicarlos, ni siquiera a efectos de su conservación, a otras personas, ni tampoco las elaboraciones, evaluaciones o procesos similares, citados anteriormente, ni duplicar o reproducir toda o parte de la información, resultados o relaciones sobre los mismos. 3. Asegurarse de que los datos sean manejados únicamente por aquellos empleados cuya intervención sea precisa para la finalidad del servicio. 4. Admitir los controles y auditorías que, de forma razonable pretenda realizar El País, a los efectos de cumplimiento, por parte de ADIC, de lo aquí establecido, así como que El País pueda añadir, a los datos personales facilitados, unos registros de control. C/ Jorge Juan 6 28001 - Madrid http://www.agpd.es https://sedeagpd.gob.es Subdirección General Inspección de Datos 8/25 5. Una vez finalizado el objetivo para el que se formaliza este contrato, destruirlos o si el País así se lo indica, devolvérselos a esta, así como también los soportes o documentos en que consten, sin conservar copia alguna. También se contiene una cláusula específicamente dedicada a la CONFIDENCIALIDAD en la que se hace referencia genérica a documentos, sin reseñar nada sobre los datos obtenidos de la labor desarrollada por ADIC para el País 6. Informar del tipo o modo de acceso que de esos datos de carácter personal iniciales recogidos se da al cliente, ¿si se entrega copia, es on-line, etc., y en que formato?. Informen sobre el tiempo que tardan los datos en ser borrados y formas de controlar que el cliente efectivamente ha borrado o destruido los datos proporcionados o a los que tiene acceso. Manifiesta que el cliente tiene acceso a través de la interfaz de usuario de la herramienta accesible on-line a los comentarios recopilados de las fuentes de los datos, y al análisis de sentimiento y categorización de los comentarios a partir del texto de los mismos. “El usuario dispone de filtros de búsqueda que le permiten consultar los comentarios que son de su interés”. ”El cliente puede descargarse los datos mediante una exportación a un fichero en formato Excel.” Precisa que los datos permanecen accesibles al cliente durante la duración del contrato suscrito con ADIC. Una vez acabado el contrato, el cliente dispone de un mes para descargar información y después se cierra el acceso. ADIC custodia durante un año en un backup la información y después se borra. Si el cliente se descarga el fichero, “no disponemos de ninguna forma de controlar el borrado por parte del cliente.” 7. Se solicita que informen si cuando se trata de obtener datos de temas de interés, en redes sociales abiertas se pueden incluir temas de salud, poner ejemplos de los datos y temas que se tratan y los datos que se recogen y resultados que se obtienen. Manifestó que “En nuestro caso, los clientes no monitorizan temas de salud en redes sociales. En términos generales no se utiliza información sensible del usuario o que el usuario no haya publicado expresamente en sus perfiles en las redes que no sea pública”. “Un ejemplo de tratamiento de datos sería el análisis de la conversación de TWITTER e INSTAGRAM en torno a la conversación generada cuando hablamos de cerveza. Los datos generales analizados de la conversación en las redes sociales sobre la cerveza lo conformaron un total de 165.201 comentarios durante aproximadamente tres meses. Se realizaron tres tipos de análisis de la conversación: de la opinión, de la emoción y por categorías. Este estudio sobre la conversación en las redes sobre la cerveza reveló seis temas principales: top tendencias, contenidos destacados, hábitos, tono de la conversación, momentos destacados, familia y amigos. El tipo de conclusiones extraídas fueron que la cerveza se asocia a los momentos de ocio, principalmente al deporte y a la música, y que las comunidades de usuarios se pueden agrupar en seis perfiles principales, según los temas que les interesan: cerveza artesana o industrial, en general o marcas. Aportan el link para más información sobre el caso. En la web ***LINK.1se indica que “expertos del área de Business Analytics del Instituto de Ingeniería del conocimiento utilizaron técnicas de procesamiento de lenguaje natural y la herramienta de monitorización y análisis de redes sociales Lynguo, con lo que fue posible detectar tendencias relevantes relacionadas con la conversación en torno a la cerveza y sus variantes en España.” 8. Según indica en la solicitud, en uno de los módulos de la herramienta, el denominado WARE HOUSE se almacena y se puede consultar la totalidad de los datos analizados. Se solicita que C/ Jorge Juan 6 28001 - Madrid http://www.agpd.es https://sedeagpd.gob.es Subdirección General Inspección de Datos 9/25 informen si se incluyen los comentarios-opiniones junto a datos personales por parte del cliente y si esos datos se entregan al mismo, indicándole la Asociación el plazo en que han de ser suprimidos. Del gráfico enviado se parece visionar el comentario, y el dato de usuario y fecha, hora categoría. Manifiestan que efectivamente, en el WAREHOUSE están juntos, se visualizan y son accesibles por el cliente los siguientes campos para cada comentario: -fecha y hora -usuario -Texto, comentario -Fuente de datos -Análisis del sentimiento -Análisis de categorías -Impacto del usuario No se indica al cliente el plazo para su eliminación. Cuando finaliza el servicio contratado por el cliente se dispone de un mes para descargar la información, y después se cierra el acceso. ADIC custodia un backup un año la información y después se borra. 9. En cuanto a las redes sociales de las que recogen sus datos, ¿una de las posibilidades son por ejemplo las páginas en redes sociales (FACEBOOK o TWITTER) creadas por las propias empresa o marcas, y en cuyo seno se producen los comentarios de los usuarios?, O además, ¿también su aplicación recogen información y datos de cualquier red social de cualquier persona/entidad, si el perfil es público?. Respondió que en el caso de TWITTER se puede recoger cualquier comentario que haya sido emitido en un timeline público de un usuario de TWITTER. En el caso de FACEBOOK solo se puede recoger comentarios en muros públicos, es decir, en muros cuya privacidad ha sido configurada para que el comentario lo pueda leer cualquier usuario de la plataforma. Los muros de las marcas se configuran como públicos por la propia naturaleza de las compañías que les interesa la máxima difusión posible de sus actividades. También se puede recoger información de cualquier persona, entidad, si el perfil es público. 10. Tipología de los tipos datos que se recogen, si recogen también la dirección IP, o datos de salud y si dichos datos se reutilizan o por cuánto tiempo se guardan. Indica que los datos son los que figuran en la tabla de su solicitud, páginas 7 de 9. No se recoge la dirección IP. Es imposible acceder a la IP del usuario final dado que el proveedor de datos no la facilita. No se recogen datos de salud. 11. Informen el motivo por el que para el desarrollo de su actividad de rastreo y búsqueda de información es necesario asociarlas a datos personales y si no sería posible en todos los casos no tratar datos personales, o supuestos en los que no sería ello necesario. Las empresas utilizan las redes sociales como un canal de comunicación con sus clientes o potenciales clientes, de modo que conocer su opinión sobre los productos y servicios que ofrecen es C/ Jorge Juan 6 28001 - Madrid http://www.agpd.es https://sedeagpd.gob.es Subdirección General Inspección de Datos 10/25 clave para mejorar la atención al cliente, y la comercialización de sus productos y servicios. Disponer del identificador de usuario le permite a la empresa poder interaccionar con los usuarios, respondiendo a sus peticiones o quejas. Excluir esta información de la herramienta supondría obstaculizar a la empresa para poder acceder al usuario, lo cual no impediría que lo hiciera por otros medios que facilitan las propias plataformas. 12. En el modo de recogida de datos, se le solicita que informe si se almacenan desde el momento de la recogida los datos personales en relación con la información que sale o se relaciona con los mismos, y si permanecen juntos durante todo el tiempo. Señale si se recogen directamente datos personales, DNI, nombre y apellidos o tipos de identificadores que emplean los usuarios en redes sociales que se consideren datos personales, o datos a través de los que se puede identificar a la persona, con ejemplos. Señala que el único dato que se recoge que se podría considerar personal son los identificadores de los usuarios en la red social. Los comentarios que se vierten en redes sociales van asociados a un identificador de usuario. No se recogen DNI ni nombre y apellidos ni ninguna otra información que pudiera identificar a la persona. 13. Sobre la medida informativa de “Promover la inclusión en sus contratos con los clientes una cláusula que contenga la obligación del cliente de informar, vía electrónica (por ejemplo, en su web o en las propias RRSS) de la monitorización de éstas, con estas finalidades. Por ejemplo, en el sentido de que el cliente hará todos los esfuerzos para publicitar el uso de la herramienta e informar los usuarios de que se usa esta herramienta para monitorizar, etc.…”, se le pregunta si no sería posible además que en dicho indicativo se contuvieran las fechas en las que se van a monitorizar los datos, con un tiempo de antelación, a efectos de que las personas que no deseen que sus datos sean recogidos, lo manifiesten o borren sus datos. Además, se solicita que informen si este supuesto de información está pensado para las propias páginas que las entidades o marcas han creado como usuarios en la red social, vgr. FACEBOOK. Informa que su intención es la de “trasladar al cliente la necesidad de acotar las fechas de monitorización, si bien dependería del propio cliente como hacerlo”. Aprecian dificultades que en determinados casos de una monitorización continuada, ejemplo: detección de tendencias o de múltiples monitorizaciones- ejemplo una Agencia de comunicación o publicidad que estuviera dando servicio a diferentes clientes finales, para que se lleve a cabo esta medida. Respecto de la consulta sobre donde incluir los supuestos de información, no se limitaría a las web corporativas, sino también se incluiría los perfiles sociales de las empresas. 14. En la cláusula informativa de recopilación de datos no figura relación alguna de condiciones para el ejercicio de derechos de acceso, cancelación, oposición, ni operativa procedimental para conseguir ejercitar los mismos, se solicita que informen como articularían dichos procesos. Se añadiría en la misma cláusula que como usuario le asiste la posibilidad de ejercer los derechos a través de una dirección electrónica, y que en el contrato con el cliente se preverá que sea ADIC quien gestione estos derechos en nombre del cliente. Indica que “cuando un usuario elimina o modifica un comentario en TWITER, nuestro sistema recibe una notificación y realiza dicha operación en los datos almacenados en nuestra infraestructura”. “De esta manera, el usuario ejerce su derecho a eliminar o modificar comentarios que haya vertido en la red social. GNIP envía un evento con el identificador del tuit que se ha borrado o modificado, y todos los clientes, nosotros incluidos, que están suscrito al servicio tienen que actualizar sus bases de datos en consecuencia.” C/ Jorge Juan 6 28001 - Madrid http://www.agpd.es https://sedeagpd.gob.es Subdirección General Inspección de Datos 11/25 TERCERO: Con fecha 23/04/2018 se incorpora la consulta de “POLITICA DE DATOS” de FACEBOOK en la que se destaca (el subrayado es de la Agencia): A)”Cuando consultes nuestra política, recuerda que esta se aplica a todas las marcas, los productos y los servicios de Facebook (“Servicios de Facebook” o “Servicios”) que no dispongan de una política de privacidad independiente o estén sujetos a la presente.” ¿Qué tipo de información recopilamos? En función de los Servicios que utilices, se recopilan diferentes tipos de información relacionada contigo. “Tu actividad y la información que proporcionas” Recopilamos el contenido y otros datos que proporcionas cuando usas nuestros Servicios; por ejemplo, cuando te registras para crear una cuenta, creas o compartes contenido y envías mensajes o te comunicas con otros usuarios. La información puede corresponder a datos incluidos en el contenido que proporcionas o relacionados con este, como el lugar donde se hizo una foto o la fecha de creación de un archivo. También recopilamos información sobre el uso que haces de los Servicios; por ejemplo, el tipo de contenido que ves o con el que interactúas, o la frecuencia y duración de tus actividades. “La actividad de otros usuarios y la información que proporcionan” También recopilamos contenido e información que proporcionan otras personas al utilizar nuestros servicios, incluidos los datos sobre ti; por ejemplo, cuando comparten una foto en la que apareces, te envían un mensaje o suben, sincronizan o importan tu información de contacto. “Tus redes y conexiones” Recopilamos información sobre las personas y los grupos a los que estás conectado y cómo interactúas con ellos; por ejemplo, las personas con las que más te comunicas o los grupos con los que te gusta compartir contenido. También recopilamos la información de contacto que proporcionas si subes, sincronizas o importas esta información (por ejemplo, una libreta de direcciones) desde un dispositivo. “Información sobre el dispositivo” Información sobre la conexión, como el nombre del operador de telefonía móvil o del proveedor de servicios de internet, el tipo de navegador, el idioma, la zona horaria, el número de teléfono móvil y la dirección IP. “Información de sitios web y aplicaciones que utilizan nuestros Servicios” Recopilamos información cuando visitas o utilizas sitios web y aplicaciones de terceros que usan nuestros Servicios (por ejemplo, cuando ofrecen nuestro botón “Me gusta” o el inicio de sesión con FACEBOOK, o cuando usan nuestros servicios publicitarios y de medición). Dicha información C/ Jorge Juan 6 28001 - Madrid http://www.agpd.es https://sedeagpd.gob.es Subdirección General Inspección de Datos 12/25 incluye datos acerca de los sitios web que visitas y las aplicaciones que utilizas, el uso que haces de nuestros Servicios en dichos sitios web y aplicaciones, así como datos que el desarrollador o el editor de la aplicación o el sitio web te proporciona a ti o a nosotros. “Información de socios externos” Recibimos información sobre ti y tus actividades dentro y fuera de FACEBOOK que nos proporcionan socios externos; por ejemplo, información de un socio cuando ofrecemos servicios de forma conjunta o de un anunciante acerca de tus experiencias o interacciones con él. “Empresas de Facebook” Recibimos información acerca de ti que nos proporcionan empresas pertenecientes a Facebook o administradas por Facebook, de conformidad con sus condiciones y políticas. “¿Cómo utilizamos esta información?” Nos apasiona crear experiencias atractivas y personalizadas para las personas. Usamos toda la información de la que disponemos para poder ofrecer y mantener nuestros Servicios. El procedimiento es el siguiente: “Proporcionar, mejorar y desarrollar los Servicios” El uso que hacemos de esta información es lo que nos permite ofrecerte nuestros Servicios, personalizar el contenido y proponerte sugerencias. Nos ayuda a comprender cómo utilizas nuestros Servicios y cómo interactúas con ellos y con las personas o el contenido a los que estás conectado y que te interesan, tanto dentro como fuera de ellos. “Comunicarnos contigo” Usamos tu información para enviarte mensajes de marketing, darte a conocer nuestros Servicios e informarte acerca de nuestras políticas y condiciones. También la utilizamos para responderte cuando te pones en contacto con nosotros. “Mostrar y medir anuncios y servicios” Utilizamos la información de la que disponemos para mejorar nuestros sistemas de publicidad y medición con el fin de mostrarte anuncios relevantes, tanto en nuestros Servicios como fuera de ellos, y medir la eficacia y el alcance de los anuncios y servicios. Obtén más información sobre cómo anunciarte en nuestros Servicios y cómo controlar el modo en el que se usan tus datos para personalizar los anuncios que ves. ¿Cómo se comparte esta información? “Compartir contenido en nuestros Servicios” C/ Jorge Juan 6 28001 - Madrid http://www.agpd.es https://sedeagpd.gob.es Subdirección General Inspección de Datos 13/25 Las personas utilizan nuestros Servicios para conectarse con otras personas y compartir contenido con ellas. Para que esto sea posible, compartimos tu información de las siguientes formas: “Personas con las que te comunicas y compartes contenido.” Cuando compartes contenido y te comunicas usando nuestros Servicios, eliges el público que puede ver lo que compartes. Por ejemplo, si publicas algo en Facebook, seleccionas el público de la publicación, que puede ser un grupo personalizado de personas, todos tus amigos o los miembros de un grupo. Del mismo modo, cuando utilizas Messenger, también eliges las personas a las que quieres enviar fotos o mensajes. La información pública es cualquier información que compartes con el público en general, la información de tu perfil público o el contenido que compartes en una página de Facebook o en otro foro público. Cualquier persona puede ver la información pública dentro o fuera de nuestros Servicios. También es posible consultar estos datos o acceder a ellos a través de los motores de búsqueda en internet, las API y los medios de comunicación no relacionados con internet, como la televisión. En algunos casos, las personas con las que te comunicas y compartes información pueden descargar o compartir a su vez dicha información con terceras personas, dentro y fuera de nuestros servicios. Cuando haces un comentario en la publicación de otra persona o haces clic en “Me gusta” en el contenido que ha publicado en Facebook, esa persona decide quién puede ver tu comentario o Me gusta. Si la configuración de privacidad del contenido es “Público”, tu comentario también lo será. “Personas que ven contenido que otros usuarios comparten acerca de ti” Otras personas pueden usar nuestros Servicios para compartir información sobre ti con el público que elijan. Por ejemplo, pueden compartir una foto en la que aparezcas, mencionarte o etiquetarte en un lugar determinado en una publicación, o compartir información sobre ti que tú hayas compartido con ellos. Si te preocupa algo que haya publicado un usuario, puedes usar las herramientas de denuncia social para pedir ayuda a alguien de confianza de forma rápida y sencilla. Más información. “Aplicaciones, sitios web e integraciones de terceros en nuestros Servicios o que utilizan nuestros Servicios” Cuando utilizas aplicaciones, sitios web u otros servicios de terceros que emplean nuestros Servicios o están integrados en ellos, estas plataformas pueden recibir información acerca de lo que publiques o compartas. Por ejemplo, si juegas a un juego con tus amigos de Facebook o utilizas los botones “Comentar” o “Compartir” de Facebook en un sitio web, el desarrollador del juego o el sitio web pueden obtener información sobre tus actividades en el juego o recibir un comentario o enlace que compartas desde su sitio web en Facebook. Además, si descargas o utilizas estos servicios de terceros, estos pueden acceder a tu perfil público, que incluye tu nombre o identificador de usuario, tu intervalo de edad, tu país e idioma, tu lista de amigos y cualquier otro dato que compartas con ellos. La información que recopilan estos sitios web, aplicaciones o servicios integrados está sujeta a sus propias condiciones y políticas. C/ Jorge Juan 6 28001 - Madrid http://www.agpd.es https://sedeagpd.gob.es Subdirección General Inspección de Datos 14/25 “Compartir información dentro de las empresas de Facebook” Compartimos la información que tenemos sobre ti en el grupo de empresas que constituyen Facebook. Obtén más información acerca de nuestras empresas. “Compartir información con socios externos y clientes” Colaboramos con otras empresas que nos ayudan a prestar y mejorar nuestros Servicios, o que utilizan productos publicitarios u otros relacionados. Gracias a ellas, podemos gestionar nuestras empresas y proporcionar servicios gratuitos a personas de todo el mundo. Estos son los tipos de colaboradores externos con los que podemos compartir información sobre ti: Servicios de publicidad, medición y análisis (solo datos que no son de carácter personal) Queremos que la publicidad que encuentres sea tan relevante e interesante como el resto de la información que ves en nuestros Servicios. Con este objetivo, utilizamos toda la información que tenemos acerca de ti para mostrarte anuncios relevantes. No compartimos información que permita identificarte (esto es, datos de carácter personal o información como el nombre o la dirección de correo electrónico, que pueda utilizarse para identificarte o contactar contigo) con socios de publicidad, medición ni análisis, a menos que nos des permiso para ello. Podemos proporcionar a estos socios información acerca del alcance y la eficacia de su publicidad sin incluir información que te identifique, o podemos combinar la información relativa a ti con otra de tal forma que no se te pueda identificar. Por ejemplo, podemos informar a un anunciante acerca del rendimiento de sus anuncios, del número de personas que han visto sus anuncios o que han descargado una aplicación tras ver un anuncio; también podemos proporcionar a estos socios información demográfica que no les permita identificarte (por ejemplo, "mujer de 25 años residente en Madrid a la que le gusta la ingeniería de software"), para ayudarles a conocer a su público o a sus clientes, pero solo una vez que el anunciante haya aceptado cumplir nuestras Normas para anunciantes. Consulta tus preferencias de publicidad para comprender por qué ves un determinado anuncio en Facebook. Puedes ajustar estas preferencias si quieres controlar y administrar la publicidad que ves en Facebook. “Proveedores generales, proveedores de servicios y otros socios” Transferimos información a proveedores generales, proveedores de servicios y otros socios de todo el mundo que nos ayudan a prestar servicios de infraestructura técnica, analizar el uso que se hace de nuestros Servicios, medir la eficacia de los anuncios y servicios, ofrecer atención al cliente, facilitar los pagos o realizar investigaciones académicas y encuestas para mantener nuestro negocio. Estos socios están sujetos a estrictas obligaciones de confidencialidad que se ajustan a esta Política de datos y a los acuerdos que suscribimos con ellos. “Funcionamiento de nuestros servicios globales” C/ Jorge Juan 6 28001 - Madrid http://www.agpd.es https://sedeagpd.gob.es Subdirección General Inspección de Datos 15/25 Facebook puede compartir información por vías internas en el seno de su grupo de empresas o con terceros con los fines que se describen en esta política. La información recopilada dentro del Espacio Económico Europeo (“EEE”) puede, por ejemplo, transferirse a países externos al EEE a los efectos descritos en esta política. Usamos cláusulas contractuales estándar aprobadas por la Comisión Europea, adoptamos otros medios conforme a la legislación de la Unión Europea y obtenemos tu consentimiento para legitimar la transferencia de datos del EEE a Estados Unidos y otros países. Haciendo clic en “información pública” se accede a “Qué se considera información pública?” Donde se informa: “Cualquier persona puede ver contenido público. Esto incluye personas que no sean amigas tuyas, personas que no estén en Facebook y personas que utilicen diferente medios, como soportes impresos, por difusión (por ejemplo, televisión) y otros sitios en internet. Por ejemplo, si utilizas nuestros servicios para proporcionar comentarios públicos en tiempo real sobre un programa de televisión, los comentarios pueden aparecer en el programa o en otro lugar de Facebook. ¿Qué información es pública? Información que compartes que siempre es pública: Parte de la información que nos proporcionas al rellenar tu perfil es pública, como tu intervalo de edad, idioma y país. También utilizamos una parte de tu perfil, denominada "perfil público", para ayudarte a conectar con amigos y familiares. Tu perfil público incluye tu nombre, sexo, nombre de usuario e identificador de usuario (número de cuenta), foto del perfil, foto de portada, y redes. Esta información también es pública. Esta información nos ayuda a conectarte con otras personas de la siguiente forma: -Tu nombre, foto de perfil y foto de portada permiten que tus amigos te reconozcan. -Tu sexo nos ayuda a usar el género correcto (por ejemplo, "Añádela como amiga"). -Incluir tus redes (como tu escuela o lugar de trabajo) permite que los demás te encuentren más fácilmente. -El nombre de usuario y el identificador de usuario (número de cuenta) se encuentran en la URL de tu perfil. -El intervalo de edad nos ayuda a proporcionarte contenido apropiado para tu edad. -El idioma y el país nos ayudan a proporcionar contenido y experiencias adecuadas. Información que compartes de forma pública: Cuando eliges la configuración de privacidad Público (es decir, cuando seleccionas Público como público), este contenido se considera información pública. Si compartes algo y no ves ningún selector de público u otra configuración de la privacidad, esa información también es pública. Obtén más información sobre cómo utilizar el selector de público para controlar con quién compartes cada publicación en Facebook. C/ Jorge Juan 6 28001 - Madrid http://www.agpd.es https://sedeagpd.gob.es Subdirección General Inspección de Datos 16/25 Cosas que comparten otras personas: Si otras personas comparten información sobre ti, aunque se trate de algo que hayas compartido con ellas pero no hayas hecho público, pueden optar por hacerlo público. Además, si comentas las publicaciones públicas de otras personas, tu comentario también será público. Publicaciones en páginas de Facebook o grupos públicos: Las páginas de Facebook y los grupos públicos son espacios públicos. Cualquiera que vea la página o el grupo puede ver tu publicación o comentario. Normalmente, cuando realizas una publicación o un comentario en una página o en un grupo público, puede publicarse una historia en la sección de noticias o en otros lugares de Facebook. Recuerda que la información pública puede:  Asociarse contigo, incluso fuera de Facebook.  Mostrarse cuando alguien realice una búsqueda en FACEBOOK o en otro motor de búsqueda.  Estar accesible para los juegos, aplicaciones y sitios web integrados en Facebook que utilicéis tus amigos y tú  Estar accesible para cualquiera que utilice nuestras API, como la API de la gráfica social ¿Cómo se usan los nombres y los identificadores de usuario en los perfiles de Facebook? Los nombres y los identificadores de usuario son parte de tu perfil público y pueden facilitar que tus amigos te encuentren en Facebook. Obtén información sobre cómo crear un nombre de usuario para tu perfil. Nombre de usuario A menudo tu nombre de usuario es una variación de tu nombre, como maria.garcia33 o ***NOMBRE.1. Puedes crear tu propio nombre de usuario o elegir el que Facebook te sugiera. Algunas de las cosas que puedes hacer con un nombre de usuario es: Crear un enlace personalizado (por ejemplo, ***LINK.2) a tu perfil, que puedes compartir con tus amigos o publicar en sitios web externos.  Tener acceso a información acerca de alguien a través de Facebook. Por ejemplo, si tu nombre es ***NOMBRE.1, tus amigos pueden ir a "***LINK.2" para ver tu perfil y cualquier información pública que hayas incluido en él.  Puedes controlar qué información compartes públicamente. Obtén información sobre cómo modificar la información visible en tu perfil. identificador de usuario C/ Jorge Juan 6 28001 - Madrid http://www.agpd.es https://sedeagpd.gob.es Subdirección General Inspección de Datos 17/25 Un identificador de usuario es una cadena numérica que conecta con tu perfil de Facebook aunque no te identifica personalmente. Recibes automáticamente un identificador de usuario, tanto si eliges crear un nombre de usuario como si no. Obtén más información sobre cómo encontrar tu identificador de usuario. Los identificadores de usuario pueden: Permitir a alguien con el identificador ver tu perfil, incluida cualquier información pública. Obtén información sobre cómo modificar la información visible en tu perfil.  Permitir a otras aplicaciones personalizar tu experiencia a través de la conexión con tu cuenta de Facebook. Cuando permites a las aplicaciones conectar con tu cuenta de Facebook, pueden usar tu identificador de usuario para ver información pública, como tu perfil público o tu lista de amigos.   Cuando experimentas problemas con una aplicación o juego, tu identificador de usuario puede ayudar al desarrollador a investigar mejor el problema para poder entender y abordar tus cuestiones específicas. En la red social TWITTER “política de privacidad” en ***WEB.1, se destaca que los mensajes enviados son públicos de forma predeterminada. “Al utilizar cualquiera de nuestros Servicios, usted da su consentimiento para la recopilación, la transferencia, la manipulación, el almacenamiento, la revelación y otros usos de su información según lo descrito en esta Política de Privacidad. Esto incluye cualquier información que elija proporcionar que se considere sensible según la legislación vigente.” En el apartado de cesión y revelación de datos se indica que “no revelamos sus datos personales excepto en las limitadas circunstancias descritas a continuación Consentimiento o indicación del usuario: podemos compartir o revelar su información siguiendo sus instrucciones, como cuando usted autoriza a un cliente o una aplicación web de un tercero a acceder a su cuenta o cuando nos indica que compartamos sus comentarios con un negocio. No se aprecia en ninguna cláusula que los datos puedan ser cedidos con la finalidad de realizar perfiles o analizar sus manifestaciones. FUNDAMENTOS DE DERECHO I De conformidad con el artículo 36.1 de la LOPD, y el 155 en relación con el 115 del Real Decreto 1720/2007, de 21/12, por el que se aprueba el reglamento de desarrollo de la LOPD (en adelante RLOPD), la competencia para dictar resolución concediendo o denegando la exención del deber de informar corresponde al Director de la Agencia Española de Protección de Datos. II C/ Jorge Juan 6 28001 - Madrid http://www.agpd.es https://sedeagpd.gob.es Subdirección General Inspección de Datos 18/25 La LOPD reconoce el derecho de información, fija el momento en que se ha de informar al interesado y el contenido de dicha información. El citado artículo 5 de la LOPD se constituye en la premisa informativa precisa y necesaria para el ejercicio de los derechos por parte del afectado. Para ello se informa al titular de los datos de modo concreto, expreso e inequívoco de la existencia del fichero o tratamiento, así como de su finalidad y de los destinatarios de la información (cesiones), de la identidad del responsable, del carácter obligatorio o voluntario de las preguntas que les sean formuladas, de las consecuencias de la negativa a suministrar los datos, y de los derechos que reconoce la LOPD al titular de los datos. La información se realiza por el responsable del fichero, sin precisar autorización de esta Agencia. Dispone en concreto el citado artículo 5 de la LOPD: “1. Los interesados a los que se soliciten datos personales deberán ser previamente informado, de modo expreso, preciso e inequívoco: a. De la existencia de un fichero o tratamiento de datos de carácter personal, de la finalidad de la recogida de dichos datos y de los destinatarios de la información. b. Del carácter obligatorio o facultativo de su respuesta a las preguntas que le sean planteadas. c. De las consecuencias de la obtención de los datos o de la negativa a suministrarlos. d. De la posibilidad de ejercitar los derechos de acceso, rectificación, cancelación y oposición. e. De la identidad y dirección del responsable del tratamiento o, en su caso, de su representante. 4. Cuando los datos de carácter personal no hayan sido recabados del interesado, éste deberá ser informado de forma expresa, precisa e inequívoca, por el responsable del fichero o su representante, dentro de los tres meses siguientes al momento del registro de los datos, salvo que ya hubiera sido informado con anterioridad, del contenido del tratamiento, de la procedencia de los datos, así como de lo previsto en las letras a),
  4. d)y
  5. e)del apartado 1 del presente artículo. 5. No será de aplicación lo dispuesto en el apartado anterior, cuando expresamente una ley lo prevea, o cuando la información al interesado resulte imposible o exija esfuerzos desproporcionados, a criterio de la Agencia de Protección de Datos o de organismo autonómico equivalente, en consideración al número de interesados, a la antigüedad de los datos y a las posibles medidas compensatorias. Asimismo, tampoco regirá lo dispuesto en el apartado anterior cuando los datos procedan de fuentes accesibles al público y se destinen a la actividad de publicidad o prospección comercial, en cuyo caso, en cada comunicación que se dirija al interesado se le informará del origen de los datos y de la identidad del responsable del tratamiento así como de los derechos que le asisten.” En el presente supuesto, la solicitante no recaba ni solicita datos. C/ Jorge Juan 6 28001 - Madrid http://www.agpd.es https://sedeagpd.gob.es Subdirección General Inspección de Datos 19/25 III Sobre los términos: “Datos públicos, datos privados, información pública, información en abierto, fuentes de acceso público, perfil público en redes sociales, comentarios públicos en Blogs, diarios etc” La normativa de protección de datos no efectúa una distinción entre datos públicos y privados, y dicha normativa no permite, sin más, el uso de datos que los afectados hayan hecho públicos, sino que otorga con carácter general una protección a los datos personales determinando aquéllos supuestos en que dicho tratamiento resulta conforme a la misma. El artículo 3.j de la LOPD define como fuente de acceso público, no confundir con información pública o hecha pública o perfil público en redes sociales:” Fuentes accesibles al público: aquellos ficheros cuya consulta puede ser realizada, por cualquier persona, no impedida por una norma limitativa o sin más exigencias que, en su caso, el abono de una contraprestación. Tienen consideración de fuentes de acceso público, exclusivamente, el censo promocional, los repertorios telefónicos en los términos previstos por su normativa específica y las listas de personas pertenecientes a grupos de profesionales que contengan únicamente los datos de nombre, título, profesión, actividad, grado académico, dirección e indicación de su pertenencia al grupo. Asimismo, tienen el carácter de fuentes de acceso público los diarios y boletines oficiales y los medios de comunicación.” Este artículo debe de complementarse con lo dispuesto en el artículo 7 del Real Decreto 1720/2007, de 21/12 por el que se desarrolla la LOPD donde establece que “1. A efectos del artículo 3, párrafo
  6. j)de la LOPD, se entenderá que sólo tendrán el carácter de fuentes accesibles al público:
  7. a)El censo promocional, regulado conforme a lo dispuesto en la LOPD.
  8. b)Las guías de servicios de comunicaciones electrónicas, en los términos previstos por su normativa específica.
  9. c)Las listas de personas pertenecientes a grupos de profesionales que contengan únicamente los datos de nombre, título, profesión, actividad, grado académico, dirección profesional e indicación de su pertenencia al grupo. La dirección profesional podrá incluir los datos del domicilio postal completo, número telefónico, número de fax y dirección electrónica. En el caso de Colegios profesionales, podrán indicarse como datos de pertenencia al grupo los de número de colegiado, fecha de incorporación y situación de ejercicio profesional.
  10. d)Los diarios y boletines oficiales.
  11. e)Los medios de comunicación social. 2. En todo caso, para que los supuestos enumerados en el apartado anterior puedan ser considerados fuentes accesibles al público, será preciso que su consulta pueda ser realizada por cualquier persona, no impedida por una norma limitativa, o sin más exigencia que, en su C/ Jorge Juan 6 28001 - Madrid http://www.agpd.es https://sedeagpd.gob.es Subdirección General Inspección de Datos 20/25 caso, el abono de una contraprestación “ Ambas definiciones tienen una enumeración taxativa respecto a lo que cabe considerar como fuentes accesibles al público, lo que impide que consideremos a las páginas web como fuentes accesibles al público. Por ello, para tratar la información contenida en dichas páginas debería de obtenerse el consentimiento de los afectados. Algunas Sentencias de la Audiencia Nacional, sala de lo contencioso, sección 1, han ido perfilando lo que se considera fuente de acceso al público, así a título de ejemplo, no se considera que los datos proceden de fuente de acceso público:
  12. a)Un informe de una ONG existente en su página web, SAN recurso 243/2013 24/10/2014.
  13. b)Supuesto de entidades de crédito colaboradoras en el ingreso de impuestos, que obtienen datos de afectados titulares y obligados al pago de liquidación de cuotas urbanísticas contenidos en una lista que la Oficina que colabora en la actividad recaudadora municipal entrega a los mismos, utilizándola las entidades para informar a los afectados de las condiciones financieras de sus productos, recurso 321/2003.
  14. c)Incorporación en página web de datos procedentes de buzones de correos, recurso 352005.
  15. d)“En relación con la información recabada de INTERNET, concretamente del sitio “www.guiasaludmedica.com.”, tampoco puede decirse que lo haya sido de una fuente accesible al público pues tal sitio a la vista de sus contenidos no puede tener la consideración de medio de comunicación en el sentido expresado en el apartado
  16. j)del art. 3 como sostiene el recurrente. A los efectos de este precepto, por medio de comunicación debemos entender aquellas estructuras organizadas que se dedican de forma profesional a obtener, procesar y difundir de forma masiva información o cualquier otro tipo de contenidos siempre que gocen de relevancia pública, cualquiera que sea el soporte que utilicen para el desarrollo de dicha actividad (audiovisual, escrita, digital a través de INTERNET, etc...(recurso 220/2007). También el tribunal Constitucional en su sentencia (Pleno) núm. 292/2000 de 30 /11, fundamento jurídico 6, indica: “De este modo, el objeto de protección del derecho fundamental a la protección de datos no se reduce sólo a los datos íntimos de la persona, sino a cualquier tipo de dato personal, sea o no íntimo, cuyo conocimiento o empleo por terceros pueda afectar a sus derechos, sean o no fundamentales, porque su objeto no es sólo la intimidad individual, que para ello está la protección que el art. 18.1 CE otorga, sino los datos de carácter personal. Por consiguiente, también alcanza a aquellos datos personales públicos, que por el hecho de serlo, de ser accesibles al conocimiento de cualquiera, no escapan al poder de disposición del afectado porque así lo garantiza su derecho a la protección de datos. También por ello, el que los datos sean de carácter personal no significa que sólo tengan protección los relativos a la vida privada o íntima de la persona, sino que los datos amparados son todos aquellos que identifiquen o permitan la identificación de la persona, pudiendo servir para la confección de su perfil ideológico, racial, sexual, económico o de cualquier otra índole, o que sirvan para cualquier otra utilidad que en determinadas circunstancias constituya una amenaza para el individuo”. C/ Jorge Juan 6 28001 - Madrid http://www.agpd.es https://sedeagpd.gob.es Subdirección General Inspección de Datos 21/25 El hecho de que los datos hayan sido hecho públicos por los interesados no ampara su tratamiento en la forma pretendida en la consulta. Resulta aquí de interés la sentencia 363/2017 de la Sala de lo Civil del Tribunal Supremo al señalar lo siguiente: “ Que en la cuenta abierta en una red social en Internet, el titular del perfil haya "subido" una fotografía suya que sea accesible al público en general, no autoriza a un tercero a reproducirla en un medio de comunicación sin el consentimiento del titular, porque tal actuación no puede considerarse una consecuencia natural del carácter accesible de los datos e imágenes en un perfil público de una red social en Internet. La finalidad de una cuenta abierta en una red social en Internet es la comunicación de su titular con terceros y la posibilidad de que esos terceros puedan tener acceso al contenido de esa cuenta e interactuar con su titular, pero no que pueda publicarse la imagen del titular de la cuenta en un medio de comunicación.” Los usuarios como tales usuarios de la red social tienen entre sus expectativas que los datos y contenidos que publican puedan ser vistos por otros usuarios de la red, con el grado de privacidad que en su configuración establezcan, pero no figura entre tales expectativas la de ser rastreados por un robot, sin su conocimiento ni consentimiento, que recoja y almacene masivamente las informaciones a ellos relativas, sus relaciones con otros usuarios de la red de que se trate y la interrelación de las informaciones a ellos referidas publicadas en otras redes sociales. En el presente supuesto, los datos de las redes sociales o de blogs que se hagan en comentarios abiertos no significa que sean, a efectos de la LOPD de uso público, indiferenciado o libre por tal circunstancia, suponiendo que se necesitaría el consentimiento de los afectados. IV En lo que a datos personales tratados en el marco de las redes sociales se refiere el Grupo de Trabajo del artículo 29, en su Dictamen 5/2009 relativo a las redes sociales en línea señala que cuando una persona se convierte en usuaria de una red social, tiene “una expectativa legítima de que los datos personales que revelan sean tratados de acuerdo con la legislación europea y nacional relativa a la protección de datos y de la intimidad. “ En este sentido ya el Memorandum de Roma, adoptado en marzo de 2008 por el Grupo de Trabajo internacional de Berlín sobre protección de datos en las telecomunicaciones pone de manifiesto que los datos personales contenidos en las redes sociales no constituyen datos de libre uso. Por consiguiente, no existiendo en el marco regulador de la protección de datos tal distinción entre datos públicos y privados, el tratamiento de los datos suministrados voluntariamente a una red social que resulten accesibles a todos los miembros de la misma con una finalidad distinta de aquellas para las que el usuario ha prestado su consentimiento informado debe encontrar un fundamento en la LOPD. V Sobre si se tratan datos de carácter personal que identifiquen o puedan hacer identificable a una persona La LOPD define los datos personales en su artículo 3.
  17. a)como “cualquier información concerniente a personas físicas identificadas o identificables.” El artículo 5.
  18. o)del RLOPD que señala: ”Persona identificable: toda persona cuya identidad pueda determinarse, directa o indirectamente, mediante cualquier información referida a su identidad física, fisiológica, psíquica, económica, cultural o social. Una persona física no se considerará identificable si dicha identificación requiere plazos o actividades desproporcionados.” C/ Jorge Juan 6 28001 - Madrid http://www.agpd.es https://sedeagpd.gob.es Subdirección General Inspección de Datos 22/25 Dicha definición procede del artículo 2 de la Directiva 95/46/CE, del Parlamento Europeo y del Consejo, de 24/10/1995, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, según el cual se entenderán por datos personales "toda información sobre una persona física identificada o identificable (el "interesado"); se considerará identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un número de identificación o uno o varios elementos específicos, característicos de su identidad física, fisiológica, psíquica, económica, cultural o social». El Grupo de trabajo del artículo 29, órgano consultivo independiente de la Unión Europea sobre protección de los datos y la vida privada, creado en virtud de lo previsto en el citado artículo de la Directiva 95/46/CE, en su Dictamen 4/2007 sobre el concepto de datos personales, tras poner de manifiesto que la Directiva maneja un concepto lato de datos personales, analiza los elementos de dicha definición, señalando respecto a la expresión “toda información” lo siguiente: “Desde el punto de vista de la naturaleza de la información, el concepto de datos personales incluye todo tipo de afirmaciones sobre una persona. Por consiguiente, abarca información «objetiva» como, por ejemplo, la presencia de determinada sustancia en su sangre, pero también informaciones, opiniones o evaluaciones «subjetivas». Esta última clase de afirmaciones constituye una parte considerable del caudal de datos personales tratados en sectores como el de la banca, para evaluar la fiabilidad de los prestatarios («Fulano es un prestatario fiable»), el asegurador («no se espera que Fulano muera pronto») o el laboral («Fulano es un buen trabajador y merece un ascenso»). Para que esas informaciones se consideren «datos personales», no es necesario que sean verídicas o estén probadas. De hecho, las normas de protección de datos prevén la posibilidad de que la información sea incorrecta y confieren al interesado el derecho de acceder a esa información y de refutarla a través de los medios apropiados. Desde el punto de vista del contenido de la información, el concepto de datos personales incluye todos aquellos datos que proporcionan información cualquiera que sea la clase de ésta. Por supuesto esto incluye la información personal considerada «datos sensibles» en el artículo 8 de la Directiva a causa de su naturaleza particularmente delicada, pero también otras categorías más generales de información. El término «datos personales» comprende la información relativa a la vida privada y familiar del individuo stricto sensu, pero también la información sobre cualquier tipo de activad desarrollada por una persona, como la referida a sus relaciones laborales o a su actividad económica o social. El concepto de «datos personales» abarca, por lo tanto, información sobre las personas, con independencia de su posición o capacidad (como consumidor, paciente, trabajador por cuenta ajena, cliente, etc.).” Como continuación de dicho análisis el Grupo de trabajo examina el término “sobre” indicando que “ya se ocupó anteriormente de la cuestión de cuándo puede considerarse que una información versa «sobre» una persona. En el marco de sus debates sobre los problemas de protección de datos planteados por las etiquetas RFID, el Grupo de trabajo señaló que un «dato se refiere a una persona si hace referencia a su identidad, sus características o su comportamiento o si esa información se utiliza para determinar o influir en la manera en que se la trata o se la evalúa». En el presente supuesto se recogen datos de usuarios, sus opiniones o manifestaciones asociadas al mismo. En algunas ocasiones los usuarios se registran con su propio nombre y C/ Jorge Juan 6 28001 - Madrid http://www.agpd.es https://sedeagpd.gob.es Subdirección General Inspección de Datos 23/25 apellidos identificándose plenamente. Junto a ello, también se recogen: -fecha, -localización del usuario detallada en la biografía. -datos en forma de ranking de usuarios con influencia social, mas de mil seguidores. -datos en forma de ranking de usuarios mas activos o que reciben mas likes. -datos en forma de ranking de usuarios que que hablan más en positivo o negativo de la marca. Al recogerse datos de carácter personal, resulta de aplicación la LOPD. VI Según la solicitud, la base del tratamiento de los datos procede de que los usuarios de redes sociales han prestado su consentimiento para la cesión que tiene lugar cuando se registran como usuarios, y que los datos e información son “información pública”. Que sean información pública, es decir que figure en abierto para los integrantes de las redes o personas ajenas a la misma no presupone a efectos de la LOPD que dichos datos y dichas opiniones puedan ser recogidos para formar una base de datos o un fichero. Realizado el análisis sobre la política de privacidad en FACEBOOK o TWITTER, en ninguna de sus clausulas se establece o se constata que exista información específica sobre el monitoreo o rastreo de datos e información asociada a los mismos de los usuarios a terceras empresas con los fines propios que la solicitante tiene, de prestación de un servicio a un cliente para análisis de opiniones o manifestaciones en las redes. De acuerdo con la LOPD, artículos 6.1 y 11: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6 , de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado.” Artículo 11: “1. Los datos de carácter personal objeto del tratamiento sólo podrán ser comunicados a un tercero para el cumplimiento de fines directamente relacionados con las funciones legítimas del cedente y del cesionario con el previo consentimiento del interesado. 2. El consentimiento exigido en el apartado anterior no será preciso:
  19. a)Cuando la cesión está autorizada en una ley. C/ Jorge Juan 6 28001 - Madrid http://www.agpd.es https://sedeagpd.gob.es Subdirección General Inspección de Datos 24/25
  20. b)Cuando se trate de datos recogidos de fuentes accesibles al público.
  21. c)Cuando el tratamiento responda a la libre y legítima aceptación de una relación jurídica cuyo desarrollo, cumplimiento y control implique necesariamente la conexión de dicho tratamiento con ficheros de terceros. En este caso la comunicación sólo será legítima en cuanto se limite a la finalidad que la justifique.
  22. d)Cuando la comunicación que deba efectuarse tenga por destinatario al Defensor del Pueblo, el Ministerio Fiscal o los Jueces o Tribunales o el Tribunal de Cuentas, en el ejercicio de las funciones que tiene atribuidas. Tampoco será preciso el consentimiento cuando la comunicación tenga como destinatario a instituciones autonómicas con funciones análogas al Defensor del Pueblo o al Tribunal de Cuentas.
  23. e)Cuando la cesión se produzca entre Administraciones públicas y tenga por objeto el tratamiento posterior de los datos con fines históricos, estadísticos y científicos.
  24. f)Cuando la cesión de datos de carácter personal relativos a la salud sea necesaria para solucionar una urgencia que requiera acceder a un fichero o para realizar los estudios epidemiológicos en los términos establecidos en la legislación sobre sanidad estatal o autonómica. 3. Será nulo el consentimiento para la comunicación de los datos de carácter personal a un tercero, cuando la información que se facilita al interesado no le permita conocer la finalidad a que destinarán los datos cuya comunicación se autoriza o el tipo de actividad de aquel a quien se pretenden comunicar. 4. El consentimiento para la comunicación de los datos de carácter personal tiene también un carácter de revocable. 5. Aquel a quien se comuniquen los datos de carácter personal se obliga, por el solo hecho de la comunicación, a la observancia de las disposiciones de la presente Ley. 6. Si la comunicación se efectúa previo procedimiento de disociación, no será aplicable lo establecido en los apartados anteriores.” No existiendo habilitación directa para el tratamiento de los datos ni habilitación para la cesión de los mismos, no se entiende que el tratamiento de los datos expuestos por la solicitante cumpla los requisitos de la LOPD. No entendiendo el tratamiento de datos que se pretende llevar a cabo cuente con el consentimiento del afectado ni existiendo cláusula de cesión específica para los fiches que pretende la solicitante, no procedería estimar la exención del consentimiento al no constar el presupuesto para entrar a valorar la exención. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DENEGAR a la ASOCIACIÓN PARA EL DESARROLLO DE LA INGENIERIA DEL CONOCIMIENTO (ADIC) la aplicación de lo dispuesto en el artículo 5.5 de la LOPD. C/ Jorge Juan 6 28001 - Madrid http://www.agpd.es https://sedeagpd.gob.es Subdirección General Inspección de Datos 25/25 SEGUNDO: NOTIFICAR la presente resolución a la ASOCIACIÓN PARA EL DESARROLLO DE LA INGENIERIA DEL CONOCIMIENTO (ADIC). De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30/12, de medidas fiscales, administrativas y del orden social, y del 116 del RLOPD, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22/12, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del RLOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 123 de la Ley 39/2015 de 1/10, del Procedimiento Administrativo Común de las Administraciones Públicas, se podrá interponer potestativamente recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13/07, reguladora de la Jurisdicción Contencioso-administrativa (en lo sucesivo LJCA), en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan 6 28001 - Madrid http://www.agpd.es https://sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.