1/8 Expediente N.º: EXP202401564 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes, HECHOS PRIMERO: Con fecha 26/11/2023 se presentó denuncia ante la Agencia Española de Protección de Datos contra SOCIAL LINKS, INC con domicilio en Nueva YorkESTADOS UNIDOS (en adelante, la parte reclamada/ SOCIAL LINKS). Los motivos en que se basa la denuncia son los siguientes: El denunciante manifiesta que ha tenido conocimiento, a través de varias publicaciones digitales, de una Conferencia de Seguridad que tuvo lugar en París (FRANCIA), en la que la empresa, SOCIAL LINKS, en fecha 14/11/2023, realizó una demostración consistente en introducir datos recopilados por su herramienta informática, en ***APLICACIÓN.1, a fin de evaluar las reacciones online al acuerdo alcanzado para otorgar la amnistía a los políticos catalanes, que intentaron obtener la independencia regional. Dicha herramienta informática, escaneó las publicaciones de ***RED SOCIAL (…), buscó tuits que contenían palabras clave y hashtags y, posteriormente, las analizó ***APLICACIÓN.1 para evaluar los sentimientos de los internautas como positivos, negativos o neutrales, mostrando los resultados en un gráfico. Junto a la denuncia se aportaban las siguientes direcciones URL: - Enlace a un artículo del diario ***DIARIO.1 ***URL.1, que hace referencia a otro artículo publicado en Forbes ***URL.
- - Impresión de la sección “ABOUT US” [Traducción no oficial: “ACERCA DE NOSOTROS”] del sitio web de SOCIAL LINKS. SEGUNDO: En fecha 14/10/2024 se envió requerimiento a SOCIAL LINKS, a fin de que facilitara a esta Agencia la información siguiente: “
- ¿Quién es el responsable o el encargado del tratamiento objeto de la reclamación?
- ¿Hay más de un establecimiento del responsable o del encargado del tratamiento en el Espacio Económico Europeo (en adelante, EEE)?
- En caso afirmativo, ¿dónde se encuentra el establecimiento principal?, es decir ¿dónde se encuentra la administración central o el establecimiento que toma las decisiones sobre los fines y los medios del tratamiento?
- En caso de que no haya establecimientos del responsable en el EEE, ¿dónde se encuentra el representante de su compañía en el EEE? Y ¿Cuáles es su domicilio y sus datos de contacto? C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/8
- ¿El tratamiento se está llevando a cabo en el contexto de las actividades de establecimientos situados en más de un Estado miembro?
- ¿El tratamiento afecta o es probable que afecte sustancialmente a los interesados en más de un Estado miembro?
- Cualquier otra que considere relevante.” Asimismo, con fecha del 18/10/2024 se remitió a la cuenta de correo electrónico ***EMAIL.1 el citado requerimiento. TERCERO: Al no haberse obtenido respuesta, en fecha 8/05/2025 y a través del “Sistema de Información del Mercado Interior” (IMI), se realizó una solicitud a la Autoridad de Control de Protección de Datos de Países Bajos (en adelante, SA Países Bajos), a fin de que hiciese llegar a SOCIAL LINKS el citado requerimiento, al tener esta compañía, domicilio en los Países Bajos. En fecha 23/06/2025, a través de IMI, la (…) envía la contestación dada por (…) a este requerimiento de información. SOCIAL LINKS también envía esta contestación a esta Agencia, directamente vía postal, teniendo entrada en la AEPD el 1/07/
- En esta contestación se aporta, entre otra, la siguiente información
- Respecto al uso de los datos, SOCIAL LINKS declara lo siguiente: “Social Links is the developer of (…) software, offers its products to legal entities via a Software as a Service (SaaS) model. As is customary for SaaS solutions, all user data is stored in the user's personal account, with exclusive access granted to the user. Social Links does not possess information regarding the type or category of data processed by our clients. The responsibility for legal compliance, including but not limited to compliance with the General Data Protection Regulation, rests entirely with the clients processing the data. In other words, Social Links does not legally receive any data from clients to store, process, share, or transmit it in any way. Our role is limited to providing storage capacity, software capabilities, network bandwidth, etc. which clients may utilize at their discretion in accordance with applicable laws. Clients bear full responsibility for ensuring their activities comply with all relevant legal requirements based on the nature of their data and operations.” [Traducción no oficial: “Social Links es el desarrollador del software (…), ofrece sus productos a personas jurídicas a través de un modelo de Software como Servicio (SaaS). Como es habitual para las soluciones SaaS, todos los datos del usuario se almacenan en la cuenta personal del usuario, con acceso exclusivo otorgado al usuario. Social Links no posee información sobre el tipo o categoría de datos procesados por nuestros clientes. La responsabilidad del cumplimiento legal, incluido, entre otros, el cumplimiento del Reglamento General de Protección de Datos recae completamente en los clientes que procesan los datos. En otras palabras, Social Links no recibe legalmente ningún dato de los clientes para almacenarlo, procesarlo, compartirlo o transmitirlo de ninguna manera. Nuestra función se limita a proporcionar capacidad de almacenamiento, capacidades de software, ancho de banda de red, etc., que C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/8 los clientes pueden utilizar a su discreción de acuerdo con las leyes aplicables. Los clientes son plenamente responsables de garantizar que sus actividades cumplan con todos los requisitos legales pertinentes en función de la naturaleza de sus datos y operaciones.”]
- Respecto a quién es el responsable o el encargado del tratamiento realizado durante la presentación de SOCIAL LINKS en la Milipol París 2023, declaran lo siguiente: “At Milipol Paris 2023, Social Links did not present personal data in connection with the demonstration of an assessment of internet users' feelings as positive. negative, or neutral to an event. Therefore, there is no controller or processor as defined in the General Data Protection Regulation, because no personal data has been processed.” [Traducción no oficial: “En Milipol Paris 2023, Social Links no presentó datos personales en relación con la presentación de una evaluación de los sentimientos de los usuarios de Internet como positivos, negativos o neutrales ante un evento. Por lo tanto, no existe un controlador o procesador tal como se define en el Reglamento General de Protección de Datos, porque no se han procesado datos personales.”]
- Respecto a la presentación realizada durante la Milipol París 2023, SOCIAL LINKS declara que no disponen de ninguna grabación del evento e indican que “At Milipol Paris 2023, Social Links showcased its software's capabilities related to the assessment of topics (events). The final result of this was a graph with information about topics (events) and assessment ("positive" or "negative"), which did not include any personal data. The graph was created using publicly available information, and only anonymous information was processed during its creation.” [Traducción no oficial: “En Milipol Paris 2023, Social Links mostró las capacidades de su software relacionadas con la evaluación de temas (eventos). El resultado final de esto fue un gráfico con información sobre temas (eventos) y evaluación ("positivo" o "negativo"), que no incluía ningún dato personal. El gráfico se creó utilizando información disponible públicamente, y solo se procesó información anónima durante su creación.”] Además, indican que: “The demonstration of the software was carried out in real-time, and the only available support material is a graph picture.” [Traducción no oficial: “La presentación del software se llevó a cabo en tiempo real, y el único material de soporte disponible es una imagen gráfica.”] Y aportan un gráfico en el que aparecen varias palabras, asociaciones de palabras y hashtags catalogados en círculos de distintos tamaños y colores: “Negative” (en rojo), “Positive” (en verde) y “Neutral” (en gris). Por ejemplo, se aprecian las siguientes asociaciones: “(…) - Positive”, “(…) - Negative”, “(…)- Positive”, “(…) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/8 Neutral", “(…) - Positive”, “(…) - Negative", “(…) - Negative", “(…) - Negative", “(…) Positive"… CUARTO: Teniendo en cuenta la relevancia de la información, resulta necesario conocer en profundidad los hechos descritos y los tratamientos llevados a cabo para, en su caso, determinar las consecuencias que de ellos pueden derivarse para los derechos y libertades de las personas. En relación con lo anterior, la necesidad de evaluar las implicaciones en materia de protección de datos personales requiere la apertura de una investigación para verificar estos extremos y, en su caso, la adecuada observancia de la normativa. Por ello, de acuerdo con lo señalado y de conformidad con el artículo 67.2 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales, por la entonces Directora de la Agencia Española de Protección de Datos, se acordó abrir una investigación de oficio y se instó a la Subdirección General de Inspección de Datos, a que iniciara actuaciones previas de investigación tendentes a acreditar estos hechos y su autoría, teniendo conocimiento de los siguientes extremos: - Artículo de la revista digital FORBES, aportado por el denunciante: En este artículo, respecto a la presentación realizada en París, se manifiesta lo siguiente: <<It remains a powerful tool to monitor people’s activities online, one that the company promotes as useful for tracking protest movements. In a conference demo, Social Links analyst A.A.A. used the software to evaluate the online reaction to a controversial deal recently cut by (…). The tool scanned ***RED SOCIAL.1 for posts containing keywords and hashtags, including “(…)” and ran them through ***APLICACIÓN.1, which assessed their sentiment as positive, negative or neutral, displaying the results in an interactive graph. The tool is also capable of quickly summarizing and dissecting online discussions on major platforms like ***PLATAFORMA.1, picking out commonly-discussed topics. It’s also possible within Social Links to search for facial recognition matches once the tool has flagged that someone is presenting “negative” sentiment on social media, according to (…) presentation. The user can take a face and, using Social Links’ own algorithms, look for matches across social media, giving police a wider view of the individual’s identity. “The possibilities are really endless,” A.A.A. added. B.B.B. said that the company doesn’t store facial images, but scours the web for matches. He added that it was similar to a reverse image search on (…), though Social Links also uses its own facial recognition software that can look through public social media groups and users’ photo collections.>> [Traducción no oficial: <<Sigue siendo una herramienta poderosa para supervisar las actividades de las personas en línea, que la empresa promueve como útil para rastrear los movimientos de protesta. En una presentación en la conferencia, el analista de Social Links A.A.A. utilizó el software para evaluar la reacción en línea a un controvertido acuerdo recientemente acordado por el (…). La herramienta escaneó ***RED SOCIAL.1 en busca de publicaciones que contenían palabras clave y hashtags, incluida la “(...)”, y las dirigió a través de ***APLICACIÓN.1, que evaluó su sentimiento como positivo, negativo o neutro, mostrando los resultados en un gráfico interactivo. La herramienta también es capaz de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/8 resumir y diseccionar rápidamente las discusiones en línea en las principales plataformas como ***PLATAFORMA.1, eligiendo temas comúnmente discutidos. También es posible en Social Links buscar coincidencias de reconocimiento facial una vez que la herramienta ha señalado que alguien presenta un sentimiento “negativo” en las redes sociales, según la presentación de A.A.A.. El usuario puede tomar una cara y, utilizando los propios algoritmos de Social Links, buscar coincidencias en las redes sociales, dando a la policía una visión más amplia de la identidad de la persona. “Las posibilidades son realmente infinitas”, añadió A.A.A.. B.B.B. dijo que la empresa no almacena imágenes faciales, sino que busca coincidencias en la web. Añadió que era similar a una búsqueda inversa de imágenes en (…), aunque Social Links también utiliza su propio software de reconocimiento facial que puede buscar en grupos de redes sociales y colecciones de fotos de los usuarios públicas.>>] - Impresión de la sección “ABOUT US” [Traducción no oficial: “ACERCA DE NOSOTROS”] del sitio web de SOCIAL LINKS. Entre otra información, en esta sección, se indica lo siguiente: Las oficinas centrales de SOCIAL LINKS están en “(…), UNITED STATES”. En la Unión Europea, SOCIAL LINKS cuenta con dos subsidiarias: - La marca para la Unión Europea: “(…)” - El centro de I+D: “(…)”. - El Centro de Proceso de Datos se encuentra en Helsinki (Finlandia). Respecto a los datos que almacenan, se indica que: “We don't store, and log data received as a result of search queries. Our solution is working in real-time mode, all the data is extracted during endpoint operation, and only meta-information about requests is stored (endpoint name, start time, etc.)” [Traducción no oficial: “No almacenamos ni registramos los datos recibidos como resultado de consultas de búsqueda. Nuestra solución funciona en tiempo real, todos los datos se extraen mientras la operación se está llevando a cabo y solo se almacena meta-información sobre las solicitudes (nombre del punto final, hora de inicio, etc.)”] El documento “DATA PROCESSING AGREEMENT” [Traducción no oficial: “ACUERDO DE TRATAMIENTO DE DATOS”], publicado en el sitio web de SOCIAL LINKS, en el que figura como fecha de última actualización del documento el 10/11/2022 y se nombra como responsable de los datos, en los términos del Reglamento General de Protección de Datos (en adelante, RGPD) a “(…)”. - El 7/07/2025 se realiza una navegación en el sitio web ***URL.3 de la que se obtiene la siguiente información: SOCIAL LINKS ofrece a sus clientes una suite de extracción de información de más de 500 fuentes, entre las que se incluyen las redes sociales, mensajería, blockchains y la Dark web. Su producto (…) es una herramienta para la investigación, basada en fuentes abiertas (es decir, información que es pública C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/8 en Internet). Más concretamente, el párrafo de presentación del producto es el siguiente “A FULL-CYCLE OSINT INVESTIGATION PLATFORM An all-in-one solution that streamlines the entire investigation process, combining in-depth data extraction across 500+ open sources with user-friendly visualization and analysis features, to deliver insightful, actionable results fast” [Traducción no oficial: “UNA PLATAFORMA DE INVESTIGACIÓN OSINT DE CICLO COMPLETO Una solución todo en uno que agiliza todo el proceso de investigación, combinando la extracción de datos en profundidad a través de más de 500 fuentes abiertas con funciones de visualización y análisis fáciles de usar, para ofrecer resultados perspicaces y accionables rápidamente”] FUNDAMENTOS DE DERECHO I Competencia De acuerdo con las funciones que el artículo 57.1 a), f) y h) del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) confiere a cada autoridad de control y según lo dispuesto en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Cuestiones previas El RGPD tiene por objeto garantizar el derecho a la protección de los datos de las personas físicas. El artículo 4.1 del RGPD entiende por “datos personales”:“ toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona;”. El artículo 4.2 del RGPD define el “tratamiento”, como “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/8 ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción;” III Conclusión Del examen de los documentos obrantes en el expediente, se concluye que el 14/11/2023, en la Conferencia sobre Seguridad Milipol París 2023, SOCIAL LINKS realizó una demostración de cómo su herramienta informática, (…), podía extraer información de redes sociales para ver cómo era el estado de la opinión sobre la amnistía a presos relacionados con la declaración de independencia de Cataluña. Y así, se mostró un gráfico en el que se indicaba la valoración positiva, negativa o neutra sobre dicho asunto. SOCIAL LINKS informa que “El gráfico se creó utilizando información disponible públicamente, y solo se procesó información anónima durante su creación. La herramienta informática escaneó las publicaciones de ***RED SOCIAL.1 (…), buscó tuits que contenían palabras clave y hashtags y, posteriormente, las analizó ***APLICACIÓN.1 como positivo, negativo o neutral, mostrando los resultados en un gráfico. Dicha herramienta informática captura información publicada en Internet para investigaciones (OSINT), producto que se ofrece como “Software as a Service”, es decir, que sus clientes tienen un acceso online al producto y, de acuerdo con las declaraciones de SOCIAL LINKS, los clientes son los únicos que tienen acceso a los datos y las investigaciones que realizan dentro de su cuenta de usuario, sin que SOCIAL LINKS haga nada con ellos, aparte de ofrecer los servicios para que el software funcione: capacidad de almacenamiento, capacidades de software, ancho de banda de red, etc. Dicho esto, SOCIAL LINKS alega que no realiza tratamiento de datos personales por cuanto, la herramienta informática permite hacer una búsqueda entre mensajes en abierto en redes sociales sobre, en este caso, (…). Centrándonos en el evento de demostración de París, queda acreditado que no se mostró ningún dato personal, además, el autor de la presentación estaba actuando como usuario, por lo que estaría realizando el tratamiento de datos personales que se les atribuye a los usuarios. En resumen, SOCIAL LINKS manifiesta no almacenar, procesar, compartir o transmitir datos de sus clientes, sino que su función se limita a proporcionar capacidad de almacenamiento, capacidades de software, ancho de banda de red, etc., que los clientes pueden utilizar a su discreción de acuerdo con las leyes aplicables. Los clientes son plenamente responsables de garantizar que sus actividades cumplan con todos los requisitos legales pertinentes en función de la naturaleza de sus datos y operaciones. Por lo tanto, en base a lo indicado en los párrafos anteriores, no se han encontrado evidencias que acrediten la existencia de infracción en el ámbito competencial de la Agencia Española de Protección de Datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/8 Todo ello sin perjuicio de las posibles actuaciones posteriores que esta Agencia pudiera llevar a cabo, aplicando los poderes de investigación y correctivos que ostenta. Así pues, al no haber sido posible atribuir la responsabilidad por el tratamiento, de acuerdo con lo señalado, por la Presidencia de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a SOCIAL LINKS, INC y a la parte reclamante. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez sea firme en vía administrativa. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.c) de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 940-120525 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es