1/5 Ref.: EXP202403476 Asunto: Acuerdo de adopción de medida provisional La Agencia Española de Protección de Datos (AEPD) ha tenido conocimiento del futuro tratamiento de datos personales a gran escala que a continuación se describe y que presuntamente vulnera la legislación en materia de protección de datos personales. I Hechos Con fecha 28 de febrero de 2024, a través del A61VMN 612500, la autoridad irlandesa (DPC) compartió con las Autoridades de Protección de Datos información relacionada con ***, dos nuevas funcionalidades para los productos Facebook e Instagram. Meta Platforms Ireland Limited (en lo sucesivo META) tendría intención de poner en marcha dos funcionalidades en sus productos Instagram y Facebook. *** (Election Day Information - EDI) *** y *** (Voter Information Unit -VIU) ***. Indican que tienen intención de que todos los usuarios de Instagram y Facebook de la UE con derecho a voto, ***, vean los recordatorios VIU y EDI para las próximas elecciones parlamentarias de la UE. *** Ante las dudas generadas por el tratamiento de datos que pueden comportar estas funcionalidades, esta Agencia se dirigió a la DPC, con fecha 22 de abril, para hacerle llegar un cuestionario con preguntas referidas al tratamiento de datos que prende realizar META con motivo de la puesta en marcha de ambas funcionalidades. Al mismo tiempo se consultó a la DPC sobre si existía algún procedimiento en curso o si se había llevado a cabo un análisis para determinar si los nuevos tratamientos de datos son conformes al RGPD. La DPC no ha contestado a tales preguntas, pero sí remitió el cuestionario a META y ha facilitado a esta AEPD la respuesta dada por aquella, con fecha 29 de abril de 2024. • *** Teniendo en cuenta lo anterior cabe realizar las siguientes consideraciones: PRIMERO: En relación con la base de legitimación alegada por META, se ha de indicar que META es una entidad privada, con una finalidad comercial, y cuya actividad principal consiste en proporcionar una plataforma de red social que se financia mediante la venta de espacios publicitarios, fundamentalmente vinculada a la elaboración de perfiles de los usuarios. Sin embargo, la celebración de elecciones democráticas y el libre ejercicio del derecho de voto constituyen un interés público, incompatible con el carácter comercial de la sociedad, por lo que no cabe apreciar que dicho interés sea necesario para la prestación del contrato en que el interesado es parte. El término «necesario» que utiliza el RGPD tiene, a juicio del TJUE, un significado propio e independiente en la legislación comunitaria. Se trata, dice el Tribunal, de un “concepto C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/5 autónomo del Derecho Comunitario” (STJUE de 16/12/2008, asunto C-524/06, apartado 52). De otra parte, el Tribunal Europeo de Derechos Humanos (TEDH) ha ofrecido también directrices para interpretar el concepto de necesidad. En el apartado 97 de su Sentencia de 25/03/1983 afirma que el “adjetivo necesario no es sinónimo de “indispensable” ni tiene la flexibilidad de las expresiones “admisible, “ordinario”, “útil”, “razonable” o “deseable”. Según se recoge en las directrices 2/2019 sobre el tratamiento de datos personales con arreglo al apartado 6,1.b del RGPD en el contexto de la puesta a disposición a los interesados de servicios en línea, “el artículo 6, apartado 1, letra b), se aplica cuando se cumplen dos condiciones: el tratamiento en cuestión debe ser objetivamente necesario para la ejecución de un contrato con un interesado, o el tratamiento debe ser objetivamente necesario para adoptar medidas precontractuales a petición de un interesado” (párrafo 22). Y a continuación señalan que “la necesidad de tratamiento es una condición previa para ambas partes del artículo 6, apartado 1, letra b). En primer lugar, es importante señalar que el concepto de lo que es «necesario para la ejecución del contrato» no es una mera apreciación de lo que permite o pone en práctica las cláusulas de un contrato. El concepto de necesidad tiene un significado autónomo en el Derecho de la Unión, que debe reflejar los objetivos de la legislación en materia de protección de datos. Por tanto, también se tiene en cuenta el derecho fundamental a la intimidad y a la protección de los datos personales, así como los requisitos de los principios de protección de datos, incluido, en particular, el principio de lealtad” (párrafo 23). Al evaluar qué es «necesario», debe realizarse una valoración basada en el objetivo que se persigue, evaluando si existen tratamientos menos intrusivos para conseguir el mismo objetivo. Si existen otras alternativas realistas y menos intrusivas, el tratamiento no es «necesario». Así se ha de partir de la finalidad que pretende META con el tratamiento de los datos para evaluar la existencia de «necesidad». En este caso, debe resaltarse con carácter previo, que la supuesta «necesidad» de tal tratamiento que pretende realizar META es incompatible con la finalidad del contrato, ya que de ningún modo un interés público, como es el derecho a voto y la garantía de unas elecciones libres, pueden ser «necesarias» para el cumplimiento de un contrato que tiene una finalidad privada. *** Tampoco justifica cómo piensa tratar exclusivamente datos de mayores de 18 años, cuando no existe ningún mecanismo fiable para determinar la edad de los receptores ni justifica que se traten las interacciones con el sitio web al que dirigen. Finalmente, los datos se utilizan con la finalidad de agregarlos y cederlos agregados a terceros. Sin embargo, no se explica el proceso de agregación, ni qué datos se usan para esa agregación, ni el nivel de desagregación, por lo que se desconoce si el nivel de desagregación permite la identificación de los usuarios, de lo que puede desprenderse que podrían conservarse y comunicarse datos personales. Así las cosas, según la información proporcionada, la finalidad última de META es una C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/5 finalidad consistente en disponer de unos datos para la mejora del propio producto y para comunicarlos a terceros. Por todo lo anterior, la AEPD considera que META no puede basar en el artículo 6.1.
- b)del RGPD el tratamiento de los datos de los usuarios que pretende realizar, ni en ninguna otra base jurídica del artículo 6, lo que supondría de llevarse finalmente a cabo una infracción del principio de licitud previsto en el artículo 5.1.
- a)del RGPD. SEGUNDO: El tratamiento de datos pretendido es excesivo. Se tratan datos de edad, cuando no se justifica la utilización de un sistema que garantice que sólo se sometan a tratamiento datos de personas mayores de edad. Por otro lado, los datos de ciudad contenidos en el perfil y la dirección IP, se almacenan con la finalidad de realizar una selección de las personas votantes, cuando lo que determina dicha condición es la nacionalidad, en el caso de las próximas elecciones europeas, lo que evidencia la innecesaridad de este tratamiento, pues parte de la presunción de que los usuarios que residen en determinadas ciudades o cuya dirección IP se sitúa en Europa tienen derecho de voto, dejando fuera a otros ciudadanos residentes en el extranjero y dirigiéndose a ciudadanos de otros países que se encuentren en Europa. En definitiva, este tratamiento es desproporcionado y excesivo. *** Finalmente, el tratamiento de las interacciones resulta absolutamente desproporcionado en relación con la supuesta finalidad que se persigue de informar sobre las elecciones. TERCERO: No se respeta el principio de limitación del plazo de conservación. ***, sin justificar la necesidad de su almacenamiento en relación con los fines manifestados, lo que revela una finalidad adicional de la operación de tratamiento. II Justificación de la urgencia El tratamiento de datos previsto por META supone una actuación contraria al RGPD que, al menos, incumpliría los principios de protección de datos de licitud, minimización de datos y limitación del plazo de conservación, tal y como se ha expuesto anteriormente. Asimismo, se ha indicado anteriormente que Meta tiene previsto lanzar la funcionalidad VIU en España, del 30 de mayo al 9 de junio, que consistirá en el envío de avisos o recordatorios a los usuarios ***. Por tanto, no puede aplazarse la adopción de las medidas urgentes contra META debido a la proximidad del período en que META tiene previsto el inicio de la recogida de los datos personales en territorio español. Si no se adoptara una medida con carácter urgente, META recopilaría y conservaría datos personales incumpliendo las previsiones del RGPD y vulnerando, con ello, los derechos y libertades de los interesados. Incluso META ha previsto comunicar los datos recopilados de forma agregada a terceros (que pueden ser incluso particulares), sin C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/5 ofrecer ninguna garantía que asegure que los datos que se ponen a disposición de los terceros no sean datos de carácter personal. El inminente inicio del tratamiento infractor sirve de clara justificación para la adopción de la medida urgente provisional. III Riesgos para los derechos de los interesados que necesitan protección La recopilación y conservación de datos planificados por META pondrían en grave riesgo los derechos y libertades de los usuarios de Instagram y Facebook que verían incrementado el volumen de información que META recopila sobre ellos, sin que concurriera ninguna base jurídica que legitimara esta actuación de META. El volumen de información recopilada permitiría a META elaborar perfiles más complejos, detallados y exhaustivos de los usuarios, generando tratamientos más intrusivos en sus derechos y libertades, como en los derechos a la intimidad y a la protección de datos personales, reconocidos en los artículos 7 y 8 de la Carta de los Derechos Fundamentales de la Unión Europea. Junto a ello, la puesta a disposición de terceros de datos que podrían ser de carácter personal supondría una injerencia desproporcionada en los derechos y libertades de los interesados. La pérdida de confidencialidad conllevaría una absoluta y total pérdida de control sobre los propios datos personales con el consiguiente alto riesgo de que sean utilizados por responsables desconocidos y para finalidades no explicitas. Esta pérdida de control sobre los propios datos personales se traduce en una patente vulneración del derecho a la protección de datos y en unos claros riesgos para sus derechos y libertades. Por ello, a fin de evitar los graves daños que podrían ocasionar para los derechos y libertades de los interesados la realización de las operaciones de tratamiento previstas por META se impone la necesidad de ordenar con carácter urgente la adopción de una medida cautelar que prevenga la materialización de tales daños. El tratamiento se lleva a cabo en el Espacio Económico Europeo y afecta sustancialmente o es probable que afecte sustancialmente a interesados en más de un Estado, siendo en la actualidad la autoridad de control irlandesa (DPC) la autoridad de control principal. Por ello, se considera urgente por la AEPD adoptar una medida cautelar con carácter excepcional y dentro del marco habilitante del artículo 66.1 del RGPD, de acuerdo con el cual, en circunstancias excepcionales, cuando una autoridad de control interesada considere que es urgente intervenir para proteger los derechos y las libertades de interesados, podrá, como excepción al mecanismo de coherencia contemplado en los artículos 63, 64 y 65, o al procedimiento mencionado en el artículo 60, adoptar inmediatamente medidas provisionales destinadas a producir efectos jurídicos en su propio territorio, con un periodo de validez determinado que no podrá ser superior a tres meses. La autoridad de control comunicará sin dilación dichas medidas, junto con los motivos de su adopción, a las demás autoridades de control interesadas, al Comité y a la Comisión. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/5 IV Descripción de las medidas adoptadas Por todo lo anteriormente expuesto, en uso de las facultades conferidas por el artículo 58 del RGPD, y conforme a lo dispuesto en el artículo 69.2 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales, SE ACUERDA: 1.- ORDENAR a Meta Platforms Ireland Limited que, de forma inmediata, suspenda la puesta en marcha de las funcionalidades Election Day Information Feature - EDI y Voter Information Unit -VIU en el territorio español, así como la recopilación y tratamiento de datos personales que implica el uso de las mismas en territorio español. 2.- ORDENAR a Meta Platforms Ireland Limited que comunique a esta Agencia la efectiva ejecución de la medida en el plazo máximo de 72 horas desde la recepción de este Acuerdo. 3.- NOTIFICAR el presente Acuerdo a META PLATFORMS IRELAND LIMITED a través de FACEBOOK SPAIN, S.L. Conforme a lo dispuesto en el artículo 83.6 del RGPD, el incumplimiento de las resoluciones de la autoridad de control, a tenor del artículo 58, apartado 2, del RGPD, se sancionará con multas administrativas de 20 millones de euros como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía. Durante el procedimiento sancionador que, en su caso, se inicie, o bien en la resolución por la que se acuerde el archivo de las presentes actuaciones previas de investigación, se resolverá sobre el mantenimiento o levantamiento de los efectos de esta medida provisional. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDPGDD, y de acuerdo con lo establecido en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es