E-03081-2016

1/3 Expediente Nº: E/03081/2016 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad FACEBOOK INC. (FACEBOOK SPAIN, S.L.) en virtud de denuncia presentada por A.A.A. y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 29 de abril de 2016, tuvo entrada en esta Agencia escrito de D./Dña. A.A.A. (en lo sucesivo la denunciante) en el que en el que declara que los datos de contactos en la agenda de su teléfono móvil tipo IPhone son usado por Facebook para, una vez en la cuenta de Facebook de la usuaria, realizarle sugerencias de posibles amigos, sin haber proporcionado su consentimiento para ello. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, realizando las siguientes pruebas:

1. En primer lugar se crean tres cuentas de correo para usuarios ficticios (A,B y C) en tres servidores de correo distintos y en dos máquinas Windows XP virtuales y vírgenes independientes, con Firefox instalado y en las que no se ha realizado ninguna actividad ni instalado ningún otro programa. Se crean cuentas en Facebook para los dos primeros usuarios A y B. Cada uno en una máquina virtual diferente. Los correos utilizados para crear las cuentas en Facebook son los creados anteriormente para dichos usuarios.
2. En el perfil de los usuarios A y B en Facebook no se ha incluido ninguna otra información sobre su personalidad o antecedentes como podría ser país, ciudad, dirección, educación, aficiones, etc.
3. En un teléfono IPhone de la SGID de la AEPD utilizado para realizar pruebas, sin uso en tareas diarias ni aplicaciones instaladas, con el número de teléfono asignado al usuario C, se añaden como contactos A y B en la agenda del teléfono, incluyendo sus direcciones de correo electrónico y sus nombres, ambos exactamente iguales a los utilizados en el proceso de creación de las cuentas de Facebook.
4. Se crea una cuenta ID de Apple en App Store en el teléfono del usuario C y se instala la aplicación Facebook creando un usuario de Facebook para el usuario C.
5. En uno de los pasos de creación de la cuenta de usuario en el teléfono móvil, la aplicación muestra una pantalla titulada “Buscar amigos” con el subtítulo “Facebook es mejor con amigos”. En la pantalla se muestra un botón azul C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/3 destacado con el título “Empezar” y un comentario en su base que indica: “La información sobre los contactos de tu libreta de direcciones, incluidos los nombres, los número de teléfono y los apodos, se enviará a Facebook para que tú y otras personas encontréis a vuestros amigos más rápido, lo que nos ayudará a proporcionar un mejor servicio. Puedes desactivar esta opción en la configuración y administrar o eliminar la información de contacto que compartes con Facebook” Además, incluye un enlace a “Más información”.
6. En la misma pantalla, a la derecha del título principal “Buscar amigos”, en el mismo tamaño y tipo de letra pero sin formato negrilla, aparece la opción “Omitir”. Se selecciona esta opción de “Omitir” para comprobar si realmente no se accede a la agenda de contactos del teléfono móvil.
7. Una vez finalizada la creación de la cuenta en Facebook se accede a la misma tanto desde el teléfono móvil como desde una sesión abierta en un navegador la información de historial.
8. Durante tres días se accede mediante los dos medios a la cuenta en Facebook del usuario C y se comprueban los “amigos” sugeridos por Facebook. En ningún caso los amigos sugeridos incluyen alguno de los que se encuentran en la agenda de contactos del teléfono del usuario C. FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.d) en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II En el supuesto examinado, durante las actuaciones de inspección se ha acreditado que en el proceso de instalación de la aplicación FACEBOOK en IPhone se solicita al usuario su consentimiento para que la aplicación realice el acceso a la agenda de contactos del teléfono del mismo usuario para incorporar dichos contactos a la lista de sugerencias de amigos dentro de la cuenta FACEBOOK. En el proceso de instalación se da la opción al usuario de no otorgar dicho consentimiento y continuar el con la creación de la cuenta sin acceder a dicha información. Durante las pruebas realizadas, en las que para un usuario concreto se ha denegado el consentimiento para acceder a la agenda de contactos del teléfono, no se ha podido acreditar que se produjera un acceso a dicha lista de contactos contraviniendo la elección del usuario por parte de la aplicación FACEBOOK, y que dicho acceso se realizase con el propósito de ser empleado por la aplicación FACEBOOK en IPhone en el proceso de sugerir al usuario de la cuenta una lista de posibles amistades. Por lo tanto, de acuerdo con lo señalado, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/3 Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA:
9. PROCEDER AL ARCHIVO de las presentes actuaciones.
10. NOTIFICAR la presente Resolución a FACEBOOK INC. (FACEBOOK SPAIN, S.L.) y a A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es