1/11 Expediente Nº: E/04948/2016 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad WHATSAPP INC. en virtud de denuncia presentada por D. A.A.A., y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 31/08/2016, tuvo entrada en esta Agencia escrito de D. A.A.A. (en lo sucesivo el denunciante) en el que manifiesta que, a finales de agosto de 2016, el servicio de mensajería en móviles de Whatsapp envió un mensaje a sus usuarios solicitando la aceptación de los nuevos términos de servicio y su consentimiento para compartir datos con Facebook. Este consentimiento se solicita mediante una casilla premarcarda y en una ventana que se muestra a los usuarios de forma opcional, no de forma obligada, contraviniendo lo establecido en el artículo 15 del Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, aprobado por el Real Decreto 1720/2007, de 21 diciembre (en lo sucesivo RDLOPD), que prohíbe la obtención del consentimiento en el marco de una relación contractual para fines no relacionados con la misma mediante la marcación por defecto de una casilla que otorgue tal consentimiento. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos:
- Mediante diligencia de fecha 04/10/2016 se incorpora a las actuaciones el documento Términos de Servicio de la aplicación “Whatsapp”, actualizado a fecha 25/08/2016, en el que se informa: “WhatsApp Inc. ("WhatsApp", "nuestro", "nosotros" o "nuestros") ofrece mensajería, llamadas por internet y otros servicios a usuarios alrededor del mundo.” No aparece una referencia a que sea un servicio de captación de información para propósitos de publicidad.
- Según consta en diligencia de fecha 14/09/2016, se constata que al acceder a la página www.whatsapp.com, se muestra una página en castellano directamente, sin pasar por una página en inglés ni mostrar un cambio o extensión de dominio, con un icono en la parte superior derecha que indica un globo del mundo y a continuación las palabras “ES”. Si se pulsa dicho icono, te permite seleccionar entre los siguientes idiomas (entre otros 53): Español Catalán.
- Según consta en diligencia de fecha 19/09/2016, se ha constatado que al acceder a la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/11 aplicación WhatsApp en un teléfono móvil aparece el siguiente mensaje: En WhatsApp estamos actualizando nuestros Términos de Servicio y nuestra Política de Privacidad para reflejar la integración de nuevas funciones, como Llamada WhatsApp. Lee los Términos y la Política de Privacidad para aprender más acerca de tus opciones. Por favor acepta los Términos y la Política de Privacidad antes del 19 de octubre de 2016 para continuar usando WhatsApp. Se subraya la palabra Lee para que señalar que asociado a la misma hay un enlace a la página web sobre los Términos y la Política de Privacidad. En la parte superior, y sin destacar, aparece un link: X AHORA NO En la parte inferior, hay un botón destacado que tiene marcado: ACEPTAR Debajo del botón, un enlace que se titula: Lee más sobre las actualizaciones a nuestros Términos y Política de Privacidad. Si se pulsa aparece una ventana con: En la parte superior un enlace de retorno a la página anterior etiquetado como: <- Término y Política d… Debajo un texto explicativo: Actualizaciones Clave Términos de Servicio El respeto a tu privacidad se encuentra codificado en nuestro ADN. Desde que iniciamos WhatsApp, hemos construido nuestros servicios con fuertes principios de privacidad en mente. En nuestros Términos…. A continuación aparece la descripción de los términos en los que destacan los siguientes párrafos: Nos unimos a Facebook en
- WhatsApp es parte de la familia de empresas de Facebook. … Nada de lo que compartes en WhatsApp--incluyendo tus mensajes, fotos, e información de perfil--será compartido en Facebook, o en alguna de las aplicaciones que pertenecen a la familia de Facebook, para que otros los vean. De la misma manera, lo que tú publiques en esas aplicaciones no será compartido en WhatsApp para que otros lo vean. … WhatsApp Inc. ("WhatsApp", "nuestro", "nosotros" o "nuestros") ofrece mensajería, llamadas por internet y otros servicios a usuarios alrededor del mundo. … Tus opciones. Si eres un usuario actual, tendrás la opción de elegir que la información de tu cuenta WhatsApp no sea compartida con Facebook para mejorar tu experiencia con la publicidad y los productos en Facebook. Los usuarios que acepten nuestros Términos y Política de Privacidad actualizados, tendrán 30 días adicionales para tomar esta decisión yendo a Ajustes > Cuenta. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/11 En la base de la pantalla aparece el siguiente mensaje con un checkbox premarcado: Compartir la información de mi cuenta de WhatsApp con Facebook para mejorar mi experiencia con los productos y publicidad en Facebook. Tus chats y número telefónico no serán compartidos en Facebook independientemente de este ajuste. Y en la base un botón destacado con la leyenda: ACEPTAR. Si se desactiva dicho checkbox aparece el siguiente mensaje: Después de pulsar “Aceptar”, la información de tu cuenta no será usada para mejorar tu experiencia con los productos y publicidad en Facebook. Si se activa de nuevo el checkbox aparece el siguiente mensaje: Después de pulsar “Aceptar”, la información de tu cuenta será usada para mejorar tu experiencia con los productos y publicidad en Facebook.
- En la información descrita en el punto anterior, WhatsApp manifiesta: Los usuarios que acepten nuestros Términos y Política de Privacidad actualizados, tendrán 30 días adicionales para tomar esta decisión yendo a Ajustes > Cuenta. En diligencia de 20 de septiembre de 2016 se ha constatado que en la aplicación de WhatsApp en el apartado de configuración Ajustes->Cuenta: En un iPhone 4s iOS 9.2.1 aparece la opción “Compartir la info de mi cuenta” con un botón de activación deslizante en posición de activado y una explicación que es la que sigue: Compartir la información de mi cuenta de WhatsApp con Facebook para mejorar mi experiencia con los productos y publicidad en Facebook. Tus chats y número telefónico no serán compartidos en Facebook independientemente de este ajuste. Más Información. Si se desactiva el botón deslizante, dicha opción desaparece del apartado de configuración Ajustes->Cuenta. En dos teléfonos con versión Android 6.0 y 4.1.2 dicha opción no aparece. En dichos teléfonos, se había desactivado el checkbox para compartir información con Facebook. Ha dicha fecha, no se ha encontrado información de cómo habilitar el compartir los datos con Facebook una vez deshabilitado.
- Con fecha 03/01/2017 se constató que, al acceder a la aplicación “Whatsapp” en un teléfono móvil no ofrecía publicidad en sus servicios.
- Con fecha 10/01/2017 se ha realizado el borrado y la posterior reinstalación de la aplicación Whatsapp en un Smartphone con Android. Antes de la instalación, en el enlace INFORMACIÓN, se describen las características de la misma, sin referencia a una comunicación de datos a Facebook. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/11 Existe un enlace a la Política de Privacidad que dirige a una página web titulada Información legal de Whatsapp” y que tiene cinco apartados: a. b. c. d. e. Actualizaciones Clave Términos de Servicio Política de Privacidad Política de Propiedad Intelectual En el apartado Actualizaciones Clave, en su último punto, se puede leer: Tus opciones. Si eres un usuario actual, tendrás la opción de elegir que la información de tu cuenta WhatsApp no sea compartida con Facebook para mejorar tu experiencia con la publicidad y los productos en Facebook. Los usuarios que acepten nuestros Términos y Política de Privacidad actualizados, tendrán 30 días adicionales para tomar esta decisión yendo a Ajustes > Cuenta. Si se elige instalar la aplicación, antes de abrirla por primera vez se muestran los enlaces a los Términos de Servicio y a la Política de Privacidad, además de un botón que es necesario pulsar para avanzar etiquetado como “Aceptar y Continuar. En el apartado Ajustes->Cuenta no aparece una opción para gestionar la comunicación de datos con Facebook. Con anterioridad, con el mismo Smartphone y el mismo número de teléfono, se había rechazado la opción de comunicar datos a Facebook.
- Con fecha 21/04/2017 se ha realizado la instalación de la aplicación Whatsapp en un Smartphone nuevo con Android.
- Antes de la instalación, en el enlace MAS INFORMACIÓN, se describen las características de la misma, sin referencia a una comunicación de datos a Facebook. Existe un enlace a la Política de Privacidad que dirige a una página web titulada “Información legal de Whatsapp” y que tiene cinco apartados: f. g. h. i. j. Actualizaciones Clave Términos de Servicio Política de Privacidad Política de Propiedad Intelectual En el primer apartado, se puede leer: Nos unimos a Facebook en
- WhatsApp es parte de la familia de empresas de Facebook. Nuestra Política de Privacidad explica cómo trabajamos en conjunto para brindarte una mejor experiencia; por ejemplo, al combatir los mensajes no solicitados entre las aplicaciones, hacer sugerencias de productos, y mostrarte ofertas y publicidad relevantes en Facebook. Nada de lo que compartes en WhatsApp--incluyendo tus mensajes, fotos, e información de perfil--será compartido en Facebook, o en alguna de las aplicaciones que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/11 pertenecen a la familia de Facebook, para que otros los vean. De la misma manera, lo que tú publiques en esas aplicaciones no será compartido en WhatsApp para que otros lo vean. … Tus opciones. Si eres un usuario actual, tendrás la opción de elegir que la información de tu cuenta WhatsApp no sea compartida con Facebook para mejorar tu experiencia con la publicidad y los productos en Facebook. Los usuarios que acepten nuestros Términos y Política de Privacidad actualizados, tendrán 30 días adicionales para tomar esta decisión yendo a Ajustes > Cuenta. Si se elige instalar la aplicación, antes de abrirla por primera vez se muestran los enlaces a los Términos de Servicio y a la Política de Privacidad, además de un botón que es necesario pulsar para avanzar etiquetado como “Aceptar y Continuar. En el apartado Ajustes->Cuenta no aparece una opción para gestionar la comunicación de datos con Facebook. FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.d) en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). El artículo 126.1, apartado segundo, del Reglamento de desarrollo de la LOPD, aprobado por el Real Decreto 1720/2007, de 21 diciembre, establece: Si de las actuaciones no se derivasen hechos susceptibles de motivar la imputación de infracción alguna, el Director de la Agencia Española de Protección de Datos dictará resolución de archivo que se notificará al investigado y al denunciante, en su caso. II Se considera, por un lado, que la conducta realizada por la entidad implicada afecta a datos de carácter personal relativos a personas identificadas o identificables y, por otro, que la LOPD resulta de aplicación WHATSAPP INC. Procede analizar el ámbito de aplicación de la LOPD respecto de los hechos a imputar; cuestión de la que se derivan tres aspectos básicos como son la aplicación o no de la LOPD, la propia competencia de la Agencia Española de Protección de Datos y la imputabilidad de la entidad citada. El examen de estas cuestiones exige considerar si la conducta analizada ha sido llevada a cabo por WHATSAPP INC. en el marco de las actividades de un establecimiento del responsable del tratamiento en territorio español o si se han empleado medios situados en España por parte de la misma. Si nos encontrásemos en uno de estos casos serían aplicables los principios, derechos y garantías previstos en la legislación española de protección de datos. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/11 La LOPD, en el párrafo segundo de su artículo 2.1, al referirse al “Ámbito de aplicación” de la norma, establece lo siguiente: “Se regirá por la presente Ley Orgánica todo tratamiento de datos de carácter personal: a) Cuando el tratamiento sea efectuado en territorio español en el marco de las actividades de un establecimiento del responsable del tratamiento. b) Cuando al responsable del tratamiento no establecido en territorio español, le sea de aplicación la legislación española en aplicación de normas de Derecho Internacional público. c) Cuando el responsable del tratamiento no esté establecido en territorio de la Unión Europea y utilice en el tratamiento de datos medios situados en territorio español, salvo que tales medios se utilicen únicamente con fines de tránsito”. Y el último párrafo del artículo 5.1 de la misma norma establece lo siguiente: “Cuando el responsable del tratamiento no esté establecido en el territorio de la Unión Europea y utilice en el tratamiento de datos medios situados en territorio español, deberá designar, salvo que tales medios se utilicen con fines de trámite, un representante en España, sin perjuicio de las acciones que pudieran emprenderse contra el propio responsable del tratamiento”. Por otra parte, el artículo 3 del Reglamento de desarrollo de la LOPD, aprobado por Real Decreto 1720/2008 (RLOPD), señala su ámbito territorial de aplicación en los siguientes términos: “
- Se regirá por el presente Reglamento todo tratamiento de datos de carácter personal: a) Cuando el tratamiento sea efectuado en el marco de las actividades de un establecimiento del responsable del tratamiento, siempre que dicho establecimiento se encuentre ubicado en territorio español. Cuando no resulte de aplicación lo dispuesto en el párrafo anterior, pero exista un encargado del tratamiento ubicado en España, serán de aplicación al mismo las normas contenidas en el título VIII del presente Reglamento. b) Cuando al responsable del tratamiento no establecido en territorio español, le sea de aplicación la legislación española, según las normas de Derecho internacional público. c) Cuando el responsable del tratamiento no esté establecido en territorio de la Unión Europea y utilice en el tratamiento de datos medios situados en territorio español, salvo que tales medios se utilicen únicamente con fines de tránsito. En este supuesto, el responsable del tratamiento deberá designar un representante establecido en territorio español.
- A los efectos previstos en los apartados anteriores, se entenderá por establecimiento, con independencia de su forma jurídica, cualquier instalación estable que permita el ejercicio efectivo y real de una actividad” En este mismo sentido se pronuncia el artículo 4 “Derecho nacional aplicable” de la Directiva 95/46/CE (aplicable hasta el 25 de mayo de 2018, de acuerdo con lo establecido en el artículo 99 del Reglamento general de protección de datos, Reglamento UE 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la citada Directiva 94/46/CE); artículo 4 que establece lo siguiente: “Derecho nacional aplicable
- Los Estados miembros aplicarán las disposiciones nacionales que haya aprobado para la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/11 aplicación de la presente Directiva a todo tratamiento de datos personales cuando: a) el tratamiento sea efectuado en el marco de las actividades de un establecimiento del responsable del tratamiento en el territorio del Estado miembro. Cuando el mismo responsable del tratamiento esté establecido en el territorio de varios Estados miembros deberá adoptar las medidas necesarias para garantizar que cada uno de dichos establecimientos cumple las obligaciones previstas por el Derecho nacional aplicable; b) el responsable del tratamiento no esté establecido en el territorio del Estado miembro, sino en un lugar en que se aplica su legislación nacional en virtud del Derecho internacional público; c) el responsable del tratamiento no esté establecido en el territorio de la Comunidad y recurra, para el tratamiento de datos personales, a medios, automatizados o no, situados en el territorio de dicho Estado miembro, salvo en caso de que dichos medios se utilicen solamente con fines de tránsito por el territorio de la Comunidad Europea.
- En el caso mencionado en la letra c) del apartado 1, el responsable del tratamiento deberá designar un representante establecido en el territorio de dicho Estado miembro, sin perjuicio de las acciones que pudieran emprenderse contra el propio responsable del tratamiento”. Este artículo responde a las consideraciones que se plasman en la exposición de motivos de la misma Directiva; en concreto los considerandos 18 y siguientes presentan la siguiente justificación del artículo 4 en cuestión: “
(18)Considerando que, para evitar que una persona sea excluida de la protección garantizada por la presente Directiva, es necesario que todo tratamiento de datos personales efectuado en la Comunidad respete la legislación de uno de sus Estados miembros; que, a este respecto, resulta conveniente someter el tratamiento de datos efectuados por cualquier persona que actúe bajo la autoridad del responsable del tratamiento establecido en un Estado miembro a la aplicación de la legislación de tal Estado;
(19)Considerando que el establecimiento en el territorio de un Estado miembro implica el ejercicio efectivo y real de una actividad mediante una instalación estable; que la forma jurídica de dicho establecimiento, sea una simple sucursal o una empresa filial con personalidad jurídica, no es un factor determinante al respecto; que cuando un mismo responsable esté establecido en el territorio de varios Estados miembros, en particular por medio de una empresa filial, debe garantizar, en particular para evitar que se eluda la normativa aplicable, que cada uno de los establecimientos cumpla las obligaciones impuestas por el Derecho nacional aplicable a estas actividades;
(20)Considerando que el hecho de que el responsable del tratamiento de datos esté establecido en un país tercero no debe obstaculizar la protección de las personas contemplada en la presente Directiva; que en estos casos el tratamiento de datos debe regirse por la legislación del Estado miembro en el que se ubiquen los medios utilizados y deben adaptarse garantías para que se respeten en la práctica los derechos y obligaciones contempladas en la presente Directiva”. En el presente caso concreto, la entidad WHATSAPP INC., que tiene sede en California, Estados Unidos, no dispone de un establecimiento en España implicado en actividades que entrañan el tratamiento de datos personales relativos a personas identificadas o identificables, que se recaban y se tratan en territorio español. Sin embargo, dicha entidad recurre a medios situados en el territorio español con el fin de captar información en nuestro territorio (utilizando, entre otros, los equipos de los usuarios C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/11 residentes en España para almacenar información de forma local a través de cookies y otros medios, así como ejecutando código en dichos dispositivos), sin que la utilización de tales equipos para la recogida de datos se realice exclusivamente con fines de tránsito por el territorio de la Unión Europea, es decir, no se trata de equipos de transmisión, sino que dichos equipos se emplean para la recogida y tratamiento de los datos. Por tanto, cabe concluir que la protección conferida por la LOPD es aplicable al presente supuesto respecto de WHATSAPP INC. y que la Agencia Española de Protección de Datos, por virtud de lo dispuesto en el artículo 2.1.c) de la LOPD, ya citado, es competente para decidir sobre el tratamiento llevado a cabo por un responsable no establecido en territorio del Espacio Económico Europeo que ha utilizado en el tratamiento de datos medios situados en territorio español, sin que tales medios se utilicen únicamente con fines de tránsito. III La entidad WHATSAPP INC. fue adquirida por FACEBOOK INC. en el año
- Esta circunstancia motivo que la primera entidad citada llevase a cabo una actualización de su Política de Privacidad y de los Términos de Servicio de la aplicación de mensajería “Whatsapp”, publicada en fecha 25/08/
- Con esta actualización se pretende informar a los usuarios de dicha aplicación sobre la posibilidad de compartir información relativa a los mismos con la entidad FACEBOOK INC. En el documento “Términos de Servicio” se indica lo siguiente: “Nada de lo que compartes en WhatsApp--incluyendo tus mensajes, fotos, e información de perfil--será compartido en Facebook, o en alguna de las aplicaciones que pertenecen a la familia de Facebook, para que otros los vean. De la misma manera, lo que tú publiques en esas aplicaciones no será compartido en WhatsApp para que otros lo vean”. “Tus opciones. Si eres un usuario actual, tendrás la opción de elegir que la información de tu cuenta WhatsApp no sea compartida con Facebook para mejorar tu experiencia con la publicidad y los productos en Facebook. Los usuarios que acepten nuestros Términos y Política de Privacidad actualizados, tendrán 30 días adicionales para tomar esta decisión yendo a Ajustes > Cuenta”. Para que los usuarios de “Whatsapp” pudieran prestar su consentimiento se estableció un mecanismo que permitía a los mismos acceder a los “Términos y Política de Privacidad” y confirmar su aceptación. Al acceder a la aplicación, en el teléfono móvil del usuario se mostró el mensaje “En WhatsApp estamos actualizando nuestros Términos de Servicio y nuestra Política de Privacidad para reflejar la integración de nuevas funciones, como Llamada WhatsApp. Lee los Términos y la Política de Privacidad para aprender más acerca de tus opciones. Por favor acepta los Términos y la Política de Privacidad antes del 19 de octubre de 2016 para continuar usando WhatsApp” (la palabra “Lee” conduce a la página web sobre los Términos y la Política de Privacidad). En la parte superior de la pantalla aparecía un link “X AHORA NO”; y en la parte inferior, se insertó un botón destacado con la opción “ACEPTAR” marcada. Debajo del botón, un enlace titulado “Lee más sobre las actualizaciones a nuestros Términos y Política de Privacidad”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/11 Al acceder a los Términos de Servicio y Política de Privacidad siguiendo el enlace antes indicado, en la base de la pantalla aparecía un checkbox premarcado y un mensaje con el texto “Compartir la información de mi cuenta de WhatsApp con Facebook para mejorar mi experiencia con los productos y publicidad en Facebook. Tus chats y número telefónico no serán compartidos en Facebook independientemente de este ajuste”. Y en la base un botón destacado con la leyenda “ACEPTAR”. Al desactivar dicho checkbox aparecía el mensaje “Después de pulsar “Aceptar”, la información de tu cuenta no será usada para mejorar tu experiencia con los productos y publicidad en Facebook. Y al activarlo de nuevo se indicaba al usuario que “Después de pulsar “Aceptar”, la información de tu cuenta será usada para mejorar tu experiencia con los productos y publicidad en Facebook”. IV Las presentes actuaciones tienen por objeto analizar la conformidad con la normativa de protección de datos del mecanismo habilitados por WHATSAPP INC. para que los usuarios del servicio de mensajería instantánea “Whatsapp” prestasen su consentimiento para que dicha entidad comparta información con FACEBOOK INC. En concreto, se denuncia el sistema empleado para obtener el consentimiento de los usuarios de whatsapp para la cesión de sus datos a Facebook con fines publicitarios, ya que según manifiesta el denunciante la casilla se encuentra premarcada, en contra de lo establecido en el 15 del RLOPD. El citado artículo 15, referido a la “Solicitud del consentimiento en el marco de una relación contractual para fines no relacionados directamente con la misma”, establece lo siguiente: “Si el responsable del tratamiento solicitase el consentimiento del afectado durante el proceso de formación de un contrato para finalidades que no guarden relación directa con el mantenimiento, desarrollo o control de la relación contractual, deberá permitir al afectado que manifieste expresamente su negativa al tratamiento o comunicación de datos. En particular, se entenderá cumplido tal deber cuando se permita al afectado la marcación de una casilla claramente visible y que no se encuentre ya marcada en el documento que se le entregue para la celebración del contrato o se establezca un procedimiento equivalente que le permita manifestar su negativa al tratamiento”. En el marco de las actuaciones de investigación desarrolladas con motivo de la denuncia formulada, se realizó una comprobación en un móvil que tenía la aplicación “Whatsapp” ya instalada y se comprobó que existía una casilla premarcada junto con la siguiente leyenda: “Compartir la información de mi cuenta de WhatsApp con Facebook para mejorar mi experiencia con los productos y publicidad en Facebook. Tus chats y número telefónico no serán compartidos en Facebook”. Además de esta casilla para aceptar esa comunicación de datos, existía otro botón para aceptar la política de privacidad. Asimismo, el sistema ofrecía un plazo de treinta días para configurar de nuevo la opción En este caso, el consentimiento para la finalidad indicada se requería a personas que ya tenían instalada la aplicación “Whatsapp”, que ya eran usuarias de la misma, de modo que el supuesto de hecho denunciado no se ajusta a los presupuestos del artículo 15 del RLOPD, referido a la obtención del consentimiento “durante el proceso de formación de un contrato”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/11 La aplicación ya estaba instalada antes de que WHATSAPP INC. solicitara el consentimiento para comunicar información a FACEBOOK INC. con fines publicitarios. Se intenta recabar el consentimiento para unos fines distintos a los inicialmente consentidos, por lo que se trataría de un supuesto regulado en el artículo 14 del RLOPD, y no en el artículo 15 citado. En el citado artículo 14 del RLOPD se regula la “Forma de recabar el consentimiento” en los términos siguientes: “
- El responsable del tratamiento podrá solicitar el consentimiento del interesado a través del procedimiento establecido en este artículo, salvo cuando la Ley exija al mismo la obtención del consentimiento expreso para el tratamiento de los datos.
- El responsable podrá dirigirse al afectado, informándole en los términos previstos en los artículos 5 de la Ley Orgánica 15/1999, de 13 de diciembre y 12.2 de este reglamento y deberá concederle un plazo de treinta días para manifestar su negativa al tratamiento, advirtiéndole de que en caso de no pronunciarse a tal efecto se entenderá que consiente el tratamiento de sus datos de carácter personal. En particular, cuando se trate de responsables que presten al afectado un servicio que genere información periódica o reiterada, o facturación periódica, la comunicación podrá llevarse a cabo de forma conjunta a esta información o a la facturación del servicio prestado, siempre que se realice de forma claramente visible.
- En todo caso, será necesario que el responsable del tratamiento pueda conocer si la comunicación ha sido objeto de devolución por cualquier causa, en cuyo caso no podrá proceder al tratamiento de los datos referidos a ese interesado.
- Deberá facilitarse al interesado un medio sencillo y gratuito para manifestar su negativa al tratamiento de los datos. En particular, se considerará ajustado al presente reglamento los procedimientos en el que tal negativa pueda efectuarse, entre otros, mediante un envío prefranqueado al responsable del tratamiento, la llamada a un número telefónico gratuito o a los servicios de atención al público que el mismo hubiera establecido.
- Cuando se solicite el consentimiento del interesado a través del procedimiento establecido en este artículo, no será posible solicitarlo nuevamente respecto de los mismos tratamientos y para las mismas finalidades en el plazo de un año a contar de la fecha de la anterior solicitud”. En este artículo no se hace ninguna referencia a que la casilla no debe encontrase premarcada, sólo exige que se ofrezca un medio sencillo y gratuito para mostrar la negativa. El medio ofrecido por WHATSAPP INC. para mostrar negativa es sencillo y gratuito, por lo que no se incumpliría el artículo 14 del RLOPD. En el caso de nuevos usuarios, al iniciar la instalación de la aplicación se ofrece un enlace que conduce a una página titulada “Información”, entre cuyos apartados figura la Política de Privacidad y los Términos de Servicio. Si se elige instalar la aplicación, antes de abrirla por primera vez se muestran los enlaces a los Términos de Servicio y a la Política de Privacidad, además de un botón que es necesario pulsar para avanzar etiquetado como “Aceptar y Continuar”. En este caso no existen casillas premarcadas y se ofrece a los usuarios la posibilidad de configurar la opción de no compartir información con FACEBOOK INC. Se trata de un supuesto C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/11 del artículo 15 del RLOPD, ya que el consentimiento se solicita en el marco de la contratación, pero en este caso la casilla no está premarcada. Por lo tanto, de acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PROCEDER AL ARCHIVO de las presentes actuaciones. NOTIFICAR la presente Resolución a la entidad WHATSAPP INC. y a D. A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es