E-04949-2016

1/7 Expediente Nº: E/04949/2016 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad WHATSAPP INC. en virtud de denuncia presentada por A.A.A. y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 28/08/2016, tuvo entrada en esta Agencia escrito de D. A.A.A. (en lo sucesivo el denunciante) en el que denuncia la posibilidad de que WHATSAPP INC. esté accediendo al contenido de los mensajes que se intercambian a través de su servicio de mensajería Whatsapp, y que esa información se utilice para el perfilado de la publicidad enviada a los usuarios en el mismo o para ser remitida a terceros, al menos a Facebook. Añade que dicha actividad se realiza sin informar adecuadamente a los usuarios y sin obtener su consentimiento. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: 1. La empresa WHATSAPP INC. incorpora en su servicio de mensajería el cifrado de extremo a extremo. Esto implica que el servicio Whatsapp cifra/descifra las comunicaciones en el dispositivo de los usuarios emisor y receptor. El cifrado extremo a extremo no significa que los mensajes viajen directamente entre los interlocutores. Los mensajes se envían entre emisor y receptor a través del servidor de Whatsapp, que los almacena temporalmente hasta que consigue reenviarlos al destinatario. WHATSAPP INC. manifiesta que no almacena los mensajes de forma indefinida. El servidor de Whatsapp no tendría la capacidad de descifrar los mensajes, al no disponer de las claves para realizar dicho proceso. Por lo tanto, los mensajes circulan por el servidor de Whatsapp siempre como texto cifrado, y no pasan por una etapa intermedia de texto claro en el propio servidor. El cifrado de los mensajes, a diferencia de otros servicios de mensajería, incluye el cifrado tanto del texto como los iconos, imágenes, videos y los enlaces que formen parte del cuerpo del mensaje, así como la mensajería entre grupos y conversaciones. 2. Whatsapp proporciona un procedimiento para que el usuario pueda verificar la autenticidad de la sesión cifrada. El procedimiento se describe en la página web: https://www.whatsapp.com/faq/es/general/28030015, 3. La configuración de seguridad por defecto de la aplicación Whatsapp tiene desactivado, por defecto, el recibir una notificación cuando el código de seguridad de un contacto haya cambiado. Además, en dicha configuración, se incluye la sentencia “Las llamadas y mensajes están cifrados C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/7 independientemente a este ajuste, cuando sea posible”. De ambas circunstancias cabe deducir que, si en un momento dado existe una suplantación de un contacto, por defecto el usuario no será notificado de dicho suceso. Además, que es posible que no todas las comunicaciones estén cifradas. 4. No se han obtenido evidencias de la materialización de las posibles vulnerabilidades para el acceso al contenido de los mensajes. 5. En la contestación de Whatsapp al requerimiento de la AEPD en el marco del expediente E/5325/2016, la entidad manifiesta un conjunto de datos que se van a compartir con Facebook para el perfilado de publicidad que no incluyen el contenido de las comunicaciones. 6. No se han obtenido evidencias de que se produzca un acceso masivo al contenido de los mensajes por parte de Whatsapp, en particular un acceso a los mensajes del denunciante, y que el resultado de dicho acceso al contenido de la comunicación se emplee para el perfilado de los usuarios con el propósito de publicidad. FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.

1. d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). El artículo 126.1, apartado segundo, del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal establece: Si de las actuaciones no se derivasen hechos susceptibles de motivar la imputación de infracción alguna, el Director de la Agencia Española de Protección de Datos dictará resolución de archivo que se notificará al investigado y al denunciante, en su caso. II Se considera, por un lado, que la conducta realizada por la entidad implicada afecta a datos de carácter personal relativos a personas identificadas o identificables y, por otro, que la LOPD resulta de aplicación WHATSAPP INC. Procede analizar el ámbito de aplicación de la LOPD respecto de los hechos a imputar; cuestión de la que se derivan tres aspectos básicos como son la aplicación o no de la LOPD, la propia competencia de la Agencia Española de Protección de Datos y la imputabilidad de la entidad citada. El examen de estas cuestiones exige considerar si la conducta analizada ha sido llevada a cabo por WHATSAPP INC. en el marco de las actividades de un establecimiento del responsable del tratamiento en territorio español o si se han empleado medios situados en C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/7 España por parte de la misma. Si nos encontrásemos en uno de estos casos serían aplicables los principios, derechos y garantías previstos en la legislación española de protección de datos. La LOPD, en el párrafo segundo de su artículo 2.1, al referirse al “Ámbito de aplicación” de la norma, establece lo siguiente: “Se regirá por la presente Ley Orgánica todo tratamiento de datos de carácter personal:
2. a)Cuando el tratamiento sea efectuado en territorio español en el marco de las actividades de un establecimiento del responsable del tratamiento.
3. b)Cuando al responsable del tratamiento no establecido en territorio español, le sea de aplicación la legislación española en aplicación de normas de Derecho Internacional público.
4. c)Cuando el responsable del tratamiento no esté establecido en territorio de la Unión Europea y utilice en el tratamiento de datos medios situados en territorio español, salvo que tales medios se utilicen únicamente con fines de tránsito”. Y el último párrafo del artículo 5.1 de la misma norma establece lo siguiente: “Cuando el responsable del tratamiento no esté establecido en el territorio de la Unión Europea y utilice en el tratamiento de datos medios situados en territorio español, deberá designar, salvo que tales medios se utilicen con fines de trámite, un representante en España, sin perjuicio de las acciones que pudieran emprenderse contra el propio responsable del tratamiento”. Por otra parte, el artículo 3 del Reglamento de desarrollo de la LOPD, aprobado por Real Decreto 1720/2008 (RLOPD), señala su ámbito territorial de aplicación en los siguientes términos: “1. Se regirá por el presente Reglamento todo tratamiento de datos de carácter personal:
5. a)Cuando el tratamiento sea efectuado en el marco de las actividades de un establecimiento del responsable del tratamiento, siempre que dicho establecimiento se encuentre ubicado en territorio español. Cuando no resulte de aplicación lo dispuesto en el párrafo anterior, pero exista un encargado del tratamiento ubicado en España, serán de aplicación al mismo las normas contenidas en el título VIII del presente Reglamento.
6. b)Cuando al responsable del tratamiento no establecido en territorio español, le sea de aplicación la legislación española, según las normas de Derecho internacional público.
7. c)Cuando el responsable del tratamiento no esté establecido en territorio de la Unión Europea y utilice en el tratamiento de datos medios situados en territorio español, salvo que tales medios se utilicen únicamente con fines de tránsito. En este supuesto, el responsable del tratamiento deberá designar un representante establecido en territorio español. 2. A los efectos previstos en los apartados anteriores, se entenderá por establecimiento, con independencia de su forma jurídica, cualquier instalación estable que permita el ejercicio efectivo y real de una actividad” En este mismo sentido se pronuncia el artículo 4 “Derecho nacional aplicable” de la Directiva 95/46/CE (aplicable hasta el 25 de mayo de 2018, de acuerdo con lo establecido en el artículo 99 del Reglamento general de protección de datos, Reglamento UE 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la citada Directiva 94/46/CE); artículo 4 que establece lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/7 “Derecho nacional aplicable 1. Los Estados miembros aplicarán las disposiciones nacionales que haya aprobado para la aplicación de la presente Directiva a todo tratamiento de datos personales cuando:
8. a)el tratamiento sea efectuado en el marco de las actividades de un establecimiento del responsable del tratamiento en el territorio del Estado miembro. Cuando el mismo responsable del tratamiento esté establecido en el territorio de varios Estados miembros deberá adoptar las medidas necesarias para garantizar que cada uno de dichos establecimientos cumple las obligaciones previstas por el Derecho nacional aplicable;
9. b)el responsable del tratamiento no esté establecido en el territorio del Estado miembro, sino en un lugar en que se aplica su legislación nacional en virtud del Derecho internacional público;
10. c)el responsable del tratamiento no esté establecido en el territorio de la Comunidad y recurra, para el tratamiento de datos personales, a medios, automatizados o no, situados en el territorio de dicho Estado miembro, salvo en caso de que dichos medios se utilicen solamente con fines de tránsito por el territorio de la Comunidad Europea. 2. En el caso mencionado en la letra
11. c)del apartado 1, el responsable del tratamiento deberá designar un representante establecido en el territorio de dicho Estado miembro, sin perjuicio de las acciones que pudieran emprenderse contra el propio responsable del tratamiento”. Este artículo responde a las consideraciones que se plasman en la exposición de motivos de la misma Directiva; en concreto los considerandos 18 y siguientes presentan la siguiente justificación del artículo 4 en cuestión: “