PS-00082-2017 | Europaius

1/91 Procedimiento Nº PS/00082/2017 RESOLUCIÓN: R/01870/2017 En el procedimiento sancionador PS/00082/2017, instruido de oficio por la Agencia Española de Protección de Datos a la entidad FACEBOOK, INC., y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha 8 de marzo de 2016 la Directora de la Agencia Española de Protección de Datos ordenó a la Subdirección General de Inspección de Datos que procediese a realizar la correspondiente investigación, en el marco del expediente de actuaciones previas E/01235/2016, en relación con las circunstancias puestas de manifiesto en el curso de una inspección de oficio ante la red social FACEBOOK. SEGUNDO: La Subdirección General de Inspección de Datos procedió a la realización de tales actuaciones previas, para el esclarecimiento de los hechos, teniendo conocimiento de los siguientes extremos, que se recogen en el informe de inspección E/01235/2016 y que se transcribe a continuación: <<A LO LARGO DEL INFORME SE EMPLEA LA SIGUIENTE NOTACIÓN:

Facebook Ireland para Facebook Ireland Limited.
Facebook Spain para Facebook Spain Sociedad Limitada
Facebook Inc. para Facebook Incorporated. 1.1 RESPONSABLE DEL FICHERO
En la página “Declaración de Derechos y Responsabilidades” que tiene fecha de última actualización 30 de enero de 2015, Facebook manifiesta explícitamente en el apartado 9 cuál es el objeto del servicio que está prestando, que es el de ofrecer publicidad, y las condiciones por las que va a realizar el tratamiento de sus datos personales. “9 Acerca de los anuncios u otro contenido comercial servido u optimizado por Facebook Nuestro objetivo es ofrecer anuncios y otro contenido comercial o patrocinado que sea valioso para nuestros usuarios y anunciantes. Para ayudarnos a lograrlo, aceptas lo siguiente:
Nos concedes permiso para usar tu nombre, foto del perfil, contenido e información en relación con contenido comercial, patrocinado o relacionado (como una marca que te guste) que sirvamos o mejoremos. Esto significa, por ejemplo, que permites que una empresa u otra entidad nos pague por C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/91 mostrar tu nombre y/o foto del perfil con tu contenido o información sin que recibas ninguna compensación por ello. Si has seleccionado un público específico para tu contenido o información, respetaremos tu elección cuando lo usemos.
No proporcionamos tu contenido o información a anunciantes sin tu consentimiento.
Entiendes que es posible que no siempre identifiquemos las comunicaciones y los servicios pagados como tales.”
En la política de datos de Facebook a día 7 de abril se establece que para los usuarios residentes en España: “El controlador de datos responsable de tu información es Facebook Ireland Ltd., con quien te puedes poner en contacto a través de internet o por correo postal en la dirección: (C/…., 1) ” En dicha política de datos, también se establece que: “Facebook, Inc. cumple el marco Safe Harbor entre Estados Unidos y la Unión Europea y entre Estados Unidos y Suiza con relación a la recopilación, el uso y la retención de datos pertenecientes a la Unión Europea y Suiza, según lo dispuesto por el Departamento de Comercio de Estados Unidos.”
En la página de “Condiciones del Servicio” de Facebook se establece entre otros: “Resolverás cualquier demanda, causa de acción o conflicto (colectivamente, "demanda") que tengas con nosotros surgida de o relacionada con la presente Declaración o con Facebook únicamente en el tribunal del Distrito Norte de California o en un tribunal estatal del Condado de San Mateo, y aceptas que sean dichos tribunales los competentes a la hora de resolver los litigios de dichos conflictos. Las leyes del estado de California rigen esta Declaración, así como cualquier demanda que pudiera surgir entre tú y nosotros, independientemente de las disposiciones sobre conflictos de leyes.” En la misma página, bajo el epígrafe “Disposiciones especiales aplicables a usuarios que no residan en Estados Unidos” se establece, entre otros: “Las siguientes disposiciones se aplicarán a los usuarios y a las personas que no sean usuarias de Facebook que se encuentran fuera de Estados Unidos:
Das tu consentimiento para que tus datos personales sean transferidos y procesados en Estados Unidos.
….No utilizarás Facebook si se te ha prohibido recibir productos, servicios o software procedente de Estados Unidos.
Las condiciones aplicables específicamente a los usuarios de Facebook en Alemania están disponibles aquí.” En la misma página, bajo el epígrafe “Otras disposiciones” se establece, entre otros: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/91 “Si resides o tienes tu sede de actividad comercial principal en EE. UU. o Canadá, esta Declaración constituye el acuerdo entre Facebook, Inc y tú. De lo contrario, esta Declaración constituye el acuerdo entre Facebook Ireland Limited y tú. Las menciones a "nosotros", "nos" y "nuestro" se refieren a Facebook, Inc. o Facebook Ireland Limited, según corresponda.”
En la página de “Condiciones de Pago de la Comunidad” de Facebook, que rige las condiciones del servicio de pagos de Facebook, se establece bajo el epígrafe “Notificaciones y enmiendas de la Condiciones” entre otros: “Notificaciones a Facebook. Salvo que recibas otras instrucciones, debes enviarnos tus notificaciones relacionadas con Pagos de Facebook o con estas Condiciones por correo postal a la dirección siguiente: (C/....., 2)” En la misma página, bajo el epígrafe “Condiciones adicionales” se establece, entre otros: “
Si resides o tienes tu ubicación de actividad comercial principal en otro país que no sea EE. UU. ni Canadá, estas Condiciones de pago constituyen el acuerdo entre tú y Facebook Payments International Ltd., una sociedad limitada privada con sede en la República de Irlanda.” … “En todos los casos, las transacciones realizadas con el Saldo de los valores electrónicos como método de pago, tal y como se recoge en la sección 2.5 anterior, las procesa Facebook Payments Inc., una empresa con sede en Florida”
A través de la página “Facebook para empresas” se accede a un modelo de factura que se generaría por Facebook por el servicio de inclusión de anuncios de empresas en las páginas de Facebook. Dicha factura aparece emitida por: (C/…, 3) En la respuesta a la información requerida durante la inspección E/01147/2015/I01, Facebook Spain remite modelos de facturas a clientes localizados en España y asesorados por Facebook Spain que aparecen emitidas por: (C/….., 4)
Facebook dispone de una página denominada Newsroom del sitio web ***WEB.1, que es la página web utilizada por Facebook Inc. como oficina de prensa. La página principal se ofrece en versiones en inglés y en español. En la versión en español, uno de los enlaces dirige a la página ***WEB.1 informa de la empresa como: Sede **** Oficinas internacionales Ámsterdam, Auckland, Berlín, Brasilia, Bruselas, Buenos Aires, Ciudad de México, Dubái, Dublín, Estocolmo, Gurgaon, Hamburgo, Hong Kong, Hyderabad, Karlsruhe, Kuala Lumpur, Londres, Madrid, Melbourne, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/91 Milán, Montreal, Mumbai, Nueva Delhi, París, Sao Paulo, Seúl, Singapur, Sídney, Tel Aviv, Tokio, Toronto, Vancouver, Varsovia, Yakarta Centros de datos Altoona, Ashburn, Forest City, Lulea, Prineville, Sunnyvale En la misma se establece una lista cronológica de presentaciones y de decisiones realizadas por la compañía Facebook Inc. en relación con sus productos: Biografía 18 de noviembre de 2014 Presentamos la aplicación Grupos de Facebook. 23 de octubre de 2014 Se lanza Rooms. 15 de octubre de 2014 Se anuncia la función de comprobación del estado de seguridad. 26 de agosto de 2014 Instagram lanza Hyperlapse. 31 de julio de 2014 Se anuncia la aplicación Internet.org. 21 de julio de 2014 Se introduce la función de guardado. 17 de julio de 2014 Se lanza la aplicación Facebook Mentions. 17 de junio de 2014 Se lanza Slingshot. 30 de abril de 2014 Se anuncia el inicio de sesión anónimo en la f
17 de abril de 2014 Se anuncia la función Amigos cerca. 30 de enero de 2014 Se anuncia Paper. 30 de enero de 2014 Se anuncia Facebook Creative Labs. 16 de enero de 2014 Se anuncian los temas populares. 15 de diciembre de 2013 Se lanza la función de donaciones. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/91 12 de diciembre de 2013 Se lanza Instagram Direct. … En el apartado “Noticias y anuncios recientes” del sitio web ***WEB.1, entre las Noticias de Producto del 2015 hace una descripción más completa de algunas de las presentaciones que se enumeran en la lista anterior. En el enlace de información para inversores que se encuentra en la página de prensa de Facebook Inc. ***WEB.2 se encuentra un enlace para el informe anual de Facebook Inc. (firmado por Facebook Inc.) del año 2013 (el del 2014 no está disponible). En el Item1 Business se declara cómo el objetivo de la empresa es la publicidad: Our business focuses on creating value for users, marketers, and developers….. Facebook focuses on providing value for all kinds of marketers, including brand marketers, direct marketers, small and mediumsized businesses, and developers.….. Facebook Ads. Our ads offer marketers the opportunity to communicate their messages to consumers and to direct them to specific destinations such as a web page or a Facebook Page….. En el mismo apartado se declara que Facebook es un producto de Facebook Inc., además de Messenger e Instagram: Our Products • Facebook. The Facebook mobile app and website enable people to connect, share, discover, and communicate with each other on mobile devices and personal computers:…. En el apartado Item 1A. Risk Factors de la página 13 y siguientes declaran los riesgos y la estrategia a seguir por la compañía. En la página 37 incluye datos de los usuarios en Europa llegando a 195 millones en diciembre
En la página 39 incluye los datos de los beneficios por su actividad de publicidad en Europa llegando a 658 millones en diciembre
En la página 20 asume como propios las investigaciones realizadas por la Autoridad Irlandesa de Protección de Datos en Facebook Ireland: From time to time, we receive formal and informal inquiries from regulators regarding our compliance with laws and other matters. …. In 2011 and 2012, the Irish Data Protection Commissioner audited the data, security, and privacy practices and policies of Facebook Ireland. … Violation of existing or future regulatory orders or consent decrees could subject us to substantial monetary fines and other penalties that could negatively affect our financial condition and results of operations. In addition, it is possible that future orders issued by, or inquiries or enforcement actions initiated by, regulatory authorities could cause us to incur substantial costs or require us to change our business practices in a C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/91 manner materially adverse to our business. En la página 84 declara que está sujeta a pago de impuestos, entre otros, en Irlanda: We are subject to taxation in the United States and various other state and foreign jurisdictions. The material jurisdictions in which we are subject to potential examination include the United States and Ireland.
La sociedad Facebook Spain aparece registrada en el Registro Mercantil como: (C/....., 5) CIF: ***CIF.1 Objeto social: La prestación de servicios de publicidad y marketing en internet Declaración de unipersonalidad. Socio único: FACEBOOK GLOBAL HOLDINGS II LLC Sin dominios web asociados Realizada una búsqueda de la empresa Facebook Global Holdings II LLC, ésta aparece en distintas páginas de información de empresas de Estados Unidos como: Facebook Global Holdings II LLC (C/…., 6) Directivo único (officer): Facebook Inc. Secretary of State ID: *** Phone: ***TLF.1 Category: On-Line Data Base Information Retrieval Consultado el registro mercantil Irlandés se obtiene información sobre cinco empresas que utilizan el nombre Facebook: Facebook Ireland Limited Facebook Ireland Holdings Facebook International Holdings I Facebook International Holdings II Facebook Payments International Limited Dicho registro mercantil no ofrece en su página web ni en los certificados solicitados información sobre el componente accionarial de la empresa. En la respuesta a la información requerida durante la inspección E/01147/2015/I01, Facebook Spain remite el organigrama de la estructura societaria del “grupo FACEBOOK” (sic) como sigue:  Sociedad Matriz: Facebook Inc., sita en Delawere y domicilio social en Menlo Park, California. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/91  Filiales: entre ellas Facebook Ireland Limited y Facebook Ireland Holdings Limited.  La propiedad de Facebook Ireland Limited la atribuye en el texto de la respuesta a Facebook Ireland Holdings Limited, pero en un gráfico a continuación la atribuye directamente a Facebook Inc.  La propiedad de Facebook Spain S.L. se atribuye al 100% a Facebook Global Holdings II, LLC.  La propiedad de Facebook Global Holdings II, LLC se atribuye a Facebook Inc. En la US-EU Safe Harbour List aparece la siguiente información (entre otras) sobre Facebook, Inc. (el subrayado es de la Agencia): “Organization Information: Facebook, Inc. ***** “Facebook, Inc., processes personal data from users of Facebook Ireland Ltd.’s social networking platform within the EU/EEA and Switzerland on behalf of, and as a data processing service provider for, Facebook Ireland Ltd, which controls such data and processing.” Realizada consulta al registro de ficheros del Data Protection Commissioner de la República de Irlanda consta que no existe ningún fichero inscrito a nombre de ninguna empresa que incluya en su denominación el término “FACEBOOK”.
En relación con la actividades de la empresa Facebook Spain, durante la inspección E/01147/2015/I-01 los representantes de la misma manifestaron que:  El propósito principal de la empresa Facebook Spain S.L. es la realización de consultoría de ventas y marketing para Facebook Ireland Ltd., que es su único cliente.  Que la dependencia organizacional es única y directa con Facebook Ireland.  Que las empresas españolas contratan directamente con Facebook Ireland. Facebook Spain tiene el contacto personal con las grandes cuentas españolas. En cualquier caso, el interlocutor jurídico es Facebook Ireland.  Que en ningún caso hay una contratación directa con Facebook Spain.  Que Facebook Ireland es quien factura a los clientes españoles. Facebook Spain obtiene una remuneración por las actividades de consultoría de ventas y marketing.  Que es Facebook Ireland, y no Facebook Inc., quien realiza el seguimiento de las actividades promocionales a empresas en España, y que no remiten informes a Facebook Inc.  Facebook Spain realiza acciones promocionales entre las empresas españolas, por ejemplo, en el caso de colaboración con CEPYME en C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/91 Tenerife, se celebró un acuerdo de formación a las herramientas de Facebook para la pequeña y mediana empresa. En la respuesta a la información requerida durante la inspección E/01147/2015/I01, Facebook Spain remite el contrato establecido entre Facebook Ireland y Facebook Spain, con fecha de firma 28 de diciembre de 2009 y fecha de entrada en efecto de 1 de noviembre de 2009 en el que se establece:  Facebook Ireland se dedica al desarrollo expansión y mantenimiento de las comunidades de usuarios, anunciantes y desarrolladores en España.  Facebook Ireland espera obtener los servicios de Facebook Spain, su asistencia y consejo en España.  Facebook Spain proporcionará su personal, experiencia y locales para proporcionar dichos servicios de forma no exclusiva y a cambio de una compensación.  Define los servicios contratados como servicios consultoría, consejo y asistencia a Facebook Ireland en relación con las actividades de venta y marketing para el desarrollo expansión y mantenimiento de las comunidades de usuarios, anunciantes y desarrolladores en España, incluyendo marketing y demostraciones del sitio FACEBOOK, sistemas de propaganda, plataforma de desarrolladores, características de la comunidad, y procedimientos a los usuarios, anunciantes y comunidades de desarrolladores, proporcionar análisis estratégico y de mercado, y proporcionar servicios de consultoría a anunciantes con direcciones de facturación en España sobre estrategias para optimizar las campañas comerciales en España.  “Plataforma Facebook” significa e incluye el sistema, incluyendo los futuros desarrollos, mejoras y funcionalidades, que son puestas a disposición por FACEBOOK en su plataforma o plataformas futuras, que facilita compartir datos sobre usuarios, anunciantes y desarrolladores, balancear para acomodar el volumen de datos transferidos, poner anuncios en las páginas de los usuarios, proporcionar plataformas para el desarrollo de aplicaciones, y cualquier proceso o tecnología relacionados que dependiendo de FACEBOOK facilita la comunicación entre usuarios y la gestión de propaganda.  Facebook Spain proporciona soporte a Facebook Ireland, pero no se constituye como representante de Facebook Ireland, no son “partners”, agentes o “join venture”.  Facebook Spain debe to conseguir y remitir toda los datos disponibles sobre el mercado Español, incluyendo las preguntas y quejas de los anunciantes.  Facebook Ireland pagará a Facebook Spain cantidad que cubrirá los gastos de Facebook Spain más un plus en función del rendimiento de los servicios contratados.  Facebook Ireland es el dueño o licenciado autorizado (como sea el caso) de la “Plataforma Facebook”, marcas, información confidencial y otra información de propiedad.  Este acuerdo se rige y será interpretado de acuerdo con las leyes del C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/91 Estado de California USA.  En relación con el cumplimiento con la ley aplicable: En la ejecución de las obligaciones respectivas, cada parte con las leyes aplicables, regulaciones y órdenes gubernamentales de Irlanda y España.  No define FACEBOOK en el contrato. En la respuesta a la información requerida durante la inspección E/01147/2015/I01, Facebook Spain remite el “Data Processing Agreement” (Acuerdo de tratamiento de datos) contrato establecido entre Facebook Ireland y Facebook Spain, con fecha de firma 23 de diciembre de 2014 y fecha de entrada en efecto de 16 de junio de 2014 en el que se establece:  Facebook Ireland como Responsable del Tratamiento para datos de usuarios de FACEBOOK que no estén en Norteamérica (sic) y Facebook Spain como encargado.  En caso de conflicto con el acuerdo, se remite a la ley y tribunales Irlandeses. En la respuesta a la información requerida durante la inspección E/01147/2015/I01, Facebook Spain remite modelos de contratos (denominados Pedidos de Inserción) con clientes localizados en Madrid y asesorados por Facebook Spain que aparecen emitidas por: Facebook Ireland Limited **** En la respuesta a la información requerida durante la inspección E/01147/2015/I01, Facebook Spain manifiesta que esta entidad no tiene contratos vigentes con Facebook Inc. En la respuesta a la información requerida durante la inspección E/01147/2015/I01, Facebook Spain incluye una carta firmada por “Head of Data Protection” de Facebook Ireland y dirigida a la AEPD en la que, entre otros, manifiesta:  Los empleados de Facebook Spain no pueden contestar o proporcionar documentación a la AEPD sobre actividades realizadas o servicios prestados por Facebook Ireland.  Consideran que las respuestas que aparecen el acta de inspección E/01147/2015/I-01 ya fueron respondidas a la Autoridad Irlandesa de Protección de Datos.  Que Facebook Ireland muestra su disposición a proporcionar a la AEPD la información solicitada.  Que consideran que la actividad inspectora de la AEPD llevada a cabo en Facebook Spain no puede extenderse a las actividades de otras entidades de Facebook localizadas en otros países miembros de la UE, que caen bajo la jurisdicción de otras autoridades.
Facebook Spain S.L. tiene inscritos en el Registro General de Protección de Datos (a fecha 23 de abril de 2015) denominados HR y CLIENTESPROVEEDORES: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/91  HR tiene como finalidad declarada “Gestión de recursos humanos, nominas, prevención de riesgos laborales y selección de personal”.  CLIENTES-PROVEEDORES tiene como finalidad declarada “Gestión de clientes, contable, fiscal y administrativa”, cesiones a “Empresas del grupo dentro del E.E.E. (p.ej.: Facebook Ireland Limited); asesores externos” y transferencias internacionales a “EEUU puerto seg / Facebook Inc”. Durante la inspección E/01147/2015/I-01 los representantes de Facebook Spain S.L. manifestaron que:  Dicho fichero está gestionado por Facebook Ireland, porque Facebook Spain no dispone de infraestructura tecnológica en España, y que no tienen conocimiento de que haya transferencias internacionales a Facebook Inc.  Ese tipo de clientes recibe también apoyo de asesoría personalizado por parte de personal de Facebook Spain en la gestión de sus campañas.  Que los informes que estos clientes reciben son elaborados por Facebook Ireland, accesibles a través de una herramienta web a la que también tienen acceso los clientes. En algunos casos, para clientes relevantes que lo solicitan, el personal de Facebook Spain elabora una presentación a partir de los datos suministrados por Facebook Ireland y que presentan al cliente, en sus instalaciones o en el local de Facebook Spain.  Los clientes pueden contratar publicidad dirigidas a páginas dentro o fuera de Facebook. En ambos casos, disponen de las mismas herramientas para la gestión de su campaña. En la respuesta a la información requerida durante la inspección E/01147/2015/I01 Facebook Spain manifiesta que la transferencia internacional de datos declarada en el registro del fichero CLIENTES-PROVEEDORES actualmente no se está llevando a cabo y que próximamente modificará la declaración al RGPD. Durante la inspección se comprobó que:  Dicho fichero es accesible a través de una herramienta web por los empleados de Facebook Spain que realizan la gestión de las cuentas de los clientes que tienen asignados.  Que dichos empleados acceden al detalle de las cuentas de los clientes, que a su vez los clientes tienen contratadas diversas cuentas/campañas de publicidad, que se puede acceder al detalle y contenido de las facturas de cada uno de los clientes, y que se puede acceder a información del grado de rendimiento de la campaña para realizar asesoría a las empresas sobre como ejecutarlas. En la página de prensa de Facebook Inc. se ofrecen noticias de las actividades que representantes de Facebook Spain para la promoción de Facebook como plataforma de publicidad para empresas. En el apartado “Noticias y anuncios recientes” del sitio web ***WEB.1, entre los eventos del 2015 se encuentra la siguiente actividad: Facebook presenta en Tenerife su programa de apoyo a las pymes C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/91 ***WEB.3 …. Facebook, como parte de su programa de apoyo a las pymes españolas y en colaboración con CEPYME, ha presentado hoy en Tenerife una sesión formativa sobre las oportunidades que ofrece la red social para la promoción de los negocios. … Este programa de ayuda a la pequeña y mediana empresa de Facebook, se lanzó junto con CEPYME en enero de
… Con más de 20 millones de usuarios en España y 1.390 millones en todo el mundo, Facebook ofrece un gran potencial que las empresas pueden aprovechar para hacer crecer su negocio y mejorar su ROI (Retorno de la Inversión). … Según N.N.N., Directora de Asuntos Públicos de Facebook España, “Es importante que las pymes aprovechen las nuevas tecnologías para mantener e incluso mejorar su negocio, sobre todo en la difícil situación económica actual. Facebook ha demostrado tener un impacto muy positivo en la economía española y está ayudando a generar riqueza y empleo. Con encuentros como el de hoy, queremos acercarnos a las pymes y animarlas a que utilicen nuestra plataforma para hacer crecer su negocio”. En la respuesta a la información requerida durante la inspección E/01147/2015/I01, Facebook Spain remite el “Acuerdo marco de colaboración entre FACEBOOK y CEPYME para impulsar la creación de empleo a través de sus empresas” de fecha de entrada en vigor 17 de julio de 2012 y fecha de firma 20 de julio de 2012 y firmado entre CEPYME y Facebook Ireland en el que se establece:  Que “Facebook Ireland Ltd. (en adelante FACEBOOK) es una compañía privada cuya matriz tiene sede en Menlo Park, California”.  Entre las acciones que forman parte del acuerdo se establecen “Actividades sobre los recursos de FACEBOOK”, “La reuniones, seminarios y presentaciones organizados por FACEBOOK”, “Acciones de publicidad gratuita en FACEBOOK”.  “Compromisos de FACEBOOK” serán “Diseñar la estructura y el contenido de las ponencias y sesiones informativas”, “Proporcionar ponentes de los eventos”, “Organizar los eventos desde el punto de vista logístico”.  En caso de desacuerdo se remite a la legislación de Inglaterra y Gales, aunque remite la posibilidad de recurso a los tribunales de Madrid.  Los datos de nombre, Fax y correo electrónico de los interlocutores para la gestión diaria del acuerdo están borrados. Las ofertas de empleo para las oficinas de Madrid se ofrecen a través de la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/91 página: https://es-es.facebook.com/careers/locations/madrid. En el formulario de solicitud de información personal para aplicar a los puestos aparece la siguiente clausula: “We may access publicly available information from your Facebook profile as part of your application. This online application feature is hosted in the United States by Facebook, Inc., and we may process your application and information relating to you in the United States, Ireland and other Facebook locations, as we deem appropriate under the circumstances.”
Consultados los servicios de registro de dominios de direcciones en Internet se obtuvo la siguiente información:  El dominio “Facebook.com” está registrado a nombre de FACEBOOK Inc. en Menlo Park Estados Unidos.  El dominio “Facebook.ie” está registrado a nombre de FACEBOOK Inc.  El dominio “Facebook.es” está registrado a nombre de FACEBOOK IRELAND Al intentar acceder a la página www.facebook.es se comprueba que dicha página no existe, sino que existe una redirección a la página: es-es.facebook.com 1.2 PROCESO DE REGISTRO DE UN USUARIO
En el proceso de registro de un usuario en Facebook, la aplicación proporciona la siguiente información (Anexo I):  En la página inicial de Facebook se da la opción de iniciar sesión o de registrarse como nuevo usuario, para lo que se despliega un formulario que recoge los siguientes datos personales: o Nombre y apellido o Nº de teléfono móvil o correo electrónico o Fecha de nacimiento o Sexo  Debajo del formulario hay una leyenda, en un tipo de letra de tamaño inferior y sin destacar, como sigue: “Al hacer clic en Terminado, aceptas nuestras Condiciones y reconoces haber leído nuestra Política de datos, incluido nuestro Uso de cookies. Es posible que recibas notificaciones de Facebook por SMS, pero puedes desactivarlas en cualquier momento.”  Las palabras marcadas en subrayado en el párrafo anterior aparecen en la pantalla del ordenador marcadas en un color distinto (y no en negrilla) al resto del texto, y son enlaces a las páginas que contienen las condiciones de servicio, la política de privacidad (que es denominada “política de datos”) y la política de cookies (denominada “uso de  Debajo del párrafo, destacado, y en un tipo de letra mucho mayor, aparece un botón etiquetado como Terminado. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/91
No es obligatorio acceder a la política de privacidad (“política de datos”) para continuar el proceso de registro.
En la base de la página aparece, entre otros, un enlace denominado “Privacidad”, que conduce a la política de privacidad de la compañía Facebook.
Durante el proceso de registro, Facebook solicita una respuesta de confirmación de creación de cuenta enviando un mensaje, en este caso, al correo electrónico indicado por el usuario en el formulario anterior.
Durante el proceso de registro se despliega una serie de opciones para completar la configuración de la cuenta, entre ellas una opción titulada “Conoce la configuración de la privacidad”. Esta opción no es de consulta obligada para continuar con el uso de la cuenta de usuario, y que si no se efectúa por el usuario en el momento inicial de uso de la cuenta, no queda un enlace de fácil localización donde acceder ni se muestra un recordatorio. Si el usuario decide consultar la opción “Conoce la configuración de la privacidad”, aparece una secuencia de cuatro pantallas, con un texto explicativo en castellano y con ejemplos de capturas de pantalla de Facebook en idioma inglés. Las cuatro pantallas tienen los siguientes títulos y contenidos: o “Quién ve lo que compartes” “Puedes seleccionar el público con el que quieres compartir tus cosas en Facebook. Por ejemplo, puedes compartir una foto con tus amigos solamente o hacerla pública. Elige quién ve lo que compartes en el lugar donde haces la publicación.” o “Cómo funciona el etiquetado” “Etiquetar sirve para hacer saber a alguien que aparece en una foto. La etiqueta crea un enlace con la biografía de la persona y puede compartir tu publicación con sus amigos. Más información sobre el etiquetado.” o “Accesos directos a la configuración de privacidad” “Puedes ver directamente las actualizaciones de privacidad, ajustes y herramientas más recientes. Solo tienes que hacer clic en en la parte superior de la página. Pruébalo” Pulsando el enlace “Pruébalo”, aparece un desplegable titulado “Accesos directos de privacidad” organizado en los siguientes apartados:  Quien puede ver mis cosas  “¿Quién puede ver mis próximas publicaciones? ¿Dónde se consulta quién puede ver o encontrar las cosas que he publicado o en las que me han etiquetado?” Que incluye un enlace al Registro de Actividad **** C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/91  “¿Qué ven otros en mi biografía? “ Con un enlace a “Ver como” **** o Las opciones disponibles no se muestran completas en un primer desplegable. En primer lugar se muestran las opciones:  Publico  Amigos  Amigos excepto…  Más. o El usuario, si pulsa la opción Más, accede a las siguientes opciones:  Amigos concretos  Solo yo  Ver todo o Si pulsa la opción “Ver todo”, le aparece la opción:  Personalizado, que permite enumerar con quién se comparte y con quién no.  “Quién puede ponerse en contacto conmigo”  “¿Quién puede enviarme solicitudes de amistad?” Donde el usuario puede seleccionar Todos o Amigos de amigos”  “Como evito que alguien me molesten” “Puedes bloquear a alguien para que ya no sea tu amigo y evitar que inicie conversaciones contigo o que vea lo que publicas en tu biografía.” A continuación hay un campo en el que el usuario puede crear una la lista negra personal.  Y dos enlaces:  “Ver más configuraciones”, que conduce a la página ****  “Aspectos básicos de la privacidad”, que dirige a la página *****y que contiene una explicación gráfica sobre la configuración de la privacidad. o Compartir con aplicaciones, juegos y sitios web “Controla quién tiene acceso a los distintos contenidos, incluida la información que tus amigos y otros pueden C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/91 usar en las aplicaciones y los sitios web que usan. Más información.” El enlace “Más información” conduce a la página con información sobre configuración de la privacidad de las aplicaciones y tu información: ******
Antes de realizar ninguna configuración de privacidad, aparece un anuncio sugerido de “Yo fui EGB”, que podría estar en relación con la edad declarada en el proceso de registro. 1.3 INFORMACIÓN DE LOS DATOS RECOGIDOS
En su política de privacidad Facebook manifiesta que se recogen los siguientes tipos de datos relativos a un usuario:  De forma general, el contenido y otros datos recogidos del usuario cuando usa los servicios de Facebook. No se enumera una lista de los datos recogidos y sólo se dan los siguientes ejemplos: lugar donde se hizo una foto, fecha de creación de un archivo, tipo de contenido visto o interactuado, frecuencia y duración de las actividades.  Información sobre el sujeto procedente de otros usuarios. No se enumera una lista de los datos recogidos y sólo se dan los siguientes ejemplos: fotos compartidas en las que apareces, cuando se envía un mensaje al sujeto o se sube, sincroniza o importa la información de contacto.  Información sobre las personas o grupos con los que está conectado y cómo se interactúa con ellos. No se enumera una lista de los datos recogidos y sólo se dan los siguientes ejemplos: personas de contacto más frecuente, grupos con los que se comparte contenido, libretas de direcciones de un dispositivo.  Información financiera cuando se efectúan compras o transacciones que incluye: número de tarjeta de pago, otra información de la tarjeta, datos de la cuenta, información de autenticación, facturación, envío y contacto.  Información sobre el dispositivo utilizado para acceder a los servicios de Facebook. No se enumera una lista de los datos recogidos y sólo se dan los siguientes ejemplos: sistema operativo, hardware, configuración del dispositivo, nombres y tipos de programas y archivos, carga de la batería, intensidad de la señal, datos de identificación, ubicación geográfica, operador de telefonía, proveedor de servicios de internet, navegador, idioma, zona horaria, número de teléfono móvil y dirección IP.  Información recogida de sitios web y aplicaciones de terceros distintos de Facebook. No se enumera una lista de los datos recogidos y sólo se dan los siguientes ejemplos: sitios web visitados, aplicaciones empleadas, uso de servicios web en páginas de terceros, datos que el editor de un sitio web proporciona al usuario y a Facebook.  Información recogida de socios externos. No se enumera una lista de los datos recogidos y sólo se dan los siguientes ejemplos: información de un socio cuando ofrece servicios de forma conjunta con Facebook, y de un C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/91 anunciante acerca de las experiencias o interacciones del usuario.  Información de empresas de Facebook. No se enumera una lista de los datos recogidos y se remite a un página web de ayuda en la que se enumeran las empresas de Facebook y los enlaces a su política de privacidad: Facebook Payments Inc., Atlas, Instagram LLC, Onavo, Moves, Oculus, WhatsApp Inc., Masquerade, CrowdTangle. ¿Qué tipo de información recopilamos? En función de los Servicios que utilices, se recopilan diferentes tipos de información relacionada contigo. Tu actividad y la información que proporcionas. Recopilamos el contenido y otros datos que proporcionas cuando usas nuestros Servicios, como al abrir una cuenta, al crear o compartir contenido y cuando envías mensajes o te comunicas con otros usuarios. La información puede corresponder a datos incluidos en el contenido que proporcionas o relacionados con este, como el lugar donde se hizo una foto o la fecha de creación de un archivo. También recopilamos información sobre el uso que haces de los Servicios; por ejemplo, el tipo de contenido que ves o con el que interactúas, o la frecuencia y duración de tus actividades. La actividad de otros usuarios y la información que proporcionan. Asimismo, recopilamos el contenido y la información que otras personas proporcionan cuando usan nuestros Servicios y que puede incluir información sobre ti; por ejemplo, cuando alguien comparte una foto en la que apareces, te envía un mensaje o sube, sincroniza o importa tu información de contacto. Tus redes y conexiones. Recopilamos información sobre las personas y los grupos a los que estás conectado y cómo interactúas con ellos; por ejemplo, las personas con las que más te comunicas o los grupos con los que te gusta compartir contenido. También recopilamos la información de contacto que proporcionas si subes, sincronizas o importas esta información (por ejemplo, una libreta de direcciones) desde un dispositivo. Información sobre pagos. Si usas nuestros Servicios para efectuar compras o transacciones financieras (por ejemplo, cuando compras algo en Facebook, realizas una compra en un juego o haces una donación), recopilamos datos sobre la compra o transacción. Esta información incluye tus datos de pago, como tu número de tarjeta de crédito o de débito y otra información sobre la tarjeta, así como otros datos sobre la cuenta y sobre autenticación, además de información de facturación, envío y contacto. Información sobre el dispositivo. Recopilamos información acerca de ordenadores, teléfonos u C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 17/91 otros dispositivos donde instales o desde los que accedas a nuestros Servicios, así como la información generada por dichos dispositivos, dependiendo de los permisos que hayas concedido. Podemos asociar la información que recopilamos de tus diferentes dispositivos; de este modo, nos resulta más sencillo prestar Servicios coherentes en todos ellos. Estos son algunos ejemplos de la información de dispositivos que recopilamos: Atributos como el sistema operativo, la versión de hardware, la configuración del dispositivo y los nombres y tipos de programas informáticos y archivos, la carga de la batería y la intensidad de la señal, así como datos de identificación del dispositivo. Ubicaciones del dispositivo, incluida la posición geográfica específica obtenida, por ejemplo, a través de señales de GPS, Bluetooth o Wi-Fi. Información sobre la conexión, como el nombre del operador de telefonía móvil o del proveedor de servicios de internet, el tipo de navegador, el idioma y la zona horaria, el número de teléfono móvil y la dirección IP. Información de sitios web y aplicaciones que utilizan nuestros Servicios. Recopilamos información cuando visitas o utilizas sitios web y aplicaciones de terceros que usan nuestros Servicios (por ejemplo, cuando ofrecen nuestro botón "Me gusta" o el inicio de sesión con Facebook, o cuando usan nuestros servicios de medición y publicidad). Dicha información incluye datos acerca de los sitios web que visitas y las aplicaciones que utilizas, el uso que haces de nuestros Servicios en dichos sitios web y aplicaciones, así como datos que el desarrollador o el editor de la aplicación o del sitio web te proporciona a ti o a nosotros. Información de socios externos. Recibimos información sobre ti y tus actividades dentro y fuera de Facebook que nos proporcionan socios externos; por ejemplo, información de un socio cuando ofrecemos servicios de forma conjunta o de un anunciante acerca de tus experiencias o interacciones con él. Empresas de Facebook. Recibimos información acerca de ti que nos proporcionan empresas pertenecientes a Facebook u operadas por Facebook, de conformidad con sus condiciones y políticas. Obtén más información acerca de estas empresas y sus políticas de privacidad.
En el página de ayuda: **** Facebook manifiesta que da acceso a los usuarios a descargar el siguiente conjunto de información recopilada de su interacción con Facebook, sin C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 18/91 especificar si esta es toda la información que dispone Facebook de los usuarios: ¿Qué información hay disponible? ¿De qué se trata? ¿Dónde la puedo encontrar? Acerca de mí Los datos que has añadido en la sección Información de tu biografía, como relaciones, empleo, formación, dónde vives, etc. Incluye las actualizaciones o los cambios que has realizado con anterioridad y lo que hay actualmente en la sección Información de tu biografía. Historial de estados de la cuenta Fechas en las que se ha reactivado, Información desactivado, inhabilitado o eliminado tu descargada cuenta. Sesiones activas Todas las sesiones activas almacenadas, con inclusión de la fecha, la hora, el dispositivo, la Información dirección IP y la información sobre el descargada navegador y las cookies del dispositivo. Registro de actividad Información descargada Fechas, horas y títulos de los anuncios en los Anuncios en los Información que has hecho clic (período de conservación que has hecho clic descargada limitado). Dirección Tu dirección actual o las direcciones Información anteriores que has tenido en tu cuenta. descargada Temas de los anuncios Lista de los temas por los que se te podría segmentar en función de los gustos y los Información intereses que has especificado y de otros descargada datos que constan en tu biografía. Todos los nombres alternativos que tengas en Información Nombre alternativo la cuenta (por ejemplo, un apodo o tu apellido descargada de soltera). Información descargada Aplicaciones Todas las aplicaciones que has añadido. Visibilidad de tu fecha de nacimiento Cómo aparece tu fecha de nacimiento en tu Información biografía. descargada Chat Historial de las conversaciones que has tenido en el chat de Facebook (el historial completo Información está disponible directamente en tu bandeja de descargada entrada de mensajes). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 19/91 Registro de actividad Información descargada Visitas Lugares que has visitado. Conexiones Las personas a las que les gusta tu página o lugar, han respondido al evento, han instalado tu aplicación o han visitado el lugar publicitado Registro de en el plazo de 24 horas desde que vieron o actividad hicieron clic en un anuncio o historia patrocinada. Si haces compras en Facebook (por ejemplo, Configuración de Tarjetas de crédito en las aplicaciones) y has proporcionado a la cuenta Facebook el número de tu tarjeta de crédito. Divisa Tu divisa preferida en Facebook. Si usas los pagos de Facebook, se utilizará para mostrar Información los precios y hacer cargos en tus tarjetas de descargada crédito. Ciudad actual La ciudad que has añadido sección Información de tu biografía. Fecha de nacimiento La fecha que has añadido como fecha de Información nacimiento en la sección Información de tu descargada biografía. Amigos eliminados Personas que has eliminado de tu lista de Información amigos. descargada Formación Toda la información que has añadido en el Información campo "Formación" de la sección descargada "Información" de tu biografía. Correos electrónicos Direcciones de correo electrónico que has Información añadido a tu cuenta (incluso las que hayas descargada eliminado). Eventos Registro de Eventos en los que has participado o a los que actividad te han invitado. Información descargada Datos de reconocimiento facial Número único basado en una comparación de las fotos en las que se te ha etiquetado. Información Utilizamos estos datos para ayudar a otras descargada personas a etiquetarte en las fotos. C/ Jorge Juan, 6 28001 – Madrid a la Información descargada www.agpd.es sedeagpd.gob.es 20/91 Información descargada Familia Amigos que has indicado que son familiares. Citas favoritas Información que has añadido a la sección Información "Frases célebres favoritas" de la descargada sección Información de tu biografía. Seguidores Lista de las personas que te siguen. Información descargada Personas y páginas que sigues Lista de las personas a las que sigues. Registro de actividad Solicitudes de amistad Solicitudes de amistad enviadas y recibidas Información que están pendientes. descargada Amigos Lista de tus amigos. Sexo El sexo que has especificado sección Información de tu biografía. Grupos Lista de los grupos a los que perteneces en Información Facebook. descargada Información descargada en la Información descargada Elementos Todos los amigos, las aplicaciones o las Información ocultados en la páginas que has ocultado en tu sección de descargada sección de noticias noticias. Ciudad de origen El lugar que has añadido como ciudad de Información origen en la sección Información de tu descargada biografía. Direcciones IP Lista de las direcciones IP desde las que has iniciado sesión en tu cuenta de Facebook (no Información incluye el historial de todas las direcciones IP descargada eliminadas conforme al calendario de retención). Última ubicación Última ubicación asociada a una actualización. Veces que has indicado que te gustan las publicaciones de otros Publicaciones, fotos u otro contenido que te ha Registro de gustado. actividad C/ Jorge Juan, 6 28001 – Madrid Registro de actividad www.agpd.es sedeagpd.gob.es 21/91 Personas a las que les han gustado tus publicaciones Personas que han indicado que les gustan tus Registro de publicaciones, fotos u otro contenido. actividad Veces que has hecho clic en "Me gusta" en otros sitios Veces que has hecho clic en "Me gusta" en Registro de sitios fuera de Facebook. actividad Cuentas vinculadas Lista de las cuentas que has vinculado a tu Configuración de cuenta de Facebook. la cuenta Idioma Idioma de uso seleccionado. Inicios de sesión Dirección IP, fecha y hora asociados a los Información inicios de sesión en tu cuenta de Facebook. descargada Cierres de sesión Dirección IP, fecha y hora asociados a los Información cierres de sesión en tu cuenta de Facebook. descargada Mensajes Mensajes que has enviado y recibido en Facebook. Ten en cuenta que los mensajes Información que hayas eliminado no se incluyen en la descargada descarga ya que se han borrado de tu cuenta. Nombre Nombre en tu cuenta de Facebook. Cambios de nombre Todos los cambios que has realizado en el Información nombre original que utilizaste al registrarte en descargada Facebook. Redes Redes (afiliaciones a colegios o lugares de Información trabajo) a las que perteneces en Facebook. descargada Notas Todas las notas que has escrito y publicado Registro de en tu cuenta. actividad Configuración de las notificaciones Lista de todas las preferencias de notificación e indicación de si tienes el correo electrónico y Información los mensajes de texto activados o descargada desactivados para cada una. Páginas que administras Lista de las páginas que administras. Solicitudes de Solicitudes de amistad enviadas y recibidas Información C/ Jorge Juan, 6 28001 – Madrid de Facebook que has Información descargada Información descargada Información descargada www.agpd.es sedeagpd.gob.es 22/91 amistad pendientes que están pendientes. Números de teléfono Números de teléfono móvil que has añadido a Información tu cuenta, incluidos los números verificados descargada que has añadido por motivos de seguridad. Fotos Fotos que has subido a tu cuenta. Metadatos de fotos Todos los metadatos transmitidos junto con Información las fotos que has subido. descargada Elementos físicos Insignias que has añadido a tu cuenta. Toques Lista de las personas que te han dado un toque y a las que se lo has dado tú. El contenido de los toques de nuestra aplicación de toques para móvil no se incluye porque Información solo está disponible durante un período de descargada tiempo breve. Una vez que el destinatario ha visto el contenido, este se elimina de forma permanente de nuestros sistemas. Ideología política Toda la información que has añadido a la Información ideología política en la sección "Información" descargada de tu biografía. Tus publicaciones Todo lo que has publicado en tu biografía, Registro de como fotos, vídeos y actualizaciones de actividad estado. Publicaciones de otras personas Todo lo que haya publicado en tu biografía otra persona, como publicaciones del muro o enlaces compartidos por tus amigos en tu biografía. Publicaciones en otras personas Todo lo que hayas publicado en la biografía de Registro de otra persona, como fotos, vídeos y actividad actualizaciones de estado. descargada Información descargada Información descargada Registro de actividad Información descargada Información descargada de la configuración de la privacidad Configuración de la privacidad Tu configuración de la privacidad. Actividades recientes Acciones que has realizado y las interacciones Registro de que has tenido recientemente. actividad C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 23/91 Información descargada Registro de actividad Información descargada Fecha de registro Fecha en la que te uniste a Facebook. Creencias religiosas Datos actuales que has añadido a las Información creencias religiosas en la descargada sección Información de tu biografía. Registro de Personas que has eliminado de tu lista de actividad Amigos eliminados amigos. Información descargada Nombres de usuario Nombres de pantalla que has añadido a tu cuenta y servicio al que están asociados. Información También puedes ver si están ocultos o visibles descargada en tu cuenta. Búsquedas Búsquedas que has realizado en Facebook. Contenido compartido Contenido (por ejemplo, noticias) que has Registro de compartido con otros usuarios de Facebook actividad con el botón o el enlace Compartir. Registro de actividad Idiomas que has añadido a los idiomas Información Idiomas conocidos conocidos en la sección Información de tu descargada biografía. Actual. de estado Registro de Todas las actualizaciones de estado que has actividad publicado. Información descargada Empleo Información actual que has añadido al Información apartado de empleo de la sección descargada "Información" de tu biografía. Tu URL de Facebook (por ejemplo, el nombre Visible en la URL URL personalizada de usuario o la URL personalizada de tu de tu biografía cuenta). Vídeos C/ Jorge Juan, 6 28001 – Madrid Vídeos que has publicado en tu biografía. Registro de actividad Información www.agpd.es sedeagpd.gob.es 24/91 descargada 1.4 HERRAMIENTAS PARA GESTIÓN DEL PERFILADO DE LA PUBLICIDAD EN FACEBOOK
Las herramientas que Facebook pone a disposición de los usuarios para controlar el tratamiento de sus datos para publicidad o cómo se muestra la publicidad personaliza se realiza en el apartado de “Configuración” en la pestaña “Anuncios”.
En dicha pestaña se despliegan cuatro opciones: o Anuncios basados en mi uso de sitios web y aplicaciones o Anuncios en aplicaciones y sitios web fuera de las empresas de Facebook o Anuncios con mis acciones sociales o Anuncios basados en mis preferencias
La opción “Anuncios basados en mi uso de sitios web y aplicaciones” adjunta las siguientes leyendas explicativas: “¿Puedes ver en internet anuncios de Facebook basados en intereses? Activada por defecto con “Sí”. Y la leyenda adicional: “Tu estado se basa en la configuración de tu dispositivo y en las opciones que has establecido a través de la Digital Advertising Alliance” Adjunta un botón “Editar” que si se pulsa muestra la siguiente leyenda: “¿Puedes ver en internet anuncios de Facebook basados en intereses? Podemos mostrarte anuncios según tu uso de los sitios web y las aplicaciones que utilizan las tecnologías de Facebook. Por ejemplo, si visitas sitios web de viajes, es posible que veas anuncios en Facebook sobre ofertas de hoteles. A este tipo de anuncios los denominamos publicidad en internet basada en intereses. Más información. Si desactivas los anuncios basados en intereses seguirás viendo el mismo número de anuncios, pero es posible que sean menos relevantes para ti. Es posible que también veas anuncios basados en tus actividades en Facebook. Mostrar anuncios en internet basados en intereses:” A continuación un desplegable con la leyenda: “Elige configuración” Que permite elegir entre Activado y Desactivado.
La opción “Anuncios en aplicaciones y sitios web fuera de las empresas de Facebook” adjunta la siguiente leyenda explicativa: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 25/91 “Se pueden usar tus preferencia de anuncios de Facebook para mostrarte anuncios en aplicaciones y sitios web que no pertenecen a las empresas de Facebook” Activada por defecto con “Sí”. Adjunta un botón “Editar” que si se pulsa muestra la siguiente leyenda: “¿Se pueden usar tus preferencias de anuncios de Facebook para mostrarte anuncios en aplicaciones y sitios web que no pertenecen a las empresas de Facebook? Audience Network es una red publicitaria que permite a los anunciantes mostrar anuncios en sitios web y aplicaciones en distintos dispositivos, como ordenadores, teléfonos móviles y televisores conectados. Cuando las empresas compran anuncios a través de Facebook, pueden decidir si quieren que estos se distribuyan en Audience Network. Queremos mostrarte anuncios que te resulten relevantes y útiles. Tus preferencias de anuncios de Facebook nos permiten conocer qué anuncios son más interesantes para ti. Puedes elegir si quieres que se usen tus preferencias de anuncios de Facebook para mostrarte anuncios en aplicaciones y sitios web no proporcionados por Facebook. Si permites que se usen tus preferencias de anuncios de Facebook: verás anuncios que te resultarán más interesantes y relevantes. Si no permites que se usen tus preferencias de anuncios de Facebook: verás anuncios de todos modos, pero no serán tan relevantes para ti. Podrías ver anuncios por otros motivos, por ejemplo: tu edad, sexo o ubicación. El contenido de la aplicación o el sitio web que estás usando. Tu actividad fuera de las empresas de Facebook. Ve anuncios en función de las preferencias de los anuncios de Facebook en aplicaciones y sitios web fuera de las empresas de Facebook” A continuación un desplegable con la leyenda: “Si” que si se pulsa permite discriminar entre “Sí” y “No”.
La opción “Anuncios con mis acciones sociales” adjunta la siguiente leyenda explicativa: “¿Quién puede ver tus acciones sociales relacionadas con anuncios?” Activada por defecto con “Solo mis amigos”. Adjunta un botón “Editar” que si se pulsa muestra la siguiente leyenda: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 26/91 “¿Quién puede ver tus acciones sociales relacionadas con anuncios? Las personas quieren saber lo que les gusta a sus amigos. Ese es el motivo por el que mostramos anuncios a tus amigos según las acciones que realizas, como indicar que te gusta una página o compartir una publicación. Este es un ejemplo: << SE MUESTRA UN ANUNCIO DE EJEMPLO>> This setting applies to your likes, follows, comments, shares, app usage and events joined that appear with ads your friends see. Ads like this will only be visible to people who have permission to view the action you've taken. Incluir mis acciones sociales con anuncios para:” Se hace notar que parte del texto explicativo está en inglés. A continuación un desplegable con la leyenda: “Solo mis amigos” que si se pulsa permite discriminar entre “Solo mis amigos” y “Nadie”.
La opción “Anuncios basados en mis preferencias” adjunta la siguiente leyenda explicativa: “Administra las preferencias que usamos para mostrar tus anuncios” Adjunta un botón “Editar” que si se pulsa muestra la siguiente leyenda: “Administra las preferencias que usamos para mostrar tus anuncios. Queremos mostrarte anuncios que consideres relevantes. Por este motivo hemos incorporado las preferencias de anuncios, una herramienta con la que puedes ver, añadir y eliminar preferencias que hemos creado basándonos en datos como la información de tu perfil, las acciones que realizas en Facebook y los sitios web, y las aplicaciones que utilizas fuera de Facebook. Más información. Por ejemplo, si en tus preferencias se indica "ciclismo", es posible que veas anuncios de una tienda de bicicletas local. Si eliminas todas las preferencias, seguirás viendo anuncios, pero es posible que te resulten menos relevantes.” Adjunta un botón “Ir a las preferencias de anuncios” que si se pulsa muestra una nueva ventana. En dicha ventana aparece la siguiente leyenda en la parte superior derecha: “Tu información Hay una serie de factores que influyen en los anuncios que ves. El principal es la información demográfica que obtenemos de tu perfil y actividad, como la edad, el sexo y el lugar donde te encuentras. Procuramos mantener tu información segura en todo momento.” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 27/91 Se adjunta un botón “Editar Perfil”, que permite gestionar la información de perfil introducida por el usuario. En la parte inferior de la ventana aparece la lista de “Intereses” recogidos por Facebook así como de “Anunciantes”. El primero recoge una lista de intereses para, según la leyenda “Elige un interés para obtener una vista previa de ejemplos de anuncios que puedes ver en Facebook o para eliminarlo de tus preferencias de anuncios.”. El segundo enumera lista de anunciantes que “Tienen tu información de contacto” y “Has visitado su sitio web o usado su aplicación.” En la parte superior izquierda de la ventana aparecen, desplazándose, tres leyendas de forma secuencial: Primera: “Tus preferencias de anuncios de Facebook Las preferencias de anuncios te ayudan a entender qué información influye en los anuncios que ves y te permiten decidir qué anuncios verás en el futuro. Consulta los temas que consideramos que pueden interesarte y algunos de los anunciantes que creen que sus productos, servicios y causas pueden ser de tu interés.” Segunda “Cómo determinamos tus preferencias de anuncios Usamos información procedente de distintas fuentes para determinar qué anuncios pueden ser relevantes y útiles para ti. Por ejemplo, la información de tu perfil de Facebook, tu actividad en Facebook y tus interacciones con las empresas pueden influir en los anuncios que ves.” Tercera “Más información sobre los anuncios de Facebook Queremos ayudarte a comprender el funcionamiento de nuestro sistema de anuncios y los controles disponibles en la experiencia publicitaria en Facebook, Instagram y otros lugares en los que puedes ver anuncios de Facebook.”
Adjunto al último mensaje que aparece, está un botón con la leyenda “Información sobre anuncios de Facebook” que conduce a una página titulada con la siguiente leyenda: “Información sobre los anuncios de Facebook ¿Te has preguntado alguna vez por qué ves los anuncios que ves? Queremos que conozcas el funcionamiento de nuestro sistema de anuncios y los controles de los que dispones en tu experiencia publicitaria en Facebook, Instagram y otros lugares en los que podrías ver anuncios de Facebook.” La información se divide en distintos apartados en los que se ofrece una explicación sobre los anuncios en Facebook, con enlaces a las páginas C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 28/91 anteriores descritas en esta diligencia, con información adicional sobre las listas de clientes de empresas que están en Facebook, la posibilidad de enviar comentarios a Facebook directamente desde un anuncio.
En las páginas recogidas de Facebook no se establece un régimen de preferencias para el tratamiento de datos especialmente protegidos, no se solicita el consentimiento a priori para su tratamiento, sino que por defecto se tratan todos los datos personales para mostrar anuncios.
Las opciones de configuración permiten al usuario que Facebook no muestre anuncios basados en su perfil, pero esto no implica que Facebook no recoja ni trate la información para crear un perfil asociado al usuario y que conserve de forma indefinida. 1.5 TRATAMIENTO DE DATOS ESPECIALMENTE PROTEGIDOS
En la política de privacidad de Facebook en su versión de 29 de septiembre de 2016, disponible a la fecha del informe de inspección, consta que la información que se ofrece al usuario, sin necesidad de navegar más profundamente en el conjunto de enlaces que se proporcionan, es la siguiente:  No se señala específicamente que se recogen datos especialmente protegidos.  No se recaba consentimiento expreso para tratar datos especialmente protegidos.  En el siguiente apartado se señala que pueden recoger datos relativos al sujeto procedente de terceros sin su consentimiento, y no indica que pueden incluir datos especialmente protegidos: La actividad de otros usuarios y la información que proporcionan. Asimismo, recopilamos el contenido y la información que otras personas proporcionan cuando usan nuestros Servicios y que puede incluir información sobre ti; por ejemplo, cuando alguien comparte una foto en la que apareces, te envía un mensaje o sube, sincroniza o importa tu información de contacto.  De igual forma, se pueden recoger los mismos datos de las redes y conexiones del usuario: Tus redes y conexiones. Recopilamos información sobre las personas y los grupos a los que estás conectado y cómo interactúas con ellos; por ejemplo, las personas con las que más te comunicas o los grupos con los que te gusta compartir contenido. También recopilamos la información de contacto que proporcionas si subes, sincronizas o importas esta información (por ejemplo, una libreta de direcciones) desde un dispositivo.  De igual forma, la política de privacidad establece que se recogerán datos de terceros y que sean relativos al usuario sin especificar qué datos serán recogidos: Información de sitios web y aplicaciones que utilizan nuestros Servicios. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 29/91 Recopilamos información cuando visitas o utilizas sitios web y aplicaciones de terceros que usan nuestros Servicios (por ejemplo, cuando ofrecen nuestro botón "Me gusta" o el inicio de sesión con Facebook, o cuando usan nuestros servicios de medición y publicidad). Dicha información incluye datos acerca de los sitios web que visitas y las aplicaciones que utilizas, el uso que haces de nuestros Servicios en dichos sitios web y aplicaciones, así como datos que el desarrollador o el editor de la aplicación o del sitio web te proporciona a ti o a nosotros. Información de socios externos. Recibimos información sobre ti y tus actividades dentro y fuera de Facebook que nos proporcionan socios externos; por ejemplo, información de un socio cuando ofrecemos servicios de forma conjunta o de un anunciante acerca de tus experiencias o interacciones con él.  En la política de privacidad se establece que utilizarán la información recogida para personalizar publicidad, no se enumera que información se recogerá. Mostrar y medir anuncios y servicios. Utilizamos la información de la que disponemos para mejorar nuestros sistemas de publicidad y medición con el fin de mostrarte anuncios relevantes, tanto en nuestros Servicios como fuera de ellos, y medir la eficacia y el alcance de los anuncios y servicios. Obtén más información sobre cómo anunciarte en nuestros Servicios y cómo controlar el modo en que se usa tu información para personalizar los anuncios que ves.  En el apartado anterior aparece un enlace denominado “información de la que disponemos” (subrayado) en el que no ofrece explicaciones adicionales, sino que redirige a la misma política de privacidad.
En la configuración del perfil de usuario en Facebook existe un apartado denominado “Información básica y de contacto”. En el mismo existen los siguientes subapartados:  Añade tus creencias religiosas  Añade tu ideología política Estos subapartados, una vez seleccionados, despliegan un formulario con dos campos:  Creencias religiosas/ Ideología política  Descripción  Opciones para compartir la información con los contactos de Facebook Las opciones para compartir se establecen por defecto para “Amigos de amigos”, y son:  Público  Amigos de amigos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 30/91  Amigos  Solo yo  Personalizado La opción personalizada permite realizar una “lista negra” de amigos con los que no compartir la información. En el mismo apartado denominado “Información básica y de contacto” existe la posibilidad de identificar el sexo del usuario, extendido a más opciones que “hombre” o “mujer”, sino configurable por el propio usuario. En ninguno de los apartados anteriores se solicita un consentimiento expreso para utilizar dicha información para perfilado de publicidad, ni se informa de que se puede utilizar con dicha finalidad.
Se realiza la siguiente comprobación: sobre una máquina con sistema operativo Windows 7 Service Pack 1 y un navegador Google Chrome versión ***SERV.1, accediendo a Internet través del servicio de red privada virtual TorVPN 1 al que se accedió utilizando el software OpenVPN versión 1.0.3, después de borrar todos los datos de navegación (incluidas las cookies), se procede a la creación de un nuevo perfil de usuario de la red social Facebook denominado “ A.A.A.” que es un nombre ficticio. Además de los perfiles personales de sus usuarios, la red social permite la creación de páginas vinculadas a otro tipo de entidades (negocios, empresas, grupos de música,…). Esas páginas se crean a partir del perfil de usuario que será su administrador. Utilizando el perfil de A.A.A. se crea una página para una empresa denominada “***EMP.1” y se procede a la configuración de ésta indicando que se prefiere contactar con usuarios de España de más de 18 años. Se observa que existe la opción de seleccionar un público objeto con edades que se inician en los 13 años. La página “***EMP.1” dispone de un enlace que permite gestionar los anuncios de dicha página dentro de la red social Facebook. La herramienta de administración muestra las campañas de publicidad asociadas a la página y, a través de la herramienta de “públicos”, permite seleccionar el público (los usuarios de la red social) a los que se mostrarán los anuncias de la página. Se observa que, al igual que en el proceso de configuración de la página la edad del público objetivo puede seleccionarse en un rango que comienza con los 13 años. A partir de este punto se crean diferentes públicos objetivo que tengan como criterios de selección datos especialmente protegidos.  La herramienta de creación de público objeto dispone de una opción que permite discriminar en base a la “Situación sentimental”, con opciones como “soltero”, “Casado”, “Divorciado” o “Viudo” entre otras. Los valores de las opciones del criterio coinciden plenamente con las opciones disponibles en el perfil de los usuarios, bajo el apartado “Familia y relaciones”, donde se puede indicar la “Situación sentimental”.  La herramienta de creación de público objeto dispone de una opción que 1 ***WEB.7 C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 31/91 permite discriminar en base a la “Composición del hogar”, que dispone de dos opciones “Family-based Household”2 y “Housemate-based Household”
Se observa que al posar el puntero del ratón sobre cada opción se muestra un pequeño recuadro que indica el número de usuario de la red social que cumplen con ese criterio.  Algunos de los criterios, como “Afinidad étnica” y “Política”, que permiten discriminar en base a criterios de origen racial e ideología, parecen estar disponibles sólo para los usuarios de los Estados Unidos de América.  La herramienta de creación de público objeto dispone de una opción que permite discriminar en base a “Intereses”. Esos intereses pueden adoptar distintos valores y la herramienta de creación de público objeto permite buscar entre los posibles valores o sugiere algunos valores en base a tipos predefinidos. Se comprueba que el campo “Interés” incluye valores que permiten discriminar en función de:  Ideología política: con intereses como “Fascista”, “Falange Española y de las JONS” o “Supremacía blanca”. Se observa que esos mismos intereses aparecen en el perfil del usuario, en el campo “Ideología política” de la información básica del perfil.  Vida sexual: con intereses como “Soy Homosexual”, “Matrimonio entre personas del mismo sexo” o “Bisexual community”. Se observa que en la información básica del perfil de los usuarios se puede indicar por un lado el sexo del usuario y por otro si está interesado en hombres y/o en mujeres.  Creencias religiosas: con intereses como “Musulmán”, “Ramadán 2015” o “Corán”. Se observa que esos mismos intereses aparecen en el perfil del usuario, en el campo “Creencias religiosas” de la información básica del perfil.  Salud: con intereses como “Obesidad”, “Diabetes Meltus”, “Sida” o “Tratamiento profilaxis post-exposición para el VIH”. Se observa que en el perfil del usuario, en el grupo de información de “Acontecimientos importantes”, existe un subgrupo específico de “Salud y bienestar” que permite introducir información sobre superación de una enfermedad, abandono de un hábito, etc…. Configurando el campo de interés “Tratamiento Profilaxis post-exposición para el VIH”, junto con otros criterios de selección, Facebook manifiesta en la herramienta de configuración que tiene “1.680 personas. Descripción: Personas que han mostrado interés por páginas relacionados con Tratamiento Profilaxis post-exposición para el VIH o que les han gustado”. Configurando el campo de interés “Soy homosexual”, junto con otros criterios de selección, Facebook manifiesta en la herramienta de configuración que tiene 2 Personas que comparten vivienda y tienen una relación familiar directa o indirecta. 3 Personas que comparten vivienda y no tienen una relación familiar directa o indirecta. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 32/91 “166.360 personas. Descripción: Personas que han mostrado interés por páginas relacionados con Soy Homosexual o que les han gustado”. Para poder probar la efectividad de los públicos definidos se procede a crear una campaña publicitaria pero al requerir el sistema la introducción de un medio de pago se da por finalizada la prueba.
Se crea un usuario en la red social Facebook, en el que no se ha introducido en la información sobre orientación sexual en el perfil del usuario, y se han realizado las siguientes acciones:  Se ha navegado por páginas de Facebook con contenido etiquetado como “gay”.  Se ha seleccionado la opción de seguir las noticias publicadas por usuarios que tenían un contenido relativo a la homosexualidad. Tras realizar dichas acciones, en breves minutos Facebook ha sugerido de forma automática al usuario el consultar una página en la que se promociona el canal de televisión online ***CANAL.1 en una página web que no es de Facebook “***WEB.8” (Anexo I). En la página de configuración de anuncios que permite gestionar al usuario los “Intereses” y “Anunciantes” que ha registrado Facebook, no aparece ninguna entrada que sea referente a la categoría de anuncios mostrados (Anexo II). Cuando se selecciona el anuncio de “***WEB.8” y se pulsa en el botón marcado en la parte superior derecha con una X para eliminar el contenido, dicho anuncio desaparece de la ventana del usuario y en su lugar aparece otro anuncio en el que en el pie del mismo se puede leer “Soy Homosexual” que corresponde a un anuncio de un revista del mismo nombre que se publica en la página web ***WEB.9 que no pertenece a Facebook (Anexo III). Tras acceder a la página de configuración de anuncios y configurar los anuncios en las opciones siguientes de la forma: o Anuncios basados en mi uso de sitios web y aplicaciones -> Seleccionado NO o Anuncios en aplicaciones y sitios web fuera de las empresas de Facebook -> Seleccionado NO o Anuncios con mis acciones sociales -> Seleccionado Nadie o Anuncios basados en mis preferencias -> Se navega a la página de preferencias y se eliminan todas, aunque ninguna de las preferencias tenía relación con el contenido seleccionado. Sigue apareciendo el anuncio relativo a “Soy Homosexual” cuando se refresca la página (Anexo IV). Se sigue refrescando dicha página y sigue apareciendo el mismo anuncio. Se elimina dicho anuncio específicamente, pulsando en el botón marcado en la parte superior derecha con una X para eliminar el contenido. Dicho anuncio desaparece y se sustituye por anuncios con contenido genérico. Sin realizar ninguna actividad de navegación en Facebook o Internet se vuelven activar en la página de configuración de anuncios las opciones de presentación C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 33/91 de publicidad perfilada: o Anuncios basados en mi uso de sitios web y aplicaciones -> Seleccionado SI o Anuncios en aplicaciones y sitios web fuera de las empresas de Facebook -> Seleccionado SI o Anuncios con mis acciones sociales -> Seleccionado Nadie o Anuncios basados en mis preferencias -> Se navega a la página de preferencias y se eliminan todas, aunque ninguna de las preferencias tenía relación con el contenido seleccionado. Y aparece una página de anuncios denominada “***WEB.11”. 1.6 PERFILADO DE USUARIOS EN PÁGINAS DE TERCEROS
Con fecha 4 de mayo de 2015 se adjuntan a estas actuaciones previas de inspección informe de la Autoridad Belga de Protección de Datos titulado “Facebook Tracking Through Social Plug-ins” fechado el 27 de marzo de
En la inspección E/01147/2015/I-01 Facebook Spain S.L. manifestó desconocer el informe. Dicho informe se centra en la utilización de la tecnología de cookies por parte de Facebook para seguir la actividad de los internautas en páginas de Internet que no son de Facebook, principalmente aquellas que incorporan el plug-in social de Facebook. No analiza la posible utilización de otras tecnologías (huella del navegador, Flash, evercookies…). El informe establece lo siguiente:  Que Facebook utiliza la cookie “datr”, cuyo ámbito es el dominio Facebook.com. Contiene una cadena de 24 caracteres aleatoria y una duración de 2 años a partir del último acceso. Según la auditoría de la Autoridad Irlandesa de Protección de Datos llevada a cabo en 2011, dicha cookie utiliza para identificar el navegador del usuario. Se instala ante una primera visita a una página del dominio Facebook.com, aunque no se inicie sesión como usuario. La cookie no se encuentra cifrada, al menos en todos los casos. Facebook accede a dicha cookie, y a la URL de la página visitada, cuando una página que no es de Facebook contiene el plug-in social de Facebook, en el proceso de insertar el botón “Like” (“Me gusta”).  Si no existe una visita previa a una página del dominio Facebook.com, el acceso una página con el plug-in social de FACEBOOK, la cookie “datr” no se instala a menos que dicha página utilice la librería de autenticación “Facebook Connect”.  Que existen otras tres cookies: “fr” que contiene cifrado el identificador de usuario de FACEBOOK y el identificador del navegador, con propósito de publicidad y duración tres meses; “lu” que contiene cifrado el identificar del último usuario para autologin con duranción de dos años y “locale” que indica la localización del último usuario con duración de una semana. Estas cookies sólo se instalan, conjuntamente con la “datr” antes C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 34/91 señalada, en el caso de que un usuario se registre en FACEBOOK o cuando accede posteriormente a su cuenta. Cuando un usuario cierra su sesión, las mismas se envían a FACEBOOK cuando consultan páginas de terceros que incluyen el plug-in social. Se produce la misma situación cuando un usuario desactiva su cuenta en FACEBOOK y no borra las  En dicho informe se establece a su vez que los mecanismos de Opt-out ofrecidos por FACEBOOK a través del European Interactive Digital no impiden el seguimiento de usuarios. En el caso de usuarios que no han realizado ninguna interacción previa con páginas del dominio facefook.com, la utilización de esta opción instala la cookie “datr”, e instala una nueva cookie denominada “oo” con un identificador unívoco. En caso de usuarios de FACEBOOK, la utilización de las opciones de opt-out no elimina las cookies previamente instaladas, lo que ocasiona que a pesar de seleccionar el no seguimiento, la interacción con páginas de terceros que contengan el plug-in social implica el intercambio de al menos las cookies “dart” y “fr”.
En relación con el informe anterior se realiza la siguiente comprobación en Internet: En primer lugar se consulta una página que lista los blogs más influentes en español en la dirección siguiente:  ***WEB.10 De los que aparecen listados en el apartado "Actualidad Tecnológica" se seleccionan los siguientes blogs, que incluyen el botón "Me gusta" de Facebook asociado a sus entradas:  ***WEB.11  ***WEB.12  ***WEB.13 Para realizar una prueba se crea una máquina virtual con sistema operativo Windows XP Service Pack 3 y un navegador Firefox versión 38.0.
No hay utilización previa de la máquina virtual ni del navegador. La configuración del navegador Firefox es la configuración por defecto, lo que implica que acepta La versión del navegador Firefox utilizada proporciona en el menú Herramientas>Desarrollador Web->Mostrar Herramientas la posibilidad de visualizar, entre otros, las distintas llamadas a servidor que realiza una página web cuando carga en el ordenador del usuario su contenido, seleccionando la opción "Red". Entre ellas, y en el caso que nos ocupa, las llamadas a los servidores de Facebook en el dominio www.facebook.com para cargar el componente que implementa el botón "Me gusta". Para cada llamada, las herramientas permiten determinar qué Se accede a los tres blogs anteriores de forma sucesiva. En cada uno de ellos se analizan las llamadas al dominio www.facebook.com que realizan las páginas C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 35/91 para implementar el botón "Me gusta" de Facebook. Estas llamadas se implementan con un método GET que invoca al archivo like.php en el dominio www.facebook.com asociando a la llamada un identificador la página en la que se encuentra el elemento incrustado (en este caso el blog) y un identificador para discriminar el contenido dentro de la página al que está asociado. Se comprueba que en ningún caso la llamada al elemento "Me gusta" intercambia cookies entre la máquina virtual y el servidor www.facebook.com. A continuación, se accede a una página del dominio www.facebook.com pero sin darse de alta como usuario. En este caso, se accede a la página www.facebook.com. En el análisis del tráfico y de las cookies descargada se advierte la instalación de la cookie "_js_datr" con valor "***". En este caso, el identificador no está asociado a ningún usuario dado de alta en Facebook. A continuación, se cierra el navegador, se vuelve a iniciar y se consultan sucesivamente los tres blogs anteriores. Analizando el tráfico de peticiones al servidor www.facebook.com que realizan las páginas anteriores para descargar el componente que implementa el botón "Me gusta" se comprueba que en la llamada al servidor se incluye como parámetro la cookie "_js_datr" con el mismo valor anterior. Esto se produce en los tres blogs, y para cada una de las implementaciones del botón "Me gusta" (si en la página aparece "n" veces se realizarán "n" llamadas incluyendo en todas ellas el valor de la cookie "_js_datr"). Por lo tanto, el acceso a los tres blogs están relacionado en los servidores de Facebook por el valor "***". A continuación, se cierra el navegador, se vuelve a iniciar el navegador y se accede a la página www.facebook.com y, como anteriormente, no se inicia sesión como usuario autenticado. Analizando las llamadas a Facebook y las www.facebook.com la cookie "_js_datr" con valor "***" y que se instala en el navegador la cookie "datr" con el mismo valor que tenía la cookie "_js_datr", eliminándose esta última. A continuación, se cierra el navegador, se vuelve a iniciar y se consultan el blog ***. Analizando el tráfico de peticiones al servidor www.facebook.com que realiza el blog para descargar el componente que implementa el botón "Me gusta" se comprueba que en la llamada al servidor se incluye como parámetro la cookie "datr" con el mismo valor anterior. Volviendo a una página de Facebook sin darse de alta como usuario, el valor de la cookie "datr" anteriormente señalado se vuelve a transmitir a los servidores de Facebook. A continuación, se accede a la cuenta de un usuario de Facebook, identificándose e iniciando una sesión con un usuario previamente existente. El tráfico de Internet que descarga los elementos que forman parte de la página inicial del usuario en Facebook muestra varias llamadas a los servidores de www.facebook.com que incluyen la transmisión de la cookie "datr" con el valor "***". Este valor es el mismo que tomaban las cookies "_js_datr" y "datr" en todas las llamadas a los elementos de www.facebook.com cuando se estaban accediendo a páginas de terceros que contenía el botón "Me gusta" y el usuario aún no se había iniciado sesión por primera vez en Facebook en la máquina virtual utilizada para las pruebas. El hecho de intercambiar el mismo identificador permitiría asociar la actividad realizada en Internet de forma anterior a iniciar sesión como usuario de Facebook, a dicho nombre de usuario. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 36/91 A continuación, se cierra la cuenta del usuario anterior y se crea una nueva cuenta de usuario de Facebook, distinta a la empleada en el párrafo anterior, en otra máquina distinta, posterior a todas las acciones realizadas en la presente diligencia, y se accede a la misma. El tráfico de los elementos que forman la página inicial de este nuevo usuario muestra varias llamadas a los servidores de www.facebook.com que incluyen la transmisión de la cookie "datr" con el valor "***". Como en el caso del primer usuario, este valor es el mismo que tomaban las cookies "_js_datr" y "datr" en todas las llamadas a elementos de www.facebook.com cuando se estaban accediendo a páginas de terceros y el usuario no se había dado de alta por primera vez en la máquina virtual. Este valor también permitiría enlazar la actividad de las dos cuentas de usuario. A continuación, se cierra la cuenta del usuario (no hay usuarios dados de alta) y se consultan el blog ***. Analizando el tráfico de peticiones al servidor www.facebook.com que realiza el blog para descargar el componente que implementa el botón "Me gusta" se comprueba que en la llamada al servidor se incluye como parámetro la cookie "datr" con el mismo valor que había tomada en todas las llamadas anteriores al servidor de Facebook durante el acceso a la cuenta de los dos usuarios registrados, y cuando se estaba accediendo a páginas de terceros que tenían un componente de Facebook y no se había iniciado una sesión en un usuario de Facebook.
Con fecha 14 de marzo de 2016, se realizó una visita de inspección a las instalaciones de Facebook Spain, en la que representantes de Facebook Spain, Facebook Ireland y del grupo Facebook realizaron las siguientes manifestaciones en relación con la cookie datr:  En primer lugar, dado que el escrito en el que se informaba acerca de la visita requería específicamente la asistencia de un “representante del departamento técnico” y que Facebook Spain, S.L. no tiene ningún empleado con un perfil técnico especializado en cookies, Facebook ha facilitado la presencia de D. S.S.S.  La cookie datr se instala únicamente en los navegadores de los usuarios cuando el usuario visita una página del dominio Facebook.com.  A la pregunta relativa a cómo actúan las cookies dart para los usuarios no registrados en la plataforma Facebook, el S.S.S. explica que cuando un usuario no registrado visita por primera vez una página del dominio Facebook.com, aparece un mensaje en un banner sobre la utilización de implica la aceptación de dichas cookies. También está fácilmente accesible una política de cookies.  Cuando se accede a una página de otro editor, distinto de Facebook, pero que entre el contenido de la página se incluye el botón “Me gusta” o “Like” de Facebook, se produce un acceso a los servidores de Facebook para la descarga del botón mediante llamadas HTTP. Formando parte de esa llamada HTTP se envían las cookies a los servidores de Facebook, en particular la cookie datr previamente instalada en el ordenador del usuario.  Si no se ha realizado una visita previa a una página del dominio Facebook.com, el acceso a la página de un tercero, que incluya el botón “Me gusta” de Facebook en su contenido, no tiene como consecuencia la instalación de dicha cookie, y por lo tanto la transmisión de la información C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 37/91 asociada a la misma en los accesos HTTP a los servidores de Facebook.  En el caso de que se pulse el botón “Me gusta” en la página de un editor fuera del dominio Facebook.com, sí se instala la cookie datr en el dispositivo del usuario ‒si no estuviera previamente instalada‒ si el usuario continua navegando dentro del pop-up del dominio de Facebook.com que se genera con la acción de pulsar el botón de “Me gusta” y habiéndole mostrado el banner de cookies, como es habitual; ya que ello supone el acceso a una página del dominio Facebook.com y, por lo tanto, el uso continuado de dicho dominio, indicando un consentimiento a la instalación de dichas cookies.  Hasta donde tienen conocimiento los asistentes por parte de Facebook, los datos que se recogen con la utilización de la cookie datr son aquellos que forman parte de los parámetros de una llamada HTTP estándar. Sin embargo, los asistentes por parte de Facebook no pueden confirmar en la entrevista las categorías concretas de datos que se recaban. Esta información incluirá, probablemente, la página de origen del usuario (el referrer), el idioma seleccionado y el User-Agent.  La información de impresión del social plugin transmitida a través de la llamada HTTP se almacena asociada al identificador de la cookie datr en los servidores de Facebook durante un máximo de 10 días para los usuarios no registrados en el servicio de Facebook o los usuarios del servicio de Facebook que hayan cerrado la sesión en el correspondiente navegador. Esta información recogida mediante la cookie datr se elimina cuando tiene una antigüedad mayor de 10 días.  Un identificador asociado a un navegador mediante la cookie datr, se asociará a ese mismo navegador. Preguntados acerca de cuánto tiempo se conserva dicho identificador, los asistentes de Facebook contestan que, respecto a los usuarios no registrados en Facebook.com, la cookie datr tiene un plazo de expiración de dos años desde la fecha inicial en la que se produjo la navegación inicial en el sitio Facebook.com.  La cookie datr tiene el propósito de proteger la seguridad de la plataforma de Facebook, la integridad del servicio y la de las cuentas de sus usuarios.  El mecanismo de protección se basa en conseguir información sobre el patrón de navegación de los usuarios (reales -humanos- o posiblemente virtuales -robots-) que intentan interaccionar con una página del dominio Facebook.com o acceder a la cuenta de un usuario.  Facebook instala la cookie datr desde el dominio de Facebook porque de esta forma tiene mayores oportunidades de identificar el tráfico potencialmente ilícito que vuelve al sitio web. Mediante los datos recogidos por la instalación y utilización de la cookie datr, se puede asociar un patrón de navegación al identificador almacenado en la cookie dart almacenada en el sistema de dicho usuario. Ese patrón se construye al recoger información sobre las páginas a través de las que ha navegado y que incluyen el botón “Me gusta”, y asociarla en los servidores de Facebook a dicho identificador de la cookie datr.  Facebook revisa el patrón de navegación de los navegadores (registrados en los servidores de Facebook durante los últimos 10 días) asociados al identificador y puede estimar el grado de fiabilidad de un usuario en particular C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 38/91 como un usuario legítimo y no como una amenaza potencial en el momento en el que ese usuario retorna a una página del dominio Facebook.com. Los usuarios que son amenazas potenciales, malware, robots u otros sistemas automáticos pueden manifestar un patrón de navegación distinto a la de los usuarios reales.  De esa forma, en caso de que se detecte un usuario ilegítimo, como puede ser un intento de adivinar las claves de usuarios o una ataque de denegación de servicio, Facebook puede poner en marcha mecanismos adicionales de seguridad para el acceso a las páginas del dominio Facebook.com, en particular al intento de acceso a las cuentas de sus usuarios.  Una de esas medidas adicionales puede ser poner en marcha mecanismos para detectar si el usuario es un humano, como puede ser la solicitud de completar un captcha.  Se realizan alrededor de 400.000 acciones de protección diarias en intentos de acceso a cuentas de usuarios de Facebook basadas en la información proporcionada por la cookie datr.  La cookie datr no se utiliza actualmente para otros propósitos y, en particular, para el perfilado de usuarios con propósito de mostrar publicidad.  Facebook Spain, S.L. no participa en ninguna actividad relacionada con la definición, utilización o gestión de la cookie datr o de la información recogida por la misma.
En el apartado 4 de la “Declaración de Derechos y Responsabilidades” Facebook manifiesta que el propósito del servicio que proporciona es que los usuarios estén identificados con su nombre real, que tengan una única cuenta y que se tomarán medidas para garantizar que así sea: 4 Seguridad de la cuenta y registro Los usuarios de Facebook proporcionan sus nombres e información reales y necesitamos tu colaboración para que siga siendo así. Estos son algunos de los compromisos que aceptas en relación con el registro y mantenimiento de la seguridad de tu cuenta:
No proporcionarás información personal falsa en Facebook, ni crearás una cuenta para otras personas sin su autorización.
No crearás más de una cuenta personal.
Si inhabilitamos tu cuenta, no crearás otra sin nuestro permiso.
No utilizarás tu biografía personal para tu propio beneficio comercial, sino que para ello utilizarás una página de Facebook.
No utilizarás Facebook si eres menor de 14 años.
No utilizarás Facebook si has sido declarado culpable de un delito sexual.
Mantendrás la información de contacto exacta y actualizada.
No compartirás tu contraseña (o, en el caso de los desarrolladores, tu clave secreta), no dejarás que otra persona acceda a tu cuenta ni harás nada que pueda poner en peligro la seguridad de tu C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 39/91 cuenta.
No transferirás la cuenta (incluida cualquier página o aplicación que administres) a nadie sin nuestro consentimiento previo por escrito.
Si seleccionas un nombre de usuario o identificador similar para tu cuenta o página, nos reservamos el derecho de eliminarlo o reclamarlo si lo consideramos oportuno (por ejemplo, si el propietario de una marca comercial se queja por un nombre de usuario que no esté estrechamente relacionado con el nombre real del usuario).
Con fecha 7 de noviembre de 2016 se comprueba la información sobre cookies del sitio Facebook.com con el siguiente resultado:  Existe un aviso de primera capa con la siguiente leyenda: Usamos cookies para personalizar el contenido, adaptar y evaluar los anuncios, y ofrecer una experiencia más segura. Al hacer clic o navegar en el sitio, aceptas que recopilemos información dentro y fuera de Facebook mediante cookies. Obtén más información, incluida la relativa a los controles disponibles, aquí: Política de cookies.  Existe un aviso de segunda capa, accesible desde la primera capa, y accesible también en los enlaces que la página mantiene de forma permanente en el pie de la misma. Tiene la siguiente información: El enlace política de cookies Las cookies son pequeños fragmentos de texto utilizados para almacenar información sobre navegadores web. Se utilizan para almacenar y recibir identificadores y otros datos sobre computadoras, teléfonos y otros dispositivos. Otras tecnologías, incluidos los datos que almacenamos sobre tu navegador web o dispositivo, los identificadores asociados a tu dispositivo y otras herramientas de software, se utilizan con fines similares. A los efectos de esta política, todas estas tecnologías reciben el nombre de "cookies". Utilizamos cookies si tienes una cuenta de Facebook, utilizas los servicios de Facebook, incluido nuestro sitio web y nuestras aplicaciones (independientemente de que te registres o no, o de que inicies o no sesión), o visitas otros sitios web y aplicaciones que utilizan los servicios de Facebook (incluido el botón "Me gusta" o nuestras herramientas de publicidad). En esta política, se explica el uso que hacemos de las cookies y las opciones de las que dispones.  En la misma página se despliegan un conjunto de enlaces que conducen, entre otros, a una información más extensa en una tercera capa, Más recursos C/ Jorge Juan, 6 28001 – Madrid  Política sobre cookies para imprimir  Política de datos  Condiciones www.agpd.es sedeagpd.gob.es 40/91  Configuración de anuncios de Facebook  Aspectos básicos de la privacidad  Esa tercera capa contiene información con fecha de actualización 26 de mayo de 2016 y es la que sigue: Las cookies son pequeños fragmentos de texto utilizados para almacenar información sobre navegadores web. Se utilizan para almacenar y recibir identificadores y otros datos sobre computadoras, teléfonos y otros dispositivos. Otras tecnologías, incluidos los datos que almacenamos sobre tu navegador web o dispositivo, los identificadores asociados a tu dispositivo y otras herramientas de software, se utilizan con fines similares. A los efectos de esta política, todas estas tecnologías reciben el nombre de "cookies". Utilizamos cookies si tienes una cuenta de Facebook, utilizas los servicios de Facebook, incluido nuestro sitio web y nuestras aplicaciones (independientemente de que te registres o no, o de que inicies o no sesión), o visitas otros sitios web y aplicaciones que utilizan los servicios de Facebook (incluido el botón "Me gusta" o nuestras herramientas de publicidad). En esta política, se explica el uso que hacemos de las cookies y las opciones de las que dispones. ¿Por qué utilizamos cookies? Las cookies nos ayudan a prestar, proteger y mejorar los servicios de Facebook, por ejemplo, para personalizar el contenido, adaptar los anuncios y medir su rendimiento, y brindar una mayor seguridad. Si bien las cookies que utilizamos en ocasiones pueden cambiar a medida que mejoramos y actualizamos los servicios de Facebook, por lo general, se incluyen en las siguientes categorías de uso: Autenticación Utilizamos cookies para verificar tu cuenta y determinar cuándo inicias sesión, con el fin de ayudarte a acceder a los servicios de Facebook y mostrarte la experiencia y las funciones correspondientes. Por ejemplo: utilizamos cookies para mantener tu sesión abierta mientras navegas entre páginas de Facebook. Las cookies también nos ayudan a recordar tu navegador, de tal modo que no tengas que iniciar constantemente sesión en Facebook y puedas hacerlo fácilmente mediante aplicaciones y sitios web de terceros. Seguridad e integridad de los sitios y productos Utilizamos cookies para proteger tu cuenta, tus datos y los servicios de Facebook. Por ejemplo: las cookies pueden ayudarnos a determinar e imponer medidas adicionales de seguridad en caso de que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 41/91 alguien intente acceder a una cuenta de Facebook sin autorización, por ejemplo, adivinando rápidamente diferentes contraseñas. También utilizamos cookies para almacenar información que nos permita recuperar tu cuenta en caso de que olvides tu contraseña o para solicitar información adicional de autenticación si nos indicas que te robaron la cuenta. También utilizamos cookies para luchar contra actividades que infrinjan nuestras políticas o afecten de cualquier otro modo nuestra capacidad para prestar los servicios de Facebook. Por ejemplo: las cookies nos ayudan a combatir el spam y los ataques de phishing, al permitirnos identificar las computadoras que se usaron para crear un gran número de cuentas de Facebook falsas. También utilizamos cookies para detectar las computadoras infectadas con malware y adoptar medidas que impidan daños mayores. Las cookies también nos ayudan a impedir que los menores de edad se registren en Facebook. Publicidad, estadísticas y mediciones Utilizamos cookies para mostrar anuncios de negocios y otras organizaciones a personas que pueden estar interesadas en los productos, los servicios o las causas que promocionan. Por ejemplo: las cookies nos permiten mostrar anuncios a personas que ya visitaron el sitio web de un negocio, compraron sus productos o utilizaron sus aplicaciones. Asimismo, nos permiten limitar el número de veces que se muestra un anuncio, de tal modo que no veas el mismo anuncio una y otra vez. También utilizamos cookies para medir el rendimiento de las campañas publicitarias de negocios que utilizan los servicios de Facebook. Por ejemplo: utilizamos cookies para llevar un recuento del número de veces que se muestra un anuncio y calcular su costo. También utilizamos cookies para medir la frecuencia con la que se realizan determinadas acciones, como hacer clic en un anuncio o visualizarlo. Las cookies nos ayudan a mostrar y medir anuncios en diferentes navegadores y dispositivos utilizados por la misma persona. Por ejemplo: podemos utilizar cookies para impedir que veas el mismo anuncio una y otra vez en los diferentes dispositivos que utilices. Las cookies también nos permiten proporcionar estadísticas sobre las personas que usan los servicios de Facebook, y sobre las personas que interactúan con los anuncios, los sitios web y las aplicaciones de nuestros anunciantes y de los negocios que utilizan los servicios de Facebook. Por ejemplo: utilizamos cookies para ayudar a los negocios a conocer qué tipo de personas indican que les gusta su página de Facebook o usan sus aplicaciones, de tal modo que puedan C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 42/91 ofrecer contenido más relevante y desarrollar funciones con mayores probabilidades de interesar a sus clientes. También utilizamos cookies para ayudarte a indicar que no quieres ver anuncios de Facebook en función de tu actividad en sitios web de terceros. Obtén más información sobre los datos que recibimos, cómo decidimos qué anuncios mostrarte tanto dentro de los servicios de Facebook como fuera de estos, y los controles que tienes a tu disposición. Funciones y servicios del sitio Utilizamos cookies para habilitar las funciones que nos ayudan a prestar los servicios de Facebook. Por ejemplo: las cookies nos ayudan a almacenar preferencias, conocer cuándo viste contenido de servicios de Facebook o interactuaste con él, y ofrecerte contenido y experiencias personalizadas. Por ejemplo, nos permiten realizar sugerencias a las personas y personalizar el contenido de sitios de terceros que integren nuestros plugins sociales. Si eres administrador de una página, las cookies te permiten publicar en nombre de tu cuenta personal de Facebook o de tu página. También utilizamos cookies a fin de ofrecerte contenido relevante para tu configuración regional. Por ejemplo: podemos almacenar información en una cookie colocada en tu navegador o dispositivo para que veas el sitio web en el idioma de tu preferencia. Rendimiento Utilizamos cookies para ofrecerte la mejor experiencia posible. Por ejemplo: las cookies nos ayudan a dirigir el tráfico entre los servidores y para conocer con qué rapidez se cargan los servicios de Facebook para cada persona. También nos ayudan a registrar la relación de aspecto y las dimensiones de tu pantalla y tus ventanas, y a saber si tienes habilitado el modo de contraste alto, para que podamos mostrar correctamente nuestros sitios y aplicaciones. Análisis e investigación Utilizamos cookies para conocer mejor cómo se usan los servicios de Facebook, con el fin de mejorarlos. Por ejemplo: las cookies nos ayudan a conocer cómo se utilizan los servicios de Facebook, a analizar qué partes de los servicios resultan más útiles e interesantes, y a identificar funciones susceptibles de mejora. ¿Cómo utilizamos las cookies? Podemos colocar cookies en tu computadora o dispositivo y recibir información almacenada en ellas cuando utilices o visites:  C/ Jorge Juan, 6 28001 – Madrid Los servicios de Facebook www.agpd.es sedeagpd.gob.es 43/91  Servicios prestados por miembros del grupo de empresas de Facebook  Servicios prestados por otras empresas que utilicen los servicios de Facebook (por ejemplo, empresas que incorporen el botón "Me gusta" o servicios publicitarios de Facebook en sus sitios web o aplicaciones) También podemos definir y recibir información almacenada en Facebook, incluidos "adtmt.com", "liverail.com" e "Instagram.com". ¿Otras partes utilizan cookies con relación a los servicios de Facebook? Sí, otras partes pueden utilizar cookies en los servicios de Facebook para prestarnos servicios a nosotros y a los negocios que se anuncian en Facebook. Por ejemplo, nuestros socios de medición utilizan cookies en los servicios de Facebook para ayudar a los anunciantes a conocer la eficacia de sus campañas publicitarias de Facebook y a comparar el rendimiento de dichas campañas con el de los anuncios mostrados en otros sitios web y en otras aplicaciones. Obtén más información sobre las empresas que utilizan cookies en los servicios de Facebook. Terceros también utilizan cookies en sus propios sitios y aplicaciones con relación a los servicios de Facebook. Para conocer cómo utilizan otras partes las cookies, consulta nuestras políticas. ¿Cómo puedes controlar el uso que hace Facebook de las Una de las finalidades de utilizar cookies es mostrarte anuncios útiles y relevantes dentro y fuera de Facebook. Puedes controlar cómo utilizamos los datos para mostrarte anuncios mediante las herramientas que se describen a continuación. Si tienes una cuenta de Facebook: C/ Jorge Juan, 6 28001 – Madrid  Puedes usar tus preferencias de anuncios para saber por qué ves un anuncio en particular y controlar el uso que hacemos de la información que recopilamos para mostrarte anuncios.  Algunos de los anuncios que ves se basan en tu actividad en sitios web y aplicaciones fuera del grupo de empresas de Facebook. Es lo que denominamos "publicidad en internet basada en intereses". Puedes controlar si quieres ver anuncios en internet basados en intereses de Facebook en la configuración de anuncios.  La red de público de Facebook permite a los anunciantes mostrarte anuncios en aplicaciones y sitios web fuera del grupo de empresas de Facebook. Una de las formas en las que la red de público muestra anuncios relevantes es mediante tus www.agpd.es sedeagpd.gob.es 44/91 preferencias de anuncios con el fin de determinar qué anuncios es posible que tengas interés en ver. Puedes controlarlo en la configuración de anuncios. Todos: puedes indicar que no quieres ver anuncios en internet basados en intereses de Facebook ni de otras empresas participantes a través de la Digital Advertising Alliance en los EE. UU., de la Digital Advertising Alliance of Canada en Canadá, de la European Interactive Digital Advertising Alliance en Europa, o en la configuración de tu dispositivo móvil. Más información sobre la publicidad en internet: las agencias de publicidad con las que trabajamos suelen usar Para obtener más información sobre el uso que hacen los anunciantes de las cookies y las opciones que ofrecen, consulta las siguientes direcciones web:  Digital Advertising Alliance  Digital Advertising Alliance of Canada  European Interactive Digital Advertising Alliance Controles de cookies de navegadores: además, tu navegador o tu dispositivo pueden ofrecer opciones de configuración que te permiten indicar si quieres que se usen información sobre estos controles, visita el material de ayuda de tu navegador o dispositivo. Es posible que algunos servicios de Facebook no funcionen correctamente si deshabilitas el uso de Fecha de la última revisión: 26 de mayo de 2016  Se constata que no se instalan cookies antes de mostrar el primer aviso, y que incluso no se instalan cookies cuando se consultan los enlaces relativos a la política de cookies.
En la política de privacidad existe un párrafo relativo a la política de cookies además de un enlace a dicha política: Utilizamos cookies y tecnologías similares para prestar y mantener nuestros Servicios, además de cada uno de los usos expuestos y descritos en este apartado de nuestra política. Consulta nuestra Política de cookies para obtener más información.
Con fecha 2 de enero de 2017 se constata que la información que ofrece Facebook en su apartado para desarrolladores no informa de la utilización de de terceros. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 45/91  En la información que se ofrece a los editores de los sitios web en el apartado Facebook Developers en relación con la incorporación Plug-ins sociales a las páginas de Internet, existe una apartado específico para el botón “Me gusta” en el que se describe la instalación de dicho botón, pero no se informa sobre la utilización de cookies.  Existe un apartado de “Preguntas Frecuentes” en el que no hay un apartado sobre las cookies utilizadas, su propósito o limitaciones.
Con fecha 6 de enero de 2017 se constata que Facebook incluye las siguientes Se incluyen un total de 8 cookies:  c_user  csm  datr  dpr  fr  lu  s  sb  xs Todas las cookies son persistentes, con hasta dos años de persistencia.  La cookie c_user contiene la identificador del usuario en Facebook.  La cookie csm se emplea para redirigir al navegador a conexiones https.  Las cookies datr se utiliza para determinar unívocamente a un usuario, aunque este no tenga cuenta en Facebook.  La cookie dpr permite la interacción con Facebok  La cookie fr es utilizada para publicidad y contiene una versión cifrada del identificador del usuario en Facebook y del identificador del navegador.  La cookie lu contiene el identificador cifrado del último usuario.  Las cookies sb, s no tienen propósitos conocidos.  La cookie xs contiene un número de sesión y un valor secreto. 1.7 INFORMACIÓN SOBRE PERFILADO EN TERCEROS Y SOBRE EJERCICIO DE DERECHOS
En la política de privacidad de Facebook en su versión de 29 de septiembre de 2016, disponible a la fecha del informe de inspección, consta que la información que se ofrece al usuario sin necesidad de navegar más profundamente en el conjunto de enlaces que se proporcionan:  Manifiestan que trataran los datos, dentro de Facebook y con socios externos, con el propósito de perfilar la fiabilidad del usuario en servicios de terceros, sin especificar qué tipo de información se utilizará: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 46/91 Es posible que también accedamos, preservemos y compartamos información cuando creamos de buena fe que es necesario para detectar, evitar y combatir el fraude y otras actividades ilegales; para protegerte a ti, a otras personas y a nosotros, también como parte de investigaciones, así como para evitar que se produzcan muertes o daños físicos inminentes. Por ejemplo, podemos proporcionar información a socios externos acerca de la fiabilidad de tu cuenta con el fin de prevenir el fraude y las conductas ilícitas dentro y fuera de nuestros Servicios.  No existe en la política de privacidad un apartado específico para el ejercicio de los derechos, aunque se proporcionan direcciones de contacto bajo el epígrafe “Cómo hacer llegar tus dudas a Facebook”: Cómo hacer llegar tus dudas a Facebook Para obtener más información sobre la privacidad en Facebook, consulta Aspectos básicos de la privacidad. Si tienes preguntas acerca de esta política, puedes ponerte en contacto con nosotros utilizando la siguiente información: Si vives en Estados Unidos o en Canadá: Ponte en contacto con Facebook, Inc. a través de internet o por correo postal en la dirección: *** Si vives en otro país: La entidad de control de datos responsable de tu información es Facebook Ireland Ltd., con quien te puedes poner en contacto a través de internet o por correo postal en la dirección: *** 1.8 UTILIZACIÓN DEL CONTENIDO DE LA COMUNICACIÓN PARA PERFILADO
La AEPD tuvo conocimiento de una noticia de la agencia Reuters en la que se divulga la existencia de una denuncia contra Facebook por explorar el contenido de los mensajes de los usuarios para extraer información empleada en el perfilado de publicidad. La noticia hace referencia al caso ****. Dicha demanda está en curso, y los documentos asociados a la misma están disponibles de forma pública en la siguiente dirección de Internet: http://dockets.justia.com/docket/california/candce/5:2013cv05996/273216 En el documento numerado como 1 y titulado “COMPLAINT against Facebook Inc.” el denunciante manifiesta que el sistema de mensajes de FACEBOOK no es privado, sino que el contenido de los mensajes se explora por la compañía. En particular, las URL (direcciones de Internet) incluidas en los mensajes son leídas, se accede a dichos enlaces, y las páginas a las que se refiere dicho enlace son exploradas para enriquecer el perfil del usuario que las ha enviado. El envío de dichos enlaces se trata como un “Me gusta” del emisor sobre esa página. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 47/91 En el documento número 29 titulado “MOTION to Dismiss Consolidated Amended Complaint filed by Facebook Inc.” Facebook manifiesta que existe consentimiento por parte del usuario para el acceso a la información enviada en los mensajes, incluso para su utilización en el perfilado de los usuarios. Además, el tratamiento de las direcciones URL tienen un propósito técnico, el de agilizar la transmisión de datos y proporcionar un visión previa de la página referida en la URL. Es más, que el posible tratamiento para enriquecer el perfil del usuario entraría en el marco del negocio legítimo de FACEBOOK. El procedimiento está pendiente de conclusión.
En la inspección E/01147/2015/I-01 Facebook Spain S.L. manifestó desconocer el caso.
En relación con la política de privacidad que se declara en la página www.facebook.com en el enlace “Política de Datos” https://www.facebook.com/about/privacy/: a. La versión actual está fechada el 30 de enero de 2015 b. En el apartado ¿Qué tipo de información recopilamos? Se señala explícitamente: “Recopilamos el contenido … cuando envías mensajes o te comunicas con otros usuarios” c. ¿Cómo utilizamos esta información? “Mostrar y medir anuncios y servicios. Utilizamos la información de la que disponemos para mejorar nuestros sistemas de publicidad y medición, de tal modo que podamos mostrarte anuncios relevantes, tanto en nuestros servicios como en servicios de terceros, y medir la eficacia y el alcance de los anuncios y servicios” 1.9 PERIODOS DE RETENCIÓN
En la página de Facebook en la que se expone la “Políticas de Datos”, la empresa manifiesta que la información se almacenará el tiempo suficiente para proporcionar los productos y servicios, y aquellos necesarios para cumplir con requerimientos legales: “IV. ¿Cómo puedo administrar o eliminar información sobre mí? Puedes administrar el contenido y la información que compartes al usar Facebook mediante la herramienta Registro de actividad. También puedes descargar información asociada a tu cuenta de Facebook con nuestra herramienta Descarga tu información. Almacenamos los datos durante el tiempo necesario para facilitarte productos y servicios, a ti y otros usuarios, incluidos los descritos anteriormente. La información asociada a tu cuenta se conservará hasta que la cuenta se elimine, a menos que ya no necesitemos los datos para ofrecer los productos y servicios. Puedes eliminar tu cuenta en cualquier momento. Cuando eliminas tu cuenta, eliminamos lo que hayas publicado, como tus fotos y C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 48/91 actualizaciones de estado. Si no quieres eliminar la cuenta pero quieres dejar de usar Facebook por un tiempo, puedes desactivarla. Para obtener más información sobre cómo desactivar o eliminar tu cuenta, haz clic aquí. Ten en cuenta que la información sobre ti que otras personas hayan compartido no forma parte de tu cuenta y no se retirará cuando la elimines. V. ¿Cómo respondemos a requerimientos legales o evitamos que se produzcan daños? Podemos acceder a tu información, conservarla y compartirla en respuesta a un requerimiento legal (como una orden de registro, orden judicial o citación) si creemos de buena fe que la ley así lo exige. Esto puede incluir la respuesta a requerimientos legales de jurisdicciones ajenas a los Estados Unidos cuando creamos de buena fe que la legislación de esa jurisdicción exige dicha respuesta, que afecta a los usuarios en dicha jurisdicción y que resulta coherente con estándares reconocidos internacionalmente. Es posible que también accedamos, preservemos y compartamos información cuando creamos de buena fe que es necesario para detectar, evitar y combatir el fraude y otras actividades ilegales; para protegerte a ti, a otras personas y a nosotros, también como parte de investigaciones, así como para evitar que se produzcan muertes o daños físicos inminentes. Por ejemplo, podemos proporcionar información a socios externos acerca de la fiabilidad de tu cuenta con el fin de prevenir el fraude y las conductas ilícitas dentro y fuera de nuestros Servicios. Es posible que consultemos, procesemos o conservemos la información que recibamos sobre ti (incluida información sobre transacciones financieras relativa a compras realizadas con Facebook) durante un período prolongado de tiempo cuando esté sujeta a una solicitud u obligación judicial, una investigación gubernamental o investigaciones relacionadas con posibles infracciones de nuestras políticas o condiciones, o bien para evitar daños. También podemos conservar información sobre las cuentas que se han desactivado por incumplir nuestras condiciones y guardar sus datos durante un mínimo de un año para evitar que se repitan conductas abusivas o infracciones de nuestras condiciones.”
Por otro lado, en la página titulada “Información para las fuerzas del orden” que se encuentra en la siguiente dirección web.: https://www.facebook.com/safety/groups/law/guidelines/ Facebook manifiesta que el acceso a los usuarios al conjunto de direcciones IP que Facebook ha recopilado de los distintos accesos de los mismos a sus cuentas en Facebook se limitará, y sólo se proporcionará en caso de proceso legal: “Consentimiento de los usuarios Si un miembro de las fuerzas del orden desea obtener información sobre un usuario de Facebook que le ha dado su consentimiento para acceder a la información de su cuenta u obtenerla, debe indicarse al usuario en cuestión que obtenga esa información por sus propios medios. Para obtener el contenido de la cuenta, como mensajes, fotos, vídeos y publicaciones en la biografía, los usuarios pueden acceder a la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 49/91 función "Descarga tu información" de Facebook desde la configuración de la cuenta. Los usuarios también pueden ver las direcciones IP recientes en la configuración de la seguridad, en "Dónde has iniciado sesión". Los usuarios solamente pueden obtener acceso a la información del historial de direcciones IP en caso de proceso legal.”
Por otro lado, en el informe elaborado el 16 de diciembre de 2011 por la Autoridad de Protección de Datos de Irlanda (Data Protection Commisioner), se establece que Facebook, en el momento de elaborar el informe, no eliminaba datos de los registros de actividad de los usuarios, pero que estaba en proceso de implementarse un sistema de anonimización de los identificadores de usuario, de las direcciones IP, de los valores de la cookie “datr”, direcciones de correo y texto generado por los usuarios. El proceso se realizaba a los 90 días de que se crease el registro de actividad y también cuando la cuenta es eliminada: “At the time of writing, this log data is not deleted. However, a process is being implemented to permanently remove the relationship between log records and the user ID being deleted, effectively making the log records anonymous. The process works as follows:  Ninety days after a particular log record is created, the user ID associated with the log record is removed and replaced with a random ID. The random ID is associated with the user’s account in a userID-to-randomID mapping. Other data that may identify the user such as the datr cookie value, IP address, email addresses and text of any user generated content are also removed at this point.  When a user account is deleted, the userID-to-randomID mapping is also deleted. Without this mapping, there is no way to know which userID the randomID was associated with and the log records are permanently anonymised.  Therefore, after the user’s account has been deleted, Facebook can no longer retrieve any logs that were associated with that user’s account. Nor is it possible to determine the user ID of the deleted account from any log entry formerly associated with the account.”
Solicitando acceso a los datos conservados por Facebook en una cuenta de la red social perteneciente al inspector actuante, mediante el uso de la función “Descarga tu Información” que se encuentra enlazada desde la página principal de “Configuración General de la Cuenta” se comprueba que Facebook mantiene almacenada la siguiente información (Anexo I):  Están conservadas las direcciones IP desde las que se han realizado accesos a la cuenta del usuario de Facebook al menos desde el 4 de marzo de 2016 (más de 11 meses después de la consulta).  Las direcciones IP almacenadas no han sufrido ningún tipo de enmascaramiento o anonimización.  Consultado un servicio de localización de IP, la IP correspondiente al acceso realizado el 4 de marzo identifica correctamente la población, el proveedor de servicios y la localización sobre un mapa con un error de 1km (Anexo II). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 50/91  Asociado a la dirección IP, además de la fecha, está la hora UTC, la zona horaria así como información identificativa del navegador, sistema operativo y otros datos de identificación del dispositivo, además de la  Que la información de acceso a la cookie datr está registrada desde el 20 de agosto de 2015, sin tener asociada información sobre el contenido de la misma, pero registrada hora y zona horaria.
En relación con la conservación de datos asociados a cuentas eliminadas, se realizó la siguiente comprobación: Con fecha 31 de julio de 2015 se procedió a eliminar la cuenta *** Con fecha 23 de febrero de 2017 se intentó acceder a la misma cuenta usando el mismo correo electrónico, obteniendo un mensaje de la aplicación Facebook de que con dicha cuenta no existía ningún usuario (Anexo I). En la misma fecha se procede a crear una nueva cuenta re-utilizando el mismo correo de la cuenta borrada. Una vez creada, se utilizó la opción de descargar la información asociada a la nueva cuenta creada, en principio sin actividad. Consultado el fichero descargado, en el apartado Seguridad, aparece información registrada a nombre del usuario en relación con la cookie datr de fechas 8 de noviembre de 2016 y 10 de febrero de 2017 (Anexo II): “Información de autenticación de la cookie Datr ...48OM Visto por primera vez: Martes, 8 de noviembre de 2016 a las 11:59 UTC+01 Visto 3 veces ...CXzB Visto por primera vez: Viernes, 10 de febrero de 2017 a las 12:01 UTC+01 Visto 3 veces” 1.10 TRANSFERENCIAS INTERNACIONALES
Con fecha 6 de noviembre de 2016 la política de privacidad que Facebook muestra a los usuarios que acceden desde España y en la que manifiesta que realiza transferencias internacionales de datos con la base legal de los acuerdos Safe-Harbor. El 2 de enero de 2017 se constata que en la misma política de privacidad se estable como base legal las cláusulas

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.