PS-00219-2017

1/79 Procedimiento Nº PS/00219/2017 RESOLUCIÓN: R/00259/2018 En el procedimiento sancionador PS/00219/2017, instruido por la Agencia Española de Protección de Datos a las entidades FACEBOOK INC. y WHATSAPP INC., vistas las denuncias presentadas por las entidades Organización de Consumidores y Usuarios (OCU) y Asociación de Consumidores y Usuarios en Acción (FACUA), y por D. A.A.A. y DÑA. B.B.B., y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 04/10/2016, la Directora de la Agencia Española de Protección de datos ordenó que se iniciasen de oficio Actuaciones Previas de investigación para determinar si las comunicaciones de datos personales realizadas entre Whatsapp y Facebook, y los tratamientos que dicha comunicación da a lugar, cumple con lo establecido en la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). Al expediente se adjuntó escrito presentado por la Organización de Consumidores y Usuarios (OCU), con registro de entrada en esta Agencia de 03/10/2016, en el que formula denuncia contra la entidad Facebook en relación con el anuncio realizado por la misma el 28 de agosto anterior, “por el que se actualizaban los términos de servicio y la política de privacidad con el fin de reflejar la integración de nuevas funciones y anunciar que a partir de ese momento los datos de los usuarios serían compartidos con Facebook para mejorar su experiencia de uso”. Con posterioridad, la Asociación de Consumidores y Usuarios en Acción (FACUA) y Dña. B.B.B. presentaron denuncias en relación con los mismos aspectos, registradas de entrada en la Agencia en fechas 11 y 14/10/2016, respectivamente. SEGUNDO: La Subdirección General de Inspección de Datos procedió a la realización de tales actuaciones previas, para el esclarecimiento de los hechos, teniendo conocimiento de los siguientes extremos, que constan recogidos en el informe de inspección E/05325/2016 que se transcribe a continuación: 1. Mediante diligencia de fecha 04/10/2016 se incorpora a las actuaciones el documento Términos de Servicio de la aplicación Whatsapp, actualizados a fecha 25/08/2016. No aparece una referencia a que sea un servicio de captación de información para propósitos de publicidad. 2. En el marco de las actuaciones realizadas en el expediente E/04949/2016, según consta en diligencia de fecha 14/09/2016, se constata que al acceder a la página www.whatsapp.com, se C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/79 muestra una página en castellano directamente, sin pasar por una página en inglés ni mostrar un cambio o extensión de dominio, con un icono en la parte superior derecha que indica un globo del mundo y a continuación las palabras “ES”. Si se pulsa dicho icono, te permite seleccionar entre los siguientes idiomas (entre otros 53):  Español  Catalán. 3. En el marco de las actuaciones realizadas en el expediente E/04948/2016, según consta en diligencia de fecha 19/09/2016, se ha constatado que al acceder a la aplicación WhatsApp en un teléfono móvil aparece el siguiente mensaje: En WhatsApp estamos actualizando nuestros Términos de Servicio y nuestra Política de Privacidad para reflejar la integración de nuevas funciones, como Llamada WhatsApp. Lee los Términos y la Política de Privacidad para aprender más acerca de tus opciones. Por favor acepta los Términos y la Política de Privacidad antes del 19 de octubre de 2016 para continuar usando WhatsApp. Se subraya la palabra “Lee” para señalar que asociado a la misma hay un enlace a la página web sobre los Términos y la Política de Privacidad. En la parte superior, y sin destacar, aparece un link: X AHORA NO En la parte inferior, hay un botón destacado que tiene marcado: ACEPTAR Debajo del botón, un enlace que se titula: Lee más sobre las actualizaciones a nuestros Términos y Política de Privacidad. Si se pulsa aparece una ventana con: En la parte superior un enlace de retorno a la página anterior etiquetado como: <- Término y Política d… Debajo un texto explicativo: Actualizaciones Clave Términos de Servicio Política de Privacidad El respeto a tu privacidad se encuentra codificado en nuestro ADN. Desde que iniciamos WhatsApp, hemos construido nuestros servicios con fuertes principios de privacidad en mente. En nuestros Términos… En la base de la pantalla aparece el siguiente mensaje con un checkbox premarcado: Compartir la información de mi cuenta de WhatsApp con Facebook para mejorar mi experiencia con los productos y publicidad en Facebook. Tus chats y número telefónico no serán compartidos en Facebook independientemente de este ajuste. Y en la base un botón destacado con la leyenda: ACEPTAR. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/79 Si se desactiva dicho checkbox aparece el siguiente mensaje: Después de pulsar “Aceptar”, la información de tu cuenta no será usada para mejorar tu experiencia con los productos y publicidad en Facebook. Si se activa de nuevo el checkbox aparece el siguiente mensaje: Después de pulsar “Aceptar”, la información de tu cuenta será usada para mejorar tu experiencia con los productos y publicidad en Facebook. En el apartado Actualizaciones Clave, en su último punto, se puede leer: Tus opciones. Si eres un usuario actual, tendrás la opción de elegir que la información de tu cuenta WhatsApp no sea compartida con Facebook para mejorar tu experiencia con la publicidad y los productos en Facebook. Los usuarios que acepten nuestros Términos y Política de Privacidad actualizados, tendrán 30 días adicionales para tomar esta decisión yendo a Ajustes > Cuenta. El contenido de los documentos Términos de Servicio y Política de Privacidad consta reseñado en el Hecho Probado Sexto. 4. En el marco de las actuaciones realizadas en el expediente E/04948/2016, según consta en diligencia de 20/09/2016, se ha constatado que en la aplicación de WhatsApp en el apartado de configuración Ajustes->Cuenta: En un iPhone 4s iOS 9.2.1 aparece la opción “Compartir la info de mi cuenta” con un botón de activación deslizante en posición de activado y una explicación que es la que sigue: Compartir la información de mi cuenta de WhatsApp con Facebook para mejorar mi experiencia con los productos y publicidad en Facebook. Tus chats y número telefónico no serán compartidos en Facebook independientemente de este ajuste. Más Información. Si se desactiva el botón deslizante, dicha opción desaparece del apartado de configuración Ajustes->Cuenta. En dos teléfonos con versión Android 6.0 y 4.1.2 dicha opción no aparece. En dichos teléfonos, se había desactivado el checkbox para compartir información con Facebook. A dicha fecha, no se ha encontrado información de cómo habilitar el compartir los datos con Facebook una vez deshabilitado. 5. Con fecha de 03/01/2017 se constató que, al acceder a la aplicación Whatsapp en un teléfono móvil no ofrecía publicidad en sus servicios. 6. Con fecha 10/01/2017 se ha realizado el borrado y la posterior reinstalación de la aplicación Whatsapp en un Smartphone con Android. Antes de la instalación, en el enlace INFORMACIÓN, se describen las características de la misma, sin referencia a una comunicación de datos a Facebook. Existe un enlace a la Política de Privacidad que dirige a una página web titulada Información C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/79 legal de Whatsapp” y que tiene cinco apartados: a. Actualizaciones Clave b. Términos de Servicio c. Política de Privacidad d. Política de Propiedad Intelectual e. Cookies Si se elige instalar la aplicación, antes de abrirla por primera vez se muestran los enlaces a los Términos de Servicio y a la Política de Privacidad, además de un botón que es necesario pulsar para avanzar etiquetado como “Aceptar y Continuar. En el apartado Ajustes->Cuenta no aparece una opción para gestionar la comunicación de datos con Facebook. Con anterioridad, con el mismo Smartphone y el mismo número de teléfono, se había rechazado la opción de comunicar datos a Facebook. 7. Con fecha 02/02/2017, se recibió la respuesta elaborada por Facebook Ireland Limited al requerimiento de información que los Servicios de Inspección de la Agencia dirigieron a Facebook Inc. al domicilio social de Facebook Spain, S.L. De lo manifestado por Facebook Ireland Limited en dicha respuesta, que fue consultada y elaborada con Whatsapp Inc., según se indica en la misma, se destaca lo siguiente: a. Como medida provisional y a efectos de facilitar un diálogo abierto con el Comisionado de Protección de Datos de Irlanda, así como sus esfuerzos de coordinación de las preocupaciones de los distintos ADPs de la Unión Europea, Whatsapp se ha abstenido voluntariamente de compartir información de los usuarios de la Unión Europea con Facebook con la finalidad de utilizar dicha información para mejorar la experiencia de producto y publicitaria de Facebbok dirigida a sus usuarios europeos (incluso en el caso de aquellos usuarios existentes que han optado por autorizar dicho uso). b. A los usuarios existentes se les permitió autorizar o no a Facebook el uso de la información de su cuenta de WhatsApp con el fin de mejorar su experiencia de producto y publicitaria en Facebook. En el caso de los usuarios nuevos, WhatsApp informa claramente, antes de que puedan acceder al uso de sus servicios, de la forma en la que se utilizará su información. WhatsApp les facilita asimismo la posibilidad de revisar los Términos de Servicio y la Política de Privacidad actualizada, y les ofrece la opción de prestar su consentimiento al respecto haciendo click en un botón identificado con la leyenda “aceptar y continuar” c. La entidad Whatsapp comparte (sic) con Facebook la siguiente información de sus usuarios de la aplicación Whatsapp, sean o no usuarios de Facebook: i. Las cuentas de los usuarios de WhatsApp (WhatsApp Account ID); ii. Cierta información sobre el dispositivo (incluyendo un identificador común incluido en las aplicaciones de Facebook y WhatsApp, el prefijo y código de la red móvil del país, información de la plataforma, versión de la aplicación, e identificadores que permiten un seguimiento de la aceptación de la Actualización y las opciones de control); iii. El “estado de última conexión” del usuario (esto es, información sobre la última vez en C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/79 que el usuario utilizó el servicio); iv. La fecha en que el usuario se dio de alta en su cuenta de WhatsApp La Política de Privacidad de WhatsApp no limita la información exacta que WhatsApp puede compartir con Facebook, WhatsApp no comparte a esta fecha los contactos de WhatsApp de sus usuarios con Facebook, sin que tampoco exista a esta fecha previsión alguna a efectos de compartir dicha información. d. Los datos son recopiladas de los propios usuarios de WhatsApp con ocasión del uso por su parte de nuestros servicios, incluyendo a través de su uso de nuestra (sic) aplicación de mensajería WhatsApp Messenger. e. La información se transmite de forma segura a través de canales tecnológicos cifrados a través de Internet a los servidores de Facebook, con periodicidad tanto diaria como en tiempo real. f. Whatsapp comparte con Facebook datos referidos a todos los usuarios de la aplicación de mensajería, incluyendo aquellos que no son usuarios de Facebook. Esto, según Facebook Ireland Limited, es necesario, por ejemplo, para identificar y calcular el número de usuarios únicos de la familia de servicios que ofrece Facebook. Dicha información permite entender si el usuario de WhatsApp es realmente único de dicha aplicación o si el mismo usuario dispone también de una cuenta en Facebook. Ello, en consecuencia, permite a FACEBOOK INC. informar a los medios externos, incluyendo a sus inversores, del número de usuarios con los que cuenta Facebook y la frecuencia con la que los mismos utilizan la familia de servicios que ofrece Facebook. Sin dicha información, el mismo usuario podría ser contabilizado dos veces e inflar así las estadísticas que ofrece Facebook. g. En lo que se refiere a las entidades de Facebook que pudieran recibir de Whatsapp los datos de la cuenta de usuario, el apartado de la Política de Privacidad denominado “Empresas afiliadas” incluye un enlace a una relación de las entidades que forman parte de la familia de empresas de Facebook y con las que Whatsapp podría compartir información. En el Informe de Actuaciones Previas de Investigación, los Servicios de Inspección de la AEPD relacionan las siguientes empresas: a. b. c. d. e. f. g. h. i. j. k. Facebook Inc. Facebook Ireland Facebook Payments Inc. Atlas Instagram LLC Onavo Moves Oculus WhatsApp Inc. Masquerade CrowdTangle h. WhatsApp no ha compartido a esta fecha ningún dato de ningún usuario del servicio WhatsApp perteneciente a la Unión Europea a tales efectos con Facebook Ireland. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/79 i. Facebook puede compartir información con su familia de empresas, incluyendo WhatsApp, para los fines previstos en la Política de Privacidad. A esta fecha, Facebook no ha compartido datos personales de sus usuarios europeos con WhatsApp. j. WhatsApp continúa compartiendo información con Facebook (especialmente con Facebook, Inc. en su calidad de encargado de tratamiento) a efectos de recibir servicios. Esto incluye compartir información con fines de análisis de inteligencia empresarial, tales como labores de desduplicación, que permiten un recuento preciso de los usuarios de WhatsApp (incluyendo usuarios activos) y un seguimiento de patrones de uso de WhatsApp, incluyendo en relación con patrones de uso de otras aplicaciones que forman parte de la familia de Facebook. WhatsApp comparte información con Facebook tras la actualización con el fin de brindar soporte general a la compañía y a sus operaciones. Esto incluye estar facultado para compartir datos, de responsable a responsable, para diseñar y aplicar medidas de seguridad y de lucha contra los mensajes no solicitados o spam. Esto permite a WhatsApp compartir y recibir información sobre cuentas desde las que viniera produciéndose cualquier supuesto de abuso, amenaza o infracción de la legislación o normativa aplicable y activa en otras aplicaciones de la familia Facebook. Conforme pudiera continuar desarrollándose el servicio de WhatsApp, sin duda las oportunidades para que Facebook utilice esta información a efectos de prestar a WhatsApp una gama más amplia de servicios irá igualmente evolucionando. k. En virtud de la Actualización WhatsApp obtuvo el consentimiento libro, específico e informado para compartir la información de las cuentas de sus usuarios con Facebook con la finalidad adicional de permitir a Facebook mejorar la experiencia de publicidad y productos que ofrece a sus usuarios. . En primer lugar, Facebook puede utilizar los datos de WhatsApp (fundamentalmente, la identificación de la cuenta del usuario en WhatsApp) para mejorar el producto principal de Facebook, como por ejemplo a efectos de mejorar la exactitud de las sugerencias que ofrece la característica de ‘Gente que podrías conocer”. . En segundo lugar, Facebook puede utilizar los datos de WhatsApp (en particular, las cuentas de los usuarios de WhatsApp (WhatsApp Account ID)) para los productos publicitarios de Facebook, como por ejemplo, a efectos de relacionar con mayor precisión sus propios usuarios con anuncios que los anunciantes dirigen a sus clientes. Los anunciantes utilizan para estos fines el listado de clientes con el que ya cuentan. Estos productos de Facebook y el uso de tales anuncios tienen únicamente carácter conceptual y tentativo, pudiendo surgir otros en el futuro, si bien cualquier uso de dicha información que realizara Facebook a efectos de mejorar sus productos y anuncios estará cubierto por el control que los usuarios existentes pudieron ejercer a efectos de optar por excluirse de tales usos. No obstante, WhatsApp no ha compartido a esta fecha ningún dato de ningún usuario del servicio WhatsApp perteneciente a la Unión Europea a tales efectos con Facebook lreland. Así, la cesión de datos a efectos de estas dos finalidades se encuentra actualmente paralizada en la Unión Europea. l. La información obtenida de Whatsapp no se agregará al perfil del usuario en Facebook, pero no obstante, a efectos de las finalidades descritas anteriormente, es necesario correlacionar de forma fiable las cuentas de Facebook y WhatsApp. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/79 A modo de ejemplo ilustrativo de dicha necesidad, Facebook Ireland Limited señala que la correlación es necesaria para realizar un análisis de inteligencia empresarial respecto de los servicios que ofrecen Facebook y WhatsApp (así como otras aplicaciones pertenecientes a la familia de Facebook). Dicha correlación permite la desduplicación de usuarios a fin de conocer el número de usuarios únicos de la familia de aplicaciones. La correlación también es necesaria para conocer la frecuencia y características de uso en tales aplicaciones. En todos estos casos, el análisis de inteligencia empresarial resultante genera información agregada y anónima. Dicho análisis constituye una métrica interna clave del negocio. Facebook, Inc. publica el número total de usuarios únicos sobre la base del uso (diario y mensual) de su servicio (esto es, usuarios diarios activos (“UDA”) y usuarios mensuales activos (“UMA”). Facebook busca ahora entender y poder publicar el número total de usuarios únicos de toda la familia de servicios Facebook, así como la frecuencia de uso de dichas aplicaciones por parte de sus usuarios. Igualmente a modo de ejemplo, una sólida correlación resulta imprescindible para afianzar los esfuerzos de las empresas pertenecientes a la familia de Facebook en materia de abuso, seguridad y lucha contra el correo no deseado. Ello se debe a que dicha correlación es la clave que permite identificar y, en supuestos debidamente justificados, cancelar la cuenta de los correspondientes usuarios responsables de tales conductas en los distintos servicios que ofrecen dichas empresas. Sin el intercambio de la información de las cuentas de usuario de WhatsApp referido anteriormente, no es posible asociar de forma fiable las distintas cuentas ni, en consecuencia, identificar la cuenta del servicio Facebook que se corresponde con la cuenta infractora abierta en el servicio de WhatsApp, y viceversa (e igualmente en relación con las restantes aplicaciones que conforman la familia de aplicaciones que ofrece Facebook). m. En cuanto a la conservación de datos, se indica que si el usuario de WhatsApp actualiza o elimina la información de su cuenta de WhatsApp, su información se actualiza o elimina igualmente en Facebook. No obstante, y en tanto en cuanto el usuario mantenga su condición como usuario de WhatsApp, la información de su cuenta se compartirá con Facebook para las finalidades indicadas anteriormente. n. Sobre los derechos individuales, los Servicios de Inspección destacan que en la respuesta recibida no hay una indicación concreta en relación a cómo ejercer los derechos respecto de los datos comunicados por Whatsapp a Facebook. Se hace una referencia a como eliminar la cuenta de Whatsapp y la cuenta de Facebook, se hace referencia al apartado identificado con la leyenda “Contáctanos” que figura tanto en la Política de Privacidad de WhatsApp como en su página web y al contactar con Facebook tanto en línea como por correo postal para cualquier pregunta sobre la Política de Datos de Facebook o el tratamiento por Facebook de sus datos personales, a través de los datos de contacto que figuran en el apartado de dicha Política de Datos bajo el epígrafe de “Cómo hacer llegar tus dudas a Facebook”. ñ. En cuanto a las opciones que se ofrecen al usuario para no compartir sus datos, Facebook Ireland Limited respondió lo siguiente: La Política de Privacidad de WhatsApp proporcionó a sus usuarios existentes un grado de control tal sobre el uso de sus datos que les permitió optar por permitir o no a Facebook la utilización de la información de su cuenta de WhatsApp para mejorar los productos y experiencia de publicidad en Facebook. Dicha posibilidad se ofreció inicialmente a los usuarios C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/79 existentes como parte del procedimiento de presentación de la Actualización. El control continuó disponible a través de los ajustes de la propia aplicación, durante un plazo de aproximadamente de treinta días. Finalizado dicho plazo de treinta días, el mecanismo caducó y dejó de estar disponible. No obstante, y en cualquier momento, cualquier usuario puede dejar de utilizar WhatsApp y suprimir su cuenta mediante la función “Eliminar mi cuenta”. Cuando el usuario elimina la información de su cuenta de WhatsApp, dicha información se elimina igualmente de Facebook y deja de compartirse. Los usuarios existentes que, habiendo aceptado la Actualización, ejercieron el control de su información -antes de que, finalizado el plazo señalado, se retirara el botón que permitía dicha opción- por denegar a Facebook el uso de la información de su cuenta de WhatsApp con el fin de mejorar sus productos y experiencias de publicidad en Facebook, pueden continuar haciendo uso del servido de WhatsApp al igual que antes, con sujeción a los Términos y a la Política de Privacidad actualizados. En su caso, Facebook no utilizará la información de las cuentas de WhatsApp de dichos usuarios para mejorar los productos y la experiencia de publicidad que ofrece Facebook. o. Manifiestan no entender el alcance de la solicitud realizada en el requerimiento que decía literalmente “Copia del contrato entre Whatsapp y Facebook en el que se identifican las entidades cedente y cesionaria de los datos anteriores, en el que se establecen las cláusulas de comunicación de dichos datos y las finalidades de dicha comunicación. Eliminar de dicha copia todos los elementos que no tengan relación con los elementos citados.” 8. Con fecha 28/02/2017, se recibió la respuesta elaborada por Whatsapp Inc. al requerimiento de información que los Servicios de Inspección de la Agencia dirigieron al domicilio de dicha entidad en California, Estados Unidos. En dicho escrito, la citada entidad manifiesta que consultó con Facebook Ireland Limited y prepararon respuestas similares a las proporcionadas por dicha entidad. Así, en su escrito reproduce literalmente, entre otras, las cuestiones recogidas en el apartado 7 anterior, letras a), b), d), e), f), g), i), ñ) y o). Asimismo, señala que, como medida provisional y a efectos de facilitar un diálogo abierto con el Comisionado y sus esfuerzos de coordinación de las preocupaciones de los distintos ADPs de la Unión Europea, Whatsapp se ha abstenido voluntariamente de compartir información de los usuarios de la Unión Europea con Facebook Ireland con la finalidad de utilizar dicha información para mejorar los productos y la experiencia publicitaria de Facebbok dirigidas a sus usuarios europeos (incluso en el caso en que los usuarios existentes han optado por autorizar dicho uso). Y confirma que Whatsapp “actualmente” comparte con Facebook la información reseñada en la letra

1. c)del apartado anterior; y en relación con los fines para los que Facebook utiliza los datos de usuarios de WhatsApp, que se mencionan en la letra
2. j)del mismo apartado, añade que se comparte información para el análisis de las oportunidades de monetización de Whatsapp con la ayuda de los sistemas de Facebook y que, dado que el servicio continúa evolucionando, las oportunidades de esta última entidad para ofrecer servicios a Whatsapp evolucionarán también. Y menciona igualmente los fines reseñados en la letra
3. k)–mejorar el producto principal de Facebook y los productos publicitarios de la misma. Asimismo, WhatsApp informa lo siguiente: a. A 15/02/2017 había 37 millones de usuarios de Whatsapp registrados en España. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/79 b. “En España, más del 21% del total de usuarios existentes de WhatsApp que aceptaron los nuevos Términos y Política de Privacidad optaron por no autorizar el uso por Facebook de la información de sus cuentas” c. “Los datos que se comparten con Facebook se refieren a todos los usuarios de WhatsApp, incluyendo aquellos que no son usuarios de Facebook”. d. En relación con los usuarios existentes de WhatsApp que no consienten que sus datos sean cedidos, WhatsApp informó que proporcionó notificaciones visibles, inteligibles y fácilmente accesibles sobre la Actualización, incluyendo aquélla respecto a la cesión de datos a Facçbook. Los usuarios existentes tuvieron la oportunidad de aceptar expresamente (a través del botón “Acepto”) la Actualización, y solo aquellos usuarios existentes que la aceptaron quedaron vinculados a la misma. Un usuario existente podía optar en cualquier momento por no pulsar el visible botón de “Acepto” para denegar el consentimiento a la cesión de la información de su cuenta a Facebook para cualquiera de las finalidades descritas en la actualizada Política de Privacidad. En ese caso, sin embargo, dicho usuario existente no hubiera podido seguir utilizando el servicio de WhatsApp y su información no hubiera sido compartida con Facebook con el fin de que esta entidad la utilizase. Además, WhatsApp permitió a dichos usuarios eligir si Facebook puede utilizar la información de su cuenta de WhatsApp para mejorar los productos y la experiencia publicitaria de Facebook. Los usuarios existentes que aceptaron la Actualización pero no permitieron a Facebook utilizar la información de sus cuentas de WhatsApp para mejorar los productos y la experiencia publicitaria de Facebook pudieron continuar utilizando el servicio de WhatsApp como antes, de acuerdo con los actualizados Términos y la Política de Privacidad. En estos casos, Facebook no utilizará esta información de las cuentas de usuarios de WhatsApp para mejorar sus productos y su experiencia publicitaria. No obstante, dicha información de las cuentas de usuarios de WhatsApp podría seguir siendo compartida con Facebook con otras finalidades incluidas en la Política de Privacidad como, por ejemplo, para entender cómo son utilizados los servicios de WhatsApp o los servicios de otras sociedades del grupo Facebook (en concreto, desduplicación/entender de forma precisa cómo utilizan los servicios cada uno de los usuarios), para la protección, la seguridad de los sistemas y la lucha contra el spam en los servicios (estas finalidades fueron también informadas con la antigua política de privacidad de WhatsApp). WhatsApp continuará teniendo un amplio margen para utilizar a Facebook como proveedor de servicios que le ayude a proporcionar y a mejorar su servicio y a desarrollar su negocio, incluyendo su apoyo para el análisis de las oportunidades de monetización de WhatsApp con la ayuda de los sistemas de Facebook. Con respecto a los nuevos usuarios, WhatsApp añade que informó a los mismos sobre cómo su información será utilizada antes de que éstos puedan utilizar los servicios de WhatsApp. WhatsApp da la posibilidad a los nuevos usuarios de revisar los Términos y la Política de Privacidad y da la opción -a dichos usuarios- de aceptarlos haciendo “click” en “aceptar y continuar”. Si un nuevo usuario no quiere aceptar los Términos y la Política de Privacidad para consentir la cesión en los términos previstos en las mismas, el usuario puede optar por no darse de alta en WhatsApp (lo que supone que su información no será compartida con Facebook para que ésta entidad la utilice). Finalmente, advierte que la información facilitada en su respuesta es confidencial y está sujeta a la obligación legal de secreto que vincula a la AEPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/79 Por otra parte, los Servicios de Inspección de la AEPD, en su Informe de Actuaciones Previas de Investigación, destacaron la información siguiente: 1 2 3 4 Plazo de tiempo durante el que se haya venido cometiendo los hechos investigados: No se tiene constancia desde cuando hay comunicación de datos, pero Facebook compra Whatsapp en octubre de 2014. Naturaleza y cuantía de los perjuicios causados Se estima que Facebook tiene 1.500 millones de usuarios, 21 millones en España. Whatsapp tiene 37 millones de usuarios en España. Beneficios obtenidos por los hechos Los ingresos de Facebook se basan en la publicidad, y el propósito de la cesión es tener una medida más precisa del público de Facebook y perfilado para publicidad. Whatsapp manifiesta que la comunicación de datos tiene como objeto la monetización de sus servicios. Volumen de facturación a que afecta los hechos cometidos Los beneficios de Facebook se han estimado en una cantidad de 3.690 millones de dólares en 2015 y de 1.500 millones de dólares en el primer trimestre de 2016. No hay constancia de beneficios en Whatsapp. TERCERO: Con fecha 11/09/2017, la Directora de la Agencia Española de Protección de Datos, con arreglo a lo dispuesto en el artículo 127 del Reglamento de desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21 de diciembre (RLOPD), acordó lo siguiente: 1. Iniciar procedimiento sancionador a la entidad WHATSAPP INC., por la presunta infracción del artículo 11 de la LOPD, tipificada como grave en el artículo 44.3.
4. k)de la citada Ley. 2. Iniciar procedimiento sancionador a la entidad FACEBOOK INC., por la presunta infracción del artículo 6 de la LOPD, tipificada como grave en el artículo 44.3.
5. b)de la citada Ley. A los efectos previstos en el artículo 64.2.
6. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), y el artículo 127, letra b), del RLOPD, en el citado acuerdo de apertura se determinó que las sanciones que pudieran corresponder por las infracciones descritas sería de 300.000 euros, por cada una de ellas, sin perjuicio de lo que resulte de la instrucción. CUARTO: Con fecha 20/09/2017, se incorporó al procedimiento el escrito presentado por D. A.A.A., de fecha 20/07/2017, en el que denuncia que Whatsapp cede datos personales a Facebook, aun con la negativa del usuario, los cuales son utilizados por esta última para mostrar sugerencias de amistad que obtiene de la carpeta de contactos de Whatsapp o de grupos a los que pertenece el usuario. QUINTO: El Acuerdo de apertura de procedimiento reseñado en el Antecedente Tercero fue notificado a la entidad WHATSAPP INC., a su domicilio en Estados Unidos, indicándole expresamente su derecho a la audiencia en el procedimiento y otorgándole un plazo de quince días hábiles para que formulase las alegaciones y propusiera las pruebas que considerase procedentes. Después de que le fuera concedida una ampliación del plazo inicial hasta un máximo de siete C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/79 días, se recibió escrito de alegaciones de la entidad WHATSAPP INC., redactado en inglés, acompañado de una versión traducida, en el que solicita el archivo de las actuaciones de conformidad con las consideraciones siguientes: 1. Con carácter previo, se refiere a distintas circunstancias que califica como errores en el procedimiento, señalando que se extrae una conclusión negativa de la “falta” de entrega del contrato, sin considerar la aclaración que le fue solicitada; se alude a un “Informe de Actuaciones Previas de Investigación” que presenta información engañosa e inexacta (se presenta como si incluyera declaraciones de la propia WhatsApp recogidas en la Carta de WhatsApp); e incluye el contenido de dos procedimientos (E/04949/2016 y n° E/04948/2016) que han sido archivados, por lo que la AEPD no puede basar la apertura del procedimiento en hechos traídos de dichos procedimientos. Considera, asimismo, que se han producido varios defectos de forma que han perjudicado su derecho de defensa, como el retraso experimentado en la entrega de la notificación en el domicilio de WhatsApp, el idioma en el que fue notificada la apertura del procedimiento, que obligó a la entidad a traducirla al inglés y el tiempo empleado para facilitar una traducción de cortesía al castellano de su escrito de alegaciones. 2. El escrito de alegaciones presentado por WHATSAPP INC. dedica un apartado de sus alegaciones a los antecedentes de hecho: En cuanto a la finalidad, advierte que en la actualidad los datos de las cuentas de los usuarios españoles únicamente se comparten con fines limitados. Según la información prevista en la Política de Privacidad y en el epígrafe de “Información para los usuarios de la UE” previsto en su apartado de Preguntas Frecuentes, WhatsApp puede compartir los datos de la cuenta de usuario de WhatsApp por tres posibles razones: • Para mejorar los propios productos de Facebook y ofrecer anuncios más relevantes en Facebook (“Productos y Anuncios de Facebook”); • Para ayudar a garantizar la seguridad de los servicios que ofrece la familia de empresas de Facebook (i.e., por razones de “Seguridad y Protección”); y • Para recibir servicios que ayuden a WhatsApp a mejorar y desarrollar su negocio (“Servicios de Soporte”). En cuanto a la comunicación de datos a la que se refiere la actualización, manifiesta que no ha compartido aún datos de las cuentas de sus usuarios españoles de WhatsApp, de responsable a responsable, para finalidades de Seguridad y Protección (combatir el fraude o abuso en su servicio). Asimismo, señala que aceptó suspender eventualmente el uso de datos de usuarios europeos para los fines de Productos y Anuncios de Facebook, aunque considera que ha obtenido un consentimiento válido para dicha finalidad, tras las conversaciones mantenidas con la Autoridad Irlandesa de Protección de Datos (Irish Data Protection Comissioner) (el “DPC”), hasta alcanzar un acuerdo previo con el DPC sobre un futuro mecanismo que permita dicho uso (WhatsApp optó por iniciar dichas conversaciones con el DPC debido a la condición de este último como autoridad de control de Facebook lreland. Facebook lreland es la entidad responsable del tratamiento de datos e igualmente responsable de la prestación del servicio que ofrece Facebook a personas físicas ubicadas fuera de Estados Unidos y Canadá. Por ello, y para el caso en que WhatsApp pretendiera compartir, de responsable a responsable, la información de las cuentas de los usuarios españoles de WhatsApp, lo haría con Facebook lreland para que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/79 ésta pudiese mejorar los Productos y Anuncios de Facebook en su plataforma, y el uso de dichos datos de la cuenta por parte de Facebook lreland estaría sujeto a la legislación irlandesa y a la competencia del DPC.); Entiende que, si bien, ninguna de estas formas de compartir información está teniendo lugar a día de hoy, ambas estarían amparadas por la legislación de la UE así como por los Términos de Servicio y la Política de Privacidad de WhatsApp, por lo que dicho intercambio sería lícito. En la actualidad únicamente se comparten (de responsable a encargado) con Facebook Inc. a efectos de permitir a WhatsApp recibir ciertos Servicios de Soporte, en el marco de la relación contractual formalizada por ambas y con sujeción a una estricta supervisión por parte de WhatsApp. Facebook, Inc. actúa como un proveedor de servicios de seguridad y protección. Los Servicios de Soporte permiten a WhatsApp analizar y entender cómo utilizan su servicio los usuarios, ayudan a mantener la integridad del servicio de WhatsApp (por ejemplo, para detectar y prevenir la propagación de spam), permiten a WhatsApp aprovechar la infraestructura, las tecnologías, los sistemas, las herramientas y la experiencia de Facebook, Inc., tanto en beneficio de la propia WhatsApp como de sus usuarios. En los Términos de Servicio y en la Política de Privacidad se prevé que WhatsApp pueda compartir (de responsable a encargado) cierta información de sus usuarios con terceros proveedores de servicios y con otras entidades de la familia de empresas de Facebook. Por otra parte, añade WhatsApp que, en contra de lo manifestado por la AEPD, el volumen de datos involucrado es mínimo: WhatsApp no comparte (de responsable a encargado) con Facebook, Inc. de forma indiscriminada ni a gran escala los datos de las cuentas de usuarios españoles. Da acceso a un volumen ínfimo de datos las cuentas de usuarios a Facebook, Inc., en el marco de la relación propia entre un responsable y un encargado del tratamiento para la prestación de ciertos Servicios de Soporte, para los fines especificados por WhatsApp y en beneficio de esta última. Ello en virtud de un contrato de prestación de servicios de tratamiento de datos personales de fecha 7 de noviembre de 2016 (data processing agreement o “DPA”), que cumple los criterios previstos en la Directiva (en la medida en que esta es aplicable) así como los dispuestos en la LOPD (aunque no sea de aplicación). Las categorías limitadas de datos que actualmente recopila WhatsApp de sus usuarios son las siguientes: • Un número de teléfono (obligatorio para el registro y que será utilizado como ID de cuenta de WhatsApp del usuario (WhatsApp Account ID); • un nombre, junto con una imagen y estado de perfil opcionales; • Información básica sobre uso y registro (por ejemplo, una marca de tiempo (timestamp)); • Información estándar del dispositivo utilizado (por ejemplo, versión del sistema operativo); • Números de teléfono de la libreta de direcciones móvil del usuario. Tras la Actualización, WhatsApp generalmente solo comparte (de responsable a encargado) las siguientes categorías de datos: . El número de teléfono del usuario; . Cierta información básica del dispositivo (identificador del dispositivo, versión del sistema operativo, versión de la aplicación, información de la plataforma, el código de país y código de red y flags que permitan el rastreo de las opciones de control y aceptación por parte de los usuarios de los términos de las actualizaciones); C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/79 . Determinada información básica sobre utilización (cuando un usuario utilizó WhatsApp por última vez, fecha en que el usuario registró su cuenta y tipos y frecuencia de utilización de funcionalidades). 3. Alega WhatsApp que la LOPD no es aplicable y que una correcta aplicación del Artículo 4 de la Directiva llevaría a pensar que, si existe una legislación en materia de protección de datos de un Estado Miembro de la UE aplicable a WhatsApp, dicha legislación sería la irlandesa. La aplicación de la LOPD por virtud de lo establecido en su artículo 2.1.c), por la utilización de medios en España, sólo procede, a juicio de WhatsApp, cuando el responsable del tratamiento carece de un establecimiento en territorio europeo. En este caso, WhatsApp dispone de un establecimiento europeo en Irlanda (WhatsApp lreland, constituida el 6 de julio de 2017, dos meses antes de la apertura), por lo que el citado artículo 2.1.
7. c)no le es de aplicación. Por la misma razón, no es posible entender que la empresa está sujeta a la legislación española al amparo del Artículo 4