PS-00450-2016

1/27 Procedimiento Nº PS/00450/2016 RESOLUCIÓN: R/02511/2017 En el procedimiento sancionador PS/00450/2016, instruido por la Agencia Española de Protección de Datos a la entidad FACEBOOK, INC., vista la denuncia presentada por Dª. A.A.A., y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 11 de mayo de 2016 tuvo entrada en esta Agencia un escrito de Dª. A.A.A. en el que manifestaba que, como usuaria de la red social FACEBOOK (por FACEBOOK, INC. y en adelante indistintamente entidad denunciada o simplemente FACEBOOK), había comprobado que existe un servicio de mensajería integrado denominado Chat en la versión web, pudiéndose activar o desactivar a voluntad por el usuario. Dicho servicio de Chat se denomina Messenger en la versión para teléfono móvil. Este servicio permite a un usuario de FACEBOOK conocer cuándo otros usuarios están activos y cuándo había sido su última conexión. Manifestaba en su denuncia que no hay una opción para impedir que un usuario pueda monitorizar la actividad de otros usuarios, incluso cuando ese servicio de Chat se encuentra desactivado y oculto, con una actualización instantánea de última conexión (conocida como Timestamp) cada vez que el usuario entra en su cuenta, que es visible para todos los contactos. Como no hay opción de inhabilitación, ello permite que terceras personas puedan ver permanentemente el ritmo y acciones de conexión. Solicitaba la denunciante que FACEBOOK permita eliminar el dato de última conexión y que permita al usuario administrar dicha información. También manifestaba que FACEBOOK debería informar si está creando ficheros con información de acceso de los usuarios, las finalidades que da a esa información y las opciones para ejercer los derechos de cancelación. SEGUNDO: La Subdirección General de Inspección de Datos procedió a la realización de tales actuaciones previas, para el esclarecimiento de los hechos, teniendo conocimiento de los siguientes extremos, que se recogen en el informe de inspección E/03028/2016 y que se transcribe a continuación: 1 <<El servicio de Chat de Facebook es un servicio de mensajería instantánea que está disponible de forma exclusiva para los usuarios registrados en Facebook y que permite el intercambio de contenidos entre los mismos, tanto aquellos calificados como “amigos” como los que tienen dicha relación en la red social. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/27 2 Mediante diligencia de 3 de junio de 2016 se ha constatado que ligado al servicio de Chat de Facebook aparece un listado de los “amigos” del usuario en la misma red social. Para aparecer en ese listado, es necesario realizar una acción explícita del usuario para seleccionar al tercero como “amigo” dentro de la red. Si un “amigo” del usuario tiene una sesión iniciada en Facebook y el servicio de Chat activado, en la cuenta del usuario y asociado al nombre del “amigo” aparece una señal, un indicador verde, que revela que el “amigo” tiene una sesión abierta en Facebook en ese momento. Si no aparece un indicador verde, aparecerá un valor numérico que revela en minutos cuándo tiempo hace que tuvo ese “amigo” su sesión abierta en Facebook por última vez. Si un “amigo” del usuario tiene el servicio de Chat desactivado, asociado al nombre del “amigo” aparece una indicación de “1 min” si el “amigo” cerró la sesión hace aproximadamente un minuto o está en todavía con la sesión abierta en Facebook (en vez de un indicador verde). Si el “amigo” ha cerrado la sesión en la cuenta del usuario aparece la misma información que en el caso de que el “amigo” tenga el servicio de Chat activado, es decir, el valor en minutos que indica cuánto tiempo hace que tuvo el “amigo” su sesión abierta en Facebook por última vez. La revelación de la información es recíproca, el usuario está revelando la información de conexión a sus “amigos”, y estos a su vez la revelan al usuario. Si el usuario con el que pretende chatear, o se ha chateado en el pasado, ya no está en la lista de sus “amigos”, porque dicha condición se ha deshabilitado, bien por el propio usuario o por el “amigo”, la referencia a dicho “amigo” desaparece de la lista de personas con las que el usuario puede establecer una conversación y también desparece la revelación de los tiempos de conexión en ambos sentidos. 3 Mediante diligencia de 6 de junio de 2016 se comprueba que en la página principal de la política de privacidad de Facebook no se encuentra una información explícita sobre la recopilación de información en el Chat/Messenger y su posterior utilización o revelación a terceros. Igualmente, no hay una referencia a cómo administrar el registro de tiempos de conexión, según se constata en la información obtenida a través de Internet en el sitio https://www.facebook.com/privacy/explanation al que se accede pulsando el enlace Privacidad en el sitio www.facebook.com, y de la página https://www.facebook.com/help/437430672945092 el apartado “¿Qué incluye mi registro de actividad?”, en las que entre otros se encuentran los siguientes párrafos: ¿Qué tipo de información recopilamos? En función de los Servicios que utilices, se recopilan diferentes tipos de información relacionada contigo. Tu actividad y la información que proporcionas. Recopilamos el contenido y otros datos que proporcionas cuando usas nuestros Servicios, como al abrir una cuenta, al crear o compartir contenido y cuando envías mensajes o te comunicas con otros usuarios. La información puede corresponder a datos incluidos en el contenido que proporcionas o relacionados con este, como el lugar donde se hizo una foto o la fecha de creación de un archivo. También recopilamos información sobre el uso que haces de los Servicios; por ejemplo, el tipo de contenido que ves o con el que interactúas, o la frecuencia y la duración de tus actividades. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/27 … ¿Cómo se comparte esta información? Compartir contenido en nuestros Servicios Los usuarios utilizan nuestros Servicios para conectar y compartir contenido entre sí. Para que esto sea posible, compartimos tu información de las siguientes formas: Personas con las que te comunicas y compartes contenido. Cuando compartes contenido y te comunicas usando nuestros Servicios, eliges el público que puede ver lo que compartes. Por ejemplo, si publicas algo en Facebook, seleccionas el público de la publicación, que puede ser un grupo específico de personas, todos tus amigos o los miembros de un grupo. Del mismo modo, cuando utilizas Messenger, también eliges las personas a las que quieres enviar fotos o mensajes. …. ¿Cómo puedo administrar o eliminar información sobre mí? Puedes administrar el contenido y la información que compartes al usar Facebook mediante la herramienta Registro de actividad. También puedes descargar información asociada a tu cuenta de Facebook con nuestra herramienta Descarga tu información. Almacenamos los datos durante el tiempo necesario para facilitarte productos y servicios, a ti y otros usuarios, incluidos los descritos anteriormente. La información asociada a tu cuenta se conservará hasta que la cuenta se elimine, a menos que ya no necesitemos los datos para ofrecer los productos y servicios. Puedes eliminar tu cuenta en cualquier momento. Cuando eliminas tu cuenta, eliminamos lo que hayas publicado, como tus fotos y actualizaciones de estado. Si no quieres eliminar la cuenta pero quieres dejar de usar Facebook por un tiempo, puedes desactivarla. Para obtener más información sobre cómo desactivar o eliminar tu cuenta, haz clic aquí. Recuerda que la información que otras personas hayan compartido sobre ti no forma parte de tu cuenta y no se retirará cuando la elimines. … ¿Qué incluye mi registro de actividad? Tu registro de actividad incluye todas tus historias, organizadas por la fecha en la que se producen en Facebook. Como resultado, cuando añadas un acontecimiento importante a tu biografía, aparecerá en el registro de actividad el día en que lo añadas, no el día del acontecimiento en sí. Ten en cuenta que eres el único que puede ver tu registro de actividad. De forma predeterminada, el registro de actividad muestra tu actividad del año en curso, empezando por lo más reciente. Haz clic en un año (en la esquina superior derecha) para ir directamente a ese periodo. Los iconos de público situados a la derecha de cada historia muestran con quién se ha compartido. También puedes controlar qué historias aparecen en tu biografía. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/27 4 En diligencia de 6 de julio de 2016 se ha constatado que en el apartado de Privacidad de las opciones de Configuración de la cuenta de un usuario registrado en Facebook no consta información o enlaces para la gestión de la revelación de tiempos de conexión del usuario a terceros dentro de la red social a través del servicio de Chat. 5 En diligencia de 3 de junio de 2016 se ha constatado que siguiendo el enlace “Más Información” que aparece en la ventana emergente que aparece cuando se desea desactivar el servicio de chat no aparece un enlace, al menos directo, sobre la forma en que se desvela a terceros la información de conexión o la forma de deshabilitar la revelación de dicha información. 6 Facebook manifiesta, en respuesta de registro de entrada 237459/2016 y fecha de presentación en la AEPD 29 de junio de 2016, y en el Apéndice “Respuesta a las Preguntas de la Solicitud de Información”, que el procedimiento para evitar que otros usuarios calificados como amigos obtengan información del tiempo de desconexión de dicho primer usuario a su cuenta de Facebook está descrito en el enlace: https://www.facebook.com/help/389645087895231” y que este consiste en bloquear a dicha persona en el chat. En diligencia de 5 de julio de 2016 se constata que la información que aparece en dicho enlace es la siguiente: Si bloqueas los mensajes de alguien: Ya no podrá ponerse en contacto contigo (por ejemplo, enviarte mensajes o llamarte) en Messenger ni en el chat de Facebook. Tampoco podrás ponerte en contacto con esa persona en Messenger ni en el chat de Facebook. Si tú y la persona bloqueada estáis juntas en una conversación en grupo, se te notificará antes de que entres a la conversación. Si eliges entrar a una conversación en grupo en la que está la persona bloqueada, podrás ver sus mensajes y ella podrá ver los tuyos. Obtén más información sobre cómo bloquear los mensajes de alguien. Bloquear a alguien en Messenger no lo bloquea automáticamente en Facebook. Obtén más información sobre cómo bloquear personas en Facebook. En el enlace “Obtén más información sobre cómo bloquear los mensajes de alguien”, se muestra la siguiente información: Para bloquear los mensajes de alguien en Facebook: Abre una conversación con la persona a la que te gustaría bloquear. Haz clic en . Haz clic en Bloquear mensajes > Bloquear mensajes. Obtén más información sobre qué ocurre cuando bloqueas los mensajes de alguien y cómo desbloquear los mensajes de alguien. Nota: Bloquear los mensajes de alguien no es lo mismo que bloquearlos en Facebook. Si bloqueas los mensajes de alguien pero no lo bloqueas en Facebook, seguirás pudiendo ver su perfil de Facebook. Dependiendo de su configuración de privacidad, también podrás ver sus actualizaciones de estado, comentarios, Me gusta C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/27 y etiquetas en Facebook. Obtén más información sobre cómo bloquear personas en Facebook. 7 En diligencia de 5 de julio de 2016 se comprueba que el método señalado por Facebook oculta la información de cuándo se ha conectado el usuario siempre y cuando se bloquee la capacidad de intercambiar mensajes con el “amigo” (permaneciendo en su status de “amigo”). Si el “amigo” pretende enviar un mensaje al usuario recibirá un mensaje como sigue: Esta persona no está recibiendo mensajes tuyos en este momento Es decir, es un método que se utiliza para cortar cualquier tipo de comunicación entre usuarios en el servicio de Chat, no sólo evitar la revelación de los tiempos de conexión. El no querer revelar la información de conexión implica la imposibilidad de establecer un intercambio de mensajes de forma simultánea. 8 En diligencia de 6 de julio de 2016 se ha realizado la siguiente comprobación: a. Como se ha señalado anteriormente, el usuario al desactivar el servicio de Chat recibe el siguiente mensaje: b. Se intenta medir la accesibilidad a la página “cómo bloquear los mensajes de alguien” en el que se describe el procedimiento para evitar que la información de conexión se revele a terceros en la lista de “amigos” del usuario mediante bloqueo en el Chat y que se encuentra en el enlace https://www.facebook.com/help/1682395428676916, a partir del enlace “Más Información” de la ventana anterior. c. Para ello se ha utilizado la herramienta HTTPrack, que con origen en el enlace “Más Información” https://www.facebook.com/help/465971196760390 ha procedido a realizar una descarga sistemática de las páginas a las que se puede desde el mismo, recorriendo los enlaces conectados a la página “Más Información”. d. Se ha comprobado que la página “cómo bloquear los mensajes de alguien” es accesible desde el enlace más información después de descargar previamente 152 páginas web en el dominio Facebook.com. 9 Facebook manifiesta, en respuesta de registro de entrada 237459/2016 y fecha de presentación en la AEPD 29 de junio de 2016, y en el Apéndice “Respuesta a las Preguntas de la Solicitud de Información”, que el sitio donde se informa a los usuarios sobre cómo se desvela a terceros la información sobre nuestros tiempos de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/27 conexión y sobre el comportamiento de los valores de los tiempos de desconexión es un enlace del Centro de Ayuda https://www.facebook.com/help/448141485230424: En diligencia de 5 de julio de 2016 se constata que la información que aparece en dicho enlace es la siguiente: ¿Qué significa "activo" en los mensajes? Cuando mires tus conversaciones en tu teléfono o tableta, verás cuándo interactuaron tus amigos con Facebook por última vez. Se constata que en dicha página no aparece un enlace que permita acceder a la página, señalada en el punto anterior, que permite desactivar la revelación de dicha información. 10 Facebook manifiesta en la misma contestación que sólo se almacena información sobre la última conexión, y que no se almacena un histórico de tiempos o momentos de conexión. La finalidad de la recogida de dicha información “solo es utilizada dentro del servicio de Facebook para ofrecer el indicador verde que significa que el usuario está activo o la “última conexión” de dicho usuario”. También manifiesta que esa información no puede ser administrada por el propio usuario. En Internet se han encontrado páginas que describen cómo se puede acceder al historial de conexiones, pero referidos a versiones antiguas de las opciones de configuración de Facebook que ya no se encuentran activas. 11 Facebook manifiesta, en respuesta de registro de entrada 237459/2016 y fecha de presentación en la AEPD 29 de junio de 2016, que Facebook Spain no es un corresponsable, ni un establecimiento ni un representante de Facebook Inc. y que Facebook Ireland es la empresa que proporciona el servicio de Chat disponible para los usuarios registrados de Facebook>>. TERCERO: En fecha 10 de abril de 2017 la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a FACEBOOK, INC., con arreglo a lo dispuesto en el artículo 127 del Reglamento de Desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21 de diciembre (en adelante RLOPD), por la presunta infracción del artículo 10 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en adelante LOPD); infracción tipificada como grave en el artículo 44.3.

1. d)de la LOPD. CUARTO: En fecha 21 de abril de 2017 tuvo entrada en esta Agencia un escrito de la representación de FACEBOOK, INC., redactado en inglés (adjuntando la correspondiente “Traducción a efectos informativos”) en el que se solicitaba una ampliación del plazo otorgado para realizar alegaciones al acuerdo de inicio detallado en el punto anterior; alegando asimismo que, pese a que FACEBOOK SPAIN, S.L. le había “amablemente (kindly)” remitido copia de dicho acuerdo de inicio, éste solo lo había recibido por tanto “una sociedad que no es parte formalmente del presente procedimiento y que no representa legalmente a Facebook Inc a estos efectos”. Se alegaba en este escrito presentado que, por tal motivo, el lunes 19 de abril de 2017 habría sido la fecha en la que se había tenido la posibilidad de contar con una traducción al inglés del reiterado acuerdo de inicio. Todo ello en aras de no menoscabar el derecho de defensa que asiste a la entidad estadounidense ni la postura general sobre la jurisdicción o legislación aplicable al caso. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/27 QUINTO: En fecha 24 de abril de 2017 se acordó, en virtud de lo establecido en el artículo 32 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante LPACAP), ampliar el plazo para formular alegaciones hasta un máximo de cinco días, que deberían computarse a partir del día siguiente a aquél en el que finalizase el primer plazo de alegaciones. SEXTO: En fecha 17 de mayo de 2017 tuvo entrada en esta Agencia un escrito de la representación de FACEBOOK, INC., redactado en inglés (adjuntando la correspondiente “Traducción a efectos informativos”) en el que realizaba las correspondientes alegaciones al acuerdo de inicio ya indicado más arriba; con solicitud expresa de archivo de actuaciones. Se alegaba, en síntesis y de forma subsidiaria, que FACEBOOK, INC. no es el responsable del tratamiento de datos personales objeto del presente procedimiento sancionador, pues es FACEBOOK IRELAND, una entidad constituida bajo el derecho irlandés, “es el único responsable de los datos de todos los usuarios de la plataforma Facebook que no estén situados en EE.UU. o en Canadá”. Se argumenta que FACEBOOK, INC. es una compañía estadounidense sin actividades en España, que no las dirige, por lo que la Agencia no puede sancionarla por la operativa de una plataforma y un servicio que no presta en España (ni utiliza recursos ubicados en este país). En cualquier caso, FACEBOOK SPAIN no es un establecimiento de FACEBOOK, INC. en el sentido del artículo 4 de la Directiva, ni del responsable del tratamiento (pues se trata de FACEBOOK IRELAND). Por lo tanto, el tratamiento de datos analizado está sujeto a la legislación irlandesa y no a la española, y la Agencia sería incompetente para imponer sanciones por ello. Dicho lo anterior, alegaba la entidad que el artículo 10 de la LOPD debe interpretarse de acuerdo con el artículo 16 de la Directiva, que “no aborda la formas en que un responsable de tratamiento puede diseñar legítimamente sus operaciones de tratamiento”, en este caso, “una función tecnológica lícita”. Y se estaría imponiendo por parte de la Agencia a FACEBOOK IRELAND a “re-diseñar de un servicio online” prestado de forma lícita de un Estado miembro de la UE a otro (España); lo que vendría a suponer menoscabar su derecho fundamental a una actividad comercial concreta. Se insistía en que el uso del chat en cuestión es totalmente voluntario para los usuarios, por lo que no existe vulneración del deber de secreto, al existir un consentimiento informado y un interés legítimo, con una actuación diligente a la hora de guardar la debida confidencialidad de los datos personales en cuestión. Y que, en cualquier caso, no ha existido ninguna filtración de datos personales (con un uso limitado, por otra parte y con carácter general, a los contactos dentro de la red social “y no a extraños”). SÉPTIMO: En fecha 18 de mayo de 2017 se inició un período de práctica de pruebas, según lo dispuesto en el artículo 77 de la LPACAP, notificándose a las partes interesadas, practicándose las siguientes: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/27 Incorporar al expediente del presente procedimiento sancionador, y por tanto dar por reproducida a efectos probatorios, la documentación recabada en las actuaciones previas de inspección E/03028/2016, consistente en el escrito de denuncia e informes de FACEBOOK SPAIN, S.L. de fecha 23 de junio de 2016 y de la Inspección de Datos de esta Agencia (Informe E/03208/2016) de fecha 8 de julio de 2016, con sus correspondientes diligencias de comprobación de hechos; así como las alegaciones de FACEBOOK, INC. de fecha 10 de mayo de 2017 al Acuerdo de inicio citado más arriba. También se incorporan al expediente, reproducidas también a efectos probatorios, las correspondientes diligencias de comprobación de hechos de la Inspección de Datos de esta Agencia obrantes en el expediente PS/00082/2017, abierto a esta entidad FACEBOOK, INC. (documentación que ya obraba en poder de FACEBOOK, INC. por trámite de audiencia de fecha 12 de abril de 2017 en ese procedimiento). OCTAVO: En fecha 25 de mayo de 2017 se personó en esta Agencia, previa solicitud por escrito en fecha 22 de mayo de 2017, un representante de FACEBOOK, INC. para tomar vista del expediente y obtener copia completa de él, que le fue entregado en mano. NOVENO: Con fecha 30 de mayo de 2017, y transcurrido el periodo de práctica de pruebas citado en el punto anterior, se inició el trámite de audiencia, de acuerdo con el artículo 82 de la Ley LPACAP, poniéndose de manifiesto el expediente al presunto responsable, y se le concedió un plazo de quince días hábiles para formular alegaciones y aportar cuantos documentos estimase de interés. Asimismo, se le notificó la relación de documentos obrantes en el procedimiento a fin de que pudiera obtener las copias de los que estimase convenientes, previa cita, como se detalla también en el anexo a la presente propuesta de resolución. DÉCIMO: En fecha 9 de junio de 2017 tuvo entrada en esta Agencia un escrito de la representación de FACEBOOK INC., redactado en inglés (adjuntando la correspondiente “Traducción a efectos informativos”) en el que realizaba más alegaciones al acuerdo de inicio ya indicado más arriba; en especial, con solicitud de nulidad de actuaciones, dado que se ha incorporado al expediente el informe de la Inspección E/01235/2016 de 8 de julio de 2016 (obrante en el expediente PS/00082/2017, folios 19 a 69) y ello supone que, al tratarse de hechos referentes por tanto a otro procedimiento, se ha producido un defecto procesal grave que genera una vulneración del derecho de defensa de la entidad. UNDÉCIMO: Con fecha 13 de junio de 2017 se remitió por parte de esta Agencia a FACEBOOK, INC. copia parcial del expediente que conforma el presente procedimiento sancionador, en concreto, prueba de entrega de Correos del Acuerdo de inicio en fecha 17 de abril de 2017 a la entidad (folio 220) e informe de la Inspección E/01235/2016 (folios 221 a 272), este último obrante ya en su poder por haber sido entregado en trámite de audiencia en el marco del PS/00082/2017 (folios 19 a 69 de dicho expediente). DUODÉCIMO: Con fecha 27 de junio de 2017 se formuló propuesta de resolución en C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/27 el sentido de por la Directora de la Agencia Española de Protección de Datos se sancionase a FACEBOOK, INC. con multa de ciento cincuenta mil euros (150.000 €), por la infracción del artículo 10 de la LOPD; infracción tipificada como grave en el artículo 44.3.
2. d)de la LOPD y de acuerdo con lo establecido en el artículo 45 de la LOPD. En su virtud se le notificó cuanto antecede, y se le puso de manifiesto el procedimiento a fin de que en el plazo de quince días hábiles pudiera alegar cuanto considerase en su defensa y presentare los documentos e informaciones que considerase pertinentes, de acuerdo con el artículo 89.2 en relación con el art. 82.2 de la LPACAP. DECIMOTERCERO: Dicha propuesta de resolución fue en efecto notificada FACEBOOK, INC. en fecha 4 de julio de 2017, concediéndose el citado plazo para formular alegaciones, las cuales fueron presentadas en fecha 7 de agosto de 2017. Se reiteraban los argumentos ya expuestos en anteriores alegaciones. HECHOS PROBADOS PRIMERO: Que Con fecha 11 de mayo de 2016 Dª. A.A.A. manifestó a esta Agencia Española de Protección de Datos que, como usuaria de la red social FACEBOOK, había comprobado que existe un chat en la versión web, pudiéndose activar o desactivar a voluntad por el usuario; denominado Messenger en la versión para teléfono móvil. Añadía que este servicio permite a un usuario de FACEBOOK conocer cuándo otros usuarios están activos y cuándo ha sido su última conexión. Manifestaba en su denuncia que no hay una opción para impedir que un usuario pueda monitorizar la actividad de otros usuarios, incluso cuando ese servicio de chat se encuentra desactivado y oculto, con una actualización instantánea de última conexión cada vez que el usuario entra en su cuenta (conocida como Timestamp), siendo visible para todos los contactos. Como no hay opción de inhabilitación, ello permite que terceras personas puedan ver permanentemente el ritmo y acciones de conexión (folio 1). SEGUNDO: Que la Inspección de Datos de esta Agencia ha constatado que el servicio de chat de FACEBOOK es un servicio de mensajería instantánea que está disponible de forma exclusiva para los usuarios registrados en FACEBOOK y que permite el intercambio de contenidos entre los mismos, tanto aquellos calificados como “amigos” como los que tienen dicha relación en la red social (folio 25). TERCERO: Que igualmente ha constado, a fecha de 3 de junio de 2016, que ligado a este chat aparece un listado de los “amigos” del usuario en la misma red social; siendo necesario para aparecer en ese listado el realizar una acción explícita por parte del usuario y seleccionar al tercero como “amigo” dentro de la red (folios 25 y 31 a 36). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/27 CUARTO: Que si un “amigo” del usuario tiene una sesión iniciada en FACEBOOK y el servicio de chat activado, en la cuenta del usuario y asociado al nombre del “amigo” aparece una señal, consistente en un indicador verde, que revela que el “amigo” tiene una sesión abierta en FACEBOOK en ese momento. Si no aparece un indicador verde, aparecerá un valor numérico que revela en minutos cuándo tiempo hace que tuvo ese “amigo” su sesión abierta en Facebook por última vez (folios 25 y 31 a 36). QUINTO: Que si un “amigo” del usuario tiene el servicio de chat desactivado, asociado al nombre del “amigo” aparece una indicación de “1 min” si el “amigo” ha cerrado la sesión aproximadamente un minuto antes o está todavía con la sesión abierta en FACEBOOK (en vez de un indicador verde). Si el “amigo” ha cerrado la sesión en la cuenta del usuario aparece la misma información que en el caso de que el “amigo” tenga el servicio de chat activado, es decir, el valor en minutos que indica cuánto tiempo hace que tuvo el “amigo” su sesión abierta en FACEBOOK por última vez. La revelación de la información es recíproca, el usuario está revelando la información de conexión a sus “amigos”, y estos a su vez la revelan al usuario (folios 25 y 31 a 36). SEXTO: Que si el usuario con el que pretende chatear, o se ha chateado en el pasado, ya no está en la lista de sus “amigos”, porque dicha condición se ha deshabilitado, bien por el propio usuario o por el “amigo”, la referencia a dicho “amigo” desaparece de la lista de personas con las que el usuario puede establecer una conversación y también desparece la revelación de los tiempos de conexión en ambos sentidos (folios 25 y 31 a 36). SÉPTIMO: Que la Inspección de Datos constató, a fecha 6 de junio de 2016, que en la página principal de la política de privacidad de FACEBOOK no se encuentra una información explícita sobre la recopilación de información en el Chat/Messenger y su posterior utilización o revelación a terceros y que no hay una referencia de cómo administrar el registro de tiempos de conexión, según se constata en la información obtenida a través de Internet en el sitio https://www.facebook.com/privacy/explanation al que se accede pulsando el enlace Privacidad en el sitio www.facebook.com, y de la página https://www.facebook.com/help/437430672945092 el apartado “¿Qué incluye mi registro de actividad?” (folios 26 y 40 a 50). OCTAVO: Que la Inspección de Datos ha constatado, también a fecha 6 de julio de 2016, que en el apartado de Privacidad de las opciones de Configuración de la cuenta de un usuario registrado en FACEBOOK no consta información o enlaces para la gestión de la revelación de tiempos de conexión del usuario a terceros dentro de la red social a través de este servicio de chat (folios 26 y 40 a 50). NOVENO: Que, a fecha de 3 de junio de 2016, y siguiendo el enlace “Más Información”, en la ventana emergente que aparece cuando se desea desactivar el servicio de chat no aparece un enlace, al menos directo, sobre la forma en cómo se revela a terceros la información de conexión o la forma de deshabilitarla (folios 27, 28 y 37 a 39). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/27 DÉCIMO: Que FACEBOOK manifestó a esta Agencia, en fase de actuaciones previas de investigación, en relación con el Apéndice “Respuesta a las Preguntas de la Solicitud de Información”, que el procedimiento para evitar que otros usuarios calificados como amigos obtengan información del tiempo de desconexión de dicho primer usuario a su cuenta de FACEBOOK está descrito en el enlace: https://www.facebook.com/help/389645087895231” y que este proceso consistiría en bloquear a dicha persona en el chat (folios 11 a 23). ÚNDECIMO: Que la Inspección de Datos ha constatado que, a fecha 5 de julio de 2016, la información que aparece en dicho enlace es la siguiente: “Si bloqueas los mensajes de alguien: Ya no podrá ponerse en contacto contigo (por ejemplo, enviarte mensajes o llamarte) en Messenger ni en el chat de Facebook. Tampoco podrás ponerte en contacto con esa persona en Messenger ni en el chat de Facebook. Si tú y la persona bloqueada estáis juntas en una conversación en grupo, se te notificará antes de que entres a la conversación. Si eliges entrar a una conversación en grupo en la que está la persona bloqueada, podrás ver sus mensajes y ella podrá ver los tuyos. Obtén más información sobre cómo bloquear los mensajes de alguien. Bloquear a alguien en Messenger no lo bloquea automáticamente en Facebook. Obtén más información sobre cómo bloquear personas en Facebook. En el enlace “Obtén más información sobre cómo bloquear los mensajes de alguien”, se muestra la siguiente información: Para bloquear los mensajes de alguien en Facebook: Abre una conversación con la persona a la que te gustaría bloquear. Haz clic en . Haz clic en Bloquear mensajes > Bloquear mensajes. Obtén más información sobre qué ocurre cuando bloqueas los mensajes de alguien y cómo desbloquear los mensajes de alguien. Nota: Bloquear los mensajes de alguien no es lo mismo que bloquearlos en Facebook. Si bloqueas los mensajes de alguien pero no lo bloqueas en Facebook, seguirás pudiendo ver su perfil de Facebook. Dependiendo de su configuración de privacidad, también podrás ver sus actualizaciones de estado, comentarios, Me gusta y etiquetas en Facebook. Obtén más información sobre cómo bloquear personas en Facebook” (folios 28 y 51 a 53). DECIMOSEGUNDO: Que además se constató que, a fecha 5 de julio de 2016, el método señalado por FACEBOOK oculta la información de cuándo se ha conectado el usuario siempre y cuando se bloquee la capacidad de intercambiar mensajes con el “amigo” (permaneciendo en su status de “amigo”). Si el “amigo” pretende enviar un mensaje al usuario recibirá un mensaje como sigue: Esta persona no está recibiendo mensajes tuyos en este momento C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/27 Es decir, es un método que se utiliza para cortar cualquier tipo de comunicación entre usuarios en el servicio de Chat, no sólo evitar la revelación de los tiempos de conexión. El no querer revelar la información de conexión implica la imposibilidad de establecer un intercambio de mensajes de forma simultánea (folios 28, 29, 56 y 57). DECIMOTERCERO: Que la Inspección de Datos de esta Agencia, en fecha 6 de julio de 2016 ha realizado la siguiente comprobación: a. El usuario al desactivar el servicio de Chat recibe el siguiente mensaje: b. Se intenta medir la accesibilidad a la página “cómo bloquear los mensajes de alguien” en el que se describe el procedimiento para evitar que la información de conexión se revele a terceros en la lista de “amigos” del usuario mediante bloqueo en el Chat y que se encuentra en el enlace https://www.facebook.com/help/1682395428676916, a partir del enlace “Más Información” de la ventana anterior. c. Para ello se ha utilizado la herramienta HTTPrack, que con origen en el enlace “Más Información” https://www.facebook.com/help/465971196760390 ha procedido a realizar una descarga sistemática de las páginas a las que se puede desde el mismo, recorriendo los enlaces conectados a la página “Más Información”. d. Se ha comprobado que la página “cómo bloquear los mensajes de alguien” es accesible desde el enlace más información después de descargar previamente 152 páginas web en el dominio facebook.com (folios 29, 37 a 39 y 63 a 68). DECIMOCUARTO: Que FACEBOOK manifestó a esta Agencia, en relación con el Apéndice “Respuesta a las Preguntas de la Solicitud de Información”, que el sitio donde se informa a los usuarios sobre cómo se desvela a terceros la información sobre nuestros tiempos de conexión y sobre el comportamiento de los valores de los tiempos de desconexión es un enlace del Centro de Ayuda https://www.facebook.com/help/448141485230424 (folios 11 a 23). DECIMOQUINTO: Que la Inspección de Datos ha constatado, a fecha 5 de julio de 2016, que la información que aparece en dicho enlace es la siguiente: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/27 ¿Qué significa "activo" en los mensajes? Cuando mires tus conversaciones en tu teléfono o tableta, verás cuándo interactuaron tus amigos con Facebook por última vez. Se constata que en dicha página no aparece un enlace que permita acceder a la página, señalada en el punto anterior, que permite desactivar la revelación de dicha información (folios 28, 54 y 55). DECIMOSEXTO: Que FACEBOOK manifestó a esta Agencia en fecha 29 de junio de 2016 que sólo se almacena información sobre la última conexión, y que no se almacena un histórico de tiempos o momentos de conexión. La finalidad de la recogida de dicha información “solo es utilizada dentro del servicio de FACEBOOK para ofrecer el indicador verde que significa que el usuario está activo o la “última conexión” de dicho usuario”. También manifiesta que esa información no puede ser administrada por el propio usuario (folios 11 a 23). DECIMOSEPTIMO: Que la Inspección de Datos ha constatado en fecha 8 de julio de 2016 que en Internet se han encontrado páginas que describen cómo se puede acceder al historial de conexiones, pero referidos a versiones antiguas de las opciones de configuración de FACEBOOK que ya no se encuentran activas (folio 30). DECIMOCTAVO: Que FACEBOOK, INC. ha manifestado a esta Agencia en fecha 29 de junio de 2016 que FACEBOOK SPAIN no es un corresponsable, ni un establecimiento ni un representante de FACEBOOK, INC., siendo FACEBOOK IRELAND la empresa que proporciona el servicio de chat disponible para los usuarios registrados de FACEBOOK, INC. en España (folios 11 a 23). DECIMONOVENO: Que la Inspección de Datos de esta Agencia, según informe de fecha 1 de marzo de 2017, ha constatado que la página web para usuarios españoles utilizando dispositivos ubicados en territorio español que, consultados los servicios de registro de dominios de direcciones en Internet, el dominio “Facebook.com” está registrado a nombre de FACEBOOK, INC. en Menlo Park Estados Unidos y el dominio “Facebook.es” está registrado a nombre de FACEBOOK IRELAND; pero, al intentar acceder a la página www.facebook.es se comprueba que dicha página no existe, sino que existe una redirección a la página: es-es.facebook.com (folio 232). VIGÉSIMO: Que se ha constatado igualmente, según ese mismo informe citado en el punto anterior, que los centros de datos de FACEBOOK se encuentran en Estados Unidos: en Altoona (que no se cita pero que se encuentra en el Condado de Blair, Estado de Pensilvania), Ashburn (Loudoun, Virginia), Forest City (Rutherford, Carolina del Norte), Lulea (Suecia, designada oficialmente en su día como sede del primer datacenter propio de la red social fuera de Estados Unidos, aunque tampoco allí se cita), Prineville (Crook, Oregón) y Sunnyvale (Silicon Valley, California) (folio 224). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/27 FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
3. g)en relación con el artículo 36 de la LOPD y de acuerdo también con lo establecido en el artículo 2.1 de la LOPD y los artículos 2 y 3 del RLOPD. II Dadas las alegaciones realizadas por FACEBOOK, INC. sobre su falta de responsabilidad en el tratamiento de los datos personales de los usuarios de Facebook en la Unión Europea, hay que señalar, como cuestión preliminar, que la red social FACEBOOK se configura en torno a la entidad matriz FACEBOOK, INC., responsable última de toda la actividad en Internet de dicha plataforma de comunicación entre sus usuarios. De este modo, y tal como se desprende de la información que la propia plataforma FACEBOOK facilita en su web, tiene su sede principal en Estados Unidos, concretamente en California y está constatado que el dominio “Facebook.com” está registrado a nombre de FACEBOOK, INC. en Menlo Park Estados Unidos y el dominio “Facebook.es” está registrado a nombre de FACEBOOK IRELAND; página que como tal no existe, sino es una redirección a la página “es-es.facebook.com”. Además, a la vista de las alegaciones de FACEBOOK INC. en el sentido de que el responsable del tratamiento de los usuarios españoles en España es FACEBOOK IRELAND, hay que recordar la doctrina que el Tribunal Supremo marca en este tema, para distinguir al responsable del tratamiento de otros agentes. Así, su sentencia 1384/2016, Sala de lo Contencioso-Administrativo, Sección Sexta, de fecha 13 de junio de 2016, dice que: “El Dictamen 1/2010, sobre los conceptos de «responsable del tratamiento» y «encargado del tratamiento» adoptado el 16 de febrero de 2010 por el (Grupo de Trabajo del artículo 29 de la Directiva 95/46/ CE (GT29), dice en relación con el concepto de responsable del tratamiento lo siguiente: <<El concepto de responsable del tratamiento es autónomo, en el sentido de que debe interpretarse fundamentalmente con arreglo a la legislación comunitaria de protección de datos, y funcional, en el sentido de que su objetivo es asignar responsabilidades en función de la capacidad de influencia de hecho, y, por consiguiente, se basa en un análisis de los hechos más que en un análisis formal>>. La definición de la Directiva consta de tres componentes fundamentales: el aspecto personal («la persona física o jurídica, autoridad pública, servicio o cualquier otro organismo»); la posibilidad de un control plural («que solo o conjuntamente con otros»); los elementos esenciales para distinguir al responsable del tratamiento de otros agentes («determine los fines y los medios del tratamiento de datos personales»). En relación con la determinación de los fines y los medios se señala que "el hecho de determinar los «fines» del tratamiento trae consigo la consideración C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/27 de responsable del tratamiento (de facto). En cambio, la determinación de los «medios» del procesamiento puede ser delegada por el responsable del tratamiento en la medida en que se trate de cuestiones técnicas u organizativas. Sin embargo, las cuestiones de fondo que sean esenciales a efectos de la legitimidad del tratamiento -como los datos que deban tratarse, la duración de su conservación, el acceso, etc.- deben ser determinadas por el responsable del tratamiento". No cabe duda alguna de que Google Inc., que gestiona el motor de búsqueda Google Search, es responsable del tratamiento de datos, al determinar los fines, las condiciones y los medios del tratamiento de datos personales. No obstante, ello no implica que Google Inc. sea responsable del tratamiento en solitario, ya que no podemos olvidar que el citado artículo 2.
4. d)de la Directiva 95/46/CE, alude a que la determinación de los fines y los medios del tratamiento de datos personales se puede hacer "sólo o conjuntamente con otros", máxime si tenemos en cuenta, que "las actividades del gestor del motor de búsqueda y las de su establecimiento situado en el Estado miembro de que se trate están indisociablemente ligadas, dado que las actividades relativas a los espacios publicitarios constituyen el medio para que el motor de búsqueda en cuestión sea económicamente rentable y dado que este motor es, al mismo tiempo, el medio que permite realizar las mencionadas actividades" (apartado 56 de la Sentencia del TJUE de 13 de mayo de 2014 ). A este respecto, en el Dictamen 1/2010 del GT29 se dice: "En el dictamen de la Comisión sobre la enmienda del PE, la Comisión menciona la posibilidad de que «varias partes determinen conjuntamente, para una única operación de tratamiento, los fines y los medios del tratamiento que se vaya a llevar a cabo» y, por lo tanto, en tal caso, «cada uno de estos corresponsables del tratamiento debe considerarse vinculado por las obligaciones impuestas por la Directiva de proteger a las personas físicas cuyos datos se estén tratando»" . Se añade que "la definición de tratamiento contenida en el artículo 2.
5. b)de la Directiva no excluye la posibilidad de que distintos agentes estén implicados en diferentes operaciones o conjuntos de operaciones en materia de datos personales. Estas operaciones pueden producirse simultáneamente o en distintas fases". Y se concluye que "la participación de las partes en la determinación de los fines y los medios del tratamiento en el contexto del control conjunto puede revestir distintas formas y el reparto no tiene que ser necesariamente a partes iguales... Los distintos grados de control pueden dar lugar a distintos grados de responsabilidad, y desde luego no cabe presumir que haya una responsabilidad solidaria en todos los casos. Por lo demás, es muy posible que en sistemas complejos con varios agentes el acceso a datos personales y el ejercicio de otros derechos de los interesados también los puedan garantizar distintos agentes a diferentes niveles" (el subrayado es de esta Agencia). A su vez la sentencia del Tribunal Supremo 210/2016, Sala de lo Civil, de fecha 5 de abril de 2016, que viene a decir que: “Los sujetos protegidos por la normativa sobre protección de datos son las personas físicas (art. 1 y 2.a de la Directiva). El efecto útil de la normativa comunitaria se debilitaría enormemente si los afectados hubieran de averiguar, dentro del grupo empresarial titular de un motor de búsqueda, cuál es la función concreta de cada una de las sociedades que lo componen, lo que, en ocasiones, constituye incluso un secreto empresarial y, en todo caso, no es un dato accesible al público en general. También se debilitaría el efecto útil de la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/27 Directiva si se diera trascendencia, en el sentido que pretende la recurrente Google Spain, a la personificación jurídica que el responsable del tratamiento de datos diera a sus establecimientos en los distintos Estados miembros, obligando de este modo a los afectados a litigar contra sociedades situadas en un país extranjero”. El funcionamiento de FACEBOOK en la Unión Europea es similar al funcionamiento de la red social en EEUU y el medio para que Facebook sea rentable consiste en mostrar anuncios publicitarios a todos los usuarios de la red, con independencia del país en el que se encuentren. En la página denominada “Declaración de Derechos y Responsabilidades” (punto 1.1.1 del Informe de la Inspección E/01235/2016), FACEBOOK manifiesta explícitamente en el apartado 9 que el objeto del servicio que está prestando es el de ofrecer publicidad. La finalidad publicitaria de la red social FACEBOOK la fija FACEBOOK, INC. como resulta notoriamente conocido, sin que FACEBOOK IRELAND haya establecido una finalidad diferente para los usuarios europeos. También resulta notorio que FACEBOOK, INC. es la entidad que ha diseñado el funcionamiento de la red social y la que determina qué datos de los usuarios recaba para satisfacer la finalidad publicitaria. Así las cosas no cabe ninguna duda de que FACEBOOK, INC. determina los fines, las condiciones y los medios del tratamiento de los datos de los usuarios europeos, lo que le convierte en responsable del tratamiento de estos datos. En consecuencia, hay que desestimar las alegaciones realizadas a este respecto por parte de FACEBOOK, INC., y por consiguiente debe considerarse que dicha entidad es responsable del tratamiento de datos personales de los usuarios de la plataforma FACEBOOK en la Unión Europea pues su participación en la determinación de los fines y los medios del tratamiento es clara como queda constatado en el presente expediente. La responsabilidad puede estar compartida con FACEBOOK IRELAND, al menos en la responsabilidad concerniente a la atención y la gestión de los derechos ARCO y en la gestión de datos de los usuarios de España y del resto de la Unión Europea, pero sin que se pueda negar la responsabilidad de la matriz FACEBOOK, INC. en la determinación de los fines y los medios últimos de dicho tratamiento, dentro de la organización del grupo internacional empresarial. III En segundo lugar, en cuanto al ámbito de aplicación de la LOPD respecto de los hechos que se examinan en el presente procedimiento sancionador, se ha de declarar que las conductas analizadas han sido llevadas a cabo por FACEBOOK INC. en el marco de las actividades de un establecimiento del responsable del tratamiento en territorio español, además se han empleado medios situados en España por parte de FACEBOOK INC. La LOPD, en el párrafo segundo de su artículo 2.1, al referirse al “Ámbito de aplicación” de la norma, establece lo siguiente: “Se regirá por la presente Ley Orgánica todo tratamiento de datos de carácter personal: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 17/27
6. a)Cuando el tratamiento sea efectuado en territorio español en el marco de las actividades de un establecimiento del responsable del tratamiento.
7. b)Cuando al responsable del tratamiento no establecido en territorio español, le sea de aplicación la legislación española en aplicación de normas de Derecho Internacional público.
8. c)Cuando el responsable del tratamiento no esté establecido en territorio de la Unión Europea y utilice en el tratamiento de datos medios situados en territorio español, salvo que tales medios se utilicen únicamente con fines de tránsito”. El último párrafo del artículo 5.1 de la misma norma establece lo siguiente: “Cuando el responsable del tratamiento no esté establecido en el territorio de la Unión Europea y utilice en el tratamiento de datos medios situados en territorio español, deberá designar, salvo que tales medios se utilicen con fines de trámite, un representante en España, sin perjuicio de las acciones que pudieran emprenderse contra el propio responsable del tratamiento”. Por su parte, el artículo 3 del Reglamento de desarrollo de la LOPD, aprobado por Real Decreto 1720/2008 (RLOPD), señala su ámbito territorial de aplicación en los siguientes términos: “1. Se regirá por el presente Reglamento todo tratamiento de datos de carácter personal:
9. a)Cuando el tratamiento sea efectuado en el marco de las actividades de un establecimiento del responsable del tratamiento, siempre que dicho establecimiento se encuentre ubicado en territorio español. Cuando no resulte de aplicación lo dispuesto en el párrafo anterior, pero exista un encargado del tratamiento ubicado en España, serán de aplicación al mismo las normas contenidas en el título VIII del presente Reglamento.
10. b)Cuando al responsable del tratamiento no establecido en territorio español, le sea de aplicación la legislación española, según las normas de Derecho internacional público.
11. c)Cuando el responsable del tratamiento no esté establecido en territorio de la Unión Europea y utilice en el tratamiento de datos medios situados en territorio español, salvo que tales medios se utilicen únicamente con fines de tránsito. En este supuesto, el responsable del tratamiento deberá designar un representante establecido en territorio español. 2. A los efectos previstos en los apartados anteriores, se entenderá por establecimiento, con independencia de su forma jurídica, cualquier instalación estable que permita el ejercicio efectivo y real de una actividad” La normativa citada, que deriva de la legislación europea, debe ponerse en relación con lo establecido en el artículo 4, “Derecho nacional aplicable”, de la Directiva 95/46/CE (aplicable hasta el 25 de mayo de 2018, de acuerdo con lo establecido en el artículo 99 del Reglamento general de protección de datos, Reglamento UE 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 18/27 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la citada Directiva 94/46/CE), que establece lo siguiente: “Derecho nacional aplicable 1. Los Estados miembros aplicarán las disposiciones nacionales que haya aprobado para la aplicación de la presente Directiva a todo tratamiento de datos personales cuando:
12. a)el tratamiento sea efectuado en el marco de las actividades de un establecimiento del responsable del tratamiento en el territorio del Estado miembro. Cuando el mismo responsable del tratamiento esté establecido en el territorio de varios Estados miembros deberá adoptar las medidas necesarias para garantizar que cada uno de dichos establecimientos cumple las obligaciones previstas por el Derecho nacional aplicable;
13. b)el responsable del tratamiento no esté establecido en el territorio del Estado miembro, sino en un lugar en que se aplica su legislación nacional en virtud del Derecho internacional público;
14. c)el responsable del tratamiento no esté establecido en el territorio de la Comunidad y recurra, para el tratamiento de datos personales, a medios, automatizados o no, situados en el territorio de dicho Estado miembro, salvo en caso de que dichos medios se utilicen solamente con fines de tránsito por el territorio de la Comunidad Europea. 2. En el caso mencionado en la letra
15. c)del apartado 1, el responsable del tratamiento deberá designar un representante establecido en el territorio de dicho Estado miembro, sin perjuicio de las acciones que pudieran emprenderse contra el propio responsable del tratamiento”. Este artículo responde a las consideraciones que se plasman en los considerandos de la citada Directiva, en concreto los considerandos 18 y siguientes presentan la siguiente justificación del artículo 4 en cuestión: “