REPOSICION-PS-00082-2017

1/36 Procedimiento nº.: PS/00082/2017 ASUNTO: Recurso de Reposición Nº RR/00749/2017 Examinado el recurso de reposición interpuesto por la entidad FACEBOOK, INC. contra la resolución dictada por la Directora de la Agencia Española de Protección de Datos en el procedimiento sancionador, PS/00082/2017, y en base a los siguientes, HECHOS PRIMERO: Con fecha 21 de agosto de 2017, se dictó resolución por la Directora de la Agencia Española de Protección de Datos en el procedimiento sancionador, PS/00082/2017, en la que se disponía: <<PRIMERO: IMPONER a la entidad FACEBOOK, INC. multa de trescientos mil euros (300.000 €), por la infracción del artículo 6.1, en relación con el artículo 5 y el artículo 4, apartados 1 y 2, todos de la LOPD [Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal y en adelante LOPD]; infracción tipificada como grave en el artículo 44.3.

1. b)de la LOPD y de acuerdo con lo establecido en el artículo 45 de la LOPD. SEGUNDO: IMPONER a la entidad FACEBOOK, INC. multa de seiscientos mil euros (600.000 €), por la infracción del artículo 7, en relación con el artículo 5 y el artículo 4, apartados 1 y 2, todos de la LOPD; infracción tipificada como muy grave en el artículo 44.4.
2. b)de la LOPD y de acuerdo con lo establecido en el artículo 45 de la LOPD y TERCERO: IMPONER a la entidad FACEBOOK, INC. una multa de trescientos mil euros (300.000 €), por la infracción del artículo 4.5, en relación con el artículo 16, ambos de la LOPD; infracción tipificada como grave en el artículo 44.3.
3. c)de la LOPD y de acuerdo con lo establecido en el artículo 45 de la LOPD>>. Dicha resolución, que fue notificada al recurrente en fecha 21 de agosto de 2017, fue dictada previa la tramitación del correspondiente procedimiento sancionador, de conformidad con lo dispuesto en el artículo 127 del Reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 de diciembre (en adelante RLOPD). SEGUNDO: Como hechos probados del citado PS/00082/2017, quedó constancia de los siguientes: procedimiento sancionador, <<PRIMERO: Que la Inspección de Datos de esta Agencia Española de Protección de Datos ha constatado que al acceder a FACEBOOK, a través de su página inicial en la dirección https://es-es.facebook.com, se muestra la opción de iniciar sesión o de registrarse como nuevo usuario (punto 1.2.1 del Informe de la Inspección), para lo que se despliega un formulario que recoge los siguientes datos personales: nombre y apellidos, número de teléfono móvil o correo electrónico, fecha de nacimiento y sexo, con dos opciones mujer u hombre (folios 30, 31, 155 a 170, 828 y 829). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/36 SEGUNDO: Que debajo del formulario detallado en el punto anterior hay una leyenda, en un tipo de letra de tamaño inferior y sin destacar, que dice que: “Al hacer clic en Terminado, aceptas nuestras Condiciones y reconoces haber leído nuestra Política de datos, incluido nuestro Uso de cookies. Es posible que recibas notificaciones de Facebook por SMS, pero puedes desactivarlas en cualquier momento”; apareciendo las palabras subrayadas en un color distinto, azul, y no en negrilla, y siendo enlaces a las páginas que contienen las condiciones de servicio, la política de privacidad, denominada “Política de datos”, así como la denominada “Uso de cookies” (folios 31 y 159). TERCERO: Que, debajo de este párrafo, destacado y en un tipo de letra mucho mayor, aparece un botón en fondo verde etiquetado como “Terminado”; sin que sea obligatorio acceder a la política de privacidad (“Política de datos”) para continuar el proceso de registro (folios 31 y 159). CUARTO: Que, durante este proceso de registro (punto 1.2.5 del Informe de la Inspección), se despliega una serie de opciones para completar la configuración de la cuenta, entre ellas, una opción titulada “Conoce la configuración de la privacidad”; sin que esta opción sea de consulta obligada para continuar con el uso de la cuenta de usuario y no quedando, si no se efectúa por el usuario en el momento inicial de uso de la cuenta, un enlace de fácil localización para acceder con posterioridad a dicha opción de configuración, ni se muestre un recordatorio al respecto (folios 30, 155 a 170 y 829). QUINTO: Que el proceso descrito de registro de un nuevo usuario finaliza cuando FACEBOOK solicita una respuesta de confirmación de creación de cuenta enviando un mensaje, en este caso, al correo electrónico indicado por el usuario en el formulario ya detallado en el punto 1º anterior (folios 30 y 155). SEXTO: Que la Inspección de Datos ha constatado (punto 1.1.10 del Informe de la Inspección) que, al acceder a la página www.facebook.es, dominio registrado a nombre de FACEBOOK IRELAND, dicha página no existe, produciéndose un reenvío a la página es-es.facebook.com; comprobándose que el dominio facebook.com está registrado a nombre de FACEBOOK INC. (folios 30 y 828). SÉPTIMO: Que, sin que sea de consulta obligada durante el proceso de registro, como ya se ha indicado, en la página denominada “Declaración de Derechos y Responsabilidades” (punto 1.1.1 del Informe de la Inspección), FACEBOOK manifiesta explícitamente en el apartado 9 que el objeto del servicio que está prestando es el de ofrecer publicidad, y las condiciones por las que va a realizar el tratamiento de sus datos personales, del siguiente modo: “9 Acerca de los anuncios u otro contenido comercial servido u optimizado por Facebook Nuestro objetivo es ofrecer anuncios y otro contenido comercial o patrocinado que sea valioso para nuestros usuarios y anunciantes. Para ayudarnos a lograrlo, aceptas lo siguiente: 1. Nos concedes permiso para usar tu nombre, foto del perfil, contenido e información en relación con contenido comercial, patrocinado o relacionado (como una marca que te guste) que sirvamos o mejoremos. Esto significa, por ejemplo, que permites que una empresa u otra entidad nos pague por mostrar tu nombre y/o foto del perfil con tu contenido o información sin que recibas ninguna compensación por ello. Si has seleccionado un público C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/36 específico para tu contenido o información, respetaremos tu elección cuando lo usemos. 2. No proporcionamos tu contenido o información a anunciantes sin tu consentimiento. 3. Entiendes que es posible que no siempre identifiquemos las comunicaciones y los servicios pagados como tales” (folios 20, 135 a 140, 817 y 818). OCTAVO: Que, en la política de datos, a fecha 6 de noviembre de 2016 (folio 106), se establece que: “Facebook, Inc. cumple el marco Safe Harbor entre Estados Unidos y la Unión Europea y entre Estados Unidos y Suiza con relación a la recopilación, el uso y la retención de datos pertenecientes a la Unión Europea y Suiza, según lo dispuesto por el Departamento de Comercio de Estados Unidos” (en fecha 29 de septiembre de 2016 se retiró este texto, al ser miembro FACEBOOK, INC. miembro del Privacy Shield, según sus manifestaciones – folios 910 y 930); así como, en la misma página, bajo el epígrafe “Disposiciones especiales aplicables a usuarios que no residan en Estados Unidos”, que “los usuarios y a las personas que no sean usuarias de Facebook que se encuentran fuera de Estados Unidos” dan el “consentimiento para que tus datos personales sean transferidos y procesados en Estados Unidos” (folios 20, 21, 105, 106 y 818). NOVENO: Que la Inspección de Datos de esta Agencia ha constatado que, a fecha 2 de enero de 2017, en la misma política de privacidad detallada en los puntos anteriores (punto 1.10 del Informe sobre Transferencias Internacionales), y como base legal de las cláusulas contractuales tipo, se establece la adhesión al Escudo de Privacidad con Europa, Privacy Shield, pero que ésta está referida a la información que intercambia con sus denominados “Partners”, no la relativa a los datos personales de los usuarios de la red social (folios 68, 118 y 119). DÉCIMO: Que la Inspección de Datos (punto 1.1.6 del Informe de la Inspección) ha constatado que FACEBOOK dispone de una página denominada Newsroom del sitio web ***WEB.1, que es la página web utilizada por FACEBOOK, INC. como oficina de prensa, con versiones en inglés y en español; comprobándose que, en la versión en español, uno de los enlaces dirige a la página ***ENLACE.1, donde se informa que existen los siguientes “Centros de datos: “Altoona, Ashburn, Forest City, Lulea, Prineville, Sunnyvale” (folios 22 y 820). UNDÉCIMO: Que la Inspección de Datos, tal como se recoge en el punto 1.5, apartado 3, de su Informe, que, además de los perfiles personales de los usuarios, la red social permite la creación de páginas vinculadas a otro tipo de entidades (negocios, empresas, grupos de música,…), existiendo la opción de seleccionar un público objeto con edades que se inician en los 13 años y que, al igual que en el proceso de configuración de la página, la edad del público objetivo puede seleccionarse en un rango que comienza con los 13 años (folios 48 y 846). DUODÉCIMO: Que se constata que puede registrarse un usuario con una fecha de nacimiento en consonancia con esa edad de 13 años, sin que se habiliten opciones para el consentimiento de los padres o tutores y sin que se informe, en un lenguaje fácilmente comprensible por ellos y con expresa indicación de lo dispuesto en el artículo 13 del RLOPD, de las consecuencias del proceso de registro como usuario, sin que en ningún caso puedan recabarse del menor datos que permitan obtener información sobre los demás miembros del grupo familiar (excepto los recabados de madres, padres o C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/36 tutores con la única finalidad de obtener la oportuna autorización para el alta como usuario), o sobre las características de la familia, como los datos relativos a la actividad profesional de los progenitores, información económica, datos sociológicos o cualesquiera otros, sin el consentimiento de los titulares de tales datos (folios 30, 31, 155, 159, 831, 835 y 893 a 898). DECIMOTERCERO: Que la Inspección de Datos ha constatado, tal como se recoge en el punto 1.3.1 de su Informe, que en las páginas destinadas a informar a los usuarios sobre la información en la recogida de sus datos personales no se enumera la correspondiente lista de qué datos son recogidos, sino que se limita dar algunos ejemplos (folios 33 y 831). DECIMOCUARTO: Que la Inspección de Datos ha constatado, tal como se recoge en el punto 1.4.8 de su Informe, que en las páginas destinadas a gestionar el perfilado de la publicidad de FACEBOOK no se establece un régimen de preferencias para el tratamiento de datos especialmente protegidos, no se solicita el consentimiento a priori para su tratamiento, sino que por defecto se tratan todos los datos personales para el perfilado de la publicidad (folios 45, 46, 171 a 185 y 844). DECIMOQUINTO: Que, tal como se recoge en el punto 1.4.9 del Informe, se constata además que, a efectos de este perfilado que las opciones de configuración, y si bien se permite al usuario que FACEBOOK no muestre anuncios basados en su perfil, ello no implica empero que FACEBOOK no recoja ni trate la información para crear un perfil asociado al usuario y que lo conserve de forma indefinida (folios 45, 46, 171 a 185 y 844). DECIMOSEXTO: Que la Inspección de Datos ha constatado, tal como se recoge en el punto 1.6.6 de su Informe, que en las páginas destinadas al perfilado por parte de los usuarios en páginas de terceros que en la política de privacidad existe un párrafo relativo a la política de cookies además de un enlace a dicha política, en el que FACEBOOK manifiesta: “Utilizamos cookies y tecnologías similares para prestar y mantener nuestros Servicios, además de cada uno de los usos expuestos y descritos en este apartado de nuestra política. Consulta nuestra Política de cookies para obtener más información” (folios 107 a 117). DECIMOSÉPTIMO: Que se constata (punto 1.6.7 del Informe) que, con fecha 2 de enero de 2017, que la información que ofrece FACEBOOK, en su apartado para desarrolladores, no informa de la utilización de cookies cuando el editor de la página web incluye el botón “Me gusta” en páginas de terceros; que en la información que se ofrece a los editores de los sitios web en el apartado Facebook Developers, en relación a la incorporación Plug-ins sociales a las páginas de Internet, existe una apartado específico para el botón “Me gusta” en el que se describe la instalación de dicho botón, pero no se informa sobre la utilización de cookies y que, por último, existe un apartado de “Preguntas Frecuentes” en el que no hay un apartado sobre las cookies utilizadas, su propósito o limitaciones (folios 122 a 128 y 848). DECIMOCTAVO: Que se constata (punto 1.6.8 del Informe) que, a fecha 6 de enero de 2017, FACEBOOK incluye las siguientes cookies en páginas de terceros que incluyen el botón “Me gusta”; en concreto se incluyen un total de 9 cookies, a saber (folios 62, 63, 129 a 134 y 861): 1. c_user 2. csm C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/36 3. datr 4. dpr 5. fr 6. lu 7. s 8. sb 9. xs DECIMONOVENO: Que se constata asimismo en relación con este perfilado (punto 1.6.8 del Informe) que todas las cookies son persistentes (con hasta dos años de persistencia); que la cookie c_user contiene la identificador del usuario en FACEBOOK; que csm se emplea para redirigir al navegador a conexiones https; que la cookie datr se utiliza para determinar unívocamente a un usuario (aunque este no tenga cuenta en FACEBOOK); que la cookie dpr permite la interacción con la red social; que la cookie fr es utilizada para publicidad y contiene una versión cifrada del identificador del usuario y del identificador del navegador; la cookie lu contiene el identificador cifrado del último usuario; que las cookies sb y s no tienen propósitos conocidos y, finalmente, que la VIGÉSIMO: Que la Inspección de Datos en fecha 24 de mayo de 2015, y a través de la creación de una máquina virtual preparada para la prueba (cuyas especificaciones técnicas se detallan en el punto 1.6. del Informe, con admisión de botón “Me gusta” de FACEBOOK, y se comprobó que en ningún caso la mera descarga de esas páginas con el elemento “Me gusta” llegara a generar cookies que se intercambiasen entre dicha máquina y el servidor www.facebook.com sin que previamente se haya consultado un dominio de FACEBOOK. Posteriormente, se accedió a este en www.facebook.com, y sin darse de alta como usuario, se constata que se instala la cookie “_js_datr” con un determinado valor alfanumérico, el "***VALOR.1". A continuación, se cierra el navegador y se visitan nuevamente los tres blogs en cuestión, también de forma sucesiva; constatándose que en este caso sí se produce con la mera visita a sus páginas una llamada al servidor www.facebook.com, incluyéndose como parámetro la cookie “_js_datr” con el mismo valor anterior. Se cierra el navegador y se inicia de nuevo, comprobándose que se transmite a los servidores www.facebook.com esa cookie “_js_datr_” con el valor señalado anteriormente y se instala en el navegador la cookie datr con el mismo valor que tenía esta otra “_js_datr”, que es sustituida por el código de FACEBOOK (folios 52 a 56, 755 a 780 y 850 a 854). VIGESIMOPRIMERO: Que en esta prueba con la misma máquina virtual se procedió después a cerrar el navegador y volver a abrirlo, visitando los tres blogs utilizados para la prueba, con la descarga del componente que implementa el botón “Me gusta”, y se constató que en la llamada al servidor www.facebook.com se incluía como parámetro la cookie “datr” con ese mismo valor determinado alfanumérico ya citado. Volviendo a la página de FACEBOOK, y también sin darse de alta como usuario, dicho valor volvió a ser transmitido a sus servidores. A continuación, se inició sesión como usuario de FACEBOOK y se comprobó que se transmitía al servidor ese mismo valor “datr” (antes “_js_datr”) y en consecuencia se intercambiaba tal identificador, permitiéndose asociar toda la actividad realizada en Internet, incluso antes de iniciar sesión como usuario de FACEBOOK (folios 52 a 56, 755 a 780 y 850 a 854). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/36 VIGESIMOSEGUNDO: Que en la misma prueba descrita en los dos puntos anteriores se procedió después a crear una nueva cuenta de usuario en FACEBOOK, distinta a la ya empleada, constatándose que en el tráfico investigado se produjeron varias llamadas a los servidores www.facebook.com que incluían la transmisión de la navegación y la actividad desarrollada por las dos cuentas de usuario (folios 52 a 56, 755 a 780 y 850 a 854). VIGESIMOTERCERO: Que finalmente en esta prueba se procedió a cerrar la cuenta del usuario (no hay usuarios dados de alta) y se visitó uno de los blogs y, analizando el tráfico de peticiones al servidor www.facebook.com, que realizó este blog para descargar el componente que implementa el botón "Me gusta"; constatándose que se incluía como parámetro la cookie "datr" con el mismo valor que había tomado en todas las llamadas anteriores al servidor, durante el acceso a la cuenta de los dos usuarios registrados y cuando se visitaban páginas de terceros que tuviesen un componente de FACEBOOK aunque no se hubiese iniciado una sesión como usuario de FACEBOOK (folios 52 a 56, 755 a 780 y 850 a 854). VIGESIMOCUARTO: Que se constata además que se pueden recoger datos relativos al sujeto procedente de terceros sin su consentimiento y sin indicación de que pueden ser datos personales especialmente protegidos, en relación con la actividad de otros usuarios y la información que proporcionan y que es recopilada (por ejemplo, cuando alguien comparte una foto en la que aparece el usuario, se le envía un mensaje o sube, sincroniza o importa la información de contacto). O al recoger los mismos datos de las redes y conexiones del usuario (por ejemplo, una libreta de direcciones). O que se recogerán datos de terceros relativos al usuario, sin especificar qué datos serán recogidos, al visitar o utilizar sitios web y aplicaciones de terceros que usen los Servicios de FACEBOOK (por ejemplo, con el botón "Me gusta", por el inicio de sesión o cuando se usan los servicios de medición y publicidad) (folios 52 a 56, 755 a 780 y 850 a 854). VIGESIMOQUINTO: Que en la política de privacidad (apartado 1.5.1 del Informe) se establece que FACEBOOK utilizará la información recogida para personalizar publicidad, sin enumerar que información se recogerá, con vistas a mostrar anuncios y servicios: “Utilizamos la información de la que disponemos para mejorar nuestros sistemas de publicidad y medición con el fin de mostrarte anuncios relevantes, tanto en nuestros Servicios como fuera de ellos, y medir la eficacia y el alcance de los anuncios y servicios. Obtén más información sobre cómo anunciarte en nuestros Servicios y cómo controlar el modo en que se usa tu información para personalizar los anuncios que ves”; con un enlace a ese subrayado “información de la que disponemos”, pero en el que no se ofrece explicaciones adicionales, sino que redirige a la misma política de privacidad (folios 47, 141 a 154 y 845). VIGESIMOSEXTO: Que la Inspección de Datos ha constatado, tal como se recoge en el punto 1.5.1 de su Informe, que en las páginas destinadas al tratamiento de datos personales especialmente protegidos (versión de la política de privacidad a fecha 29 de septiembre de 2016) la información que se ofrece al usuario, sin necesidad de navegar más profundamente en el conjunto de enlaces que se proporcionan, no se señala específicamente que se recogen datos especialmente protegidos y no se recaba consentimiento expreso para tratar datos especialmente protegidos (folios 47, 141 a 154 y 844). VIGESIMOSÉPTIMO: Que la Inspección de Datos ha constatado, tal como se recoge en el punto 1.5.2 de su Informe, que en la configuración del perfil de usuario C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/36 existe un apartado denominado “Información básica y de contacto” con los siguientes subapartados: Añade tus creencias religiosas y Añade tu ideología política; a su vez, éstos, una vez seleccionados, despliegan un formulario con estos campos: Creencias religiosas/ Ideología política, Descripción y Opciones. Permite compartir con las opciones (por defecto para “Amigos de amigos”): Público, Amigos de amigos, Amigos, Solo yo y Personalizado (folios 47, 48, 70 a 98 y 846). VIGESIMOCTAVO: Que se constata en ninguno de los apartados anteriores se solicita un consentimiento expreso para utilizar dicha información por parte de FACEBOOK para perfilado de publicidad, ni se informa de que se puede utilizar con dicha finalidad (folios 48, 70 a 98 y 846). VIGESIMONOVENO: Que la Inspección de Datos ha constatado que, tal como se recoge en el punto 1.5.3 de su Informe (con las especificaciones técnicas que allí se describen), y en el proceso de creación de un nuevo perfil de usuario en la red social, se permite la creación de páginas vinculadas a otro tipo de entidades (negocios, empresas, grupos de música,…) en calidad de administrador, además de los perfiles personales. Así, se crea una página para una empresa denominada “***EMPRESA.1” y se procede a la configuración de ésta indicando que se prefiere contactar con usuarios de España de más de 18 años, pero se constata que existe la opción de seleccionar un público objeto con edades que se inician en los 13 años (folios 48, 70 a 98 y 846). TRIGÉSIMO: Que se constata asimismo que, para desarrollar lo expuesto en el punto anterior, se dispone de una herramienta de administración, que muestra las campañas de publicidad asociadas a la página y, a través de la herramienta “públicos”, permite seleccionar el público (los usuarios de la red social) a los que se mostrarán los anuncios de la página; observando que, al igual que en el proceso de configuración de la página la edad del público objetivo, puede seleccionarse en un rango que comienza con los 13 años (folios 48, 70 a 98 y 846). TRIGESIMOPRIMERO: Que esa herramienta de creación de público objeto dispone de una opción que permite discriminar en base a la “Situación sentimental”, con opciones como “soltero”, “Casado”, “Divorciado” o “Viudo” entre otras. Los valores de las opciones del criterio coinciden plenamente con las opciones disponibles en el perfil de los usuarios, bajo el apartado “Familia y relaciones”, donde se puede indicar la “Situación sentimental”. Dispone de una opción que permite discriminar en base a la “Composición del hogar”, que dispone de dos opciones “Family-based Household”1 y “Housemate-based Household”2 (constatando que al posar el puntero del ratón sobre cada opción se muestra un pequeño recuadro que indica el número de usuario de la red social que cumplen con ese criterio). Algunos de los criterios, como “Afinidad étnica” y “Política” (que permiten discriminar en base a criterios de origen racial e ideología) parecen estar disponibles sólo para los usuarios de los Estados Unidos de América (folios 48, 49, 70 a 98 y 847). TRIGESIMOSEGUNDO: Que dicha herramienta de creación de público objeto dispone de una opción que permite discriminar en base a “Intereses”. Esos intereses pueden adoptar distintos valores y la herramienta de creación de público objeto permite buscar entre los posibles valores o sugiere algunos valores en base a tipos predefinidos. Se comprueba que el campo “Interés” incluye valores que permiten discriminar en función de: Ideología política (con intereses como “Fascista”, “Falange Española y de las 1 Personas que comparten vivienda y tienen una relación familiar directa o indirecta. 2 Personas que comparten vivienda y no tienen una relación familiar directa o indirecta. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/36 JONS” o “Supremacía blanca”); Vida sexual (con intereses como “Soy Homosexual”, “Matrimonio entre personas del mismo sexo” o “Bisexual community”); Creencias religiosas (con intereses como “Musulmán”, “Ramadán 2015” o “Corán”); Salud (con intereses como “Obesidad”, “Diabetes Meltus”, “Sida” o “Tratamiento profilaxis postexposición para el VIH”); “Acontecimientos importantes”, existe un subgrupo específico de “Salud y bienestar” que permite introducir información sobre superación de una enfermedad, abandono de un hábito, etc…. (folios 49 y 70 a 98 y 847). TRIGESIMOTERCERO: Que, configurando el campo de interés “Tratamiento Profilaxis post-exposición para el VIH”, junto con otros criterios de selección, la herramienta de configuración muestra que tiene “1.680 personas. Descripción: Personas que han mostrado interés por páginas relacionados con Tratamiento Profilaxis postexposición para el VIH o que les han gustado” (folios 49 y 70 a 98). TRIGESIMOCUARTO: Que, configurando el campo de interés “Soy homosexual”, junto con otros criterios de selección, la herramienta de configuración muestra que tiene “166.360 personas. Descripción: Personas que han mostrado interés por páginas relacionados con Soy Homosexual o que les han gustado” (folios 49 y 848). TRIGESIMOQUINTO: Que la Inspección de Datos ha constatado que, tal como se recoge en el punto 1.5.4 de su Informe (con esas mismas especificaciones técnicas), el proceso de creación de un nuevo usuario, en el que no se introduce en la información sobre orientación sexual en el perfil del usuario, y se navega por páginas de FACEBOOK con contenido etiquetado como “gay”, seleccionando la opción de seguir las noticias publicadas por usuarios que tenían un contenido relativo a la homosexualidad, en breves minutos FACEBOOK sugiere de forma automática a dicho usuario el consultar una página en la que se promociona el canal de televisión online Gayles en una página web que no es de FACEBOOK sino del dominio“gayles.tv”. En la página de configuración de anuncios que permite gestionar al usuario los “Intereses” y “Anunciantes” no aparece ninguna entrada que sea referente a la categoría de anuncios mostrados. Cuando se selecciona el anuncio de “gayles.tv” y se pulsa en el botón marcado en la parte superior derecha con una X para eliminar el contenido, dicho anuncio desaparece de la ventana del usuario y en su lugar aparece otro anuncio en el que en el pie del mismo se puede leer “Soy Homosexual” que corresponde a un anuncio de un revista del mismo nombre que se publica en la página web http://homosensual.mx/ que tampoco pertenece al dominio de FACEBOOK (folios 50, 51, 217 a 225, 848 y 849). TRIGESIMOSEXTO: Que, tras acceder a la página de configuración de anuncios y configurar los anuncios en las opciones configuradas de la siguiente forma:  Anuncios basados en mi uso de sitios web y aplicaciones -> Seleccionado NO  Anuncios en aplicaciones y sitios web fuera de las empresas de FACEBOOK -> Seleccionado NO  Anuncios con mis acciones sociales -> Seleccionado Nadie  Anuncios basados en mis preferencias -> Se navega a la página de preferencias y se eliminan todas, aunque ninguna de las preferencias tenía relación con el contenido seleccionado. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/36 Sigue apareciendo el anuncio relativo a “Soy Homosexual” cuando se refresca la página. Se sigue refrescando dicha página y sigue apareciendo el mismo anuncio. Se elimina dicho anuncio específicamente, pulsando en el botón marcado en la parte superior derecha con una X para eliminar el contenido y dicho anuncio desaparece y se sustituye por anuncios con contenido genérico (folios 50, 51, 217 a 225, 848 y 849). TRIGESIMOSÉPTIMO: Que, sin realizar ninguna actividad de navegación en FACEBOOK o Internet, se vuelven activar en la página de configuración de anuncios las opciones de presentación de publicidad perfilada:  Anuncios basados en mi uso de sitios web y aplicaciones -> Seleccionado SI  Anuncios en aplicaciones y sitios web fuera de las empresas de Facebook -> Seleccionado SI  Anuncios con mis acciones sociales -> Seleccionado Nadie  Anuncios basados en mis preferencias -> Se navega a la página de preferencias y se eliminan todas, aunque ninguna de las preferencias tenía relación con el contenido seleccionado. Y aparece una página de anuncios denominada “Lobby Gay” (folios 50, 51, 217 a 225, 848 y 849). TRIGESIMOCTAVO: Que la Inspección de Datos ha constatado que, tal como se recoge en el punto 1.9.4 de su Informe, que, al solicitar el acceso a los datos conservados por FACEBOOK en una cuenta de la red social del usuario seleccionado (cuya descripción técnica en el Informe se cita), mediante el uso de la función “Descarga tu Información”, que se encuentra enlazada desde la página principal “Configuración General de la Cuenta”, se mantienen almacenadas las direcciones IP desde las que se han ido realizado accesos a la cuenta al menos desde el 4 de marzo de 2016, esto es, más de 11 meses después de la consulta; sin que las IP almacenadas hayan sufrido ningún tipo de emascaramiento o anonimizado (folios 66, 67, 186 a 210 y 866). TRIGESIMONOVENO: Que además, consultado un servicio de localización IP, la IP correspondiente al acceso realizado ese 4 de marzo identifica correctamente la población, el proveedor de servicios y la localización sobre un mapa con un error de 1 kilómetro y, asociada a esa dirección, aparte de la fecha, está la hora UTC, la zona horaria, así como información identificativa del navegador, sistema operativo y otros datos identificativos del dispositivo, además de la cookie accedida. Indicar que la información de acceso a la cookie datr está registrada desde el 20 de agosto de 2015 (folios 67, 186 a 210 y 866). CUADRAGÉSIMO: Que asimismo, en relación a la conservación de datos asociados a cuentas eliminadas, se constató que con fecha 31 de julio de 2015 se procedió a eliminar la cuenta ***CUENTA.1 y con fecha 23 de febrero de 2017 se intentó acceder a la misma cuenta usando el mismo correo electrónico, obteniendo un mensaje de la aplicación FACEBOOK de que con dicha cuenta no existía ningún usuario. Posteriormente, en la misma fecha se procede a crear una nueva cuenta re-utilizando el mismo correo de la cuenta borrada y, una vez creada, se utilizó la opción de descargar la información asociada a la nueva cuenta creada, en principio sin actividad. Consultado el fichero descargado, en el apartado “Seguridad”, aparece información registrada a C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/36 nombre del usuario en relación a la cookie datr de fechas 8 de noviembre de 2016 y 10 de febrero de 2017: “Información de autenticación de la cookie Datr ...***COOKIE.1 Visto por primera vez: Martes, 8 de noviembre de 2016 a las 11:59 UTC+01 Visto 3 veces ...***COOKIE.2 Visto por primera vez: Viernes, 10 de febrero de 2017 a las 12:01 UTC+01 Visto 3 veces” (folios 67, 68, 226 a 233 y 866)>>. TERCERO: FACEBOOK INC. ha presentado en fecha 21 de septiembre de 2017 por correo certificado, con entrada en esta Agencia Española de Protección de Datos en fecha el 26 de septiembre de 2017, recurso de reposición, solicitando la revocación y derogación de la resolución recurrida, con básicamente la siguiente fundamentación: 1. Como cuestiones formales, que motivarían la nulidad del procedimiento: 1) que la notificación se ha realizado a FACEBOOK SPAIN y no a FACEBOOK, INC., entidades independientes, no siendo la primera parte del procedimiento; 2) que se han realizado en español cuando FACEBOOK, INC. opera en inglés; 3) que la resolución carece de la debida motivación; 4) que se ignoran los informes periciales aportados a lo largo de la tramitación del procedimiento sancionador cuya resolución se recurre y 5) que las actuaciones previas de investigación realizadas han caducado (en especial las de referencia núm. E/01147/2015/I-01). 2. Solo FACEBOOK IRELAND puede ser considerada la única responsable de los datos personales de los usuarios españoles del servicio FACEBOOK, por ser la responsable del tratamiento, y no FACEBOOK, INC., y por tanto esta última entidad no está sujeta a la legislación española en la materia, siendo si acaso limitada la competencia de la Agencia, pues sería aplicable la legislación irlandesa, pues no utiliza FACEBOOK, INC. equipos ubicados en España, al no prestar servicios a usuarios españoles. Sería de aplicación en consecuencia la legislación irlandesa y la autoridad competente para emitir resoluciones al respecto vendría a ser la Irish Data Protection Commissioner (DPC), por ser como se ha dicho FACEBOOK IRELAND la entidad responsable del tratamiento de datos personales analizado, reiterando la alegación realizada en el propio procedimiento sancionador tramitado que FACEBOOK SPAIN no es su establecimiento en España (ni incluso su representante). Y se añade que FACEBOOK IRELAND en cualquier caso cumple con la legislación de protección de datos aplicable, aquí, la Directiva 95/46/CE y la correspondiente Ley Irlandesa de Protección de Datos que la transpone. 3. Las manifestaciones de la Agencia sobre las obligaciones de información y consentimiento son incorrectas, dado que el consentimiento se obtiene de los usuarios de forma legítima, pues se da una información por parte FACEBOOK IRELAND adecuada en concordancia con la legislación de la UE, siendo por ello un consentimiento válido e informado para el tratamiento de los datos de los usuarios de la red social, incluso para el proceso seguido C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/36 en la gestión de las cookies; sin que resulte cierto que no sea obligatorio para el usuario leer la Política de Datos para poder completar el proceso de registro. Y en consecuencia no procede la imputación basada en que la expresión “Política de Datos”, que ésta resultaría engañosa y que tampoco se acepta decir que el sistema de capas en la práctica limita la capacidad del usuario para entender dicha política de “privacidad” (término cuya utilización no viene a ser exigida como requisito legal). 4. FACEBOOK IRELAND no permite que los anunciantes dirijan la publicidad basándose en datos personales “sensibles”, y cuando los trata “lo hace de forma lícita”. En concreto, la recurrente afirma que la Agencia “interpreta de forma errónea los usos de los datos y parece apreciar la distinción existentes entre las Páginas Sugeridas y la publicidad pagada por un tercero”; y no se puede considerar que la información basada en intereses no equivale a datos sensibles. 5. En relación con la cancelación incorrecta de los datos personales, las identificando al navegador, no al usuario, y si se utiliza para acceder a una cuenta nueva un navegador con actividad previa en la red social (existiera o no la cuenta con anterioridad), ello provoca que se asocie esta cookie a la nueva cuenta. De hecho, esa cookie no incluye ningún dato asociado o que pudiera asociarse a la cuenta del usuario anterior o a la dirección de correo electrónico. En cualquier caso, se afirma que la autoridad competente de control en la materia (en este caso, la irlandesa) ha expresado su satisfacción con los procedimientos establecidos por FACEBOOK IRELAND, como responsable del tratamiento de datos del servicio FACEBOOK para la UE. 6. Los errores y fallos de interpretación hechos por la Agencia a la hora de realizar sus comprobaciones en la plataforma FACEBOOK IRELAND deben suponer la invalidación automática de los fundamentos jurídicos expuestos en la resolución objeto del recurso. 7. Los criterios de graduación de las sanciones de la LOPD no resultan de aplicación a FACEBOOK, INC. ni apropiados al caso. FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo LPACAP). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/36 II En relación con las manifestaciones efectuadas por FACEBOOK, INC., reiterándose básicamente, en las alegaciones ya presentadas a lo largo del procedimiento sancionador, debe señalarse que todas ellas ya fueron analizadas y desestimadas en los Fundamentos de Derecho del I a X, ambos inclusive, de la Resolución recurrida, tal como se transcribe a continuación: <<I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
4. g)en relación con el artículo 36 de la LOPD y de acuerdo también con lo establecido en el artículo 2.1 de la LOPD y los artículos 2 y 3 del RLOPD. II Dadas las alegaciones realizadas por FACEBOOK, INC. sobre su falta de responsabilidad en el tratamiento de los datos personales de los usuarios de Facebook en la Unión Europea, hay que señalar, como cuestión preliminar, que la red social FACEBOOK se configura en torno a la entidad matriz FACEBOOK, INC., responsable última de toda la actividad en Internet de dicha plataforma de comunicación entre sus usuarios. De este modo, y tal como se desprende de la información que la propia plataforma FACEBOOK facilita en su web, tiene su sede principal en Estados Unidos, concretamente en California. En el hecho probado sexto se establece que el dominio “Facebook.com” está registrado a nombre de FACEBOOK, INC. en Menlo Park Estados Unidos y el dominio “Facebook.es” está registrado a nombre de FACEBOOK IRELAND; página que como tal no existe, sino es una redirección a la página “es-es.facebook.com”. Para profundizar, en lo expuesto anteriormente, y antes de analizar el fondo de la cuestión, y a la vista de las alegaciones de FACEBOOK INC. en el sentido de que el responsable del tratamiento de los usuarios españoles en España es FACEBOOK IRELAND, recordar la doctrina del Tribunal Supremo en un supuesto bastante similar al que aquí se está estudiando, citando la sentencia del Tribunal Supremo 1384/2016, Sala de lo Contencioso-Administrativo, Sección Sexta, de fecha 13 de junio de 2016 (el subrayado es de esta Agencia): “El Dictamen 1/2010, sobre los conceptos de «responsable del tratamiento» y «encargado del tratamiento» adoptado el 16 de febrero de 2010 por el (Grupo de Trabajo del artículo 29 de la Directiva 95/46/ CE (GT29), dice en relación con el concepto de responsable del tratamiento lo siguiente: <<El concepto de responsable del tratamiento es autónomo, en el sentido de que debe interpretarse fundamentalmente con arreglo a la legislación comunitaria de protección de datos, y funcional, en el sentido de que su objetivo es asignar responsabilidades en función de la capacidad de influencia de hecho, y, por consiguiente, se basa en un análisis de los hechos más que en un análisis formal>>. La definición de la Directiva consta de tres componentes fundamentales: el aspecto personal («la persona física o jurídica, autoridad pública, servicio o cualquier otro organismo»); la posibilidad de un control plural («que solo o conjuntamente con otros»); los elementos esenciales para distinguir al C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/36 responsable del tratamiento de otros agentes («determine los fines y los medios del tratamiento de datos personales»). En relación con la determinación de los fines y los medios se señala que "el hecho de determinar los «fines» del tratamiento trae consigo la consideración de responsable del tratamiento (de facto). En cambio, la determinación de los «medios» del procesamiento puede ser delegada por el responsable del tratamiento en la medida en que se trate de cuestiones técnicas u organizativas. Sin embargo, las cuestiones de fondo que sean esenciales a efectos de la legitimidad del tratamiento -como los datos que deban tratarse, la duración de su conservación, el acceso, etc.- deben ser determinadas por el responsable del tratamiento". No cabe duda alguna de que Google Inc., que gestiona el motor de búsqueda Google Search, es responsable del tratamiento de datos, al determinar los fines, las condiciones y los medios del tratamiento de datos personales. No obstante, ello no implica que Google Inc. sea responsable del tratamiento en solitario, ya que no podemos olvidar que el citado artículo 2.
5. d)de la Directiva 95/46/CE, alude a que la determinación de los fines y los medios del tratamiento de datos personales se puede hacer "sólo o conjuntamente con otros", máxime si tenemos en cuenta, que "las actividades del gestor del motor de búsqueda y las de su establecimiento situado en el Estado miembro de que se trate están indisociablemente ligadas, dado que las actividades relativas a los espacios publicitarios constituyen el medio para que el motor de búsqueda en cuestión sea económicamente rentable y dado que este motor es, al mismo tiempo, el medio que permite realizar las mencionadas actividades" (apartado 56 de la Sentencia del TJUE de 13 de mayo de 2014 ). A este respecto, en el Dictamen 1/2010 del GT29 se dice: "En el dictamen de la Comisión sobre la enmienda del PE, la Comisión menciona la posibilidad de que «varias partes determinen conjuntamente, para una única operación de tratamiento, los fines y los medios del tratamiento que se vaya a llevar a cabo» y, por lo tanto, en tal caso, «cada uno de estos corresponsables del tratamiento debe considerarse vinculado por las obligaciones impuestas por la Directiva de proteger a las personas físicas cuyos datos se estén tratando»" . Se añade que "la definición de tratamiento contenida en el artículo 2.
6. b)de la Directiva no excluye la posibilidad de que distintos agentes estén implicados en diferentes operaciones o conjuntos de operaciones en materia de datos personales. Estas operaciones pueden producirse simultáneamente o en distintas fases". Y se concluye que "la participación de las partes en la determinación de los fines y los medios del tratamiento en el contexto del control conjunto puede revestir distintas formas y el reparto no tiene que ser necesariamente a partes iguales... Los distintos grados de control pueden dar lugar a distintos grados de responsabilidad, y desde luego no cabe presumir que haya una responsabilidad solidaria en todos los casos. Por lo demás, es muy posible que en sistemas complejos con varios agentes el acceso a datos personales y el ejercicio de otros derechos de los interesados también los puedan garantizar distintos agentes a diferentes niveles". También resulta ilustrativa otra sentencia del Tribunal Supremo 210/2016, Sala de lo Civil, de fecha 5 de abril de 2016, que viene a decir que: “Los sujetos protegidos por la normativa sobre protección de datos son las C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/36 personas físicas (art. 1 y 2.a de la Directiva). El efecto útil de la normativa comunitaria se debilitaría enormemente si los afectados hubieran de averiguar, dentro del grupo empresarial titular de un motor de búsqueda, cuál es la función concreta de cada una de las sociedades que lo componen, lo que, en ocasiones, constituye incluso un secreto empresarial y, en todo caso, no es un dato accesible al público en general. También se debilitaría el efecto útil de la Directiva si se diera trascendencia, en el sentido que pretende la recurrente Google Spain, a la personificación jurídica que el responsable del tratamiento de datos diera a sus establecimientos en los distintos Estados miembros, obligando de este modo a los afectados a litigar contra sociedades situadas en un país extranjero”. En consecuencia, hay que desestimar las alegaciones realizadas a este respecto por parte de FACEBOOK, INC., y por consiguiente debe considerarse que dicha entidad es responsable del tratamiento de datos personales de los usuarios de FACEBOOK en la Unión Europea pues su participación en la determinación de los fines y los medios del tratamiento queda constatada. III Sentado lo anterior, resulta necesario analizar, en segundo lugar, el ámbito de aplicación de la LOPD respecto de los hechos que se examinan en el presente procedimiento sancionador. Dicho examen exige considerar si las conductas analizadas han sido llevadas a cabo por FACEBOOK INC. en el marco de las actividades de un establecimiento del responsable del tratamiento en territorio español o si se han empleado medios situados en España por parte de FACEBOOK INC. Si nos encontrásemos en uno de estos casos serían aplicables los principios, derechos y garantías previstos en la legislación española de protección de datos. La LOPD, en el párrafo segundo de su artículo 2.1, al referirse al “Ámbito de aplicación” de la norma, establece lo siguiente: “Se regirá por la presente Ley Orgánica todo tratamiento de datos de carácter personal:
7. a)Cuando el tratamiento sea efectuado en territorio español en el marco de las actividades de un establecimiento del responsable del tratamiento.
8. b)Cuando al responsable del tratamiento no establecido en territorio español, le sea de aplicación la legislación española en aplicación de normas de Derecho Internacional público.
9. c)Cuando el responsable del tratamiento no esté establecido en territorio de la Unión Europea y utilice en el tratamiento de datos medios situados en territorio español, salvo que tales medios se utilicen únicamente con fines de tránsito”. El último párrafo del artículo 5.1 de la misma norma establece lo siguiente: “Cuando el responsable del tratamiento no esté establecido en el territorio de la Unión Europea y utilice en el tratamiento de datos medios situados en territorio español, deberá designar, salvo que tales medios se utilicen con fines de trámite, un representante en España, sin perjuicio de las acciones que pudieran emprenderse contra el propio responsable del tratamiento”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/36 Por su parte, el artículo 3 del Reglamento de desarrollo de la LOPD, aprobado por Real Decreto 1720/2008 (RLOPD), señala su ámbito territorial de aplicación en los siguientes términos: “1. Se regirá por el presente Reglamento todo tratamiento de datos de carácter personal:
10. a)Cuando el tratamiento sea efectuado en el marco de las actividades de un establecimiento del responsable del tratamiento, siempre que dicho establecimiento se encuentre ubicado en territorio español. Cuando no resulte de aplicación lo dispuesto en el párrafo anterior, pero exista un encargado del tratamiento ubicado en España, serán de aplicación al mismo las normas contenidas en el título VIII del presente Reglamento.
11. b)Cuando al responsable del tratamiento no establecido en territorio español, le sea de aplicación la legislación española, según las normas de Derecho internacional público.
12. c)Cuando el responsable del tratamiento no esté establecido en territorio de la Unión Europea y utilice en el tratamiento de datos medios situados en territorio español, salvo que tales medios se utilicen únicamente con fines de tránsito. En este supuesto, el responsable del tratamiento deberá designar un representante establecido en territorio español. 2. A los efectos previstos en los apartados anteriores, se entenderá por establecimiento, con independencia de su forma jurídica, cualquier instalación estable que permita el ejercicio efectivo y real de una actividad” En este mismo sentido se pronuncia el artículo 4 “Derecho nacional aplicable” de la Directiva 95/46/CE (aplicable hasta el 25 de mayo de 2018, de acuerdo con lo establecido en el artículo 99 del Reglamento general de protección de datos, Reglamento UE 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la citada Directiva 94/46/CE), que establece lo siguiente: “Derecho nacional aplicable 1. Los Estados miembros aplicarán las disposiciones nacionales que haya aprobado para la aplicación de la presente Directiva a todo tratamiento de datos personales cuando:
13. a)el tratamiento sea efectuado en el marco de las actividades de un establecimiento del responsable del tratamiento en el territorio del Estado miembro. Cuando el mismo responsable del tratamiento esté establecido en el territorio de varios Estados miembros deberá adoptar las medidas necesarias para garantizar que cada uno de dichos establecimientos cumple las obligaciones previstas por el Derecho nacional aplicable;
14. b)el responsable del tratamiento no esté establecido en el territorio del Estado miembro, sino en un lugar en que se aplica su legislación nacional en virtud del Derecho internacional público;
15. c)el responsable del tratamiento no esté establecido en el territorio de la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/36 Comunidad y recurra, para el tratamiento de datos personales, a medios, automatizados o no, situados en el territorio de dicho Estado miembro, salvo en caso de que dichos medios se utilicen solamente con fines de tránsito por el territorio de la Comunidad Europea. 2. En el caso mencionado en la letra
16. c)del apartado 1, el responsable del tratamiento deberá designar un representante establecido en el territorio de dicho Estado miembro, sin perjuicio de las acciones que pudieran emprenderse contra el propio responsable del tratamiento”. Este artículo responde a las consideraciones que se plasman en los considerandos de la citada Directiva, en concreto los considerandos 18 y siguientes presentan la siguiente justificación del artículo 4 en cuestión: “