España multa a WhatsApp y Facebook por tratar información personal sin permiso

La resolución sancionadora recuerda que en 2014 WhatsApp fue adquirida por Facebook, pero no fue hasta agosto de 2016 cuando la red social actualizó los términos de su servicio y la política de privacidad, introduciendo cambios como compartir información de los usuarios de la WhatsApp. Según la AEPD, la aceptación de esas nuevas condiciones se impuso como «obligatoria para poder hacer uso de la aplicación de mensajería», y esa comunicación de datos personales a Facebook, «que no tiene relación con las finalidades determinadas en la recogida de datos original», se realizó «sin ofrecer a los usuarios una información adecuada y sin la opción de mostrar su negativa a las mismas».

Para los usuarios que ya tenían la aplicación de WhatsApp, la compañía «sólo habilitó mecanismos para rechazar que la información cedida pudiera ser utilizada con la finalidad de 'mejorar' la 'experiencia con los productos y publicidad en Facebook', pero no con otros fines recogidos en la política de privacidad». Además, estos usuarios tenían que aceptar los nuevos términos antes de un plazo concreto para seguir utilizando el servicio. A los nuevos usuarios del servicio de mensajería «ni siquiera se les ofrecía la opción de negarse» a que sus datos fueran cedidos a Facebook, dado que sin esa condición no se permitía instalar la app.

Según la agencia, la comunicación de datos personales exige el consentimiento del afectado según el artículo 11 de la Ley Orgánica de Protección de Datos (LOPD). De esta manera, la normativa exige que ese consentimiento, además, debe ser libre, específico e informado. En este caso, la resolución recoge que todas las exigencias y condicionamientos para usar WhatsApp pueden entenderse, en los términos del Grupo de Autoridades Europeas de Protección de Datos, como «algo que ejerce una influencia real en la libertad de elección del interesado». El consentimiento, en este caso, «no puede considerarse libre y, en consecuencia, no puede considerarse válido».

La resolución añade que la información sobre a quién se pueden ceder los datos, las finalidades para las que se le ceden o la utilización que harán de los mismos los cesionarios «se ofrece de forma poco clara, con expresiones imprecisas e inconcretas que no permiten deducir, sin duda o equivocación, la finalidad para la cual van a ser cedidos». En el caso de la infracción de Facebook, la resolución establece que, como se deduce de las propias declaraciones de ambas entidades, la red social viene utilizando la información de los usuarios cedida por WhatsApp con finalidades específicas de sus servicios y, en definitiva, «en beneficio de su actividad». «Facebook destina esos datos a su propia finalidad publicitaria y de mejora de sus productos así como para otras finalidades, por lo que requiere de un consentimiento libre, específico e informado de los usuarios para tratar esos datos», añade.

De igual manera, añade la AEPD, las deficiencias en relación con la información facilitada a los usuarios de WhatsApp sobre la cesión de sus datos personales y el consentimiento prestado se reproducen respecto a Facebook, por lo que el consentimiento otorgado a la compañía por parte de los usuarios, «no puede considerarse libre, específico e informado».