Protección de Datos sanciona a Whatsapp y Facebook por ceder y tratar datos personales sin consentimiento

El regulador español, según el dictámen emitido este jueves, da por probada la existencia de dos infracciones graves de la Ley Orgánica de Protección de Datos. Así, ha multado a cada una de las empresas con 300.000 euros, la cuantía máxima correspondiente a las infracciones graves declaradas: una de ellas diretamente a la aplicación de mensajería instantánea por «comunicar datos a Facebook sin haber obtenido un consentimiento válido de los usuarios» y otra a la empresa matriz «por tratar esos datos para sus propios fines sin consentimiento».

Un escenario que se enmarca dentro del pulso de los reguladores europeos que han puesto el grito en el cielo por el tratamiento informativo entre ambos servicios digitales , dos de los más importantes y más populares del mundo. No obstante, WhatsApp no podrá, de esta forma, compartir los datos de usuarios con Facebook hasta no cumplir con el Reglamento General de Protección de Datos (GDPR, según sus siglas en inglés), que será de obligado cumplimiento a partir de mayo.

En el caso de la sanción sobre WhatsApp, el regulador considera que el actual marco normativo «exige» que exista un «consentimiento libre, específico e informado» para la cesión voluntaria de los datos entre ambas plataforma. Dos años después de la adquisición en 2014, WhatsApp habilitó mecanismos para rechazar que la información cedida pudiera ser utilizada con la finalidad de «mejorar» la «experiencia con los productos y publicidad en Facebook», pero «no con otros fines recogidos en la política de privacidad».

La AEPD insiste en que a los usuarios nuevos «ni siquiera se les ofrecía la opción de negarse a que sus datos fueran cedidos a Facebook para los fines publicitarios». La resolución recoge que « exigir que los usuarios presten su consentimiento como requisito » para poder hacer uso de la aplicación de mensajería «no puede considerarse libre y, en consecuencia, no puede considerarse válido». Para que el consentimiento prestado por el usuario sea válido, recalca el regulador, «este ha de ser informado y específico», de tal modo que « la ausencia de información o una información insuficiente determina la falta de consentimiento ».

La resolución añade que la información sobre a quién se pueden ceder los datos, las finalidades para las que se le ceden o la utilización que harán de los mismos los cesionarios «se ofrece de forma poco clara, con expresiones imprecisas e inconcretas que no permiten deducir, sin duda o equivocación, la finalidad para la cual van a ser cedidos». Otra de las sanciones establece que las deficiencias expuestas en relación con la información facilitada a los usuarios de WhatsApp sobre la cesión de sus datos y el consentimiento prestado se reproducen respecto a Facebook «no puede considerarse libre, específico e informado».

La compañía tecnológica ha salido al paso y ha asegurado que no comparte datos en la actualidad. «WhatsApp se preocupa profundamente por la privacidad de nuestros usuarios. Recopilamos muy pocos datos y cada mensaje está encriptado de extremo a extremo. Como hemos aclarado en varias ocasiones durante el último año, no compartimos datos que la Agencia Española de Protección de Datos ha expresado su preocupación», señalan fuentes de WhatsApp en declaraciones a este diario.

Los expertos creen que se trata de una sanción previsible dado que no puede aceptarse que el consentimiento utilizado por Facebook para la cesión de datos desde WhatsApp sea realmente libre, específico e informado. «Como se advirtió desde el primer momento, el aviso que se mostraba solo permitía oponerse a una parte del tratamiento de sus datos -además de que podríamos criticar el hecho de que la opción no resultaba claramente visible-», valora en declaraciones a este diario Sergio Carrasco , experto en derecho digital en Fase Consulting .

A su juicio, «estaba claro» que tras la adquisición dichos datos serían utilizados en el ejercicio de la actividad comercial de Facebook. «En caso contrario no se habría adquirido la herramienta al no resultar tan interesante, y es por ello que las autoridades de protección de datos han estado encima de las potenciales infracciones que se han ido detectando», añade.