1/5
Ref.: EXP202403476
Asunto: Acuerdo de adopción de medida provisional
La Agencia Española de Protección de Datos (AEPD) ha tenido conocimiento del futuro
tratamiento de datos personales a gran escala que a continuación se describe y que
presuntamente vulnera la legislación en materia de protección de datos personales.
I Hechos
Con fecha 28 de febrero de 2024, a través del A61VMN 612500, la autoridad irlandesa
(DPC) compartió con las Autoridades de Protección de Datos información relacionada
con ***, dos nuevas funcionalidades para los productos Facebook e Instagram.
Meta Platforms Ireland Limited (en lo sucesivo META) tendría intención de poner en
marcha dos funcionalidades en sus productos Instagram y Facebook. *** (Election Day
Information - EDI) *** y *** (Voter Information Unit -VIU) ***.
Indican que tienen intención de que todos los usuarios de Instagram y Facebook de la
UE con derecho a voto, ***, vean los recordatorios VIU y EDI para las próximas
elecciones parlamentarias de la UE.
***
Ante las dudas generadas por el tratamiento de datos que pueden comportar estas
funcionalidades, esta Agencia se dirigió a la DPC, con fecha 22 de abril, para hacerle
llegar un cuestionario con preguntas referidas al tratamiento de datos que prende
realizar META con motivo de la puesta en marcha de ambas funcionalidades. Al mismo
tiempo se consultó a la DPC sobre si existía algún procedimiento en curso o si se había
llevado a cabo un análisis para determinar si los nuevos tratamientos de datos son
conformes al RGPD. La DPC no ha contestado a tales preguntas, pero sí remitió el
cuestionario a META y ha facilitado a esta AEPD la respuesta dada por aquella, con
fecha 29 de abril de 2024.
• ***
Teniendo en cuenta lo anterior cabe realizar las siguientes consideraciones:
PRIMERO: En relación con la base de legitimación alegada por META, se ha de indicar
que META es una entidad privada, con una finalidad comercial, y cuya actividad principal
consiste en proporcionar una plataforma de red social que se financia mediante la venta
de espacios publicitarios, fundamentalmente vinculada a la elaboración de perfiles de
los usuarios. Sin embargo, la celebración de elecciones democráticas y el libre ejercicio
del derecho de voto constituyen un interés público, incompatible con el carácter
comercial de la sociedad, por lo que no cabe apreciar que dicho interés sea necesario
para la prestación del contrato en que el interesado es parte.
El término «necesario» que utiliza el RGPD tiene, a juicio del TJUE, un significado propio
e independiente en la legislación comunitaria. Se trata, dice el Tribunal, de un “concepto
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
2/5
autónomo del Derecho Comunitario” (STJUE de 16/12/2008, asunto C-524/06, apartado
52). De otra parte, el Tribunal Europeo de Derechos Humanos (TEDH) ha ofrecido
también directrices para interpretar el concepto de necesidad. En el apartado 97 de su
Sentencia de 25/03/1983 afirma que el “adjetivo necesario no es sinónimo de
“indispensable” ni tiene la flexibilidad de las expresiones “admisible, “ordinario”, “útil”,
“razonable” o “deseable”.
Según se recoge en las directrices 2/2019 sobre el tratamiento de datos personales con
arreglo al apartado 6,1.b del RGPD en el contexto de la puesta a disposición a los
interesados de servicios en línea, “el artículo 6, apartado 1, letra b), se aplica cuando se
cumplen dos condiciones: el tratamiento en cuestión debe ser objetivamente necesario
para la ejecución de un contrato con un interesado, o el tratamiento debe ser
objetivamente necesario para adoptar medidas precontractuales a petición de un
interesado” (párrafo 22).
Y a continuación señalan que “la necesidad de tratamiento es una condición previa para
ambas partes del artículo 6, apartado 1, letra b). En primer lugar, es importante señalar
que el concepto de lo que es «necesario para la ejecución del contrato» no es una mera
apreciación de lo que permite o pone en práctica las cláusulas de un contrato. El
concepto de necesidad tiene un significado autónomo en el Derecho de la Unión, que
debe reflejar los objetivos de la legislación en materia de protección de datos. Por tanto,
también se tiene en cuenta el derecho fundamental a la intimidad y a la protección de
los datos personales, así como los requisitos de los principios de protección de datos,
incluido, en particular, el principio de lealtad” (párrafo 23).
Al evaluar qué es «necesario», debe realizarse una valoración basada en el objetivo que
se persigue, evaluando si existen tratamientos menos intrusivos para conseguir el
mismo objetivo. Si existen otras alternativas realistas y menos intrusivas, el tratamiento
no es «necesario».
Así se ha de partir de la finalidad que pretende META con el tratamiento de los datos
para evaluar la existencia de «necesidad». En este caso, debe resaltarse con carácter
previo, que la supuesta «necesidad» de tal tratamiento que pretende realizar META es
incompatible con la finalidad del contrato, ya que de ningún modo un interés público,
como es el derecho a voto y la garantía de unas elecciones libres, pueden ser
«necesarias» para el cumplimiento de un contrato que tiene una finalidad privada.
***
Tampoco justifica cómo piensa tratar exclusivamente datos de mayores de 18 años,
cuando no existe ningún mecanismo fiable para determinar la edad de los receptores ni
justifica que se traten las interacciones con el sitio web al que dirigen.
Finalmente, los datos se utilizan con la finalidad de agregarlos y cederlos agregados a
terceros. Sin embargo, no se explica el proceso de agregación, ni qué datos se usan
para esa agregación, ni el nivel de desagregación, por lo que se desconoce si el nivel
de desagregación permite la identificación de los usuarios, de lo que puede
desprenderse que podrían conservarse y comunicarse datos personales.
Así las cosas, según la información proporcionada, la finalidad última de META es una
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
3/5
finalidad consistente en disponer de unos datos para la mejora del propio producto y
para comunicarlos a terceros.
Por todo lo anterior, la AEPD considera que META no puede basar en el artículo 6.1.b)
del RGPD el tratamiento de los datos de los usuarios que pretende realizar, ni en
ninguna otra base jurídica del artículo 6, lo que supondría de llevarse finalmente a cabo
una infracción del principio de licitud previsto en el artículo 5.1.a) del RGPD.
SEGUNDO: El tratamiento de datos pretendido es excesivo. Se tratan datos de edad,
cuando no se justifica la utilización de un sistema que garantice que sólo se sometan a
tratamiento datos de personas mayores de edad.
Por otro lado, los datos de ciudad contenidos en el perfil y la dirección IP, se almacenan
con la finalidad de realizar una selección de las personas votantes, cuando lo que
determina dicha condición es la nacionalidad, en el caso de las próximas elecciones
europeas, lo que evidencia la innecesaridad de este tratamiento, pues parte de la
presunción de que los usuarios que residen en determinadas ciudades o cuya dirección
IP se sitúa en Europa tienen derecho de voto, dejando fuera a otros ciudadanos
residentes en el extranjero y dirigiéndose a ciudadanos de otros países que se
encuentren en Europa. En definitiva, este tratamiento es desproporcionado y excesivo.
***
Finalmente, el tratamiento de las interacciones resulta absolutamente desproporcionado
en relación con la supuesta finalidad que se persigue de informar sobre las elecciones.
TERCERO: No se respeta el principio de limitación del plazo de conservación. ***, sin
justificar la necesidad de su almacenamiento en relación con los fines manifestados, lo
que revela una finalidad adicional de la operación de tratamiento.
II Justificación de la urgencia
El tratamiento de datos previsto por META supone una actuación contraria al RGPD
que, al menos, incumpliría los principios de protección de datos de licitud, minimización
de datos y limitación del plazo de conservación, tal y como se ha expuesto
anteriormente.
Asimismo, se ha indicado anteriormente que Meta tiene previsto lanzar la funcionalidad
VIU en España, del 30 de mayo al 9 de junio, que consistirá en el envío de avisos o
recordatorios a los usuarios ***. Por tanto, no puede aplazarse la adopción de las
medidas urgentes contra META debido a la proximidad del período en que META tiene
previsto el inicio de la recogida de los datos personales en territorio español.
Si no se adoptara una medida con carácter urgente, META recopilaría y conservaría
datos personales incumpliendo las previsiones del RGPD y vulnerando, con ello, los
derechos y libertades de los interesados. Incluso META ha previsto comunicar los datos
recopilados de forma agregada a terceros (que pueden ser incluso particulares), sin
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
4/5
ofrecer ninguna garantía que asegure que los datos que se ponen a disposición de los
terceros no sean datos de carácter personal.
El inminente inicio del tratamiento infractor sirve de clara justificación para la adopción
de la medida urgente provisional.
III Riesgos para los derechos de los interesados que necesitan protección
La recopilación y conservación de datos planificados por META pondrían en grave
riesgo los derechos y libertades de los usuarios de Instagram y Facebook que verían
incrementado el volumen de información que META recopila sobre ellos, sin que
concurriera ninguna base jurídica que legitimara esta actuación de META.
El volumen de información recopilada permitiría a META elaborar perfiles más
complejos, detallados y exhaustivos de los usuarios, generando tratamientos más
intrusivos en sus derechos y libertades, como en los derechos a la intimidad y a la
protección de datos personales, reconocidos en los artículos 7 y 8 de la Carta de los
Derechos Fundamentales de la Unión Europea.
Junto a ello, la puesta a disposición de terceros de datos que podrían ser de carácter
personal supondría una injerencia desproporcionada en los derechos y libertades de los
interesados. La pérdida de confidencialidad conllevaría una absoluta y total pérdida de
control sobre los propios datos personales con el consiguiente alto riesgo de que sean
utilizados por responsables desconocidos y para finalidades no explicitas.
Esta pérdida de control sobre los propios datos personales se traduce en una patente
vulneración del derecho a la protección de datos y en unos claros riesgos para sus
derechos y libertades.
Por ello, a fin de evitar los graves daños que podrían ocasionar para los derechos y
libertades de los interesados la realización de las operaciones de tratamiento previstas
por META se impone la necesidad de ordenar con carácter urgente la adopción de una
medida cautelar que prevenga la materialización de tales daños.
El tratamiento se lleva a cabo en el Espacio Económico Europeo y afecta
sustancialmente o es probable que afecte sustancialmente a interesados en más de un
Estado, siendo en la actualidad la autoridad de control irlandesa (DPC) la autoridad de
control principal. Por ello, se considera urgente por la AEPD adoptar una medida
cautelar con carácter excepcional y dentro del marco habilitante del artículo 66.1 del
RGPD, de acuerdo con el cual, en circunstancias excepcionales, cuando una autoridad
de control interesada considere que es urgente intervenir para proteger los derechos y
las libertades de interesados, podrá, como excepción al mecanismo de coherencia
contemplado en los artículos 63, 64 y 65, o al procedimiento mencionado en el artículo
60, adoptar inmediatamente medidas provisionales destinadas a producir efectos
jurídicos en su propio territorio, con un periodo de validez determinado que no podrá ser
superior a tres meses. La autoridad de control comunicará sin dilación dichas medidas,
junto con los motivos de su adopción, a las demás autoridades de control interesadas,
al Comité y a la Comisión.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
5/5
IV Descripción de las medidas adoptadas
Por todo lo anteriormente expuesto, en uso de las facultades conferidas por el artículo
58 del RGPD, y conforme a lo dispuesto en el artículo 69.2 de la Ley Orgánica 3/2018,
de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos
digitales, SE ACUERDA:
1.- ORDENAR a Meta Platforms Ireland Limited que, de forma inmediata,
suspenda la puesta en marcha de las funcionalidades Election Day Information
Feature - EDI y Voter Information Unit -VIU en el territorio español, así como la
recopilación y tratamiento de datos personales que implica el uso de las mismas
en territorio español.
2.- ORDENAR a Meta Platforms Ireland Limited que comunique a esta Agencia
la efectiva ejecución de la medida en el plazo máximo de 72 horas desde la
recepción de este Acuerdo.
3.- NOTIFICAR el presente Acuerdo a META PLATFORMS IRELAND LIMITED
a través de FACEBOOK SPAIN, S.L.
Conforme a lo dispuesto en el artículo 83.6 del RGPD, el incumplimiento de las
resoluciones de la autoridad de control, a tenor del artículo 58, apartado 2, del RGPD,
se sancionará con multas administrativas de 20 millones de euros como máximo o,
tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del
volumen de negocio total anual global del ejercicio financiero anterior, optándose por la
de mayor cuantía.
Durante el procedimiento sancionador que, en su caso, se inicie, o bien en la resolución
por la que se acuerde el archivo de las presentes actuaciones previas de investigación,
se resolverá sobre el mantenimiento o levantamiento de los efectos de esta medida
provisional.
Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la
LOPDPGDD, y de acuerdo con lo establecido en el artículo 123 de la Ley 39/2015, de 1
de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas,
los interesados podrán interponer, potestativamente, recurso de reposición ante la
Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar
desde el día siguiente a la notificación de esta resolución o directamente recurso
contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia
Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición
adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción
Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a
la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley.
Mar España Martí
Directora de la Agencia Española de Protección de Datos
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es