El titular de una “página de fans” de Facebook que se beneficia de los datos de los visitantes procesados por Facebook es también responsable a efectos de la legislación de protección de datos

@thefromthetree

Es la Sentencia del TJUE de 5 de junio de 2018,  ECLI:EU:C:2018:388

… cualquier persona que desee crear una página de fans en Facebook celebra con Facebook Ireland un contrato específico relativo a la apertura de tal página y, de este modo, suscribe las condiciones de uso de dicha página, incluida la correspondiente política en materia de cookies, aspecto que corresponde comprobar al órgano jurisdiccional nacional.

… los tratamientos de datos personales de que se trata en el litigio principal se efectúan en esencia mediante cookies que Facebook coloca en el ordenador o en cualquier otro aparato de las personas que visitan la página de fans, cuya finalidad es almacenar información sobre los navegadores web y que permanecen activas durante dos años si no se borran… Facebook recibe, guarda y trata los datos almacenados en las cookies, en particular, cuando una persona visita «los servicios de Facebook, los servicios ofrecidos por otras empresas de Facebook y los servicios ofrecidos por otras empresas que utilizan los servicios de Facebook». Además, otras entidades, como los socios de Facebook o incluso terceros, «pueden utilizar cookies en los servicios de Facebook para [ofrecer servicios directamente a dicha red social], así como a las empresas que se anuncian en Facebook».

En particular, estos tratamientos de datos personales tienen por objeto permitir, por un lado, a Facebook mejorar su sistema de publicidad, que difunde a través de su red, y, por otro lado, posibilitar que el administrador de la página de fans obtenga estadísticas elaboradas por Facebook a partir de las visitas a esa página, a efectos de la gestión de la promoción de su actividad, lo que le permite conocer, por ejemplo, el perfil de los visitantes que indican que les gusta su página de fans o que utilizan sus aplicaciones, de tal modo que pueda ofrecerles contenido más relevante y desarrollar funciones con mayores probabilidades de interesarles…

aunque el hecho de utilizar una red social como Facebook no convierte al usuario de Facebook en corresponsable de un tratamiento de datos personales efectuado por dicha red, es preciso señalar, no obstante, que el administrador de una página de fans alojada en Facebook, mediante la creación de tal página, ofrece a Facebook la posibilidad de colocar cookies en los ordenadores o en cualquier otro aparato de la persona que haya visitado su página de fans, disponga o no esta persona de una cuenta de Facebook.

… la creación de una página de fans en Facebook implica por parte de su administrador una acción de configuración, en función, entre otros aspectos, de su audiencia destinataria, así como de los objetivos de gestión o de promoción de sus actividades, que influye en el tratamiento de datos personales a efectos de la elaboración de las estadísticas establecidas a partir de las visitas de la página de fans. El administrador puede, gracias a filtros que Facebook pone a su disposición, definir los criterios a partir de los cuales deben elaborarse esas estadísticas e incluso designar las categorías de personas cuyos datos personales serán objeto de explotación por parte de Facebook. Por consiguiente, el administrador de una página de fans alojada en Facebook contribuye al tratamiento de los datos personales de los visitantes de su página.

En particular, el administrador de la página de fans puede solicitar la obtención —y, por tanto, el tratamiento— de datos demográficos relativos a su audiencia destinataria, especialmente, de las tendencias en materia de edad, sexo, situación sentimental y profesión, información sobre el estilo de vida y los intereses de su audiencia destinataria, así como información relativa a las compras y comportamiento de compras en línea de los visitantes de su página, las categorías de productos o servicios que más les interesan, además de datos geográficos que permiten al administrador de la página de fans saber dónde efectuar promociones especiales u organizar eventos y, con carácter más general, dirigir de forma óptima su oferta de información.

Si bien es cierto que las estadísticas de audiencia elaboradas por Facebook se transmiten únicamente al administrador de la página de fans de forma anonimizada, no lo es menos que la elaboración de esas estadísticas se basa en la recogida previa, mediante cookies instaladas por Facebook en los ordenadores o cualesquiera otros aparatos de las personas que visitan esas páginas, y en el tratamiento de los datos personales de esos visitantes a los citados efectos estadísticos. En cualquier caso, la Directiva 95/46 no exige, cuando existe una responsabilidad conjunta de varios operadores respecto a un mismo tratamiento, que cada uno de ellos tenga acceso a los datos personales en cuestión… dicho administrador debe ser calificado en el presente caso de responsable de ese tratamiento en la Unión, en el sentido del artículo 2, letra d), de la Directiva 95/46, conjuntamente con Facebook Ireland…

la existencia de una responsabilidad conjunta no se traduce necesariamente en una responsabilidad equivalente de los diversos agentes a los que atañe un tratamiento de datos personales. Por el contrario, esos agentes pueden presentar una implicación en distintas etapas de ese tratamiento y en distintos grados, de modo que el nivel de responsabilidad de cada uno de ellos debe evaluarse teniendo en cuenta todas las circunstancias pertinentes del caso concreto.

Sobre la cuestión siguiente se ocupó ya el Tribunal Supremo español en el caso Google: las autoridades alemanas son competentes, aunque la filial de Facebook encargada de los datos esté en Irlanda si Facebook tiene presencia en Alemania a través de un establecimiento permantente:

En el presente caso, de la resolución de remisión y de las observaciones escritas presentadas por Facebook Ireland se desprende que Facebook Germany se encarga de la promoción y de la venta de espacios publicitarios y se dedica a actividades destinadas a los residentes en Alemania

puesto que, por un lado, una red social como Facebook genera una parte sustancial de sus ingresos gracias, especialmente, a la publicidad difundida en las páginas web que los usuarios crean y a las que acceden y, por otro lado, que el establecimiento de Facebook situado en Alemania está destinado, en ese Estado miembro, a la promoción y venta de espacios publicitarios que sirven para rentabilizar los servicios ofrecidos por Facebook, las actividades de dicho establecimiento deben considerarse indisociablemente vinculadas al tratamiento de datos personales controvertido en el litigio principal, del cual Facebook Inc. es responsable conjuntamente con Facebook Ireland. Por tanto, el referido tratamiento debe considerarse efectuado en el marco de las actividades de un establecimiento del responsable del tratamiento, en el sentido del artículo 4, apartado 1, letra a), de la Directiva 95/46 (véase, en este sentido, la sentencia de 13 de mayo de 2014, Google Spain y Google, C‑131/12, EU:C:2014:317, apartados 55 y 56).

De ello se sigue que, puesto que el Derecho alemán es aplicable, en virtud del artículo 4, apartado 1, letra a), de la Directiva 95/46, al tratamiento de los datos personales de que se trata en el litigio principal, la autoridad de control alemana era competente, conforme al artículo 28, apartado 1, de la referida Directiva, para aplicar este Derecho a dicho tratamiento…

… nada obliga a una autoridad de control cuya competencia esté reconocida en virtud de su Derecho nacional a asumir la solución adoptada por otra autoridad de control en una situación análoga.