En fecha 2 de marzo de 2018, la AEPD ha dictado una resolución sancionando a las sociedades Facebook Inc. y WhatsApp Inc. con una multa de 300.000 euros a cada una. El motivo de dichas sanciones ha sido la comunicación de datos personales por parte de WhatsApp Inc. a Facebook Inc. relativos a los usuarios del servicio de mensajería instantánea “WhatsApp”, y los tratamientos de tales datos que esta última realiza con carácter de responsable del tratamiento, sin disponer del consentimiento de los titulares de los datos.
La AEPD considera que se ha producido una vulneración del artículo 11 de la actual Ley Orgánica de Protección de Datos de Carácter Personal, según el cual los datos de carácter personal sólo podrán ser comunicados a un tercero con el previo consentimiento del interesado. Si bien en el punto 2 de dicho artículo se establecen una serie de excepciones a la exigencia del consentimiento previo, el presente supuesto no encaja en ninguna de ellas.
De acuerdo con el artículo 15 del Reglamento de desarrollo de la Ley Orgánica de Protección de Datos, en el momento de solicitar el consentimiento para el tratamiento de datos personales en el marco de una relación contractual (como es la que vincula a WhatsApp Inc. con el usuario de la aplicación) para fines no relacionados directamente con el contrato, es obligatorio permitir al afectado negarse expresamente al tratamiento o comunicación de datos.
WhatsApp Inc. estableció mecanismos para comunicar la actualización de los Términos de Servicio y la Política de Privacidad, así como para recoger los consentimientos de los usuarios existentes y nuevos de “WhatsApp”. Sin embargo, la AEPD considera que la aceptación de los nuevos Términos de Servicio y de la Política de Privacidad en su totalidad es imprescindible para poder utilizar la aplicación o para instalarla en dispositivos, en el caso de los nuevos usuarios. Por lo tanto, dichos consentimientos no se ajustan a la norma.
Por otro lado, la AEPD consideró que la información relativa a los destinatarios de los datos personales, a las finalidades de la cesión o a la utilización que harán de los datos los cesionarios, se ofrecía de forma imprecisa, inexacta y confusa.
Con motivo de la presente resolución, queremos aprovechar la ocasión para recordarles que a partir del 25 de mayo de 2018, será de aplicación el Reglamento General de Protección de Datos, y que éste, introduce una serie de novedades, entre las que se encuentra la obligatoriedad de que el consentimiento al tratamiento de datos de carácter personal sea prestado de forma expresa e inequívoca. Desde AddVANTE nos ponemos a su disposición para llevar a cabo la adaptación de sus procedimientos internos a fin de cumplir con la nueva normativa europea.
