El Tribunal Regional de Viena para Asuntos Civiles ha llegado a un veredicto en el juicio sobre protección de datos entre el activista Max Schrems y la plataforma de medios sociales Facebook. El fallo es el resultado de las audiencias orales celebradas en la capital austriaca a principios de este año, en las que la directora de privacidad europea de Facebook, Ceilia Alvarez, se enfrentó a preguntas centradas en:

• La capacidad de la empresa para obtener el consentimiento de sus usuarios;
• Su cumplimiento con las solicitudes de datos por parte de las personas activas en la red; y
• Aclaración de la terminología "supresión de datos" y su significado en la práctica.

La sentencia dictada el 30 de junio de 2020 establece que, aunque Facebook debe pagar una indemnización de 500 euros por haber violado sus obligaciones de divulgación en relación con el uso de los datos personales del demandante, se considera que el servicio de red ha actuado de manera contractual o legalmente cómplice en el tratamiento de los datos del demandante.

El fallo

Cabe destacar las siguientes cuestiones jurídicas:

-Procesamiento de datos de acuerdo con el Reglamento General de Protección de Datos (GDPR)

• El Tribunal dictaminó que el art. 2 del RGPD no se aplica al tratamiento de datos personales en función de actividades privadas o familiares.
• Se dice que el demandante celebró un contrato ("acuerdo de tratamiento de datos") con Facebook al crear una cuenta privada.
• Su uso personal de la plataforma hizo que quedara fuera del ámbito del GDPR.
• Por lo tanto, el tratamiento de datos se llevó a cabo de acuerdo con el GDPR y seguiría siendo permisible mientras el demandante no eliminara su cuenta. Solo entonces se rescindiría el contrato entre las partes.

Términos y condiciones

• Además, el Tribunal sostuvo que una demanda de medidas cautelares requiere que el acto en cuestión no sólo esté prohibido, sino que también debe existir un riesgo de repetición de dicho acto ilegal, es decir, que el demandado ya haya violado la norma legalmente establecida.
• En el caso que nos ocupa, el demandante podía consentir el tratamiento de sus datos personales. Al aceptar las condiciones del demandado, había aceptado voluntariamente sus términos.
• El modelo económico del demandado se basa en la generación de ingresos a través de la publicidad personalizada y los contenidos comerciales. Para ofrecer su servicio de forma gratuita al público, los ingresos se generan mediante el tratamiento de los datos de los usuarios para venderlos a los anunciantes, que pueden utilizarlos con fines publicitarios específicos.
• El uso de la plataforma hace que los usuarios acepten conscientemente los contenidos comerciales, cuyo carácter personalizado se basa en los gustos, preferencias e intereses individuales, datos que, por tanto, forman parte de las condiciones de uso.
• Dado que la publicidad personalizada constituye un componente esencial del servicio ofrecido y se deriva de las condiciones específicas de uso que se incorporan al contrato, el demandado se encargó de especificar el objeto del contrato, que el demandante aceptó voluntariamente.

Datos sensibles

• Según el Tribunal, la violación del art. 9 del RGPD no se desprende de los hechos constatados.
• En cuanto a los datos sensibles sobre intereses políticos u orientación sexual, el Tribunal sostuvo que el interés por un partido político o por el mismo sexo no refleja necesariamente la afiliación del demandado a una determinada opinión política ni implica una orientación sexual. Además, dado que esto último había sido dado a conocer públicamente por el demandante, no se había infringido el RGPD.
• Al limitarse a tratar los datos, el Tribunal no pudo constatar ninguna operación ilegal por parte de la demandada de la que pudiera ser responsable.

Daños

• 15 El GDPR estipula que el Demandado tiene la obligación de proporcionar información sobre todos los datos personales a intervalos apropiados que el Demandado considere relevantes para el usuario.
• Al incumplir su deber, el demandante no tuvo una visión de conjunto suficiente sobre todos los datos almacenados.
• Su pérdida de control y la incertidumbre asociada le dan derecho a reclamar una indemnización por daños y perjuicios y la entrega de todos los datos solicitados.

Comentario

Esta sentencia ofrece un relato detallado de la manera en que Facebook crea perfiles de usuario, a saber, recurriendo al historial de las páginas visitadas, así como a la información obtenida de las conexiones con amigos o usuarios "similares". Sin embargo, no reconoce la sensibilidad de esos datos. Si bien la divulgación obligatoria de los registros del demandante hace muy probable un llamamiento por parte de Facebook, el Sr. Schrems ya ha expresado sus planes de presentar una solicitud para tal acción dentro de las próximas cuatro semanas. Se espera que llevar el caso ante un Tribunal Superior, proporcionará más claridad sobre la legalidad de las actividades de Facebook y su (no) cumplimiento con el GDPR. Como ha sido el caso en instancias anteriores, esto también podría hacer posible la remisión de varias preguntas al TJCE.

Publicado originalmente el 8 de julio de 2020

El contenido de este artículo tiene por objeto proporcionar una guía general sobre el tema. Se debe buscar el asesoramiento de especialistas sobre sus circunstancias específicas.