El 07.12.2020 (notificado el 28.12.2020), el Tribunal Regional Superior (Oberlandesgericht Wien, OLG) dictó sentencia en el procedimiento de apelación Schrems contra Facebook Ireland Ltd. (GZ 11 R 153 / 20f, 154 / 20b).¹ Confirmando la decisión del Tribunal Regional de Asuntos Civiles (Landesgericht für Zivilrechtssachen), sostuvo que la plataforma de medios sociales tenía la obligación de proporcionar al demandante el acceso completo a los datos que tenía sobre él, por lo que exigió a la corporación el pago de una indemnización de 500 euros (artículo 82 del RGPD).

No obstante, también concluyó que el acto de tratamiento de datos no requiere que la plataforma obtenga un consentimiento inequívoco y separado de sus usuarios, de conformidad con la legislación de protección de datos de la UE (artículo 6, apartado 1, letra a), del RGPD), sino que ese derecho de uso de los datos se concede intrínsecamente a Facebook en virtud de sus condiciones contractuales.

La decisión se centra en una serie de quejas legales y da lugar a tres cuestiones distintas que se señalan a continuación.

Asignación de funciones a las partes en virtud de la ley de protección de datos

Demandante

• Según el demandante, el usuario de la plataforma se considera responsable o "controlador" (artículo 4, apartado 7, del RGPD) con respecto a las aplicaciones de datos operadas por él mismo para sus fines personales;
• El demandado, por contrato, actúa como "encargado del tratamiento", lo que le impide llevar a cabo cualquier aplicación de datos sin o en contra de las instrucciones del demandante;
• No se ha celebrado un contrato que cumpla los requisitos del artículo 28, apartado 3, del RGPD, aunque el demandante tenga derecho a dicho acuerdo.

Acusado

• El demandado debe ser considerado como el único responsable en relación con el demandante, que carece de interés en las medidas declarativas.

OLG (pp 21-23)

• El mero uso de una plataforma de red social no convierte al usuario en corresponsable del tratamiento de datos personales realizado por dicha red;
• Hay que hacer una diferenciación con respecto a las páginas de fans, en las que el operador de dicha página contribuye al tratamiento de los datos personales de los visitantes, lo que le convierte en responsable del tratamiento (TJCE C-210/16, Unabhängiges Landeszentrum für Datenschutz Schleswig Holstein, esp. párr. 35, 36 y 41).
• Por lo tanto, un usuario de Facebook sólo es corresponsable en relación con los datos personales de terceros (artículo 4, apartado 7, del RGPD) y sólo es un interesado en relación con sus propios datos personales.

Consentimiento efectivo al tratamiento de datos personales

Demandante

• Consentir las condiciones de uso de la plataforma de medios sociales y las directrices de uso de datos asociadas no da lugar a un consentimiento efectivo en el sentido del artículo 6, apartado 1, y del artículo 7 del RGPD;
• A diferencia de las disposiciones del GDPR, que entraron en vigor a partir del 25.05.2018, los contratos de derecho civil regidos por la antigua ley de protección de datos no contemplaban requisitos de "consentimiento" explícitos;
• Al integrar el consentimiento previo en los términos y condiciones de la corporación antes de que entrara en vigor el GDPR, los usuarios se vieron obligados inadvertidamente a firmar un nuevo contrato, lo que permitió a la plataforma eludir las normas de protección de datos más estrictas en virtud de las disposiciones actuales del GDPR;
• Por lo tanto, el demandante no había dado ningún consentimiento efectivo en el sentido del RGPD para el tratamiento de datos realizado por el demandado.

Acusado

• El tratamiento de datos realizado por la plataforma se ajustaba a lo dispuesto en el artículo 6, apartado 1, letra b) del RGPD, ya que constituía una parte necesaria de la ejecución del contrato.

OLG (pp 23-24)

• El RGPD permite diferentes bases para el tratamiento de datos personales, entre otras cosas, si es necesario para la ejecución de un contrato en el que el interesado es parte (artículo 6.1.b del RGPD);
• La necesidad se determina caso por caso, teniendo en cuenta el objetivo contractual y las obligaciones derivadas del contenido del contrato;
• La esencia del modelo de negocio de Facebook y su finalidad contractual se centra en:
  • Para el usuario: acceder a la plataforma de comunicaciones personalizadas;
  • Para la plataforma: facilitar el acceso sin costes adicionales;
• Por ello, la empresa que gestiona la plataforma puede recurrir a otras fuentes de financiación, por ejemplo, publicidad personalizada para el usuario concreto;
• El tratamiento de los datos personales de los usuarios demuestra ser un pilar fundamental del acuerdo entre la plataforma y el usuario, ya que es la base que permite adaptar la publicidad a los intereses del usuario individual;
• El componente de necesidad con respecto al tratamiento de datos se establece en que la utilización de dicha información configura la experiencia individualizada de los usuarios, por un lado, al tiempo que constituye un canal financiero a través del cual la plataforma obtiene su beneficio.

Solicitud de suministro de información

Demandante

• Se ha presentado una solicitud de información, pero no se ha respondido de conformidad con el artículo 15 del RGPD;
• Hacer que la información sobre el uso y el tratamiento de los datos (personales) esté disponible sólo parcialmente no cumple con los deberes legales del demandado;
• La incertidumbre sobre el tratamiento de los datos indujo una angustia emocional que da derecho al demandante a una indemnización por daños y perjuicios de 500 euros.

Acusado

• La demandada no ha incumplido su obligación;
• El demandante no ha presentado ninguna alegación concluyente sobre la reclamación de daños y perjuicios.

OLG (24-29)

• Facebook no había concedido a sus usuarios el acceso a los datos en sus herramientas de acceso, lo que da al demandante un derecho de acción enraizado en el artículo 15(1) del GDPR;
• El demandante tiene derecho a la información relativa a:
  • Los datos personales que trata Facebook y los fines que persigue (artículo 15.1.a del RGPD);
  • A quién se revelan los datos personales respectivos, es decir, (categorías) de destinatarios (artículo 15.1.b) del RGPD);
  • El origen de los datos si no se recogen del demandante (artículo 15, apartado 1, letra g) del RGPD);
• El importe de 500 euros refleja la escasa magnitud de las molestias sufridas por el demandante y resulta justificado.

Comentario

En consonancia con las alegaciones de la demandante, la Agencia Europea de Protección de Datos ha prohibido expresamente con anterioridad el tratamiento de categorías especiales de datos personales a menos que se dé el consentimiento expreso o que dicho tratamiento sea necesario por razones de interés público considerable (artículo 9.2.g) del RGPD). Aunque las cláusulas contractuales sobre el uso de los datos podrían seguir utilizándose para la transferencia de datos, no serían suficientes para sustituir la necesidad de que se preste dicho consentimiento.²

Aunque la OLG ha concedido un derecho de recurso ante el Tribunal Supremo austriaco, se espera que las cuestiones jurídicas planteadas vuelvan a plantearse ante el Tribunal de Justicia de la Unión Europea en su momento.

Notas a pie de página

1 Sentencia disponible en alemán a través de: https://noyb.eu/sites/default/files/2020-12/BVI-209_geschw%C3%A4rzt.pdf.

2 Olbrechts, A. (2020) "Europäischer Datenschutzausschuss - 34. Plenartagung: Europäischer Datenschutzauss. Plenartagung: Schrems II, Wechselspiel Zwischen PSD2 Und DSGVO, Schreiben an MdEP Ďuriš Nicholsonová Zu Den Themen Ermittlung Von Kontaktpersonen, Interoperabilität Von Apps Und Datenschutz-Folgenabschätzungen." Europäischer Datenschutzausschuss - Consejo Europeo de Protección de Datos. Disponible en: edpb.europa.eu/news/news/2020/european-data-protection-board-thirty-fourth-plenary-session-schrems-ii-interplay_de [consultado el 05.02.2021].

El contenido de este artículo tiene por objeto proporcionar una guía general sobre el tema. Se debe buscar el asesoramiento de especialistas sobre sus circunstancias específicas.