Autores
El Tribunal Regional de lo Civil de Viena ha dictado sentencia en el juicio sobre protección de datos entre el activista Max Schrems y la plataforma de redes sociales Facebook. La sentencia se dicta tras las vistas orales celebradas en la capital austriaca a principios de año, en las que la directora europea de privacidad de Facebook, Ceilia Álvarez, se enfrentó a preguntas centradas en:
- La capacidad de la corporación para obtener el consentimiento de sus usuarios;
- El cumplimiento de las solicitudes de datos por parte de los usuarios de la red.
- La aclaración de la terminología "supresión de datos" y su significado en la práctica.
La sentencia, dictada el 30 de junio de 2020, establece que, si bien Facebook debe pagar una indemnización de 500 euros por haber incumplido sus obligaciones de información en relación con el uso de los datos personales del demandante, se considera que el servicio de red actuó de forma contractual o legalmente cómplice en cuanto al tratamiento de los datos del demandante.
La sentencia
Cabe destacar los siguientes aspectos jurídicos
Tratamiento de datos de conformidad con el Reglamento General de Protección de Datos (RGPD)
- El Tribunal dictaminó que el Art. 2 del RGPD no se aplica al tratamiento de datos personales a la luz de actividades privadas o familiares.
- El demandante habría celebrado un contrato ("acuerdo de tratamiento de datos") con Facebook al crear una cuenta privada.
- Su uso personal de la plataforma hizo que quedara fuera del ámbito del GDPR.
- Por tanto, el tratamiento de datos se llevó a cabo de conformidad con el RGPD y seguiría siendo lícito mientras el demandante no eliminara su cuenta. Sólo entonces se rescindiría el contrato entre las partes.
Términos y condiciones
- El Tribunal sostuvo además que una demanda de medidas cautelares requiere que el acto en cuestión no sólo esté prohibido, sino que también debe existir un riesgo de repetición de dicho acto ilegal, es decir, que el demandado ya haya violado la norma legalmente establecida.
- En el caso que nos ocupa, el demandante podía dar su consentimiento al tratamiento de sus datos personales. Al aceptar las condiciones del demandado, había aceptado voluntariamente sus términos.
- El modelo económico del demandado se basa en la generación de ingresos a través de la publicidad personalizada y los contenidos comerciales. Para ofrecer su servicio de forma gratuita al público, los ingresos se generan mediante el tratamiento de los datos de los usuarios para su venta a los anunciantes, que pueden utilizarlos con fines publicitarios específicos.
- Al utilizar la plataforma, los usuarios aceptan conscientemente contenidos comerciales, cuyo carácter personalizado se basa en los gustos, preferencias e intereses individuales, datos que, por tanto, forman parte de las condiciones de uso.
- Dado que la publicidad personalizada constituye un componente esencial del servicio ofrecido y resulta de las condiciones específicas de uso que forman parte del contrato, el demandado se encargó de especificar el objeto del contrato, que el demandante aceptó voluntariamente.
Datos sensibles
- Según el Tribunal, la violación del Art. 9 GDPR no se desprendía de los hechos constatados.
- En cuanto a los datos sensibles sobre intereses políticos u orientación sexual, el Tribunal sostuvo que un interés en un partido político o en el mismo sexo no refleja necesariamente la afiliación del Demandado a una determinada opinión política ni implica orientación sexual. Además, dado que esta última había sido dada a conocer públicamente por el demandante, no se había violado el GDPR.
- Por el mero tratamiento de los datos, el Tribunal no pudo encontrar ninguna operación ilegal por parte del demandado de la que pudiera ser considerado responsable.
Daños y perjuicios
- 15 El GDPR estipula que el Demandado tiene la obligación de proporcionar información sobre todos los datos personales a intervalos apropiados que el Demandado considere relevantes para el usuario.
- Al incumplir su deber, no se proporcionó al demandante una visión general suficiente sobre todos los datos almacenados.
- Su pérdida de control y la incertidumbre asociada le dan derecho a una reclamación por daños y perjuicios y a la entrega de todos los datos solicitados.
Comentario
Esta sentencia ofrece un relato detallado de la forma en que Facebook crea perfiles de usuario, a saber, basándose en el historial de páginas visitadas, así como en la información obtenida de las conexiones con amigos o usuarios "similares". Sin embargo, no llega a reconocer la sensibilidad de estos datos. Aunque la divulgación obligatoria de los registros del demandante hace muy probable una apelación por parte de Facebook, el Sr. Schrems ya ha expresado sus planes de interponer dicha acción en las próximas cuatro semanas. Se espera que llevar el caso ante un Tribunal Superior aporte más claridad sobre la legalidad de las actividades de Facebook y su (no) cumplimiento del GDPR. Como ha ocurrido en instancias anteriores, esto también podría posibilitar la remisión de varias cuestiones al TJUE.
Recursos
Publicado originalmente el 08 de julio de 2020
El contenido de este artículo pretende ofrecer una guía general sobre la materia. Debe solicitar asesoramiento especializado sobre sus circunstancias específicas.