Por qué la AEPD a multado a Facebook?

La Agencia Española de Protección de Datos (AEPD) ha impuesto tres multas por un importe total de 1,2 millones de euros a Facebook por recopilar datos personales de los usuarios españoles, incluso los especialmente protegidos, sin recabar expresamente el consentimiento informado. La sanción, la mayor en un solo procedimiento que ha impuesto la agencia en toda su historia, es independiente de otra denuncia por el trasvase de datos entre Facebook y Whatsapp, que ha sido también objeto de investigación y que sigue su curso en el organismo público.

Según la resolución de la agencia española, la red social recopila, almacena y utiliza datos sobre ideología, sexo, creencias religiosas, gustos personales o navegación con fines publicitarios directamente, mediante la interacción con sus servicios o desde páginas de terceros, sin informar claramente al usuario sobre el uso y finalidad que le va a dar a los mismos, y ni siquiera los cancela de modo adecuado cuando un usuario se da de baja. 

Para la AEPD, Facebook no ofrece una información adecuada a los usuarios sobre cómo va a utilizar esta información sensible (salud, sexo, religión, opiniones políticas y sindicales, según la ley de protección de datos), lo que choca frontalmente con la normativa española, que prohíbe cualquier uso de esos datos confidenciales sin expreso e informado consentimiento del usuario. 

Desde el 2015

La agencia considera que la empresa comete dos infracciones graves (sancionadas con 300.000 euros cada una) y una muy grave (de 600.000 euros) de la ley de protección de datos, por lo que impone a Facebook una sanción total de 1.200.000 euros, el máximo que le permite la ley.

Según el organismo, que investiga a la red social que dirige Mark Zuckerberg desde el 2014, "Facebook no informa a los usuarios de forma exhaustiva y clara sobre los datos que va a recoger y los tratamientos que va a realizar con ellos sino que se limita a dar algunos ejemplos. En particular, la red social recoge otros datos derivados de la interacción que llevan a cabo los usuarios en la plataforma y en sitios de terceros sin que estos puedan percibir claramente la información que Facebook recoge sobre ellos ni con qué finalidad la va a utilizar". 

Facebook rastrea incluso a aquellos internautas que no utilizan la red social

En concreto, señala, "los usuarios no son informados de que se va a tratar su información mediante el uso de 'cookies' -algunas de uso específicamente publicitario y algunas de uso declarado secreto por la compañía- cuando navegan por páginas que no son de Facebook y que contienen el botón ‘Me gusta’. Esta situación también se produce cuando los usuarios no son miembros de la red social pero han visitado alguna vez una de sus páginas, así como cuando usuarios que sí están registrados en Facebook navegan por páginas de terceros, incluso sin iniciar sesión en Facebook".

Explicaciones "poco claras"

Según la agencia española y sus homólogas europeas, la política de privacidad de Facebook "contiene expresiones genéricas y poco claras, y obliga a acceder a multitud de enlaces distintos para conocerla".

Eso deja a los usuarios indefensos porque "un usuario de Facebook con un conocimiento medio de las nuevas tecnologías no llega a ser consciente de la recogida de datos, ni de su almacenamiento y posterior tratamiento, ni de para qué van a ser utilizados". Por su parte, los internautas no registrados desconocen que la red social recoge sus datos de navegación.

Además, la AEPD acusa a Facebook de no eliminar la información que recoge a partir de los hábitos de navegación de los usuarios, "sino que la retiene y reutiliza posteriormente asociada al mismo usuario". En relación con la conservación de datos, cuando un usuario de la red social ha eliminado su cuenta y solicita el borrado de la información, Facebook capta y trata información durante más de 17 meses a través de una 'cookie' de la cuenta eliminada. Por ello, la AEPD considera que los datos personales de los usuarios no son cancelados en su totalidad ni cuando han dejado de ser útiles para el propósito para el que se recogieron ni cuando el usuario solicita explícitamente su eliminación, conforme a las exigencias de la LOPD, lo que representa una infracción tipificada como grave.

Los técnicos de la AEPD denuncian situaciones como que Facebook permite seleccionar públicos objetivos y registrar usuarios "a partir de los 13 años" sin consentimiento paterno y cuando la red solo admite teóricamente usuarios a partir de los 14; según su situación sentimental o personal (incluidos si hay "compañeros de piso"), según su número de hijos y edad (afinando a "preescolar", "preadolescentes"...) o sus intereses, entre los que se incluye la filiación política, un dato que la legislación española considera "sensible" y que exige un consentimiento especial. Aquí, según la auditoria, se puede indicar que se es "fascista", simpatizante de la "Falange Española" e incluso de la "supremacía blanca". O se puede definir que tienes interés en "obesidad", "diabetes melitus", "sida" o si has seguido un tratamiento para combatir el VIH. Y en el caso de EEUU, afinar según la religión o la minoría étnica.

Clasificaciones poco transparentes

Para ello, se supone que la red social utiliza las opciones de clasificación que ofrece a sus usuarios en su perfil, tal como asegura la empresa en sus alegaciones. Sin embargo, los técnicos de la agencia comprobaron que podía quedar asociada a un perfil una orientación sexual concreta sin que el usuario pudiera evitarlo. En este caso probaron qué ocurría si se navegaba por páginas gais sin especificar que se era homosexual y descubrieron que la red social clasificaba a ese usuario en aquel patrón de forma automática.

Es más, aunque el internauta marcara en las preferencia de anuncios la opción de que no quería recibir publicidad relacionada con su navegación en otras páginas de internet, Facebook le ignoraba porque la opción se volvía a activar cuando se refrescaba la página, según la auditoría de la agencia. Y tampoco esperaba la compañía a que se completara el registro de usuario para lanzar el primer anuncio.

Y es que Facebook no solo permite segmentar anuncios para aficionados al zumba, al yoga, a los tatuajes o a los perfumes, a un tipo de comida, a alguien que haya comprado joyería o gafas de sol, que tenga amigos que se hayan casado recientemente, que sea su cumpleaños en breve, que "estén lejos de su familia" o que hayan viajado a un lago. Además, da cifras. Por ejemplo, según Facebook, 22.737.268 de sus usuarios han vuelto de viaje durante la última semana. U otros 34.799.309 se han hecho la manicura o están interesados en hacérsela.

Y todo esto no se borra de forma automática e inmediata si el usuario se da de baja. Facebook guarda la información, dicen, durante al menos dos años por "seguridad", alega.