El Tribunal de la UE evalúa el consentimiento de los usuarios en redes sociales dominantes

info@josefelgueroso.com

2023-10-16

El Tribunal de Justicia de la Unión Europea (el "Tribunal de la UE") determinó, entre otras conclusiones, que el hecho de que un operador de redes sociales tenga una posición dominante en el mercado no impide que sus usuarios den su consentimiento libre e informado para el procesamiento de sus datos por parte de dicho operador.

Fuente: Martin Grandjean (Wikimedia Commons)

Antecedentes

Meta Platforms Ireland, operador de Facebook y servicios como Instagram, WhatsApp y Oculus, utiliza publicidad en línea adaptada a los usuarios mediante la creación de perfiles basados en los datos que proporcionan y los datos recopilados tanto dentro como fuera de la red social. Al unirse a Facebook, los usuarios aceptan un acuerdo que permite a Meta recopilar y asociar datos sobre sus actividades tanto dentro como fuera de Facebook, este último conocido como "datos fuera de Facebook". Esto incluye datos de sitios web y aplicaciones de terceros vinculados a Facebook u otros servicios de Meta.

En 2019, la Oficina Federal de Carteles de Alemania prohibió a Meta hacer que el uso de Facebook para usuarios privados alemanes dependiera del procesamiento de sus datos fuera de Facebook sin un consentimiento claro. La Oficina argumentó que esta práctica era un abuso de la posición dominante de Meta en el mercado y contradecía los valores fundamentales del Reglamento General de Protección de Datos de la UE (el "Reglamento Europeo").

Al impugnar esta decisión en los tribunales, Meta posteriormente revisó sus términos para indicar que los usuarios, en lugar de pagar, verían anuncios. Desde enero de 2020, también lanzaron una función de "Actividad fuera de Facebook", que permite a los usuarios ver un resumen de sus datos de sitios externos y ofrece una opción para desvincular estos datos de su cuenta de Facebook.

El Tribunal Superior Regional de Düsseldorf (el "Tribunal Remitente") tenía preguntas sobre lo siguiente:

si las autoridades nacionales de competencia pueden revisar, en el ejercicio de sus poderes, si el procesamiento de datos personales cumple con los requisitos establecidos en el Reglamento Europeo;
si el operador de una red social en línea puede procesar los datos personales sensibles del interesado en el sentido del Reglamento Europeo;
la legalidad del procesamiento por parte de ese operador de los datos personales del usuario en cuestión; y
la validez del consentimiento dado a una empresa con una posición dominante en el mercado nacional de redes sociales en línea para los fines del procesamiento de datos personales.

La sentencia

Papel de una autoridad nacional de competencia en la evaluación del cumplimiento con el Reglamento Europeo

El Tribunal de la UE tuvo que determinar si una autoridad nacional de competencia, al examinar un abuso de posición dominante por parte de una empresa, puede determinar si los términos generales de uso de esa empresa relacionados con el procesamiento de datos son inconsistentes con el Reglamento Europeo.

Según el Reglamento Europeo, los estados miembros deben proporcionar una o más autoridades supervisoras, y estas autoridades deben actuar de manera independiente al vigilar la aplicación del Reglamento Europeo. Tienen poderes como realizar investigaciones e imponer multas administrativas. Además, los estados miembros deben facilitar la realización de las tareas de la Unión y abstenerse de cualquier medida que pueda poner en peligro los objetivos de la Unión.

El Tribunal de la UE concluyó que una autoridad de competencia puede tomar una decisión sobre los términos de uso de una empresa para el procesamiento de datos personales si es necesario para establecer la existencia de un abuso de posición dominante. La autoridad de competencia debe cooperar con las autoridades supervisoras y no puede contradecir las decisiones de las autoridades supervisoras competentes con respecto a esos términos.

Procesamiento de categorías especiales de datos

El Tribunal de la UE tuvo que determinar si el procesamiento de datos personales por parte de un operador de redes sociales en línea, cuando un usuario visita ciertos sitios web o aplicaciones e introduce información, constituye 'procesamiento de categorías especiales de datos personales' según el Reglamento Europeo.

Según el Reglamento Europeo, no se pueden procesar datos personales sobre temas sensibles como raza, creencias, salud y orientación sexual, con ciertas excepciones. El Tribunal de la UE concluyó que si un operador de redes sociales en línea procesa datos recopilando información de las visitas de los usuarios a ciertos sitios o aplicaciones relacionados con esas categorías de datos sensibles y vincula esos datos con la cuenta de red social del usuario, está procesando categorías especiales de datos personales. Ese procesamiento generalmente está prohibido a menos que se cumplan condiciones específicas.

Si los usuarios de redes sociales hacen públicos ciertos datos

La cuestión ante el Tribunal de la UE era si un usuario de una red social en línea 'hace públicos manifiestamente' ciertos datos al visitar sitios web o aplicaciones asociadas con categorías especiales de datos, especialmente al interactuar con funciones como los botones 'Me gusta' o 'Compartir' o al introducir datos en esas plataformas.

El Reglamento Europeo proporciona una excepción a la prohibición general de procesar categorías especiales de datos personales. Específicamente, permite ese procesamiento si el interesado ha 'hecho públicos manifiestamente los datos'. El Tribunal de la UE sostuvo que los datos recopilados por una red social en línea de las visitas de los usuarios a ciertos sitios o aplicaciones no califican como datos que el usuario 'hace públicos manifiestamente'. Pero las interacciones como usar los botones 'Me gusta' o 'Compartir' o introducir datos específicos sí califican, pero solo si el usuario ha elegido explícitamente compartir esos datos con una audiencia ilimitada.

En resumen, el Tribunal de la UE concluyó que los usuarios de redes sociales podrían hacer públicos los datos en las redes sociales, creando una excepción a la prohibición general de procesar categorías especiales de datos, pero depende de lo que hagan los usuarios y si realmente tenían la intención de compartirlo públicamente.

Procesamiento de datos personales que es necesario para la ejecución de un contrato

El Tribunal de la UE tuvo que determinar si el procesamiento de datos personales por parte de un operador de redes sociales en línea, que implica recopilar datos del usuario de varias fuentes, vincular esos datos con la cuenta de red social del usuario y utilizar esos datos, puede considerarse como 'necesario para la ejecución de un contrato' del que son parte los interesados.

Según el Reglamento Europeo, el procesamiento de datos personales es lícito cuando es necesario para la ejecución de un contrato del que el interesado es parte. El Tribunal de la UE determinó que el acto de procesar datos por parte de un operador de redes sociales en línea puede, de hecho, calificarse como necesario para la ejecución de un contrato, pero solo si el procesamiento de datos en cuestión es 'objetivamente indispensable' – no solo útil o ventajoso, sino verdaderamente esencial – para lograr el propósito central del contrato.

En resumen, las redes sociales en línea pueden procesar datos personales como parte de un contrato, pero solo si es absolutamente necesario para implementar la esencia del contrato.

Procesamiento de datos personales que es necesario para los intereses legítimos del responsable o de un tercero

El Tribunal de la UE tuvo que determinar si el procesamiento de datos personales por parte de un operador de redes sociales en línea, que implica la recopilación de datos del usuario de varias fuentes, vincular esos datos con la cuenta de red social del usuario y usar esos datos, puede considerarse necesario para los fines de los intereses legítimos perseguidos por el responsable o por un tercero.

El Reglamento Europeo establece que el procesamiento de datos personales es permisible si es necesario para los fines de los intereses legítimos perseguidos por el responsable o por un tercero, excepto cuando dichos intereses son anulados por los intereses o derechos y libertades fundamentales del interesado que requieren protección de datos personales. El Tribunal de la UE indicó que ese procesamiento de datos por parte del operador de redes sociales en línea solo puede considerarse necesario para los fines de intereses legítimos si (1) el operador ha informado a los usuarios sobre el interés legítimo perseguido por el procesamiento de datos; (2) el procesamiento se lleva a cabo solo en la medida estrictamente necesaria para ese interés legítimo; y (3) se encuentra un equilibrio entre el interés legítimo y los intereses o derechos fundamentales de los usuarios.

En resumen, el Tribunal de la UE determinó que para que las redes sociales utilicen datos por 'intereses legítimos', deben ser claros sobre el interés involucrado, usar solo los datos que necesitan y siempre respetar los derechos de los usuarios.

Procesamiento de datos personales que es necesario para cumplir con una obligación legal

La cuestión ante el Tribunal de la UE era si el procesamiento de datos personales por parte de un operador de redes sociales en línea, que implica la recopilación de datos del usuario de varias fuentes, vincular esos datos con la cuenta de red social del usuario y usar esos datos, puede justificarse por el cumplimiento de una obligación legal a la que está sujeto el responsable.

El Reglamento Europeo especifica que se pueden procesar datos personales si el procesamiento es necesario para el cumplimiento de una obligación legal a la que está sujeto el responsable del tratamiento. Esto significa que si hay una regla o requisito legal que requiere el manejo de datos personales, entonces esa acción es permisible bajo el Reglamento Europeo. El Tribunal de la UE determinó que ese tipo de procesamiento de datos por parte del operador de redes sociales en línea puede justificarse bajo esa disposición si es realmente necesario para cumplir con una obligación legal ya sea bajo la ley de la UE o la ley del estado miembro en cuestión. Esta base legal debe perseguir un objetivo de interés público y ser proporcional al objetivo legítimo perseguido. Además, el procesamiento de datos solo debe llevarse a cabo en la medida en que sea estrictamente necesario.

En resumen, las redes sociales pueden procesar datos basados en un requisito legal, pero solo si el procesamiento está estrechamente vinculado al requisito legal, sirve al público, es justo y es necesario.

Procesamiento de datos personales que es necesario para proteger los intereses vitales del interesado u otra persona, o para una tarea realizada en interés público o bajo autoridad oficial

El Tribunal de la UE tuvo que determinar si el procesamiento de datos personales por parte de un operador de redes sociales en línea, que implica la recopilación de datos del usuario de varias fuentes, vincular esos datos con la cuenta de red social del usuario y usar esos datos, puede considerarse necesario para proteger los intereses vitales del interesado u otra persona, o para una tarea realizada en interés público o bajo autoridad oficial conferida al responsable.

Según el Reglamento Europeo, el procesamiento de datos personales es permisible si es necesario para salvaguardar los intereses vitales del interesado u otro individuo. También establece que el procesamiento es permitido si se necesita para realizar una tarea llevada a cabo en interés público o en el ejercicio de autoridad oficial conferida al responsable del tratamiento de datos. El Tribunal de la UE sostuvo que ese procesamiento de datos por parte del operador de redes sociales en línea no puede, en principio, considerarse necesario ni para proteger intereses vitales ni para tareas en interés público o bajo autoridad oficial. Sin embargo, esto está sujeto a verificación por el Tribunal Remitente.

En resumen, la mayoría de las veces, las redes sociales no pueden decir que están utilizando datos para proteger los intereses vitales de alguien o porque es una tarea pública.

Consentimiento del usuario y posición dominante de una red social en línea

La cuestión ante el Tribunal de la UE era si la posición dominante de un operador de red social en línea impide que los usuarios den su consentimiento válido para el procesamiento de sus datos personales por parte de ese operador.

Según el Reglamento Europeo, el procesamiento de datos personales es lícito si el individuo ha dado su consentimiento claro para un propósito específico. También proporciona que para el procesamiento de categorías especiales de datos personales (por ejemplo, datos sobre salud, creencias religiosas, vida sexual, etc.), se requiere el consentimiento explícito de la persona. El Reglamento Europeo define el consentimiento como cualquier indicación dada libremente, específica, informada y sin ambigüedades de los deseos del individuo a través de una declaración o acción afirmativa clara.

El Tribunal de la UE concluyó que el mero hecho de que un operador tenga una posición dominante no anula, por sí mismo, la validez del consentimiento del usuario. Pero esta dominancia es relevante al evaluar la autenticidad y voluntariedad del consentimiento. El operador, como administrador de los datos del usuario, tiene la responsabilidad de demostrar de manera convincente que el consentimiento se ofreció libremente y con un pleno entendimiento de sus implicaciones.

En resumen, la dominancia de mercado por parte de un operador no significa automáticamente que los usuarios no puedan dar su consentimiento libremente. Pero presenta la cuestión de si el consentimiento es real y sin presiones. La red social tiene que probar que el consentimiento es genuino.

Conclusión

En resumen, el Tribunal de la UE determinó que las redes sociales en línea podrían violar el Reglamento Europeo al recopilar y utilizar datos de los usuarios, pero depende de cómo y por qué obtienen y usan los datos. En particular, el hecho de que un operador de red social tenga una posición dominante en el mercado no impide que sus usuarios den su consentimiento libre e informado para el procesamiento de sus datos por parte de ese operador. El Tribunal de la UE también concluyó que las autoridades de competencia pueden verificar si los términos de uso de una empresa son consistentes con el Reglamento Europeo, pero deben trabajar con las autoridades de protección de datos y respetar sus decisiones.

Fuentes

Meta Platforms Inc y otros contra Bundeskartellamt (Tribunal de Justicia de la Unión Europea, 2023)

Reglamento General de Protección de Datos

Jose Felgueroso Abogado | Attorney