Protección de Datos archiva la investigación contra Facebook por el caso Cambridge Analytica porque ha prescrito

La Agencia Española de Protección de Datos (AEPD) ha acordado el archivo de las actuaciones de investigación relativas a que datos privados de usuarios de Facebook fueron utilizados por Cambridge Analytica para manipular psicológicamente a los electores, en las elecciones a presidente de Estados Unidos celebradas en 2016, y ante la posibilidad de que haya habido destinatarios del servicio afectados en España, porque los hechos han prescrito.

En la resolución, a la que ha tenido acceso Europa Press, se indica que los hechos se estiman que se pudieron producir desde la fecha en que la aplicación denominada 'thisisyourdigitallife' se dio de alta en la plataforma de Facebook en noviembre de 2013, hasta la fecha en que se denegó el acceso a la citada plataforma en el mes de diciembre de 2015.

La AEPD precisa que los hechos se produjeron antes de la plena aplicación del Reglamento General de Protección de Datos (RGPD) el pasado 25 de mayo, y por tanto la adecuación a la normativa aplicable debe referenciarse respecto de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (LOPD).

En concreto, la Agencia indica que "la solución procedente en Derecho es el archivo de las actuaciones" contra Facebook y Cambridge Analytica, "en la medida en que los hechos objeto de análisis han prescrito".

"En la medida en que se desconoce en qué fecha concreta se produce la cesión y hasta cuando se produce el tratamiento inconsentido de los datos, no puede determinarse con absoluta precisión el 'dies a quo' del inicio del cómputo del plazo de dos años. Únicamente se tiene conocimiento que el acceso por parte de Global Science Research Limited (GSR) a la plataforma Facebook se podía producir hasta el mes de diciembre de 2015, por lo que a fecha de diciembre de 2017 los hechos habrían prescrito", indica.

La AEPD añade que "si bien hubo 44 personas en España que se instalaron la aplicación 'thisisyourdigitallife', y que hay 136.941 personas en España que, pese a no haberse instalado la aplicación, tenían amigos que sí se la habían instalado y su configuración de seguridad permitía el acceso de la aplicación a sus datos, lo cierto es que no se ha constatado que los datos de éstos hayan sido comunicados por Global Science Research Limited (GSR) a Cambridge Analytica".

Respecto a la no constatación de que los hechos hayan afectado a usuarios españoles, la AEPD ha aclarado que dicha circunstancia obedece a que "Cambridge Analytica habría cesado su actividad impidiendo cualquier acción tendente a verificar que dispone o ha dispuesto de datos de carácter personal de usuarios españoles".

Los términos de uso

No obstante, la Agencia explica en su resolución que, en los términos de uso, no se definía la posibilidad de acceder, por ejemplo, a publicaciones, mensajes y múltiple información de otros usuarios que formaran parte de la lista de amigos, ya que indicar 'your network' tiene "un contenido abierto, heterogéneo y sujeto a múltiples interpretaciones, que no permite otorgar un consentimiento informado del usuario --para una finalidad determinada y que a priori era la realización de un test de personalidad--, ni menos aun de los amigos de éste en la red social".

"Tampoco se advertía de la posibilidad de que los datos a los que se accediera por parte del desarrollador de la aplicación en cuestión fueran a ser transmitidos a terceras entidades, como sucedió con Cambridge Analytica, por tanto, cualquier consentimiento otorgado en esas condiciones deviene nulo", destaca el organismo.

Por todo ello, la Agencia concluye que el tratamiento de los datos de los usuarios de la red social Facebook, en relación con la aplicación 'thisisyourdigitallife', "no encuentra acomodo en los supuestos que permiten el tratamiento y en su caso la cesión de los datos", de acuerdo con la LOPD.

Contra esta resolución, que pone fin a la vía administrativa, los interesados podrán interponer, potestativamente, recurso de reposición ante la directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto.

Según ha indicado el abogado Luis Gervas de la Pisa, "Facebook ha reconocido ante la AEPD que 44 personas en España se instalaron la aplicación conflictiva, y Facebook también ha reconocido que hay 136.941 personas en España que, pese a no haberse instalado la aplicación, tenían amigos que sí se la habían instalado y su configuración de seguridad permitía el acceso de la aplicación a sus datos".

"Existen hechos reconocidos en la propia resolución, por los que no se puede descartar la responsabilidad civil de Facebook, y, en ese caso, los afectados podrían reclamar judicialmente, en una vía que es completamente distinta a la iniciada por la Agencia Española de Protección de Datos, y que no está sujeta al mismo plazo de prescripción", ha zanjado el abogado de la Asociación ACOREO.