Las asociaciones de consumidores pueden demandar a Facebook por vulneración de datos

Las asociaciones de defensa de los consumidores pueden establecer acciones de representación contra infracciones en materia de protección de datos personales. Así lo ha estipulado el Tribunal de Justicia de la Unión Europea (TJUE) en la contestación a una cuestión prejudicial presentada por un tribunal alemán.

El caso de referencia fue planteado por la Federación alemana de Organizaciones y Asociaciones de Consumidores, que ejerció ante los tribunales alemanes una acción de cesación contra Meta Platforms Ireland. Esta empresa gestiona la oferta de servicios de Meta (antigua Facebook) en la UE y es responsable del tratamiento de los datos personales de los usuarios de esta red social.

Facebook Germany GmbH, con domicilio social en Alemania, promueve la venta de espacios publicitarios. La plataforma contiene, en particular, un espacio denominado “App-Zentrum” (Centro de Aplicaciones) en el que Meta Platforms Ireland pone a disposición de los usuarios juegos gratuitos suministrados por terceros.

Al consultar en el Centro de Aplicaciones, en algunos de estos juegos se muestra al usuario la advertencia de que la utilización de la aplicación en cuestión permite a la sociedad que facilita los juegos obtener determinados datos personales y la autoriza a realizar publicaciones, en nombre del usuario, de cierta información, como su puntuación. Este uso conlleva la aceptación por parte del usuario de las condiciones generales de la aplicación y de su política de protección de datos. Asimismo, en el caso concreto de uno de los juegos, aparece la indicación de que se autoriza a la aplicación a publicar actualizaciones de estado, fotografías y otros datos en nombre del usuario.

La Federación alemana de Organizaciones y Asociaciones de Consumidores consideraba que las advertencias que se muestran en los juegos del Centro de Aplicaciones son desleales, en particular, por incumplir los requisitos legales para la obtención de un consentimiento válido del usuario con arreglo a la normativa en materia de protección de datos. Asimismo, esta entidad consideraba que la advertencia según la cual se autoriza a la aplicación a publicar en nombre del usuario determinados datos personales constituye una condición general de la contratación que perjudica indebidamente al usuario.

Sede de Meta Platforms Ireland. (Foto: Poandpo)

El caso llegó al Tribunal Supremo de lo Civil y Penal alemán que, aunque consideró fundada la acción de la Federación, albergaba dudas sobre su admisibilidad, por lo que presentó la cuestión prejudicial de la que es objeto el dictamen del TJUE.

El órgano jurisdiccional se preguntaba si una asociación de defensa de los intereses de los consumidores, como la Federación, aún dispone, tras la entrada en vigor del Reglamento General de Protección de Datos, (Reglamento UE 2016/679) de legitimación activa para ejercitar una acción ante los tribunales civiles contra las infracciones de dicho Reglamento, y esto con independencia de la vulneración concreta de derechos de los interesados y sin un mandato conferido por estos. Por otro lado, señalaba que del Reglamento General de Protección de Datos puede deducirse que incumbe principalmente a las autoridades de control comprobar la aplicación del mismo.

En su sentencia, el TJUE declara que el citado Reglamento no se opone a una normativa nacional que permite a una asociación de defensa de los intereses de los consumidores ejercitar acciones sin mandato conferido a tal fin contra el presunto infractor de la normativa en materia de protección de datos personales.

El ejercicio de este derecho por parte de las organizaciones de consumidores, entiende el tribunal, no depende de la vulneración de derechos concretos de los interesados y se puede ejercer invocando el incumplimiento de la prohibición de prácticas comerciales desleales, de una ley en materia de protección de los consumidores o de la prohibición del uso de condiciones generales nulas, toda vez que el tratamiento de los datos de que se trate pueda afectar a los derechos que este Reglamento confiere a personas físicas identificadas o identificables.

Con carácter preliminar, el TJUE pone de relieve que “el Reglamento General de Protección de Datos lleva a cabo una armonización, en principio completa, de las legislaciones nacionales en materia de protección de datos personales”. Sin embargo, “algunas disposiciones de dicho Reglamento ofrecen a los Estados miembros un margen de apreciación que les permite establecer normas nacionales complementarias en lo que respecta a su aplicación a condición de que las mismas no sean contrarias al contenido y a los objetivos de dicho Reglamento”. A este respecto, el TJUE señala que “tienen la posibilidad, en particular, de contemplar el mecanismo de la acción de representación contra el presunto infractor de la normativa en materia de protección de datos personales, estableciendo al mismo tiempo una serie de requisitos que deben respetarse”.

Facebook usa datos personales de los usuarios de sus juegos. (Foto: E&J)

En la sentencia, el tribunal de justicia subraya que una asociación de defensa de los intereses de los consumidores, como la Federación, está comprendida en el concepto de “entidad con legitimación activa” con arreglo al Reglamento General de Protección de Datos en la medida en que persigue un objetivo de interés público consistente en garantizar los derechos de los consumidores. En este sentido, el tribunal estima que la infracción de normas relativas a la protección de los consumidores o a las prácticas comerciales desleales puede estar vinculada a la infracción de normas en materia de protección de datos personales.

Por otra parte, los jueces europeos destacan que el ejercicio de una acción de representación presupone que dicha asociación, con independencia del mandato del interesado, considera que los derechos del interesado con arreglo a dicho Reglamento han sido vulnerados por el tratamiento de sus datos personales, sin que sea necesario identificar, previamente y de forma individual, a la persona concretamente afectada por dicho tratamiento o alegar una vulneración concreta de los derechos que confieren las normas en materia de protección de datos.

“Tal interpretación es conforme con el objetivo que persigue el Reglamento General de Protección de Datos consistente en asegurar un nivel elevado de protección de los datos personales”, rematan los jueces.

Por último, según el TJUE, la norma europea de Protección de Datos no se opone a disposiciones nacionales que contemplen el ejercicio de acciones de representación contra la vulneración de derechos conferidos por este Reglamento, mediante, llegado el caso, normas que tengan por objeto la protección de los consumidores o la lucha contra las prácticas comerciales desleales.