<\/p>\n\n\n\n
1. El caso Meta Platforms contra Bundeskartellamt<\/em> est\u00e1 despertando mucho inter\u00e9s en la comunidad jur\u00eddica por dos razones. La primer es por poner en contacto dos \u00e1mbitos aparentemente tan alejados como la protecci\u00f3n de datos y la defensa de la competencia. La segunda, porque una de sus partes es una de las grandes tecnol\u00f3gicas mundiales: Meta Platforms, originalmente Facebook. Adem\u00e1s, confirma la importancia de los datos para la econom\u00eda actual y la preocupaci\u00f3n que existe por evitar su monopolizaci\u00f3n. El pasado 20 de septiembre el Abogado General Sr. Athanasios Rantos public\u00f3 sus conclusiones<\/a>, que vale la pena comentar aunque no se apartan de lo esperado. Sin embargo, antes que nada, resulta necesario conocer los hechos del caso para hacerse una composici\u00f3n de lugar.<\/p>\n\n\n\n El origen se halla en una resoluci\u00f3n de la autoridad alemana de la competencia, el Bundeskartellamt<\/em>, que falla que Meta Platforms ha abusado de su posici\u00f3n de dominio al no ajustarse al Reglamento 2016\/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protecci\u00f3n de las personas f\u00edsicas en lo que respecta al tratamiento de datos personales y a la libre circulaci\u00f3n de esos datos y por el que se deroga la Directiva 95\/46\/CE<\/a> (B6\u201122\/16, de 6 de febrero de 2019<\/a>). Consecuentemente, le impone diversas sanciones, entre las que destaca la prohibici\u00f3n de utilizar los datos personales de sus clientes para el tratamiento previsto en las condiciones generales de sus servicios de redes sociales. La empresa sancionada interpone recurso ante el Oberlandesgericht D\u00fcsseldorf <\/em>alegando, esencialmente, que una autoridad de la competencia no puede aplicar el Reglamento General de Protecci\u00f3n de Datos (RGPD) y cuestionando la interpretaci\u00f3n y aplicaci\u00f3n de diversos preceptos de esta norma. Ante las dudas exeg\u00e9ticas que se le suscita, el \u00f3rgano judicial alem\u00e1n plantea diversas cuestiones prejudiciales que giran alrededor de cuatro ejes: a) la competencia de una autoridad nacional de la competencia para valorar si el tratamiento de datos que hace una empresa se ajusta al RGPD; b) el alcance de la prohibici\u00f3n del tratamiento de datos personales sensibles; c) los requisitos para la licitud del tratamiento de los datos personales en virtud de determinadas justificaciones; d) prestaci\u00f3n de un consentimiento libre para que una empresa que detenta una posici\u00f3n de dominio trate datos personales.<\/p>\n\n\n\n 2. Antes de responder, Athanasios Rantos explica, a grandes rasgos, el modelo econ\u00f3mico de Meta Platforms. Subraya que consiste en vender publicidad en l\u00ednea hecha a medida de los usuarios gracias a los datos que obtiene de \u00e9stos, tanto a partir de sus propios servicios como de sitios de internet y aplicaciones de terceros a los que acceden. \u201cEl n\u00facleo del presente asunto reside en la pr\u00e1ctica consistente en la pr\u00e1ctica consistente, en primer lugar, en la recogida<\/em> de datos procedentes de otros servicios propios del grupo, as\u00ed como de sitios de Internet y de aplicaciones de terceros, por medio de interfaces insertadas en estos o mediante cookies<\/em> instaladas en el ordenador o dispositivo m\u00f3vil del usuario, en segundo lugar, en la combinaci\u00f3n<\/em> de estos datos con la cuenta de Facebook del usuario afectado y, en tercer lugar, en la utilizaci\u00f3n<\/em> de dichos datos (en lo sucesivo, \u2018pr\u00e1ctica controvertida\u2019)\u201d (p\u00e1rr. 10).<\/p>\n\n\n\n 3. El primer grupo de cuestiones prejudiciales gira alrededor de la legitimaci\u00f3n de una autoridad de la competencia para aplicar la normativa de protecci\u00f3n de datos; en particular, para examinar si el tratamiento de los datos personales de los clientes que hace una empresa se ajusta a las exigencias del Reglamento General de Protecci\u00f3n de Datos. Como era de esperar, la respuesta del Abogado General depende de que la aplicaci\u00f3n de esta norma sea a t\u00edtulo principal o incidental. En el primer caso, las autoridades de la competencia carecen de legitimaci\u00f3n puesto que excede de sus funciones y hay entes espec\u00edficos encargados de esta misi\u00f3n, las llamadas \u201cautoridades de control\u201d. Ahora bien, el Abogado General Rontos propone al Tribunal de Justicia no responder a esta cuesti\u00f3n porque la autoridad alemana de la competencia no sancion\u00f3 a Meta Platforms por infringir el RGPD sino por abuso de posici\u00f3n de dominio; es decir, no aplic\u00f3 el Reglamento a t\u00edtulo principal.<\/p>\n\n\n\n En cambio, la autoridad de la competencia s\u00ed puede pronunciarse sobre la vulneraci\u00f3n de la normativa de protecci\u00f3n de datos a t\u00edtulo incidental. Es decir, no puede declarar que se ha vulnerado el derecho de una persona f\u00edsica, pero s\u00ed valorar si una o varias empresas han cometido un il\u00edcito anticoncurrencial debido al modo en que han tratado los datos personales de sus clientes o de terceros. As\u00ed, en el caso que nos ocupa, el Abogado General afirma que el Bundeskartellamt<\/em> pod\u00eda interpretar y aplicar el Reglamento General de Protecci\u00f3n de Datos para examinar si Meta Platforms estaba compitiendo en m\u00e9ritos. Al considerar que su comportamiento no se ajustaba a las exigencias del citado Reglamento, fall\u00f3 correctamente que hab\u00eda abusado de su posici\u00f3n de dominio. En otras palabras, la autoridad alemana de la competencia aplic\u00f3 el \u00a7 19 de la Ley alemana de Defensa de la Competencia (Gesetz gegen Wettbewerbsbeschr\u00e4nkungen<\/em>). No obstante, s\u00ed acudi\u00f3 al RGPD, aunque a efectos exeg\u00e9ticos: la infracci\u00f3n de esta norma constituye un indicio de que una empresa que detenta una posici\u00f3n de dominio ha abusado de su poder.<\/p>\n\n\n\n \u201cPor consiguiente, considero que el examen de un abuso de posici\u00f3n dominante en el mercado puede justificar que una autoridad de defensa de la competencia interprete normas que no est\u00e1n comprendidas en el \u00e1mbito de aplicaci\u00f3n del Derecho de la competencia, como las del RGPD, precisando que tal examen se efect\u00faa de manera incidental y no prejuzga la aplicaci\u00f3n de dicho Reglamento realizada por las autoridades de control competentes\u201d. (p\u00e1rr. 24)<\/p>\n\n\n\n 4. La propuesta de Athanasios Rantos abre las puertas al problema de la disparidad de soluciones respecto de la valoraci\u00f3n de un tratamiento de los datos. Efectivamente, es posible que una autoridad de control y una autoridad de la competencia se pronuncien sobre el mismo caso y lleguen a conclusiones contradictorias<\/a>[i]<\/a>. Para neutralizar este riesgo, el Abogado General acude al principio de cooperaci\u00f3n leal previsto en el art\u00edculo 4.3 del Tratado de la Uni\u00f3n Europea, que generan obligaciones de informaci\u00f3n y cooperaci\u00f3n. En aplicaci\u00f3n suya, las autoridades de la competencia deben informar y colaborar con las autoridades de control antes de aplicar incidentalmente el RGPD. As\u00ed, deber\u00e1 averiguar cu\u00e1l es la doctrina de la autoridad de control competente sobre el extremo que est\u00e9 analizando y no deber\u00e1 apartarse de ella. En caso de que no exista ninguna resoluci\u00f3n al respecto, pero est\u00e9 en curso, la autoridad de la competencia deber\u00e1 esperar a su pronunciamiento en la medida en que sea adecuado y respete el plazo de investigaci\u00f3n. Igualmente, deber\u00e1 informar del expediente en el que est\u00e9 trabajando a la autoridad de control competente.<\/p>\n\n\n\n As\u00ed las cosas, el p\u00e1rrafo 33 contiene la propuesta de respuesta del Tribunal de Justicia siguiente: \u201c\u2026 los art\u00edculos 51 a 66 del RGPD deben interpretarse en el sentido de que una autoridad de defensa de la competencia, en el marco de sus facultades en el sentido de las normas en materia de competencia, puede examinar, con car\u00e1cter incidental, la conformidad de las pr\u00e1cticas examinadas con las normas del RGPD, teniendo en cuenta cualquier decisi\u00f3n o investigaci\u00f3n de la autoridad de control competente en virtud del RGPD e informando y, en su caso, consultando a la autoridad nacional de control.\u201d<\/p>\n\n\n\n 5. El segundo grupo de cuestiones prejudiciales afecta al art\u00edculo 9 del RGPD que regula los datos personales sensibles. El apartado 1.\u00ba proh\u00edbe su tratamiento pero el 2.\u00ba lo permite cuando est\u00e9 justificado con alguna de las razones que enumera. Se plantea la duda acerca de cu\u00e1ndo hay tratamiento. Athanasios Rantos rechaza que la mera recogida de informaci\u00f3n relativa a la etnia, religi\u00f3n, afiliaci\u00f3n sindical, opini\u00f3n pol\u00edtica u orientaci\u00f3n sexual, por ejemplo, merezca esta calificaci\u00f3n. Pero s\u00ed existe \u201ctratamiento\u201d cuando se combinan informaciones de diferentes fuentes sobre esos extremos; por ejemplo, las que Meta Platforms obtiene de sus redes sociales y de las p\u00e1ginas de internet o aplicaciones de terceros. Ubica la clave de este tema en la posibilidad de elaborar un perfil del usuario seg\u00fan las categor\u00edas del art\u00edculo 9.1 del RGPD (p\u00e1rrs. 38 ss.<\/p>\n\n\n\n En cuanto a la justificaci\u00f3n del tratamiento, centra su atenci\u00f3n en la letra e) del apartado 2.\u00ba (\u201cel tratamiento se refiere a datos personales que el interesado ha hecho manifiestamente p\u00fablicos\u201d). Rechaza que concurra por el simple hecho de que el interesado haya publicado informaci\u00f3n personal en las redes sociales o en otros sitios de internet. De un lado, los supuestos enumerados en el apartado 2.\u00ba del art\u00edculo 9 deben interpretarse de forma restrictiva al tratarse de excepciones a la regla general (prohibici\u00f3n del tratamiento de datos personales sensibles). De otro, la informaci\u00f3n publicada en p\u00e1ginas web solo est\u00e1 a disposici\u00f3n del administrador, en principio, pero no de terceros. De ah\u00ed que formule la propuesta siguiente:<\/p>\n\n\n\n \u201cEn el presente asunto, considero que un comportamiento que consiste en consultar sitios de Internet y aplicaciones, en introducir datos en esos sitios y esas aplicaciones y en accionar botones de funci\u00f3n integrados en ellos no puede, en principio, asimilarse a un comportamiento que haga manifiestamente p\u00fablicos los datos personales sensibles del usuario en el sentido del art\u00edculo 9, apartado 2, punto 2, letra e) del RGPD.\u201d (p\u00e1rr. 43)<\/p>\n\n\n\n 6. El tercer grupo de cuestiones tiene por objeto las justificaciones para el tratamiento de los datos. Se pregunta al Tribunal de Justicia qu\u00e9 requisitos son necesarios para considerar que es necesario para la ejecuci\u00f3n de un contrato, para la satisfacci\u00f3n de intereses leg\u00edtimos, o bien para responder a una petici\u00f3n l\u00edcita de determinados datos, la necesidad de combatir un comportamiento nocivo y mejorar la seguridad o los fines de la investigaci\u00f3n por el bien de la sociedad y en aras de la protecci\u00f3n, la integridad y la seguridad. Tras recordar que el responsable del tratamiento debe probar los fines y la base jur\u00eddica que lo legitima, el Abogado General centra su atenci\u00f3n en la ejecuci\u00f3n de un contrato y la satisfacci\u00f3n de intereses leg\u00edtimos. En cuanto a la primera, subraya que debe existir una relaci\u00f3n de necesidad objetiva entre el tratamiento y la ejecuci\u00f3n de un contrato \u201c\u2026 en el sentido de que no deben existir otras soluciones realistas y menos intrusivas, habida cuenta de las expectativas razonables del interesado\u201d (p\u00e1rr. 54). Para que la satisfacci\u00f3n de los intereses leg\u00edtimos del responsable justifique el tratamiento, deben concurrir tres requisitos acumulativamente: \u201cprimero, que el responsable del tratamiento o el tercero o terceros a quienes se comuniquen los datos persigan un inter\u00e9s leg\u00edtimo; segundo, que el tratamiento sea necesario para la satisfacci\u00f3n de ese inter\u00e9s leg\u00edtimo y, tercero, que no prevalezcan los derechos fundamentales y libertades fundamentales del interesado en la protecci\u00f3n de los datos\u201d (p\u00e1rr. 59). El Tribunal Superior Regional de lo Civil y Penal de D\u00fcsseldorf alude a la personalizaci\u00f3n de la publicidad, la seguridad de la red y la mejora de los productos. Athanasios Rontos considera que no concurren los requisitos necesarios para que justifiquen el tratamiento de los datos personales en el caso en cuesti\u00f3n (p\u00e1rrs. 63 ss. Consecuentemente,<\/p>\n\n\n\n \u201c\u2026propongo que se responda a las cuestiones prejudiciales tercera a quinta que el art\u00edculo 6, apartado 1, letras b), c), d), e) y f), del RGPD debe interpretarse en el sentido de que la pr\u00e1ctica controvertida o algunas de las actividades que la conforman pueden estar comprendidas en las excepciones previstas en estas disposiciones, siempre que cada modalidad de tratamiento de datos examinada cumpla las condiciones previstas respecto de la justificaci\u00f3n espec\u00edficamente formulada por el responsable del tratamiento y que, por lo tanto:<\/p>\n\n\n\n \u2013 el tratamiento sea objetivamente necesario para la prestaci\u00f3n de los servicios relativos a la cuenta de Facebook;<\/p>\n\n\n\n \u2013 el tratamiento sea necesario para la satisfacci\u00f3n de un inter\u00e9s leg\u00edtimo perseguido por el responsable del tratamiento o por el tercero o terceros a los que se comuniquen los datos y no afecte de manera desproporcionada a los derechos fundamentales y libertades fundamentales del interesado;<\/p>\n\n\n\n \u2013 el tratamiento sea necesario para responder a una petici\u00f3n l\u00edcita de determinados datos, de combatir un comportamiento nocivo y de mejorar la seguridad o con fines de investigaci\u00f3n por el bien de la sociedad y en aras de la protecci\u00f3n, la integridad y la seguridad.\u201d (p\u00e1rr. 70)<\/p>\n\n\n\n 7. El \u00faltimo tema abordado es la libertad del consentimiento como justificaci\u00f3n del tratamiento cuando el responsable es una empresa que detenta posici\u00f3n de dominio. Antes que nada, conviene recordar que el consentimiento del interesado constituye una de las justificaciones del tratamiento de los datos personales (art. 6.1.a del RGPD); incluso cuando tienen car\u00e1cter sensible (art. 9.2.a) del RGPD). Ahora bien, para que pueda desarrollar esta funci\u00f3n es necesario que sea libre. La duda que se plantea es si existe tal libertad cuando el responsable tiene un gran poder de mercado. El considerando 43 avala las dudas que se generan: \u201cPara garantizar que el consentimiento se haya dado libremente, este no debe constituir un fundamento jur\u00eddico v\u00e1lido para el tratamiento de datos de car\u00e1cter personal en un caso concreto en el que exista un desequilibro claro entre el interesado y el responsable del tratamiento, en particular cuando dicho responsable sea una autoridad p\u00fablica y sea por lo tanto improbable que el consentimiento se haya dado libremente en todas las circunstancias de dicha situaci\u00f3n particular. Se presume que el consentimiento no se ha dado libremente cuando no permita autorizar por separado las distintas operaciones de tratamiento de datos personales pese a ser adecuado en el caso concreto, o cuando el cumplimiento de un contrato, incluida la prestaci\u00f3n de un servicio, sea dependiente del consentimiento, a\u00fan cuando este no sea necesario para dicho cumplimiento.\u201d<\/p>\n\n\n\n Tras recordar qu\u00e9 significa el \u201cconsentimiento del interesado\u201d, bas\u00e1ndose en la definici\u00f3n del art. 4.11 del RGPD, el Abogado General subraya que debe ser libre y afirma que el desequilibrio econ\u00f3mico entre las partes puede poner en cuesti\u00f3n su concurrencia. As\u00ed sucede cuando el responsable del tratamiento detenta una posici\u00f3n de dominio. Ahora bien, la simple existencia de \u00e9sta no significa necesariamente que el interesado no haya permitido voluntariamente que el responsable utilice sus datos. Simplemente habr\u00e1 que tener en cuenta esta circunstancia al valorar si ha existido esa causa de justificaci\u00f3n. Por otra parte, niega que sea aplicable el art\u00edculo 102 TFUE en este \u00e1mbito (p\u00e1rrafo 75).<\/p>\n\n\n\n \u201c En conclusi\u00f3n, propongo que se responda a la sexta cuesti\u00f3n prejudicial que el art\u00edculo 6, apartado 1, letra a), y el art\u00edculo 9, apartado 2, letra a), del RGPD deben interpretarse en el sentido de que la mera circunstancia de que la empresa que administra una red social disfrute de una posici\u00f3n dominante en el mercado nacional de las redes sociales en l\u00ednea para usuarios privados no puede, por s\u00ed sola, privar al consentimiento del usuario de dicha red para el tratamiento de sus datos personales de su car\u00e1cter v\u00e1lido en el sentido del art\u00edculo 4, apartado 11, del RGPD. No obstante, tal circunstancia incide en la apreciaci\u00f3n de la libertad del consentimiento en el sentido de dicha disposici\u00f3n, que incumbe demostrar al responsable del tratamiento, habida cuenta, en su caso, de la existencia de un desequilibrio claro de las relaciones de fuerza entre el interesado y el responsable del tratamiento, de la posible obligaci\u00f3n de prestar consentimiento para el tratamiento de datos personales distintos de los estrictamente necesarios para la prestaci\u00f3n de los servicios en cuesti\u00f3n, de la necesidad de que el consentimiento sea espec\u00edfico para cada finalidad de tratamiento y de la necesidad de evitar que la retirada del consentimiento suponga un perjuicio para el usuario que retire su consentimiento.\u201d (p\u00e1rr. 77)<\/p>\n\n\n\n La respuesta del Abogado General es totalmente l\u00f3gica y esperable. El hecho de que exista un desequilibrio econ\u00f3mico incide en la configuraci\u00f3n de la voluntad puesto que es harto frecuente que la parte fuerte imponga sus condiciones a la d\u00e9bil. Ahora bien, no tiene porqu\u00e9 ser as\u00ed; sobre todo, en un \u00e1mbito tan cr\u00edtico como la protecci\u00f3n de los datos personales -especialmente los sensibles-. Adem\u00e1s, considerar que no hay consentimiento libre cuando el responsable del tratamiento tiene una posici\u00f3n de dominio lesiona la libertad contractual y de empresa. En cuanto a la \u201cposici\u00f3n de dominio\u201d, se trata de un concepto ajeno al Reglamento General de Protecci\u00f3n de Datos: no encontramos ninguna referencia a \u00e9l a lo largo de todo el art\u00edculo. La idea que subyace al considerando 43, y que cabe aplicar para valorar si el consentimiento es libre (arts. 4.11, 6.1.a) y 9.2.a) del RGPD), es el desequilibrio de poder. Si existe una parte fuerte y otra d\u00e9bil, habr\u00e1 que prestar mucha atenci\u00f3n a las circunstancias del caso y al desarrollo de la relaci\u00f3n para valorar si el interesado ha permitido la utilizaci\u00f3n de sus datos personales. Y es lo que suceder\u00e1 normalmente si el responsable del tratamiento tiene una posici\u00f3n de dominio; pero no tanto porque una empresa tiene tanto poder de mercado que puede actuar con independencia de los clientes, competidores, proveedores y consumidores (STJUE de 13.2.1979, Hoffmann-La Roche v. Comisi\u00f3n<\/em> (C-86\/76)<\/a>[ii]<\/a>, sino porque existe una disparidad de fuerzas que hace temer que el consentimiento de la parte d\u00e9bil no haya sido libre.<\/p>\n\n\n\n Dr. Carlos G\u00f3rriz L\u00f3pez<\/p>\n\n\n\n <\/a>[i]<\/a> Cabe a\u00f1adir que la justicia europea se ha pronunciado recientemente sobre el principio non bis in idem<\/em>. Por razones de espacio nos limitamos a remitirnos a los tres fallos m\u00e1s recientes: STJUE de 25 de febrero de 2021, Slovak Telekom a.s.<\/em>, (C-857\/19)<\/a>; STJUE de 22 de marzo de 2022, Bpost SA<\/em>, (C-117\/20)<\/a> y STJUE de 22 de marzo de 2022, Nordzucker AG, (C-151\/20)<\/a>.<\/p>\n\n\n\n <\/a>[ii]<\/a> \u201c\u2026The dominant position thus referred to relates to a position of economic strength enjoyed by an undertaking which enables it to prevent effective competition being maintained on the relevant market by affording it the power to behave to an appreciable extent independently of its competitors, its customers and ultimately of the consumers\u2026\u201d<\/p>\n","protected":false},"excerpt":{"rendered":" 1. El caso Meta Platforms contra Bundeskartellamt est\u00e1 despertando mucho inter\u00e9s en la comunidad jur\u00eddica por dos razones. La primer es por poner en contacto dos \u00e1mbitos aparentemente tan alejados como la protecci\u00f3n de datos y la defensa de la competencia. La segunda, porque una de sus partes es una de las grandes tecnol\u00f3gicas mundiales: […]<\/p>\n","protected":false},"author":651,"featured_media":0,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[2,1],"tags":[25],"class_list":["post-404","post","type-post","status-publish","format-standard","hentry","category-commercial-law","category-general","tag-proteccion-de-datos"],"_links":{"self":[{"href":"https:\/\/webs.uab.cat\/derecho-y-digitalizacion-empresarial\/wp-json\/wp\/v2\/posts\/404","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/webs.uab.cat\/derecho-y-digitalizacion-empresarial\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/webs.uab.cat\/derecho-y-digitalizacion-empresarial\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/webs.uab.cat\/derecho-y-digitalizacion-empresarial\/wp-json\/wp\/v2\/users\/651"}],"replies":[{"embeddable":true,"href":"https:\/\/webs.uab.cat\/derecho-y-digitalizacion-empresarial\/wp-json\/wp\/v2\/comments?post=404"}],"version-history":[{"count":1,"href":"https:\/\/webs.uab.cat\/derecho-y-digitalizacion-empresarial\/wp-json\/wp\/v2\/posts\/404\/revisions"}],"predecessor-version":[{"id":569,"href":"https:\/\/webs.uab.cat\/derecho-y-digitalizacion-empresarial\/wp-json\/wp\/v2\/posts\/404\/revisions\/569"}],"wp:attachment":[{"href":"https:\/\/webs.uab.cat\/derecho-y-digitalizacion-empresarial\/wp-json\/wp\/v2\/media?parent=404"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/webs.uab.cat\/derecho-y-digitalizacion-empresarial\/wp-json\/wp\/v2\/categories?post=404"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/webs.uab.cat\/derecho-y-digitalizacion-empresarial\/wp-json\/wp\/v2\/tags?post=404"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}