La denuncia de FACUA contra Facebook, archivada por la Agencia de Protección de Datos

Pese a que por parte de Facebook se ha reconocido que existieron deficiencias que ocasionaban el acceso por parte de terceros no autorizados al identificador (UID) de los usuarios de la red social que se conectan a aplicaciones desarrolladas sobre la misma, la Agencia Española de Protección de Datos ha archivado el caso por no haberse podido acreditar que los datos de usuarios que accedieran desde España se hayan visto afectados.

En 2010 FACUA denunció ante la Agencia Española de Protección de Datos a Facebook para que investigara la violación de las normas de confidencialidad de Facebook a través de numerosos juegos y aplicaciones de la red social.

En Resolución publicada ahora por la Agencia Española de Protección de Datos, de fecha 17 de octubre de 2011, se afirma que:

“En el presente caso, a pesar de que por FACEBOOK se han reconocido las deficiencias denunciadas por la organización de usuarios FACUA CONSUMIDORES EN ACCIÓN, por la Agencia no se ha constatado que efectivamente los datos de usuarios que acceden desde territorio español hubieran sido indebidamente comunicados por las aplicaciones a terceros, no habiéndose recibido tampoco ninguna denuncia de ninguno de esos usuarios en la que se ponga de manifiesto una posible vulneración de la normativa española de protección de datos a este respecto concreto.”

Y esto a pesar de que en efecto Facebook reconoció que esa deficiencia estaba presente en varias aplicaciones en su red social (en concreto 9), y que estima en 10.993 el número de usuarios de la red social ubicados en España que, sólo como muestra entre el 18/7/2010 y el 18/10/2010, autorizaron el uso de aplicaciones desarrolladas por los 9 citados. No podían determinar, sin embargo, si los UIDs de esos concretos usuarios fueron efectivamente compartidos con el tercero explotador de bases de datos. Se estima que el período máximo de compartición intencionada había sido de un año en la mayoría de los casos.

No obstante, como se ha indicado, la AEPD invoca el principio de presunción de inocencia para archivar la denuncia toda vez que no se presentó ninguna denuncia por ciudadano español afectado ni consta acreditado que en efecto algún ciudadano conectado desde España se haya visto afectado.