La naturaleza imprecisa de los datos recogidos por las redes sociales, junto con las normas legales de protección de datos personales, sugiere a los gestores de las redes sociales, y a quienes utilizan los datos recogidos de estas redes con fines de investigación, que, más que la categoría de la red social, tengan en cuenta tanto el tipo de datos que se tratan como los siguientes criterios principales:
– la finalidad para la que utilizan los datos;
– la normativa aplicable y, en particular, los conflictos normativos que puedan surgir de su actividad y los fines originales de la recogida de datos personales en las redes sociales.
Una red social es un servicio de la sociedad de la información. El concepto de servicio de la sociedad de la información se menciona en el artículo 2.a y en los considerandos 17 y 18 de la Directiva 2000/31/CE, así como en el artículo 4 (25) del RGPD. Todos ellos hacen referencia al artículo 1.1.b de la Directiva de la UE 2015/1535. Un servicio de la sociedad de la información es todo servicio prestado normalmente a cambio de una remuneración, a distancia, por medios electrónicos y a petición individual de un destinatario de servicios.
Los operadores de una red social tienen la doble condición de prestadores de servicios sociales y responsables del tratamiento, según su política de privacidad, que los considera como tales.[1] Como proveedores de servicios sociales, están sujetos a la responsabilidad de los artículos 12 a 15 de la Directiva 2000/31/CE. Como responsables del tratamiento de datos, son responsables tanto de garantizar que los datos se tratan de acuerdo con el artículo 5 del RGPD, como de poder demostrarlo (art. 5.2 del RGPD). Aquellos que utilicen la red social con fines que vayan más allá de ser un mero usuario (por ejemplo, el uso de las redes sociales para la investigación) también se considerarán responsables del tratamiento de datos, y serán responsables en consecuencia. Sin embargo, también es cierto que, en caso de corresponsabilidad, los responsables pueden intervenir en distintas fases del tratamiento de los datos personales y en distintos grados. En este caso, el nivel de responsabilidad de cada uno de ellos debe evaluarse teniendo en cuenta todas las circunstancias pertinentes del caso concreto.[2]
- Para aclarar las respectivas funciones y responsabilidades de los proveedores de medios sociales y de los destinatarios, es importante tener en cuenta las directrices Comité Europeo de Protección de Datos: EDPB Guidelines 8/2020 on the targeting of social media users Version 2.0 Adopted on 13 April 2021, en: https://edpb.europa.eu/system/files/2021-04/edpb_guidelines_082020_on_the_targeting_of_social_media_users_en.pdf, p. 11) y la jurisprudencia pertinente del TJUE. Las sentencias Wirtschaftsakademie (C-210/16), Testigos de Jehová (C-25/17) y Fashion ID (C-40/17) son especialmente relevantes en este caso. ↑
- Véase: 4 Sentencia en Wirtschaftsakademie, C-210/16, apartado 43; Sentencia en Testigos de Jehová, C-25/17, apartado 66 y Sentencia en Fashion ID, C-40/17, párrafo 70. ↑