1. Concepto y actividad de las redes sociales

Internet es utilizado diariamente por más de 3,000 millones de personas, es decir, más del 40% de la población total del mundo.² Una de las grandes atracciones de Internet es, sin lugar a dudas, el fenómeno de las redes sociales. Actualmente, es muy difícil encontrar a alguna persona que declare no utilizar algunas de las más famosas como Facebook o Twitter.

Para poder realizar una correcta definición de las redes sociales en el mundo del derecho actual se debe, en primer lugar, poner de manifiesto la realidad de la sociedad de la información. La ley 34/2002, del 11 de julio, de servicios de la sociedad de la información y de comercio electrónico (LSSI) define a los servicios de la sociedad de la información, como “todo servicio prestado normalmente a título oneroso, a distancia, por vía electrónica y a petición individual del destinatario”.³

Este concepto engloba “las actividades típicas de los prestadores de servicios de Internet y de los suministradores de servicios y contenidos en línea, incluida la actividad de los prestadores de servicios de redes sociales y la organización de subastas”.⁴ Así lo establece también el artículo 4o., LSSI, cuando dicta que los prestadores que dirijan sus servicios específicamente al territorio español “quedarán sujetos a las obligaciones previstas en esta Ley, siempre que ellos no contravengan lo establecido en tratados o convenios internacionales que sean aplicables”.

En virtud de lo anterior, no cabe duda que las redes sociales se enmarcan dentro de los servicios de la información. Las redes sociales online pueden ser definidas como “servicios que se prestan a través de Internet y que posibilitan a los usuarios crear un perfil púbico, donde plasman datos personales e información, contando con herramientas que permiten interactuar con el resto de usuarios, sean afines o no al perfil”.⁵

Tradicionalmente, las redes sociales se han enmarcado dentro del concepto de web 2.0, concepto que es definido como

...una nueva tendencia en el uso de las páginas webs, en la cual el usuario es el centro de la información y se convierte en generador de contenidos. Supone un cambio en la filosofía, una actitud, una forma de hacer las cosas que identifica el uso actual de Internet que hacen tanto los internautas como las empresas, pasando de ser meros consumidores a productores y creadores de contenido.⁶

Otros autores centran sus esfuerzos en diferenciar esta nueva etapa tecnológica de la anterior, definiéndola de la siguiente manera:

...en los medios tradicionales y en la web 1.0 los dueños de las webs tienen pleno control sobre ellas, tanto sobre la información que exponen como sobre el acceso y nivel de interactividad que quieren fomentar. Sin embargo, en la web 2.0 el control pasa directamente a todos los usuarios en igualdad de condiciones. El control está en los propios usuarios de la red social.⁷

En la actualidad, este concepto de web 2.0 ha quedado obsoleto. En efecto, el concepto predominante debe ser el de web 3.0, o semantic web.⁸ Debe entenderse esta acepción de web semántica como aquella que contiene un nivel de organización de ideas y contenidos que ofrece una respuesta rápida a la demanda de información necesitada por el individual. Como se desprende de lo anterior, el desarrollo tecnológico es imparable, pero

...si bien el creciente desarrollo tecnológico representa grandes beneficios para las personas en términos de acceso al conocimiento y a la información, trae aparejado riesgos significativos para el titular de los datos personales, que circulan sin mayor control en la red, lo cual merma de manera importante la protección de su esfera privada y determinación informativa.⁹

Internet, sin lugar a dudas, ha incrementado el auge de derechos, como la libertad de información y la libertad de expresión; sin embargo, al mismo tiempo ha creado de una manera demoledora riesgos para derechos fundamentales tan importantes como el de la protección de datos o el derecho a la intimidad, entre otros. La población vive actualmente con una demanda de información constante y con una necesidad, a veces incomprensible, de narrar sus acontecimientos vitales a través de las redes sociales, de suerte tal que existen autores que relacionan las redes sociales con el ego, así: “el ego mueve el mundo y, sin duda, mueve las redes sociales, y en esta expresión continua de nuestro yo dejamos al pairo su parte más íntima, sin ser conscientes, mientras lo hacemos, de cuánto de nosotros exponemos ni del peso que esa exposición tendrá en el futuro”.¹⁰

Las redes sociales son armas de doble filo, ya que, por una parte, el funcionamiento intrínseco de las mismas posibilita al ciudadano electrónico poder comunicarse con amigos o personas que viven a una distancia que no permite su contacto directo, o permiten observar las fotos o videos que sus “amigos” deciden compartir, material que, en ocasiones, se sube de forma inconsciente. ¿Qué ocurre si alguien decide utilizar esas fotos para publicarlas con alguna información que puede ser dañina, o si decide utilizar los comentarios vertidos en redes sociales con el mismo fin? La respuesta a la cuestión anterior es muy importante, ya que el daño producido puede ser irreversible y además, en ocasiones, las fotos subidas, los comentarios expuestos y el estilo de vida que una persona ha querido describir a través de estas redes sociales puede ser contraproducente en un futuro. De esta manera, como publicó el Huffington Post en el proceso de contratación americano, más del 35% de las empresas no contrataban a empleados por aspectos que habían descubierto (investigando su pasado en redes sociales).¹¹ Éste fue el caso de Stacy Snyder, quien no fue acreditada para dar clases como profesora por la Conestoga Valley High School por subir a una red social una foto de ella tomando bebidas alcohólicas.¹²

Las redes sociales realizan una actividad jurídica, como es la correspondiente al tratamiento de datos personales, datos que las personas deciden normalmente colgar voluntariamente en las mismas. El derecho a la protección de datos es un derecho fundamental del individuo, consagrado en la normativa comunitaria, concretamente en la Carta de los Derechos Fundamentales de la Unión Europea del 18 de diciembre de 2000. Es el artículo 8o. de la Carta el que establece que

...toda persona tiene derecho a la protección de los datos de carácter personal que la conciernan. Estos datos se tratarán de modo leal, para fines concretos y sobre la base del consentimiento de la persona afectada o en virtud de otro fundamento legítimo previsto por la ley. Toda persona tiene derecho a acceder a los datos recogidos que la conciernan y a su rectificación. El respeto de estas normas quedará sujeto al control de una autoridad independiente.¹³

La regulación instrumental de este derecho fundamental se encuentra recogida a nivel comunitario en la Directiva 95/46/CE del Parlamento Europeo y del Consejo, del 24 de octubre de 1995, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de éstos. Así, el artículo 1o. de la Directiva 95/46 regula el objeto de la misma, siendo: “la protección de las libertades y de los derechos fundamentales de las personas físicas, y, en particular, del derecho a la intimidad, en lo que respecta al tratamiento de los datos personales”.¹⁴

Pero la Directiva de 1995 ha quedado obsoleta, ya que en 1995 no se podría tener en la mente los avances que la revolución informática está produciendo en el mundo.¹⁵ Por eso, la Comisión Europea aprobó el 25 de enero de 2012 una propuesta de Reglamento del Parlamento Europeo y del Consejo, relativo a la protección de las personas físicas en lo que respecta al tratamiento de los datos personales y a la libre circulación de datos, propuesta que ha sido modificada en númeras ocasiones, y cuyo último texto disponible se encuentra fechado en junio de 2015.¹⁶ El texto fue presentado para su adopción como posición del Consejo en primera lectura, y ésta se remitió al Parlamento para su aprobación. El Reglamento entró en vigor el 24 de mayo de 2016 y será aplicable a partir de la primavera de 2018, por lo tanto será de aplicación el régimen jurídico europeo determinado anteriormente.¹⁷

En todos los países europeos, la protección de datos personales se encuentra establecida directamente en sus Constituciones, debido a la influencia de la normativa europea. Así, en el caso de España, el derecho fundamental a la protección de datos aparece consagrado en el artículo 18.4 de la Constitución española. Dicho precepto dicta: “la ley limitará el uso de la informática para garantizar el honor y la intimidad personal y familiar de los ciudadanos y el pleno ejercicio de sus derechos”.¹⁸ La regulación instrumental del derecho fundamental a la protección de datos se encuentra en el ordenamiento jurídico español en la Ley Orgánica 15/1999, del 13 de diciembre, De protección de datos (LOPD); ley que fue dictada como consecuencia de la necesidad de trasponer la Directiva 95/46 aludida anteriormente y su Reglamento de desarrollo aprobado por el Real Decreto 1720/2007, del 21 de diciembre.

Distinta al caso de los países europeos es la regulación del derecho a la protección de datos en los países de Latinoamérica. En efecto, dependiendo del país que se analice, puede ser que la protección de datos personales se encuentre protegida expresamente en la Constitución de un país, como ocurre en Colombia, Ecuador y Perú, o no, como es el caso de Costa Rica o el de México, pero entre este grupo de Estados destaca el paradigmático caso de Chile, ya que éste fue el primer país de Iberoamérica que aprobó una ley de protección a la privacidad, la Ley 19628, sobre protección de la vida privada, que contiene los principios fundamentales de la protección de datos personales.¹⁹

2. Los principios del tratamiento de datos personales

Después de hacer mención al marco jurídico existente tanto a nivel europeo como a nivel nacional del derecho fundamental a la protección de datos personales, es menester desarrollar los principios de un adecuado tratamiento de datos personales. Para ello, toca hacer mención a diferentes artículos de la LOPD, Ley que tiene por objeto “garantizar y proteger, en lo que concierne al tratamiento de los datos personales, las libertades públicas y los derechos fundamentales de las personas físicas, y especialmente de su honor e intimidad personal y familiar”.²⁰ El propio texto legal establece en su artículo 3o. una definición de tratamiento de datos personales, considerando que existe tratamiento cuando se produzcan operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias.

Principio de calidad de los datos. El artículo 5o. de la LOPD regula este principio y establece que los datos de carácter personal sólo se podrán recoger para su tratamiento, así como someterlos a dicho tratamiento, cuando sean adecuados, pertinentes y no excesivos en relación con el ámbito y las finalidades determinadas, explícitas y legítimas para las que se hayan obtenido. Los datos de carácter personal, objeto de tratamiento no podrán usarse para finalidades incompatibles con aquellas para las que los datos hubieran sido recogidos. No se considerará incompatible el tratamiento posterior de éstos con fines históricos, estadísticos o científicos.

Principio del consentimiento del afectado. Regulado en el artículo 6o. de la LOPD, establece que el tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la ley disponga otra cosa, consentimiento que podrá ser revocado cuando exista causa justificada para ello y no se le atribuyan efectos retroactivos. En relación con la posibilidad de revocación, algunos autores consideran que “teniendo en cuenta la trascendencia del consentimiento, que la disponibilidad de los datos que, en su caso, lo fundamenta afecta a derechos fundamentales de la persona y que la directiva no dice nada en relación con la revocación, solo cabe concluir que, en principio, la revocación del consentimiento ha de ser tan libre como la emisión”.²¹ Además, se establece una excepción a la necesidad de prestar consentimiento, como ocurre en el caso de que los datos de carácter personal se recojan para el ejercicio de las funciones propias de las administraciones públicas en el ámbito de sus competencias.

Principio de seguridad de los datos personales. El artículo 9o. de la LOPD regula una de las salvaguardas más importantes del derecho fundamental a la protección de datos personales. En efecto, este precepto establece el deber que el responsable del tratamiento deberá adoptar, como las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten su alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural.

Principio del deber de secreto. En este caso, es el artículo 10 de la LOPD el que lo establece, utilizando los siguientes términos:

...el responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo.

Una vez expuestos los anteriores principios y salvaguardas de un adecuado tratamiento de datos personales, es preciso mencionar la posibilidad de exigir el cumplimiento tanto en vía administrativa como en judicial de los mismos. En efecto, el artículo 18 de la LOPD establece que las actuaciones contrarias a lo dispuesto en su articulado pueden ser objeto de reclamación por los interesados ante la Agencia de Protección de Datos.²² Y contra las resoluciones que ésta emita procederá recurso contencioso-administrativo.

Puede ocurrir que de un inadecuado tratamiento de datos personales pueda surgir para el usuario una lesión de otro derecho (piénsese, por ejemplo, en una posible filtración de los mensajes privados en una determinada red social, de la que puede derivarse una violación del derecho al honor o a la intimidad personal del usuario). En estos casos, la normativa, objeto de análisis, establece que los interesados que como consecuencia del incumplimiento de las salvaguardas previstas, debido a la incorrecta actuación del responsable o el encargado del tratamiento, sufran daño o lesión en sus bienes o derechos, tendrán derecho a ser indemnizados. Cuando se trate de ficheros de titularidad pública, la responsabilidad se exigirá de acuerdo con la legislación reguladora del régimen de responsabilidad de las administraciones públicas, pero en el caso de los ficheros de titularidad privada, la acción se ejercitará ante los órganos de la jurisdicción ordinaria. En relación con este derecho a obtener una indemnización, existen opiniones que consideran que “la formulación de la Ley es excesivamente genérica y resulta insuficiente al no concretar con cierto rigor los requisitos que han de cumplirse para reclamar la indemnización”.²³

1. Análisis de los términos y condiciones de uso de Ashley Madison

El objetivo del presente apartado es asociar la realidad práctica del tratamiento de datos personales realizado por parte de una red social, a la normativa vigente de protección de datos descrita con anterioridad. Para ello, en primer lugar, es menester recordar que cuando una persona accede a una red social y rellena un cuestionario con sus datos, está otorgando su consentimiento para que sus datos personales sean tratados, aunque ésta desconozca que esté autorizando dicha cesión. Así lo establece R. Martínez Martínez:

...la mayor parte de nuestra sociedad carece de una cultura de protección de datos y ello se manifiesta de modo contundente en los procesos de captación de datos personales. Basta con comprobar hasta qué punto, ya sea en Internet o en soporte físico convencional, se tiende a actuar de modo que la prestación del consentimiento se plantee como un trámite tedioso más que el titular de los datos personales debe cumplimentar cuanto antes para llegar a su objetivo de comprar un bien o recibir un servicio. Tanto más tediosa será la técnica empleada cuanta mayor información se desee obtener.²⁴

Realizada la anterior precisión, es el momento de hacer mención a la red social Ashley Madison ¿Qué ocurre si una persona se registra en una web de infidelidades, depositando todos sus datos personales, y éstos son objeto de una publicación posterior? En ocasiones, la realidad supera a la ficción, y el ejemplo anterior ha ocurrido en la praxis, ya que se han filtrado los datos de los usuarios registrados en la página de citas Ashley Madison.²⁵ En agosto de 2015 se publicaron los datos de casi 39 millones de personas que formaban parte de este portal web, personas que han visto cómo su intimidad ha sido violada a través de Internet. La empresa española Tecnilógica elaboró un mapa donde se mostraban el punto exacto de localización de estos usuarios,²⁶ y a modo de curiosidad establecieron que São Paulo y Nueva York encabezan el ranking con el mayor número de ciudadanos registrados, 374,554 y 268,247, respectivamente.

Entre las cuestiones que los usuarios tendrán que desmontar de dicha red social para poder exigir una indemnización a la misma destaca fundamentalmente la respuesta a dos en concreto, ¿queda sujeta esta red social con sede en Chipre a la normativa europea, y por ello, a la española, de protección de datos personales?, ¿puede un usuario de esta red social con domicilio en España, acudir a los tribunales españoles para pedir esta indemnización?

Para responder a las dos cuestiones se debe partir, en primer lugar, de la exposición de las condiciones de términos y servicios que establece Ashley Madison en el proceso de registro en la misma. Sobre esta última cuestión destaca especialmente la siguiente información obtenida de su propia página web:

...si bien hacemos todo lo posible por mantener la seguridad necesaria para proteger sus datos personales, no podemos garantizar la seguridad o la privacidad de la información que usted proporciona a través de Internet o de sus mensajes de correo electrónico. Nuestra Política de Privacidad queda incorporada a los Términos mediante esta referencia. Acepta eximirnos de responsabilidad, tanto a nosotros como a nuestra casa matriz… reconoce y entiende que, debido a la incerteza implícita en el uso de los sistemas de información e internet y a los potenciales ataques malintencionados por parte de entidades externas, no podemos garantizar que el uso de nuestros sistemas, sitios web y aplicaciones sea totalmente seguro.²⁷

En vista de la anterior afirmación, el usuario que se registra, si realiza una lectura comprensiva del texto, observará cómo la propia empresa no asegura una privacidad de su información privada, siendo esto una razón de peso para no proceder a registrarse en el portal web. En este sentido, se debe recordar el principio de seguridad de los datos personales que se encuentra en el artículo 9o. de la LOPD que, como se estableció con anterioridad, obliga al encargado del tratamiento a adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten su alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, provengan de la acción humana o del medio físico o natural.

La cláusula sexta de los términos y condiciones de uso también merece ser destacada, estableciendo la misma que

...al enviar contenidos (como, entre otros, su foto o información de su perfil o de otro tipo) a nuestro Sitio, usted declara que renuncia absolutamente a todos los derechos morales de ser identificado como autor del contenido, incluso su fotografía y perfil, y derechos similares en cualquier jurisdicción del mundo. Al enviar contenidos (incluso, entre otros, su fotografía y perfil) usted automáticamente otorga, y declara un derecho ilimitado, perpetuo, mundial, no exclusivo, libre de regalías, irrevocable y transferible y una licencia para usar, reproducir, exhibir, transmitir. No tenemos ninguna obligación de eliminar su perfil, fotografía e información de nuestro Servicio, incluso después de haber cancelado su membrecía [sic].²⁸

De lo anterior se extrae que el usuario que quiera formar parte de la red social objeto de estudio debe aceptar renunciar a reclamar cualquier derecho moral respecto a su posible identificación como miembro de la red social en todas las jurisdicciones. En un sentido similar al anterior, la cláusula decimoquinta establece que

...usted acepta que no seremos responsables de ningún daño, incluso daños directos, indirectos, incidentales, punitorios, especiales, emergentes o ejemplares (aunque hayamos sido informados de la posibilidad de que ocurran tales daños), que se relacionen con lo siguiente: (c) divulgación o alteración de su contenido, o acceso no autorizado a este [sic].²⁹

Realmente, esta cláusula debe considerarse nula de acuerdo con la legislación española, ya que el Código Civil en sede contractual establece en el artículo 1256 que la validez y el cumplimiento de los contratos no pueden dejarse al arbitrio de uno de los contratantes, y en el artículo 1102, que la responsabilidad procedente del dolo es exigible en todas las obligaciones, siendo la renuncia de la acción para hacerla efectiva nula. También debería hacerse mención en este momento a la normativa de protección a los consumidores y usuarios, pero la misma se efectuará cuando se responda a la segunda cuestión planteada anteriormente, ya que la posible consideración de la relación entre una red social y sus usuarios como de consumo, altera el régimen de competencia judicial internacional aplicable.

En la cláusula decimonovena se puede encontrar una sumisión obligatoria a resolver todas las controversias jurídicas que se planteen contra Ashley Madison, mediante un proceso arbitral en Chipre, que además se desarrollará conforme a la Ley de Arbitraje de Chipre. Se establece además que la decisión del árbitro será definitiva y vinculante; no obstante, el juicio del árbitro podrá ser presentado en cualquier tribunal que tenga jurisdicción y ejecución posterior u otro proceso legal puede ser emitido al respecto. La responsabilidad de ambas partes se limita a la suma de 5,000 dólares por daños. Las partes renuncian a recibir daños indirectos, emergentes, especiales, punitorios o ejemplificatorios, o daños o reparaciones que excedan el monto permitido por este Acuerdo, y el árbitro no tendrá facultades para otorgar estos daños.

En último lugar se debe hacer mención a la cláusula vigesimosegunda, donde se establece que el usuario debe aceptar que la red social sólo tiene su base en Chipre y cualquier conflicto se debe resolver aplicando su legislación. Así:

...usted acepta que: (i) se entenderá que el Servicio tiene su base únicamente en la República de Chipre; (ii) el Servicio se considerará un servicio pasivo que no hace lugar a jurisdicciones en razón de la persona sobre Ashley Madison, sean estas específicas o generales, en jurisdicciones distintas de la República de Chipre; y (iii) los Términos, y su relación con Ashley Madison conforme a estos Términos, estarán regidos por las leyes substantivas internas de la República de Chipre, independientemente de sus principios de conflictos entre leyes. Estos Términos serán interpretados de acuerdo con la ley de la República de Chipre, sin hacer referencia a los principios de conflictos entre leyes.³⁰

Para responder a las dos cuestiones enunciadas con anterioridad, aparte de hacer mención a los términos y condiciones de uso, se debe analizar el apartado que lleva por rúbrica “política de privacidad”. En efecto, Ashley Madison establece en el mismo, cuestiones muy importantes dentro del derecho fundamental a la protección datos, como el tipo de datos que almacena:

...recopilamos datos personales de usted utilizando diversos medios, incluido cuando se registra con nosotros en la página Web. Asignamos categorías a los datos personales en dos tipos de información: información que identifica a la persona (“IIP”) e información que no identifica a la persona (“INIP”); a esta última también se la denomina datos agregados y anónimos. Algunos de los datos recopilados pueden estar relacionados con la salud, el origen étnico, la vida sexual u otra información que puede considerarse confidencial.³¹

Respecto a los datos referentes al origen étnico, la salud o la vida sexual, se debe establecer que la normativa española de protección de datos, en su artículo 7o. constituye la obligación de que sólo pueden ser recabados, tratados y cedidos cuando sea de interés general, cuando así lo disponga una ley o el afectado consienta expresamente. Realmente, es discutible que en el caso en concreto, la aceptación general de las condiciones de términos y servicios haciendo click en el apartado “Aceptar” sea suficiente para que medie un consentimiento expreso por parte de los usuarios acerca del tratamiento de datos personales especialmente protegidos.³²

En la declaración de privacidad se establece cómo el usuario autoriza a la red social para compartir o vender todos los datos personales que recopile, incluso algunos tan trascendentes como los de origen étnico o la vida sexual con terceros, o también se reservan el derecho de compartir la información financiera de los clientes, ya que esta red social es de pago. En último lugar, se debe destacar que Ashley Madison se reserva el derecho de alterar su política de privacidad sin necesidad de pedir el consentimiento a sus usuarios sobre la misma, ya que consideran que el simple uso de la red social provocaría un consentimiento tácito al cambio realizado por parte de los usuarios, aunque se establecen dos excepciones donde si preguntaran a los usuarios si aceptan o no dicha política de privacidad: Suecia y España. En el caso de España, se establece expresamente que

...podemos realizar cambios en esta Declaración de privacidad en cualquier momento y siempre se los notificaremos antes de que tales cambios materiales entren en vigor. Si las correcciones afectan al procesamiento de sus datos personales, le solicitaremos su consentimiento expreso a la Declaración de privacidad revisada.³³

2. Análisis de la aplicación de la normativa europea y española de protección de datos

Una vez analizadas las políticas de privacidad y sus términos y condiciones de servicios, es necesario dar respuesta a las dos cuestiones enunciadas, empezando por la relativa al derecho aplicable; por tanto, ¿queda sujeta esta red social con sede en Chipre a la normativa europea, y por ello a la española de protección de datos personales?

Para responder a esta cuestión se debe en primer lugar partir de lo previsto en la Directiva 95/46/CE del Parlamento Europeo y del Consejo, del 24 de octubre de 1995, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, anteriormente citada. Concretamente, en su artículo 4o. establece que los Estados miembros aplicarán las disposiciones nacionales que hayan aprobado para la transposición de la Directiva, en el caso de España, la LOPD, en una serie de supuestos:

En el caso objeto de estudio, parece que el primer apartado de los descritos anteriormente es el que resulta de aplicación, ya que Ashley Madison opera en varios Estados distintos, debiendo, según lo establecido en el apartado 4.1 a), adoptar las medidas necesarias para garantizar que cada uno de dichos establecimientos cumpla las obligaciones previstas por el derecho nacional aplicable; sin embargo, la cuestión queda lejos de resolverse tan simplemente. En efecto, como se instituyó en el análisis de las condiciones de términos y servicios de la red social, la cláusula vigesimosegunda establece que el usuario debe aceptar que la red social sólo tiene su base en Chipre, y cualquier conflicto sólo se debe resolver aplicando su legislación, de suerte tal que si efectivamente, independientemente de la validez o no de esa cláusula, Ashley Madison sólo posee un establecimiento en Chipre y no en ningún otro país, lo cual resulta complicado aplicar literalmente la normativa comunitaria que menciona expresamente el término “establecimiento”.

Además, la propia Ley Orgánica de Protección de Datos española dispone en su artículo 2o. que se regirá por la misma, todo tratamiento de datos de carácter personal cuando el tratamiento sea efectuado en territorio español en el marco de las actividades de un establecimiento del responsable del tratamiento, cuestión que no ocurre en el presente caso, y cuando al responsable del tratamiento no establecido en territorio español le sea de aplicación la legislación española de acuerdo con normas de derecho internacional público. Este segundo supuesto sí se encuentra en conexión con lo establecido en la normativa europea, pero aun así, con base en lo previsto en ambas normativas, resulta difícil determinar si efectivamente Ashley Madison ha actuado de forma incorrecta y los usuarios españoles podrían tener derecho a una indemnización en vía civil³⁴ debido a un inadecuado tratamiento de datos personales,³⁵ en virtud de lo previsto en el artículo 19 de la LOPD.

La respuesta a la pregunta necesita alguna precisión más, y la misma al no encontrarse en los textos legales, debe venir suministrada por los tribunales de justicia. En efecto, el Tribunal de Justicia de la Unión Europea se ha pronunciado en dos ocasiones acerca de la aplicación de una normativa nacional de un país miembro sobre protección de datos personales hacia una compañía que no tenía su establecimiento de facto en el país en cuestión. El primer pronunciamiento se produjo con la sentencia TJUE (Gran Sala) del 13 de mayo de 2014, más conocida como sentencia Google,³⁶ sentencia que ha venido a consagrar la existencia de un auténtico derecho al olvido³⁷ de los ciudadanos contra la actividad de los motores de búsqueda. El pronunciamiento del TJUE tiene su origen en una cuestión prejudicial planteada por la Audiencia Nacional Española, a través de su auto del 27 de febrero de 2012, donde decidió plantear al Tribunal de Justicia de la Unión una cuestión prejudicial de interpretación al amparo del artículo 267 del Tratado de Funcionamiento de la Unión Europea.

El asunto consistía, entre otras cuestiones, en determinar si Google, compañía americana, debía respetar su actuación en España, la normativa europea y española de protección de datos. De lo enunciado hasta el momento, parece que el caso se asemeja al objeto del presente estudio, ya que se pretende aplicar la normativa europea y española a una compañía que no tiene su sede en el Estado miembro en cuestión, siendo determinante para ello, como se estableció anteriormente en la exposición del artículo 4o. de la Directiva de protección de datos comunitaria, la existencia de un establecimiento en el país en cuestión para poder aplicar la normativa propia del mismo. Pues bien, el TJUE en su sentencia del 13 de mayo de 2014 estableció el criterio interpretador del término “establecimiento”, considerando que dicha interpretación debe realizarse de forma flexible.

Google siempre mantuvo en el proceso la inaplicabilidad de la Directiva, debido a que las funciones de buscador las realiza Google Search, compañía con sede en Estados Unidos de América, mientras que en España el único establecimiento con el que contaba era Google Spain, empresa que se dedicaba a gestionar los ingresos publicitarios, “lo cual permite que el servicio del motor de búsqueda resulte rentable y, al mismo tiempo, se constituya en el medio que permite realizar esas actividades”.³⁸ El Tribunal en el análisis de esta cuestión llega a la conclusión de que la actividad desarrollada por Google Spain se enmarca dentro del término establecimiento utilizado por la Directiva, ayudado en este razonamiento por lo establecido en el considerando 19 de la Directiva, que añade dos requisitos para catalogar una actividad desarrollada por una organización como un establecimiento, que son, en primer lugar, el ejercicio efectivo y real de una actividad mediante una instalación estable, y en segundo lugar, la no importancia de la forma jurídica del establecimiento en cuestión.³⁹ Para llegar a esta conclusión, el TJUE además “consideró que la protección eficaz y completa perseguida por la Directiva 95/46 obliga a prescindir de una interpretación restrictiva del término marco de actividades reducida a que el tratamiento deba realizarse por el establecimiento”.⁴⁰

De lo anterior, se puede extraer que para el TJUE en el marco del tratamiento de datos personales, el término “establecimiento” como criterio para aplicar la normativa comunitaria y la nacional de un país debe considerarse de manera flexible; pero para poder responder a la cuestión planteada acerca de la aplicabilidad de la normativa comunitaria y española a la red social Ashley Madison todavía debe destacarse el contenido de la sentencia del TJUE del 1 de octubre de 2015, más conocida con el nombre de Weltimmo.⁴¹ Dicho proceso versaba en la controversia existente entre una empresa que se dedicaba a vender pisos por Internet en diferentes países, y con domicilio establecido en un país miembro de la Unión, como es Eslovaquia, y la agencia de protección de datos de Hungría. En síntesis, se juzgaba si la agencia húngara podría aplicar sus normas de protección de datos personales propias para sancionar las conductas inadecuadas cometidas por la empresa con domicilio en Eslovaquia, siendo éste un caso bastante similar al estudiado en el presente trabajo.

El TJUE resuelve esta cuestión en los apartados 24 a 41 de su sentencia, partiendo en primer lugar de la interpretación del ámbito territorial de aplicación de la Directiva Europea de Protección de datos establecido en la sentencia del caso Google. Así, vuelve a interpretar de manera flexible el término establecimiento, considerando que

...es preciso considerar, habida cuenta del objetivo de garantizar una protección eficaz y completa del derecho a la intimidad y evitar que eluda la normativa aplicable que persigue la Directiva, que la presencia de un único representante puede bastar, en determinadas circunstancias, para constituir una instalación estable si actúa con un grado de estabilidad suficiente a través de los medios necesarios para la prestación se los servicios concretos de los que se trate en el Estado miembro en cuestión.⁴²

Una vez puntualizada dicha interpretación de la normativa, el TJUE analiza el supuesto fáctico. Concretamente, el Tribunal considera que “la actividad ejercida por Weltimmo consiste, como mínimo, en la gestión de uno o varios sitios de Internet de anuncios de inmuebles situados en Hungría, que están redactados en Húngaro y que pasan a ser de pago transcurridos el primer mes. Por lo tanto, procede señalar que dicha sociedad ejerce una actividad real y efectiva en Hungría”.⁴³ Añade el Tribunal que la sociedad contaba con un representante en Hungría que se menciona en el registro de sociedades de Eslovaquia. Como se puede observar, la mera existencia de un representante de una sociedad que presta servicios en Internet es suficiente para considerar que existe un establecimiento en otro Estado miembro.

En vista de la anterior argumentación, el Tribunal concluye permitiendo la aplicación del derecho de protección de datos nacional de un Estado miembro sobre una empresa de prestación de servicios en Internet, con sede principal en otro Estado miembro. En efecto:

...el artículo 4, apartado 1, letra a) de la Directiva 95/46 debe interpretarse en el sentido de que permite aplicar la legislación relativa a la protección de datos personales de un Estado miembro distinto de aquel en el que está registrado el responsable del tratamiento de esos datos, siempre que esta ejerza, mediante una instalación estable en el territorio de dicho estado miembro, una actividad efectiva y real, aun mínima, en cuyo marco se realice el referido tratamiento.⁴⁴

Ahora sí, es momento de poder responder a la primera cuestión planteada. En el caso en cuestión, y en vista de los argumentos jurisprudenciales emitidos por el TJUE, ampliando de manera muy flexible el ámbito de aplicación territorial de la Directiva Comunitaria, y por ello, extendiendo de facto el poder de las diferentes normativas nacionales, considerando, que Ashley Madison ofrece un servicio en España; realizando indudablemente un tratamiento de datos personales de personas con residencia en España, y siendo razonable pensar que al menos dispondrá de algún representante legal que gestione sus intereses en el citado país, se debe considerar que Ashley Madison debe responder por infringir el principio de seguridad de los datos, al no adoptar todas las medidas necesarias para salvaguardar los mismos, y podrá ser demandado en vía civil por los afectados en las filtraciones de sus datos personales. En el mismo sentido, aunque en referencia a las redes sociales en general, se manifiesta Aparicio Vaquero al considerar que

...es difícil pensar en supuestos den los que no resulte de aplicación la legislación española de protección de datos a proveedores de SRS cuando estos prestan sus servicios a usuarios que físicamente se encuentren en territorio español, con todo lo que ello conlleva en orden al cumplimiento de la misma, las responsabilidades que se deriven y la sujeción a la autoridad de control nacional.⁴⁵

3. Análisis de la competencia judicial internacional

Es el momento de responder a la segunda pregunta planteada anteriormente, ¿puede un usuario de esta red social con domicilio en España, acudir a los tribunales españoles para pedir esta indemnización?

Para poder responder a esta pregunta se debe hacer mención en primer lugar al posible carácter patrimonial existente en la relación entre la red social y sus usuarios. En efecto, existe un enorme debate doctrinal en relación con la gratuidad u onerosidad del contrato que surge entre una red social y su usuario, debate que puede ser entendible en redes sociales totalmente gratuitas para el usuario, aunque también en estos casos:

...cabría incluso cuestionar que el contrato de suscripción o afiliación a una red social en cuya virtud se presta el servicio sea un contrato gratuito pues, en realidad, hay prestaciones por ambas partes de claro contenido patrimonial, en relación sinalagmática: la de servicio, de un lado, y, por lo menos la cesión de datos que lo permite y que, en actos de ejecución posteriores, supone la propia actividad en la red.⁴⁶ Realmente, en el caso objeto de análisis, el debate anterior tiene una respuesta más sencilla, ya que, al tratarse Ashley Madison de una red social de pago, el claro contenido patrimonial de la relación contractual existente subyace en toda la relación.

La segunda cuestión que se debe aclarar es la relativa a la posible relación de consumo que existe entre los usuarios de esta red social y la misma. Como es sabido, la protección de los consumidores se encuentra llena de salvaguardas muy importantes, y que, en materia de competencia judicial, alteran el régimen aplicable. Para determinar si existe relación de consumo se debe acudir al Real Decreto Legislativo 1/2007, del 16 de noviembre, por el que se aprueba el texto refundido de la Ley General para la Defensa de los Consumidores y Usuarios y otras leyes complementarias,⁴⁷ LGDCU, concretamente a su artículo 3o. que establece que son consumidores o usuarios las personas físicas que actúen con un propósito ajeno a su actividad comercial, empresarial, oficio o profesión. El concepto de empresario aparece en el artículo 4o. como toda persona física o jurídica, ya sea privada o pública, que actúe directamente o a través de otra persona en su nombre o siguiendo sus instrucciones con un propósito relacionado con su actividad comercial, empresarial, oficio o profesión.

En función de lo establecido en la normativa, parece lógico concluir que en este caso en concreto sí existe una relación de consumo entre los usuarios de la red social y Ashley Madison, quien actúa como un empresario ofreciendo por medio de su red virtual el acceso a contactos al consumidor, que recíprocamente abona cantidades periódicas para permanecer en la citada red social. Además son contratos celebrados a distancia,⁴⁸ donde el consumidor no puede negociar ninguna de las cláusulas del mismo, son contratos de adhesión, es decir, o se acepta todo su contenido o no se puede acceder a la red social.

Es el momento de rescatar el contenido de la cláusula decimonovena de las condiciones de términos y servicios de Ashley Madison, donde se puede encontrar una sumisión obligatoria a resolver todas las controversias jurídicas que se planteen contra la red social mediante un proceso arbitral en Chipre, que además se desarrollará conforme a la Ley de Arbitraje de Chipre. En función del contenido de dicha cláusula aceptada por los usuarios, la respuesta a la pregunta planteada llevaría a afirmar la imposibilidad de poder reclamar en vía civil ante los tribunales españoles la inadecuada actuación de la red social; no obstante, esto no es del todo cierto. En efecto, la Directiva 93/13/CEE del Consejo, del 5 de abril de 1993, tratándose de las cláusulas abusivas en los contratos celebrados con consumidores,⁴⁹ establece en su artículo 3o. que las cláusulas contractuales que no se hayan negociado individualmente se considerarán abusivas⁵⁰ si, pese a las exigencias de la buena fe, causan en detrimento del consumidor un desequilibrio importante entre los derechos y obligaciones de las partes que se derivan del contrato. Además, se considerará que una cláusula no se ha negociado individualmente cuando haya sido redactada previamente y el consumidor no haya podido influir sobre su contenido, en particular en el caso de los contratos de adhesión.

Esta Directiva hace mención a la redacción individual de las condiciones en los denominados contratos de adhesión, es decir, los contratos típicos de las redes sociales donde el usuario sólo puede aceptar o rechazar todas las condiciones en su conjunto. En virtud de la misma deben considerarse abusivas que restrinjan los derechos de los consumidores, y realmente una cláusula de sumisión expresa de arbitraje⁵¹ ante un tribunal arbitral en Chipre sí puede considerase una restricción de los derechos de los consumidores, ya que difícilmente podrán acudir a dirimir las controversias a dichos países. Asimismo, la normativa española de protección de los consumidores establece en su artículo 90, prohibiciones similares en relación con los pactos de competencia y derecho aplicable impuestos individualmente por el empresario al consumidor.⁵² Por tanto, la cláusula de sumisión a un proceso arbitral en Chipre debe considerarse abusiva, de tal suerte que la solución a la cuestión planteada vendrá determinada por el régimen de competencia judicial internacional existente tanto en las normativas internacionales como en las nacionales.

El Reglamento 1215/2012 del Parlamento Europeo y del Consejo del 12 de diciembre de 2012, relativo a la competencia judicial, el reconocimiento y la ejecución de resoluciones judiciales en materia civil y mercantil, establece en sus artículos 17 a 19 un sistema de competencia especial en el caso de contratos celebrados con consumidores.⁵³ Concretamente, el artículo 18 estipula que el consumidor podrá interponer su acción judicial ante los órganos jurisdiccionales del Estado miembro en que esté domiciliada dicha parte o, con independencia del domicilio de la otra parte, ante el órgano jurisdiccional del lugar en que esté domiciliado el consumidor. Además, este régimen competencial deja sin aplicación la sumisión al proceso arbitral en Chipre que establecía el contrato de términos y servicios, ya que “estas cláusulas no podrán ser invocadas válidamente por el prestador de servicios online para desplazar la competencia reconocida por el sistema Bruselas a los tribunales de un Estado miembro a favor de un tercer Estado”.⁵⁴

Por tanto, y en virtud de lo expuesto anteriormente, la respuesta a la cuestión debe ser afirmativa. Si algún usuario que resida en España ha sufrido un inadecuado tratamiento de datos personales por parte de Ashley Madison, puede interponer una acción en vía civil ante los tribunales españoles, ya que la legislación ampara sus derechos como consumidor de esta red social.