La Federación alemana de Asociaciones de Consumidores (VZBV) de Renania del Norte, un organismo que, a semejanza de la española OCU (Organización de Consumidores y Usuarios), tiene como fin la representación de los intereses de los consumidores y fue quien interpuso la demanda que condujo a este fallo. Según se afirma en sus estatutos, la misión principal de la asociación es perseguir con acciones jurídicas cualquier infracción de los derechos de los consumidores o de las leyes del libre comercio. En este caso la demanda se dirigía contra Fashion ID GmbH & Co. KG, empresa subsidiaria de la marca de moda Peek & Cloppenburg, y tenía como objeto la forma como integraba el botón “Me gusta” en su tienda online fashionid.de. La empresa se había decantado, para ello, por la mencionada variante iFrame.
Consciente de la problemática legal que conlleva el envío de datos de los usuarios a Facebook, la compañía pensaba que con una Política de Privacidad accesible desde cualquier página de la tienda, que informaba al usuario de la utilización del plugin de Facebook y de la recolección de datos que este implica, se estaba cubriendo las espaldas. Además, la empresa recomendaba cerrar sesión en la red social, así como usar un denominado bloqueador de Facebook, una extensión para el navegador con el que se puede desactivar el plugin de la red social. Sin embargo, para la Asociación de Protección al Consumidor estas medidas no eran nada satisfactorias. Los puntos que fundamentaron la demanda fueron:
- El botón “Me gusta” sirve únicamente a propósitos publicitarios.
- Sin el consentimiento previo del usuario, no es legítimo enviar la dirección IP, que permite su identificación.
- La declaración de la Política de Privacidad no tiene lugarde antemano ni informa debidamente de la forma en que la extensión recoge los datos ni del uso que les da.
- La información que se proporciona al usuario sobre las posibles medidas de protección son solo correctas en parte, ya que cerrar sesión en la red social no basta si antes ya se han guardado las cookies.
Basándose en el claro carácter personal de los datos que se recolectan y envían, la audiencia provincial de Düsseldorf dio la razón a la VZBV. El tribunal fue unánime también en cuanto a que la compañía no había cumplido suficientemente con la obligación de informar al usuario según ordena la jurisprudencia alemana: ni solicita el consentimiento del usuario con antelación ni le informa de la recolección de los datos antes de que el plugin efectivamente recoja y envíe los datos a la empresa estadounidense.
Ya antes de que se hiciera pública la sentencia, que supuso a la empresa gastos de alrededor de 13.000 euros, el botón de Facebook estándar se sustituye por una solución técnica en dos pasos que implica una acción concreta del usuario, ya que el plugin está por defecto desactivado hasta que el usuario lo activa manualmente para poder usarlo, si así lo desea. Haciendo clic en “Desactivar Social Media” se revierte la orden y el plugin de Facebook deja de recolectar datos.