ANPD de Brasil obliga a WhatsApp a contratar una auditoría independiente sobre datos
La Autoridad Nacional de Protección de Datos (ANPD) determinó que WhatsApp debe contratar una auditoría externa independiente para verificar si las medidas adoptadas por la plataforma son suficientes para limitar el intercambio de datos personales con Meta. El Despacho Decisorio fue publicado en el marco del proceso que investiga la relación entre ambas empresas en el tratamiento de datos de usuarios brasileños.
La medida preventiva exige que WhatsApp seleccione, en un plazo de 45 días hábiles, una empresa certificada y sin vínculos con el grupo Meta, responsable de evaluar políticas de seguridad, gobernanza y retención de datos. La auditoría también deberá verificar incidentes relacionados con accesos indebidos por parte de empleados de Meta, así como comparar las prácticas adoptadas con normas internacionales.
Una vez concluida la auditoría, WhatsApp tendrá cinco días hábiles para enviar el informe a la ANPD y 20 días hábiles para presentar planes de acción correctiva junto con Meta, en caso de que existan no conformidades. La implementación de estos planes no podrá superar los 40 días hábiles, salvo autorización de la agencia.
También lee: Brasil | En 4 años, ANPD aplicó sanciones, multas e incluso suspendió la política de Meta
Además de la auditoría, la ANPD determinó que WhatsApp presente un Plan de Cumplimiento en un plazo de 20 días hábiles, con ajustes estructurales relacionados con transparencia, bases legales de tratamiento, interoperabilidad con servicios de Meta y comunicación con los usuarios.
Entre las determinaciones impuestas, se destacan:
• Prohibición de usar la base legal de ejecución del contrato para justificar tratamientos destinados a la mejora del servicio.
• Cambios en el Aviso de Privacidad Brasil, incluyendo una distinción clara entre actividades en las que empresas del Grupo Meta actúan como controladoras u operadoras.
• Separación y detalle de los servicios opcionales interoperables, como el intercambio de Estados en Facebook, con indicación explícita de qué datos se envían a Meta y con qué finalidad, incluida la publicidad.
• Ajustes en las pantallas de transparencia, que deberán mostrarse al inicio de cada uso de un recurso opcional, enumerando de forma taxativa los datos compartidos.
• Aclaración expresa de que, en Brasil, WhatsApp no utiliza datos para sugerir conexiones ni personalizar contenidos basados en esos datos.
La ANPD también emitió dos recomendaciones: que WhatsApp informe que las comunicaciones de marketing se envían fuera de la plataforma, y que incluya, en la tabla de tratamiento de datos, las bases legales correspondientes a cada operación.
El incumplimiento de las medidas será considerado una circunstancia agravante en un eventual proceso sancionador, pudiendo derivar en nuevas medidas preventivas o represivas. El cumplimiento de los plazos podrá ser tratado como atenuante, según el Reglamento de Dosimetría.
WhatsApp tendrá además cinco días hábiles para manifestarse sobre la Nota Técnica que fundamenta el despacho, y diez días hábiles para presentar un eventual recurso contra la decisión.