11

A este respecto, resulta que, en la Decisión impugnada, el CEPD solo se pronunció sucesivamente sobre los siguientes aspectos, respecto de los que, a su juicio, se habían manifestado objeciones pertinentes y motivadas: – sobre la existencia de un incumplimiento por parte de WhatsApp de las obligaciones de información establecidas en el artículo 13, apartado 1, letra d), del Reglamento 2016/679, relativo a determinada información que debe facilitarse a los interesados cuando los datos personales se hayan obtenido de ellos. Tal incumplimiento no había sido identificado por la autoridad de control irlandesa en su proyecto de decisión. El CEPD consideró, por el contrario, que WhatsApp había incumplido esta disposición; – sobre la calificación como datos personales de los elementos resultantes de un procedimiento denominado «Lossy Hashing Procedure», aplicado a los datos relativos a los «contactos» no usuarios de WhatsApp que figuran en las libretas de direcciones de los terminales de los usuarios de WhatsApp. La autoridad de control irlandesa no había calificado esos elementos como tales en su proyecto de decisión. El CEPD estimó, en cambio, que estos constituían en todo caso datos personales. Este aspecto tenía, según la Decisión impugnada, un posible impacto sobre la eventual constatación de una infracción por parte de WhatsApp de los artículos 5, apartado 1, letra c), y 6, apartado 1, del Reglamento 2016/679, y un impacto sobre el alcance de la infracción por parte de WhatsApp del artículo 14 del Reglamento 2016/679, así como sobre el nivel de la sanción pecuniaria impuesta por esos conceptos; – sobre la existencia de una violación por parte de WhatsApp del principio de transparencia enunciado en el artículo 5, apartado 1, letra a), del Reglamento 2016/679, que la autoridad de control irlandesa no había identificado en su proyecto de decisión. El CEPD consideró, sin embargo, que WhatsApp había violado este principio; – sobre la constatación de una infracción por parte de WhatsApp del artículo 13, apartado 2, letra e), del Reglamento 2016/679, relativo a determinada información que debe facilitarse a los interesados cuando los datos personales se hayan obtenido de ellos, que la autoridad de control irlandesa había considerado no estar en condiciones de declarar, ya que el investigador no se había pronunciado sobre la cuestión durante la investigación, y respecto de la cual estimaba que únicamente podía emitir una recomendación. El CEPD consideró, por el contrario, que la investigación cubría todas las disposiciones del artículo 13 del Reglamento 2016/679 y que se había declarado la existencia de una infracción de la disposición antes citada; – sobre la existencia de una infracción por parte de WhatsApp del artículo 6, apartado 1, del Reglamento 2016/679, relativo a las condiciones de licitud de un tratamiento de datos personales, respecto de la que no se había pronunciado la autoridad de control irlandesa. El CEPD consideró que, por razones de procedimiento, en efecto, no era posible pronunciarse y declarar la existencia de tal infracción; – sobre la ampliación de los motivos por los que WhatsApp había incumplido las obligaciones de información establecidas en el artículo 14 del Reglamento 2016/679, relativo a la información que debe facilitarse cuando los datos personales no se hayan obtenido del interesado, debido al análisis referente al segundo guion anterior. El CEPD confirmó el impacto que debía tener esa ampliación sobre las medidas correctivas de comportamiento y la sanción impuestas a WhatsApp; – sobre la existencia de una violación por parte de WhatsApp del principio enunciado en el artículo 5, apartado 1, letra c), del Reglamento 2016/679 de recoger únicamente los datos adecuados, pertinentes y limitados a lo necesario en relación con los fines de su tratamiento, sobre la que no se había pronunciado la autoridad de control irlandesa. El CEPD consideró que no se había demostrado tal violación sobre la base del expediente, en particular habida cuenta del ámbito de investigación utilizado para el procedimiento relativo a WhatsApp; – sobre el plazo, fijado en seis meses por la autoridad de control irlandesa, en el que, en virtud de las medidas correctivas, WhatsApp debía ajustarse a los requisitos del Reglamento 2016/679 que había incumplido. El CEPD redujo ese plazo a tres meses; – a los efectos de las medidas correctivas, sobre las modalidades de información de los no usuarios de WhatsApp en relación con el tratamiento de sus datos personales por parte de dicha empresa, al confirmar el CEPD la apreciación formulada a este respecto por la autoridad de control irlandesa en su proyecto de decisión; – a los efectos de las medidas correctivas, sobre la mención de los motivos adicionales del incumplimiento por parte de WhatsApp de las obligaciones establecidas en el artículo 14 del Reglamento 2016/679 (véase el segundo guion supra), al explicar el CEPD que dicha mención era necesaria para garantizar que WhatsApp adoptase las medidas correctivas adecuadas a este respecto; – a la luz del artículo 83 del Reglamento 2016/679, relativo a las «condiciones generales para la imposición de multas administrativas», sobre los criterios de la cuantía de las multas que debían imponerse a WhatsApp. El CEPD consideró que la autoridad de control irlandesa había incurrido en error al interpretar el criterio relacionado con el volumen de negocios anual global de la empresa de que se trata, que había interpretado acertadamente el concepto de «ejercicio financiero anterior», que había interpretado erróneamente la norma según la cual, si se infringen varias disposiciones del Reglamento 2016/679 en el marco de la misma operación de tratamiento o de operaciones vinculadas, la cuantía total de la multa administrativa no puede exceder de la cuantía fijada para la infracción más grave, que había interpretado correctamente algunos criterios de determinación de la multa, mencionados en el artículo 83, apartados 1 y 2, del Reglamento 2016/679 (intencionalidad o negligencia en las infracciones, gravedad de estas), pero que había interpretado erróneamente otros de esos criterios (toma en consideración del volumen de negocios para cuantificar la sanción independientemente del cálculo de su límite máximo y, más generalmente, necesidad de que la sanción sea efectiva, proporcionada y disuasoria); – sobre el nivel de las multas, el CEPD, al considerar que, a la vista de los errores de interpretación de determinados criterios de la cuantía de la multa en que incurrió la autoridad de control irlandesa (véase el undécimo guion supra) y de los incumplimientos adicionales de WhatsApp que han de declararse (véanse los anteriores guiones primero, tercero, cuarto y sexto), las cuantías de las multas previstas por la autoridad de control irlandesa en un nivel total de entre 30 y 50 millones de euros debían incrementarse.