Sobre el procedimiento equivalente del artículo 15 RDLOPD para la obtención del consentimiento para otras finalidades.
Constituye este artículo la segunda parte del anterior publicado en este blog sobre el artículo 15 RDLOPD, relativo a la solicitud del consentimiento en el marco de una relación contractual para fines no relacionados directamente con la misma.
Recordemos la redacción del precepto:
Si el responsable del tratamiento solicitase el consentimiento del afectado durante el proceso de formación de un contrato para finalidades que no guarden relación directa con el mantenimiento, desarrollo o control de la relación contractual, deberá permitir al afectado que manifieste expresamente su negativa al tratamiento o comunicación de datos.
En particular, se entenderá cumplido tal deber cuando se permita al afectado la marcación de una casilla claramente visible y que no se encuentre ya marcada en el documento que se le entregue para la celebración del contrato o se establezca un procedimiento equivalente que le permita manifestar su negativa al tratamiento.
En el post previo nos centramos en la redacción la leyenda (en positivo o negativo) que debe acompañar a la casilla a la que se refiere el precepto “se entenderá cumplido tal deber cuando se permita al afectado la marcación de una casilla claramente visible y que no se encuentre ya marcada en el documento que se le entregue para la celebración del contrato”.
Hoy quiero hablar sobre el establecimiento de ese procedimiento equivalente que permita al interesado manifestar su negativa al tratamiento de sus datos para otras finalidades que no guarden relación con el mantenimiento, desarrollo o control de la relación contractual.
“Equivalente” dicho de una persona, cosa o —en este caso— procedimiento, significa que equivale a otra, es decir, que es “igual a otra en la estimación, valor, potencia eficacia” (del diccionario de la RAE).
Entendiendo que el sistema de la casilla expuesto en el precepto parece vinculado al soporte físico, el papel, se me ocurren dos medios que podrían ser, sin problema, considerados como procedimiento equivalente, en función del canal de contratación:
- Si el canal de contratación es telefónico, la información y la solicitud de ese consentimiento se producirá de forma oral, probándose su prestación mediante la grabación de la conversación.
- Si el canal de contratación es electrónico, se trataría de introducir en el proceso de contratación electrónico el mismo sistema de casilla a marcar previsto en el papel, de forma que, además, sea auditable.
Ahora bien, ¿podría pensarse, que un procedimiento equivalente en el mundo físico podría preverse mediante un documento anexo al principal, a través del cual expresar la negativa a los tratamientos descritos en el documento contractual, en el que vienen redactados como aceptados, y con una invitación a cumplimentar el documento subordinado si no se quieren consentir?
De hecho, este es el sistema pergeñado por un centro médico privado canario, que hacía firmar un documento a los pacientes que deseaban ser atendidos en el servicio de urgencias, en el que constaba, entre otras cuestiones, que el paciente consiente a las cesiones de datos tanto a facultativos para su asistencia como a aseguradoras y terceros en caso de responsabilidad civil, así como transferencias internacionales en el caso de Compañías con sede en otros países, y a dar información a familiares y personas vinculadas. No obstante, en el último apartado del documento se le daba la posibilidad de oponerse a dichas cesiones e informaciones, mediante la cumplimentación de un segundo impreso, preparado al efecto por el centro, donde el interesado en cuestión podía oponerse a todos o alguno de los tratamientos expuestos en el documento principal.
De la literalidad del artículo 15 RDLOPD (“Si el responsable del tratamiento solicitase el consentimiento del afectado DURANTE EL PROCESO DE FORMACIÓN DE UN CONTRATO…”) parece desprenderse la no adecuación a la norma del sistema propuesto por esa entidad, y de hecho así lo ha manifestado la Agencia Española de Protección de Datos por medio de su resolución sancionadora R/00710/2014, de 28 de abril de 2014, en la que el ente de control entendió que el mecanismo para manifestar el rechazo al tratamiento es posterior al momento en que ya se han recabado los datos, cuando en todo caso debía ser simultáneo y recogerse en el mismo documento que se establezca para la celebración del contrato. Lo expresa la AEPD de la siguiente forma:
A este respecto, se recuerda que los mecanismos de rechazo deben estar incluidos en el propio documento a fin de posibilitar que el afectado pueda ser informado y manifestar, en el momento de facilitar sus datos, su negativa al uso de los mismos para fines no relacionados directamente con el proceso de formación del contrato en cuestión. El procedimiento equivalente citado por la entidad denunciada no permite al afectado manifestar su negativa en el momento en que se recaban los datos para el servicio de admisión de urgencias hospitalarias que se analiza, sino que lo posibilitan una vez ya prestado el consentimiento.
…
Es decir, en el presente caso, para cumplir con los requisitos establecidos en los señalados preceptos de la normativa de protección de datos, no basta con informar de “que los datos personales que nos facilite, incluida su firma, quedarán recogidos en los ficheros de USP Hospital Costa Adeje con domicilio social en Edf. Garajonay, Urb San Eugenio S/N 38660 Costa Adeja, con el fin de poderle prestar asistencia sanitaria, recordarle sus citas, revisiones, informarle sobre nuestros centros, servicios, tarjeta de fidelización USP y realizar encuestas de satisfacción, a través de cualquier medio, incluido el electrónico.”, tal y como se indica en el documento de “CLAUSULA URGENCIAS”. Para que dichos datos puedan ser utilizados por la entidad denunciada con posterioridad al momento de su recogida con los fines indicados en el citado documento de privacidad se considera necesario que dicha entidad, en su condición de responsable del tratamiento, permita al afectado que manifieste expresamente la negativa al tratamiento de sus datos para finalidades ajenas a la relación contractual, pues sólo así se observa plenamente el requisito de informar sobre la finalidad del tratamiento. En este caso, la entidad USP HOSPITALES DE CANARIAS SL Unipersonal no permite al afectado la marcación de una casilla claramente visible en el documento para que puedan marcarla y manifestar expresamente su negativa al tratamiento de sus datos para finalidades publicitarias.
La AEPD impuso a la entidad responsable por una infracción del artículo 5.1 de la LOPD, tipificada como leve en el artículo 44.2.c) de dicha norma, una multa de cinco mil euros.
Dicha resolución, previa reposición ante del Director de la AEPD (desestimada sin aportar nada nuevo de interés para este artículo), fue recurrida ante la Audiencia Nacional. Desgraciadamente, dicho Tribunal no entró a examinar la validez o no como procedimiento equivalente del sistema descrito, por cuanto al ser estimada la prescripción de la infracción defendida también por la entidad sancionada, en virtud de sentencia de 17 de julio de 2015 se estimó el recurso y la sanción fue revocada sin examinar el fondo del asunto.
No obstante, la Audiencia Nacional sí se ha pronunciado sobre este procedimiento equivalente en, al menos una anterior ocasión, en su sentencia de 30 de enero de 2013, sección 1ª de la Sala de lo Contencioso-Administrativo, examinando la resolución R/00263/2011 de la AEPD de 5 de mayo de 2011, dictada en el procedimiento sancionador PS/00428/2010. Esta sentencia es citada en la resolución sancionadora antes citada, y yo no he encontrado otra en las bases de jurisprudencia más usadas del mercado.
Les pongo en antecedentes:
El denunciante adquirió un ordenador a través del servicio de venta telefónica de El Corte Inglés, siendo objeto posteriormente de envíos publicitarios/promocionales sin que se hubiera solicitado para ello su consentimiento.
El Corte Inglés alegó que en la información LOPD ofrecida tanto en el catálogo de La Tienda en Casa, como su web, así como en el talón de venta que se entrega con la mercancía, contiene mención expresa del uso de los datos del cliente para hacerle llegar ofertas comerciales y de la posibilidad de ejercitar los derechos ARCO. Por tanto, a juicio de la empresa ésta no incurrió en incumplimiento alguno.
La AEPD en un primer momento decidió archivar las actuaciones simplemente sugiriendo (literal) a El Corte Inglés SA que cuando en la cláusula informativa referida al artículo 5 de la LOPD, se informe de la posibilidad de enviar publicidad, de hacer estudios de mercado, etc…, se incluya una casilla específica, que no este marcada por defecto, para que el interesado pueda oponerse al tratamiento de sus datos con finalidades distintas a las del contrato que se establezca entre ambas partes.
El denunciante recurrió el archivo y la AEPD estimó el recurso y acordó la apertura de actuaciones previas de investigación, que dieron origen al PS/00428/2010 en el que se dictó resolución sancionando a El Corte Inglés SA con una multa de 6.000.-€ por una infracción del artículo 5 LOPD, tipificada como leve en el artículo 44.2.d) de la misma norma, y con la siguiente argumentación:
En este caso, se ha comprobado que EL CORTE INGLES incumple las exigencias del artículo 5.1 de la LOPD y el artículo 15 de su reglamento de desarrollo por cuanto en lo referido al canal de contratación telefónico, no se informa a la persona que facilita sus datos como exige el citado artículo 5, y en lo referido a la web www.latiendaencasa.es, las clausulas informativas “Política de Seguridad y confidencialidad” y “Protección de datos y seguridad” no cumplen con las exigencias legales y reglamentarias por cuanto no especifican las finalidades determinadas, explícitas y legítimas relacionadas con la actividad de publicidad o prospección comercial, no informan sobre los sectores específicos y concretos de actividad respecto de los cuales podrá recibir información o publicidad, y por último no cumplen con la exigencia de posibilitar al afectado manifestar expresamente su negativa al tratamiento de sus datos para finalidades que no guarden relación directa con el mantenimiento, desarrollo o control de la relación contractual. La negrita es nuestra.
Pues bien, la entidad sancionada recurre ante la Audiencia Nacional y ésta confirma la resolución administrativa recurrida:
La persona que una vez elegido su producto por catálogo llama por teléfono a la entidad recurrente para realizar el pedido, sabe lógicamente, que tiene que entregar una serie de datos para tramitar y gestionar el pedido. Ahora bien, cuando se trata del tratamiento des datos para actividades como por ejemplo de prospección comercial, que no tienen relación directa con el mantenimiento, desarrollo o control de la relación contractual que motivó la recogida de datos, no basta con informar en el catálogo de la posibilidad de recibir publicidad, sino que hay que informar y dar la posibilidad de que el afectado pueda mostrar su negativa al tratamiento de sus datos con dicha finalidad, como así lo exige el artículo 15 del RDLOP en relación con el deber de información en la recogida de datos regulado en el citado artículo 5.1 LOPD.
Y en el caso de autos no se ha informado y dado la posibilidad al afectado de mostrar su negativa al tratamiento de sus datos personales con esos fines que no guardan relación directa con la relación contractual, ni en el momento de realizar el pedido telefónicamente, ni tampoco cuando se recibe el pedido en el domicilio en el talón de venta que tiene que ser firmado por el destinatario de la mercancía, como así hizo el denunciante.
Así, en el citado talón figura al dorso, bajo el rótulo “Condiciones Generales” que el titular autoriza a El Corte Inglés para que los datos contenidos en este documento puedan ser facilitados con fines comerciales y estudios de mercado con fines propios, única y exclusivamente a las empresas del Grupo El Corte Inglés, y se informa de la posibilidad de ejercitar los acceso, rectificación, cancelación y oposición. Pero no se contempla en el citado talón una negativa al tratamiento de los datos para dichos fines comerciales y estudios de mercado, no relacionados directamente con el mantenimiento o desarrollo de la relación contractual, lo que resultaría sumamente fácil, pues bastaría con la inserción de una casilla en blanco para que el interesado pudiera marcarla y oponerse al tratamiento de sus datos para dichas finalidades.
Lo mismo sucede cuando se adquieren productos de La Tienda en Casa a través de la página www.latiendaencasa.es al recogerse en dicha página, como única posibilidad, que el cliente autoriza expresamente a El Corte Ingles para que los datos de dicho registro (…) puedan ser facilitados a las empresas del grupo El Corte Inglés para que dichas empresas puedan realizar estudios de mercado, pero no se recoge en dicha página ninguna casilla que se pueda marcar o donde se pueda pinchar para oponerse al tratamiento con dichos fines no relacionados directamente con el mantenimiento, desarrollo o control de la relación contractual. En la citada página si bien se informa que en cualquier momento el cliente puede manifestar su deseo de no recibir ningún tipo de publicidad, en cambio no se le da la posibilidad de manifestar esa negativa en la propia página, que es a través de la que se efectúa la recogida de datos para la contratación del producto a adquirir.
Por tanto, de lo expuesto yo tengo claro que a mis clientes les aconsejaré seguir al pie la letra el criterio de la AEPD, porque con los rejones económicos previstos en la LOPD a ver quién es el guapo que dice lo contrario, pero… yo creo que la AN en su sentencia (citada literalmente por la AEPD) hace una interpretación más amplia de las posibilidades del artículo 15 RDLOPD y da más juego que el que establece la AEPD, ya que habla de la posibilidad de recabar ese consentimiento —o a expresar la negativa, en función de qué opción de redacción hayamos escogido, positiva o negativa— en el momento de entrega del bien adquirido, a través del talón de venta que se entrega con la mercancía. Y la entrega del bien adquirido, y ya pagado por el comprador, no pertenece al momento de la formación o perfección del contrato, sino que ya estamos en la posterior fase de su ejecución, es decir, de cumplimiento de aquellas obligaciones contraídas por los contratantes al perfeccionar el contrato a través del consenso de sus voluntades (art. 1254 Código Civil: El contrato existe desde que una o varias personas consienten en obligarse, respecto de otra u otras, a dar alguna cosa o prestar algún servicio). Estamos, por tanto, en un momento más allá, por utilizar la redacción del artículo 15 RDLPOD, del “proceso de formación del contrato”.
Habrá que planteárselo al ente de control, ¿no creen?
Foto: “15” de Leo Reynolds