El envío de publicidad ha sido una práctica empresarial muy habitual en las últimas décadas. El aumento del consumo de bienes y servicios ha propiciado que se hayan aumentado cada vez más las ofertas, de tal forma que comunicar el producto al consumidor final se ha convertido en una política prioritaria de cualquier empresa. No obstante, el abuso de este tipo de comunicaciones, en muchos casos masivas y sin control, se ha visto regulada en los últimos tiempos para dar lugar a una información personalizada y de calidad. Es aquí, donde el consentimiento cobra fuerza. Y un consentimiento expreso, sin acuerdos tácitos disfrazados, tal y como ha venido a afianzar el Reglamento General de Protección de Datos 679/2016 («RGPD»).
HECHOS
Los hechos parten de una página web, denominada como www.avocatnet.ro (perteneciente a la empresa INTELEGIO MEDIA, S.A.) en donde, para la creación de una cuenta, el portal suscribía automáticamente al usuario a una base de datos para el envío de información. Suscripción que almacenó los datos personales de 4357 usuarios sin recabar el consentimiento de los mismos, obviando cualquier aviso para negarse a recibir dichas comunicaciones.
INFRACCIÓN
El consentimiento expreso es una de las manifestaciones básica del RGPD. Ya en el Considerando 32 de esta norma se dispone que:
«El consentimiento debe darse mediante un acto afirmativo claro que refleje una manifestación de voluntad libre, específica, informada, e inequívoca del interesado de aceptar el tratamiento de datos de carácter personal que le conciernen, como una declaración por escrito, inclusive por medios electrónicos, o una declaración verbal. Esto podría incluir marcar una casilla de un sitio web en internet, escoger parámetros técnicos para la utilización de servicios de la sociedad de la información, o cualquier otra declaración o conducta que indique claramente en este contexto que el interesado acepta la propuesta de tratamiento de sus datos personales. Por tanto, el silencio, las casillas ya marcadas o la inacción no deben constituir consentimiento. El consentimiento debe darse para todas las actividades de tratamiento realizadas con el mismo o los mismos fines. Cuando el tratamiento tenga varios fines, debe darse el consentimiento para todos ellos. Si el consentimiento del interesado se ha de dar a raíz de una solicitud por medios electrónicos, la solicitud ha de ser clara, concisa y no perturbar innecesariamente el uso del servicio para el que se presta.»
Y, en el artículo 4.11 del RGPD, se especifica el consentimiento del interesado como:
«[…] «consentimiento del interesado»: toda manifestación de voluntad libre, específica, informada e inequívoca por la que el interesado acepta, ya sea mediante una declaración o una clara acción afirmativa, el tratamiento de datos personales que le conciernen; […]»
De este modo, www.avocatnet.ro, al no llevar a cabo un tratamiento lítico por ausencia de la voluntad de los usuarios, comente un incumplimiento claro del RGPD, que da lugar a la siguiente sanción (disctada de forma proporcional al alcance del perjuicio cometido):
SANCIÓN
La Autoridad Rumana de Protección de Datos ha decidido imponer a INTELEGIO MEDIA, S.A. una sanción total de 9000 euros, por vulneración de los artículos 5.1, letras a) y b); 6.1, letra a), y 7 del RGPD:
PRINCIPIOS RELATIVOS AL TRATAMIENTO.
Artículo 5.1., letras a) y b) del RGPD: «Los datos personales serán: a) tratados de manera lícita, leal y transparente en relación con el interesado («licitud, lealtad y transparencia»); b) recogidos con fines determinados, explícitos y legítimos, y no serán tratados ulteriormente de manera incompatible con dichos fines; de acuerdo con el artículo 89, apartado 1, el tratamiento ulterior de los datos personales con fines de archivo en interés público, fines de investigación científica e histórica o fines estadísticos no se considerará incompatible con los fines iniciales («limitación de la finalidad»);[…].»
LICITUD DEL TRATAMIENTO.
Artículo 6.1., letra a): «1. El tratamiento sólo será lícito si se cumple al menos una de las siguientes condiciones: a) el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos; […].»
CONDICIONES PARA EL CONSENTIMIENTO.
Artículo 7.1., letra a): «1. Cuando el tratamiento se base en el consentimiento del interesado, el responsable deberá ser capaz de demostrar que aquel consintió el tratamiento de sus datos personales; […].»
******************************************
Legislación vigente:
– RGPD [Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos)].
