Las multas por la vulneración de la normativa de Protección de Datos son ya algo habitual. Las empresas han empezado a responder por sus acciones, tanto por la denuncia de particulares, como por la actividad inspectora de la Agencia Española de Protección de Datos («AEPD»).
Una de las últimas resoluciones en ser publicadas afecta a la empresa de productos cosméticos Avón. La sanción de 60.000 euros que se le ha impuesto afecta directamente a uno de los elementos clave de una relación contractual: el consentimiento.
HECHOS
Una mujer sufre la sustracción de su tarjeta de crédito. Esta tarjeta es utilizada por un tercero para la compra por internet de productos de la empresa Avón. Productos, los cuales, no son abonados, de tal modo que Avón decide incluir los datos de la titular de la tarjeta en un fichero de solvencia patrimonial. Este hecho motivó que la afectada por la sustracción acabara en la lista de morosos de la Asociación Nacional de Establecimientos Financieros de Crédito («ASNEF»).
INFRACCIÓN LEGISLATIVA
El artículo 6.1 del Reglamento General de Protección de Datos 2016/679, de 27 de abril («RGPD») establece que: «1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones: b) el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales.»
En el presente caso, la denunciante no había firmado contrato alguno con Avón, de forma que esta empresa no puede acreditar la legitimación para el tratamiento de datos de la interesada. En este sentido, reiterada jurisprudencia ha destacado que, para que se pueda sostener la existencia de una relación contractual, debe existir una documentación que avale el consentimiento del titular. Además, según el RGPD, este consentimiento debe prestarse de forma expresa para que se desenvuelvan los servicios contratados. Una situación que, en el presente caso, no se produjo, ya que la mercantil Avón no disponía de consentimiento alguno para tratar los datos de la mujer afectada y, aún así, hizo uso de los mismos.
Legislación vigente:
– RGPD [Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos)].
– LOPDGDD (Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales).
