La importancia de leerse la letra pequeña

Es importante que leas atentamente las condiciones de cualquier producto o servicio que te ofrezcan de manera gratuita o proporcionándote algún tipo de beneficio. Aquí te explico por qué con un ejemplo real.

Temas

Han pasado casi dos años y medio desde que el Reglamento (UE) 2016/679, del Parlamento Europeo y del Consejo de 27 de abril de 2016 relativo a la protección de las personas físicas en lo que respecta al tratamiento de sus datos personales y la libre circulación de estos datos (RGPD en adelante), es plenamente aplicable en todos los Estados Miembros de la Unión Europea, y por tanto, en España. Además, estamos a punto de cumplir el segundo aniversario de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos y Garantía de Derechos Digitales (LOPDGDD en adelante). No obstante, a pesar del tiempo transcurrido, no se aplican correctamente estas normas. Y es que el RGPD no es una norma fácil, y a la vista tenemos las guías e informes de la Agencia Española de Protección de Datos, del desaparecido Grupo de Trabajo del Art. 29 creado por la Directiva 46/95/CE, y del actual Comité Europeo de Protección de Datos.

Me he animado a escribir estas líneas porque de manera fortuita, en mis quehaceres diarios, me he encontrado con las bases de una promoción consistente en el reembolso de parte del precio de un producto que he comprado, y al iniciar el proceso indicado, me han saltado las alarmas proteccionistas de datos personales (“deformación” profesional, lo sé). Ahora os cuento por qué.

Os pongo en situación. Bajo a la calle y me dirijo a la farmacia más cercana a comprar un complemento alimenticio. Cuando estoy eligiendo entre varias opciones, me informan que, si elijo el producto que finalmente compro, me reembolsan el 23% del precio, es decir, si compro ese producto, me sale un 23% más barato. Cuando voy a pagar me dicen que para tener derecho al reembolso debo seguir las instrucciones especificadas en la caja, que básicamente consiste en acceder a la página web del fabricante.

Tras entrar en la web, te piden que rellenes un formulario con tus datos personales, en concreto: nombre y apellidos, DNI, fecha de nacimiento, correo electrónico, IBAN y otros datos relacionados con la compra, como la provincia, el lugar de compra del producto, el CIF de la farmacia, fecha de la compra y el ticket de compra. Todos los datos están marcados como obligatorios para poder acceder a la promoción del reembolso de la cantidad, y antes de darle al botón “ACEPTAR”, tienes dos casillas para marcar: una es para aceptar las bases legales de la promoción; y otra para aceptar recibir publicidad (con enlace a la política de privacidad de la web). Hasta aquí os podría parecer todo normal, o no. A mi no me lo pareció.

La primera alarma que me saltó fue cuando me informan en la farmacia que el reembolso debe hacerse a través de la web que se indica en la caja del producto, y pensé ¿por qué no aplican el descuento en el momento de la compra en lugar de hacer un reembolso a través de una web? Seguidamente pensé: está claro que quieren mis datos pero, ¿para qué, por qué? ¿qué quieren hacer con ellos?

Photo by Emily Morter on Unsplash

La segunda alarma que me saltó fue cuando me pongo a leer las bases legales de la promoción y la política de privacidad. En las bases legales de la promoción, en el apartado de “Protección de datos”, lo único de lo que informan es de la base de legitimación, de la finalidad, y de la existencia de varios responsables del tratamiento. Concretamente se informa de lo siguiente: “el responsable del tratamiento son los organizadores con la finalidad de gestionar su participación en la Promoción y, en su caso, la publicación de su condición de ganador”. Y a continuación dicen: “mediante su participación en la Promoción consiente de manera expresa el tratamiento de sus datos con la finalidad de contar con su participación”.

Leyendo esto se me generaron varias dudas: ¿hay más de un organizador o se trata de un error? Si hay más de un organizador, ¿de quién se trata? Porque en la política de privacidad y términos de la promoción, sólo identifican a uno.

En relación con la finalidad del tratamiento, ¿la finalidad es gestionar la participación en la promoción y publicación del ganador o contar con mi participación? ¿Por qué hablan de publicar la condición de ganador? Todo parece apuntar a que se trata de unas bases reutilizadas de la propia empresa o de terceras, no se sabe. Lo único que queda claro es la falta de claridad en la información suministrada, no es transparente, incumpliéndose con el principio de transparencia que debe regir todo tratamiento de datos personales conforme prescribe el art. 5 y 12, en relación con el Considerando 39 del RGPD. Y es que, leyéndome esto, no sé quién o quiénes van a tratar mis datos personales y con qué finalidad. Además, si unimos esto a que realmente no sería necesario recabar todos estos datos para reducir el precio de compra, me sigue suscitando más curiosidad y ansiedad saber por qué y para qué quieren conocer y tener todos los datos que me están solicitando. Quizá, esto esté confeccionado así porque a la empresa le interese saber el perfil del cliente que compra cada gama de sus productos (género, edad, cuándo y dónde) para llevar a cabo estrategias de marketing y publicidad más enfocadas a su tipo de clientes, pudiendo dirigir sus promociones online a un segmento de la población perfectamente identificada en la correspondientes campañas de marketing. Esto claramente tiene fines de mercadotecnia directa y/o de elaboración de perfiles, no se sabe, son solo especulaciones basadas en la información suministrada y modo de captación de los datos. Pero sino, ¿qué sentido tiene recoger datos personales para aplicar un descuento?

Photo by Myriam Jessier on Unsplash

Además, tampoco sé el tiempo que van a conservar mis datos, y tampoco informan del derecho a presentar una reclamación ante la Agencia Española de Protección de Datos (art. 13.2.d. RGPD).

Aunque lo más interesante (desde una vertiente puramente jurista), es la base de legitimación que han indicado: el consentimiento. Explico el por qué.  Por un lado, se indica que el consentimiento es la base de legitimación, pero por otro lado se informa que, a pesar de tener el derecho a revocar el consentimiento, si lo haces pierdes toda oportunidad de participar en la promoción. Por tanto, no se trata de un consentimiento libre, ¿no? El RGPD deja claro que para que el consentimiento sea libre el interesado debe poder retirar su consentimiento sin sufrir perjuicio alguno. Aquí sí se deja claro en las bases legales que si retiras el consentimiento, dejas de participar en la promoción. En concreto se indica lo siguiente: “Le informamos de que Usted podrá revocar el consentimiento (…). En todo caso, queda informado de que la revocación de su consentimiento para la participación en la Promoción durante la realización del mismo comportará la imposibilidad de seguir participando en éste”. Parece que, de nuevo, el texto está pensando para un concurso y no para la promoción de un derecho de reembolso. Así pues, mi consentimiento no puede ser libre si se indica que en caso de revocación, se pierde el derecho al reembolso promocionado.

Quizá sería más acertado tomar como base jurídica del tratamiento el interés legítimo del responsable, por varios motivos: (1) como cliente del responsable existe una relación pertinente y apropiada entre interesado y responsable; (2) el tratamiento de datos, como poco, tiene fines de mercadotecnia directa, si no ¿para qué solicitan los datos personales de sus clientes? Hay otras formas que no requerirían la aportación de datos para reducir el importe del precio como, por ejemplo, a través de un descuento (en lugar de un reembolso).

En definitiva, este tratamiento de datos personales no cumpliría con: (1) el principio de licitud, ya que no existe un consentimiento válido conforme los requisitos exigidos por el RGDP (libre, informado y específico) y la finalidad del tratamiento indicada es, cuanto menos, confusa, existiendo otras bases de legitimación más acertadas; (2) el principio de transparencia, ya que no se proporcionada toda la información que el RGPD obliga y, además, la proporcionada no es clara, provocando confusión sobre aspectos relevantes como es la finalidad del tratamiento y el/los responsable/s del tratamiento; (4) y finalmente el principio de minimización de datos, por no ser adecuados, pertinentes o necesarios los datos solicitados. En este punto, considero que no es proporcional el volumen de datos solicitados para la supuesta finalidad del tratamiento, participar en una promoción de reembolso. El reembolso puede llevarse a cabo por medios distintos sin necesidad de tratar datos personales, como he comentado en líneas anteriores (aplicación de descuento directo en el momento de la compra). Haciendo el triple juicio de proporcionalidad establecido por el Tribunal Constitucional, este tratamiento no supera el juicio de necesidad y de proporcionalidad en sentido estricto, ya que hay medios menos invasivos en la privacidad de las personas, provocando más inconvenientes que ventajas si se toma como base la finalidad indicada en la política de privacidad. En cuanto al principio de limitación de conservación de los datos, desconocemos si se incumple, ya que no proporcionan información al respecto.

Esta falta de asesoramiento o de asesoramiento inadecuado es constitutiva de una infracción grave del art. 83.5 del RGPD y del art. 72 de la LOPDGDD (por incumplimiento de los principios de minimización y licitud), y de una infracción leve art. 74 de la LOPDGDD, por proporcionar una información incompleta. Esto está sancionado, para las infracciones graves, con una multa de cuantía equivalente al 4% como máximo del volumen de negocio anual global del ejercicio financiero anterior o 20.000.000.-€, y para el caso de las infracciones leves, con una multa de cuantía equivalente al 2% como máximo del volumen de negocio anual global del ejercicio financiero anterior o 10.000.000.-€, optándose ambos casos por la de mayor cuantía.

Como os decía al principio, este es un claro ejemplo de que tras casi 2 años y medio de plena aplicabilidad del RGPD, sigue sin ser bien aplicado o, peor aún, sin ser tomado en serio. No debemos olvidar que el derecho a la protección de los datos personales es un derecho fundamental reconocido en nuestra Constitución Española y en la Carta de Derechos Fundamentales de la Unión Europea, y por tanto, merece de una especial atención y protección. Los datos personales pertenecen a su titular en exclusiva, y para permitir que este derecho se limite (dejando que terceros traten esos datos), debe llevarse a cabo bajo los límites establecidos en el marco legal.

Comparte

Comparte en Facebook
Comparte en LinkedIn
Comparte en Twitter
Comparte por mail

Deja una respuesta

Tu dirección de correo electrónico no será publicada. Los campos obligatorios están marcados con *

   He leido y acepto la Política de Privacidad