El Informe Jurídico 0575/2008 del Gabinete Jurídico de la Agencia Española de Protección de Datos (AEPD) aborda dos cuestiones principales relacionadas con la protección de datos personales en el contexto de una empresa dedicada a la venta de recargas telefónicas.
Primero, se analiza si la creación de un fichero automatizado con números de teléfono desde los que se han adquirido recargas puede considerarse un fichero de datos de carácter personal. Según la normativa vigente, un dato de carácter personal es cualquier información concerniente a personas físicas identificadas o identificables. La AEPD señala que un número de teléfono móvil por sí mismo no es un dato personal, a menos que se asocie con otros datos que permitan identificar a su titular. Por lo tanto, la aplicación de la Ley Orgánica de Protección de Datos (LOPD) dependerá de si el número de teléfono puede ser vinculado a otros datos que permitan identificar a la persona.
En segundo lugar, se examina si es conforme con la normativa de protección de datos que la cláusula informativa se limite a una leyenda en el ticket de compra que remita a la política de privacidad de la empresa en su página web. La LOPD exige que los interesados sean informados de manera expresa, precisa e inequívoca sobre la existencia del fichero, la finalidad de la recogida de datos, el carácter obligatorio o facultativo de la respuesta, las consecuencias de la obtención de los datos, y la posibilidad de ejercitar los derechos de acceso, rectificación, cancelación y oposición. La AEPD considera que la remisión a una página web no es una forma idónea de cumplir con este deber de información, ya que la información debe proporcionarse con carácter previo a la solicitud de los datos y debe permitir acreditar su cumplimiento.
En resumen, el informe concluye que un número de teléfono móvil no es un dato personal por sí mismo, a menos que se pueda identificar a su titular mediante otros datos. Además, la remisión a una política de privacidad en una página web no es suficiente para cumplir con el deber de información exigido por la LOPD, ya que la información debe ser proporcionada de manera previa y debe permitir acreditar su cumplimiento.