El Informe 0059/2009 del Gabinete Jurídico de la Agencia Española de Protección de Datos (AEPD) aborda la conformidad de un documento de información sobre el tratamiento y cesión de datos personales con la Ley Orgánica 15/1999 de Protección de Datos de Carácter Personal (LOPD) y su Reglamento de desarrollo, aprobado por el Real Decreto 1720/2007.
La consulta se refiere a una carta enviada por una empresa de publicidad y prospección comercial a un médico del servicio de salud vasco. La carta informa sobre el tratamiento y cesión de sus datos personales y concede un plazo de 30 días para que el médico se oponga a dichos tratamientos. La LOPD define el tratamiento de datos como cualquier operación técnica que permita la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación de datos, así como su cesión.
El informe destaca que, según el artículo 6.1 de la LOPD, el tratamiento de datos personales requiere el consentimiento inequívoco del afectado, salvo en casos específicos como el ejercicio de funciones públicas, la necesidad de cumplir un contrato o la protección de un interés vital. La cesión de datos, definida como la revelación de datos a una persona distinta del interesado, también necesita el consentimiento del afectado, salvo excepciones.
El documento de información debe cumplir con el deber de transparencia, informando al afectado sobre la existencia del fichero, la finalidad del tratamiento, los destinatarios de la información, y los derechos de acceso, rectificación, cancelación y oposición. Si los datos no proceden del propio afectado, este debe ser informado dentro de los tres meses siguientes al registro de los datos.
El informe subraya que, para el tratamiento de datos con fines publicitarios o de prospección comercial sin consentimiento, los datos deben proceder de fuentes accesibles al público. Estas fuentes incluyen el censo promocional, los repertorios telefónicos, listas de grupos profesionales y medios de comunicación. La empresa debe informar al afectado sobre el origen de los datos y la identidad del responsable del tratamiento.
El documento recibido por el consultante no menciona la procedencia de los datos, por lo que la información facilitada no es suficiente. Sería necesario recabar el consentimiento del consultante para dichos tratamientos. Además, el afectado debe tener un medio sencillo y gratuito para manifestar su negativa al tratamiento de sus datos, como un número telefónico gratuito o un envío prefranqueado.
En caso de incumplimiento de las obligaciones previstas, el afectado puede solicitar la tutela de sus derechos ante la AEPD. El informe concluye que, para que el tratamiento y cesión de datos sean conformes con la LOPD, es esencial cumplir con el deber de información y, en su defecto, obtener el consentimiento del afectado.