| Informe | 2009-0295 |
| Enlace | 📋 |
El Informe 0295/2009 del Gabinete Jurídico de la Agencia Española de Protección de Datos (AEPD) aborda la aplicación de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, en el contexto de servicios de análisis de bases de datos de clientes de entidades aseguradoras. La consulta plantea cuál sería la posición jurídica de la consultante, que a través de una empresa subcontratada, accedería a estas bases de datos para analizar la información y asesorar sobre los perfiles de destinatarios de campañas publicitarias.
El informe establece varias premisas clave para su análisis. En primer lugar, se considera que la empresa subcontratada accederá únicamente a datos de las empresas que la contraten, sin actuar como «listbrokers» ni realizar cruces, depuraciones o enriquecimientos de la información. Su actividad se limita a permitir a la consultante determinar los perfiles de clientes existentes que podrían ser destinatarios potenciales de acciones comerciales.
La cuestión central del informe es la aplicación del artículo 46.2 del Reglamento de desarrollo de la Ley Orgánica 15/1999, que determina la responsabilidad del tratamiento de datos en campañas publicitarias. Este artículo establece que, si una entidad contrata a un tercero para realizar una campaña publicitaria, el anunciante es responsable del tratamiento, aunque no tenga acceso material a los datos.
El informe revisa la doctrina del Tribunal Supremo, que diferencia entre el responsable del fichero (quien decide la creación y finalidad del fichero) y el responsable del tratamiento (quien realiza las actividades específicas de tratamiento de datos). La Sentencia del Tribunal Supremo de 26 de abril de 2005 subraya que, aunque una entidad no realice materialmente el tratamiento, puede ser responsable si decide sobre la finalidad, contenido y uso del tratamiento.
En el caso planteado, la actividad de la consultante se limita al análisis de los ficheros de clientes de las entidades aseguradoras contratantes, sin realizar la campaña publicitaria. Por lo tanto, la consultante actuaría como encargada del tratamiento, no siendo de aplicación el artículo 46.2 del Reglamento. La entidad aseguradora contratante sería la responsable del tratamiento, ya que decide sobre la finalidad y uso de los datos.
En resumen, el informe concluye que, bajo las premisas establecidas, la consultante no sería responsable del tratamiento de datos según el artículo 46.2 del Reglamento, sino que actuaría como encargada del tratamiento para la entidad aseguradora contratante.