El Informe 0046/2010 del Gabinete Jurídico de la Agencia Española de Protección de Datos (AEPD) aborda la adecuación a la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (LOPD) del tratamiento de datos personales de menores de edad en el contexto de la entrega de tarjetas de fidelización.
El informe comienza señalando que la actividad descrita constituye un tratamiento de datos personales, conforme al artículo 3.c) de la LOPD, y por tanto está sujeta a las obligaciones y requisitos establecidos por la normativa de protección de datos. Entre estas obligaciones se encuentra la necesidad de obtener el consentimiento del interesado y de informarle sobre sus derechos, la identidad del responsable del tratamiento y el uso que se dará a los datos.
El consentimiento para el tratamiento de datos debe ser libre, inequívoco, específico e informado, y debe estar vinculado a finalidades determinadas, específicas y legítimas. La Audiencia Nacional ha interpretado que «finalidades incompatibles» significa «finalidades distintas». Este consentimiento debe ser recabado en el momento de la recogida de los datos, y debe incluir información clara y precisa sobre la existencia del fichero, la finalidad de la recogida de datos, los destinatarios de la información, el carácter obligatorio o facultativo de la respuesta, las consecuencias de la obtención o negativa de los datos, y los derechos de acceso, rectificación, cancelación y oposición.
En el caso de menores de edad, el Reglamento de desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, establece que el consentimiento para el tratamiento de datos de menores de 14 años debe ser otorgado por sus padres o tutores. Para menores de 14 años, el consentimiento debe ser otorgado por los padres o tutores, y la información dirigida a los menores debe ser comprensible y adaptada a su edad.
El informe también subraya que los datos personales solo pueden ser recabados si son adecuados, pertinentes y no excesivos en relación con las finalidades determinadas. Se prohíbe recabar datos que permitan obtener información sobre otros miembros del grupo familiar o características del mismo sin el consentimiento de los titulares de tales datos, salvo en casos específicos para completar la capacidad del menor para consentir.
En cuanto a la prueba del consentimiento, corresponde al responsable del tratamiento demostrar la existencia del consentimiento del afectado. En el caso de menores, se deben articular procedimientos que garanticen la verificación efectiva de la edad del menor y la autenticidad del consentimiento prestado por los padres o tutores. Se recomienda acompañar la solicitud con una fotocopia del DNI de los padres o tutores para verificar la firma.
Finalmente, el responsable del fichero debe conservar los documentos que acrediten el cumplimiento del deber de información, utilizando medios que permitan acreditar su cumplimiento y garantizando la integridad de los soportes originales.