El Informe 0257/2011 de la Agencia Española de Protección de Datos (AEPD) aborda la aplicación de la Ley Orgánica 15/1999 de Protección de Datos de Carácter Personal y su Reglamento de desarrollo en el contexto de campañas publicitarias. El informe responde a doce cuestiones planteadas por una entidad consultante, centrándose en la determinación de responsabilidades y el tratamiento de datos personales en diferentes escenarios publicitarios.
### Principales Puntos del Informe:
1. **Determinación de Responsabilidades**:
– **Responsable del Tratamiento**: La entidad que fija los parámetros identificativos del público objetivo de una campaña publicitaria es considerada responsable del tratamiento de datos. Si estos parámetros son determinados por una entidad contratada, esta última asume la responsabilidad. Si ambas entidades intervienen, ambas son responsables.
– **Sentencia del Tribunal Supremo**: La conformidad de estas disposiciones ha sido ratificada por la Sentencia del Tribunal Supremo de 15 de julio de 2010, que subraya la importancia del consentimiento informado y específico del interesado.
2. **Consentimiento del Interesado**:
– **Información Específica**: El consentimiento debe ser inequívoco y específico, informando a los interesados sobre los sectores concretos de actividad respecto de los cuales recibirán publicidad. Cláusulas genéricas o ambiguas no son válidas.
– **Ejercicio de Derechos**: Los interesados deben ser informados sobre sus derechos de acceso, rectificación, cancelación y oposición.
3. **Relación entre Responsable y Encargado del Tratamiento**:
– **Contrato y Medidas de Seguridad**: La relación debe estar regulada por un contrato que especifique las instrucciones del responsable y las medidas de seguridad a implementar. El encargado del tratamiento no puede utilizar los datos para fines distintos a los acordados.
– **Subcontratación**: La subcontratación está permitida si se cumplen ciertos requisitos, como la especificación de los servicios subcontratados y la formalización de un contrato adecuado.
4. **Escenarios Específicos**:
– **Agente Comercial**: Si el agente comercial no participa en el tratamiento de datos ni en la determinación del público objetivo, no asume la responsabilidad del tratamiento. Sin embargo, si actúa como encargado del tratamiento, debe cumplir con las normativas correspondientes.
– **Deduplicación de Datos**: La deduplicación de bases de datos para evitar envíos duplicados no se considera una cesión de datos si se limita estrictamente a esta finalidad. Un uso inadecuado de los datos podría ser considerado cesión.
### Conclusiones:
El informe subraya la importancia de la transparencia y el consentimiento informado en el tratamiento de datos personales para actividades publicitarias. Las entidades deben asegurarse de que sus prácticas cumplan con la normativa vigente, especialmente en lo que respecta a la determinación de responsabilidades y la protección de los derechos de los interesados. La AEPD proporciona directrices claras sobre cómo deben estructurarse los contratos y las cláusulas informativas para garantizar el cumplimiento legal y la protección de datos.