| Informe | 2016-0096 |
| Enlace | 📋 |
Resumen del informe jurídico de la AEPD (AEPD/056755/2016)
El informe jurídico de la Agencia Española de Protección de Datos (AEPD) analiza la legalidad del tratamiento de datos personales en una aplicación web desarrollada por una entidad aseguradora. La aplicación permite a los usuarios crear cuentas y almacenar datos personales, incluso de terceros (beneficiarios potenciales), para posibles compras futuras de servicios. El consultante plantea dudas sobre si este tratamiento queda excluido de la Ley Orgánica 15/1999 de Protección de Datos (LOPD) al considerarse un uso doméstico o personal.
Exclusión de la esfera doméstica o personal
La AEPD determina que el tratamiento no puede considerarse exclusivo de actividades personales o domésticas, ya que la entidad aseguradora, como responsable del tratamiento, gestiona bases de datos con fines profesionales (ofrecer seguros) y no meramente íntimos o familiares. La jurisprudencia y el Reglamento de desarrollo de la LOPD (RD 1720/2007) excluyen de este ámbito los tratamientos con finalidad profesional o comercial, incluso si los datos son introducidos por los propios afectados.
Condición de responsable del tratamiento
El consultante, al gestionar la base de datos y decidir sobre su finalidad y uso, es considerado responsable del tratamiento según el artículo 3.d) de la LOPD. Esto implica que debe cumplir con todas las obligaciones legales: principios de protección de datos, deber de información, obtención de consentimiento (si es necesario), y garantía de los derechos de los afectados (acceso, rectificación, cancelación y oposición).
Falta de finalidad legítima y proporcionalidad
La AEPD señala que la finalidad declarada en la consulta —almacenar datos por si el usuario contrata un servicio en el futuro— no cumple el principio de proporcionalidad (artículo 4.1 LOPD). Para justificar el tratamiento, debe existir:
Finalidad legítima: No basta la mera recopilación de datos; debe vincularse a un propósito concreto (ej. ofrecer un seguro).
Proporcionalidad: Los datos deben ser adecuados, pertinentes y no excesivos para esa finalidad.
La AEPD descarta que esto equivalga a un precontrato, ya que no hay obligación de contratar ni elementos esenciales definidos.
Consentimiento y deber de información
Si la finalidad no es la contratación directa, pero se justifica por otras legítimas (ej. gestión de riesgo), será necesario el consentimiento expreso, libre, específico e informado de los usuarios (artículo 5 y 11 LOPD). Además, la entidad debe:
Informar claramente sobre el tratamiento, destinatarios y derechos de los afectados.
Acreditar el consentimiento prestado (el responsable debe probarlo, no basta la acción del usuario al introducir datos).
Uso de datos de terceros
Si el usuario introduce datos de terceros (beneficiarios), la entidad asegura debe:
Obtener su consentimiento previo expreso para tratar esos datos.
Respetar los principios de limitación de finalidad y minimización de datos.
Conclusión
La AEPD concluye que la entidad aseguradora no puede ampararse en la excepción doméstica y debe ajustar su tratamiento a la LOPD. Esto incluye:
Definir finalidades legítimas y proporcionales (no limitarse a almacenar datos).
Obtener consentimiento válido si fuera necesario.
Cumplir con el deber de información y permitir el ejercicio de derechos ARCO (acceso, rectificación, etc.).
Si se incumplen estos requisitos, podría enfrentarse a sanciones por infracción de la normativa de protección de datos.
En resumen, el informe subraya que el mero almacenamiento prospectivo de datos sin una finalidad clara y legal no es compatible con la LOPD, y exige a la entidad adoptar medidas para garantizar el cumplimiento de los principios y obligaciones establecidos.