| Informe | 2016-0184 |
| Enlace | 📋 |
Resumen del informe jurídico de la AEPD (Informe 2016-0184)
La Agencia Española de Protección de Datos (AEPD) analizó un contrato de servicios de comunicación móviles y fijos bajo la marca «Vodafone ONE», específicamente en la cláusula 4.11, que regula el tratamiento de datos personales de los clientes. Aunque la cláusula era similar a otra ya evaluada y autorizada en 2015 para la marca «Lowi», introdujo una modificación que generó observaciones adicionales.
Principales hallazgos y observaciones de la AEPD
Deficiencias en la redacción y consentimiento
La cláusula establece que el cliente consiente los tratamientos y cesiones de datos más allá de lo necesario para el contrato, pero considera que marcar casillas de negativa equivaldría a revocar ese consentimiento. La AEPD aclaró que, conforme al artículo 15 del Reglamento de desarrollo de la LOPD (15/1999), el consentimiento para fines no contractuales solo puede darse mediante una marcación positiva (ej.: marcar una casilla para aceptar), no por omisión.
La redacción actual sugiere que el consentimiento es genérico al firmar el contrato, lo que la AEPD considera inadecuado. Debe especificarse que el cliente otorga su consentimiento expreso solo si marca las casillas correspondientes para cada finalidad (ej.: marketing, cesión a empresas del grupo).
Falta de claridad en los tratamientos de datos
El contrato alude a tratamientos de datos de tráfico, facturación, navegación y localización para fines comerciales, pero la AEPD señaló que:
No se especifica qué se entiende por «datos de navegación», lo que dificulta que el cliente valore el alcance del consentimiento.
No se menciona el artículo 65.3 del Real Decreto 424/2005 (relativo a datos de tráfico), cuya omisión podría generar confusión sobre la base legal del tratamiento.
Las comunicaciones comerciales por medios electrónicos (email, SMS) requieren un consentimiento expreso e inequívoco, según el artículo 21 de la Ley 34/2002 (LSSI). La AEPD insistió en que debe incluirse una casilla específica y marcada manualmente para autorizar estas comunicaciones, no una casilla pre-marcada por defecto.
Cesión de datos a empresas del grupo
La cláusula permite la cesión de datos a empresas del mismo grupo Vodafone, pero la AEPD requirió mayor detalle sobre:
Las finalidades concretas de estas cesiones (ej.: mejora de servicios, marketing interno).
La necesidad de que el cliente consienta cada cesión por separado, con casillas claras y desmarcables.
Recomendaciones concretas
La AEPD propuso modificaciones para garantizar la validez del consentimiento:
Eliminar la referencia a que marcar casillas equivaldría a revocar el consentimiento: debe especificarse que el consentimiento se da exclusivamente si el cliente marca la casilla.
Aclarar los «datos de navegación» (ej.: incluir ejemplos como historial de búsquedas, webs visitadas).
Incluir una casilla específica y obligatoria para autorizar comunicaciones comerciales electrónicas, en cumplimiento de la LSSI.
Detallar las cesiones entre empresas del grupo, explicando su necesidad y dando opción al cliente a rechazarlas.
Conclusión
Aunque el contrato mejoró ciertos aspectos desde su versión previa (2015), mantenía deficiencias que vulneraban el derecho a la información y el consentimiento libre e informado de los usuarios. La AEPD insistió en la necesidad de reformular la cláusula para cumplir con la LOPD (15/1999), su reglamento y la LSSI (34/2002), especialmente en lo relativo a:
Consentimiento expreso y segmentado (por finalidad).
Transparencia en los tratamientos y cesiones.
Cumplimiento estricto de los requisitos formales para comunicaciones electrónicas.
Vodafone ONE debería ajustar el contrato a estas observaciones para evitar sanciones por tratamiento indebido de datos personales.