| Informe | 2016-0237 |
| Enlace | 📋 |
Resumen del informe jurídico de la AEPD (2016-0237):
El informe, emitido por la Agencia Española de Protección de Datos (AEPD), aborda una consulta sobre si un servicio de gestión de fraude puede prestarse mediante un encargado del tratamiento, en lugar de mediante una cesión o comunicación de datos. La entidad consultante plantea que el tratamiento se realizaría sin necesidad de consentimiento de los afectados, basándose en una supuesta «segmentación de la base de datos».
Conclusiones principales:
No aplica el artículo 47 del RDLOPD (1720/2007):
Este artículo regula la cesión de datos entre responsables (no encargo a encargados) para actividades de publicidad y prospección comercial.
Exige dos o más responsables que crucen sus ficheros para identificar clientes comunes y segmentar sus bases de datos.
En el caso consultado, solo existe un responsable (la consultante) y un encargado del tratamiento (la empresa contratada), lo que descarta la aplicación del artículo 47.
El servicio de gestión de fraude sí puede ser prestado por un encargado del tratamiento:
La AEPD considera que no hay impedimento legal para externalizar este servicio, siempre que se cumplan los requisitos de la LOPD y el RDLOPD:
Encargo por contrato escrito (art. 12 LOPD), con cláusulas específicas de seguridad, destrucción o devolución de datos.
Las funciones deben limitarse a las instrucciones del responsable (ej.: análisis de transacciones para detectar fraudes).
No debe haber acceso masivo o uso de datos fuera de lo necesario para el encargo.
Ausencia de relación directa entre el usuario y el subencargado:
La AEPD destaca que, en este caso, no existe una relación entre los clientes (usuarios) y el proveedor subencargado, lo que refuerza la viabilidad del encargo.
Transferencias internacionales de datos (no tratadas en el informe):
La AEPD no se pronuncia sobre posibles transferencias a EE.UU. en este informe, pero recuerda que serían necesarias garantías adicionales (ej.: cláusulas contractuales, nivel adecuado de protección, o excepciones aplicables).
Recomendaciones clave:
El encargado debe actuar bajo instrucciones estrictas del responsable y no usar los datos para otros fines.
El contrato debe reflejar las medidas de seguridad y el destino final de los datos (destrucción o devolución).
No hay cesión de datos, por lo que no se requiere consentimiento de los afectados ni notificación a la AEPD.
Este informe subraya que la externalización de servicios de tratamiento de datos personales (como la gestión de fraudes) es posible bajo el marco legal español, siempre que se respeten los principios de finalidad, proporcionalidad y seguridad.