| Informe | 2016-0262 |
| Enlace | 📋 |
Resumen del Informe Jurídico de la AEPD (2016-0262)
El informe, emitido por el Gabinete Jurídico de la Agencia Española de Protección de Datos (AEPD), aborda la creación de un fichero para controlar operaciones fallidas fraudulentas en compras electrónicas. Se analizan tres aspectos clave: la legitimidad del tratamiento de datos, el deber de información y la gestión por un encargado externo.
Legitimidad del tratamiento de datos (Art. 6.2 LOPD)
La AEPD examina si la inclusión de datos en el fichero puede basarse en el Art. 6.2 LOPD, que exime del consentimiento cuando los datos sean necesarios para el cumplimiento de un contrato. Sin embargo, concluye que, al tratarse de prevenir futuros fraudes (no mantener un contrato), debe aplicarse el Art. 7.f) de la Directiva 95/46/CE (y su desarrollo en el Reglamento UE 2016/679), que legitima el tratamiento si:
Existe un interés legítimo (evitar fraudes).
No prevalecen los derechos fundamentales de los afectados (derecho a la intimidad).
Se requiere una ponderación de intereses, asegurando que la medida sea proporcional y con garantías (finalidad limitada, exactitud, derechos ARCO, etc.). El informe advierte que incluir todos los datos de clientes sin más no cumple este requisito.
Deber de información (Art. 5 LOPD)
Se cuestiona si el deber de informar a los afectados puede cumplirse mediante un enlace a la política de privacidad durante el proceso de compra. La AEPD recuerda que, tras la anulación del Art. 18 del Reglamento LOPD, el responsable debe demostrar que los usuarios aceptaron expresamente el aviso legal antes de introducir datos (ejemplo: casilla de «he leído y acepto»).
Gestión por un encargado externo
Si una empresa externa gestiona el fichero como encargado de tratamiento, el responsable debe cumplir con los Arts. 12 LOPD y 20-22 del Reglamento, garantizando:
Medidas de seguridad adicionales.
Supervisión continua del encargado.
Obligaciones específicas al finalizar el contrato (devolución/destrucción de datos).
Conclusión: El tratamiento es legítimo solo si supera la ponderación de intereses y cumple con garantías. El responsable debe informar adecuadamente y supervisar al encargado externo para evitar riesgos en la protección de datos.