| Informe | 2016-0289 |
| Enlace | 📋 |
Resumen del informe jurídico de la AEPD (Exp. 2016-0289): Uso de herramientas de segmentación en redes sociales
Contexto y consulta:
La AEPD analiza si el uso de una herramienta de segmentación en una red social, mediante la que un negocio (consultante) utiliza los datos de sus clientes para identificar perfiles similares en la red y ofrecerles sus productos, se ajusta a la Ley Orgánica 15/1999 de Protección de Datos (LOPD). La consulta aborda la naturaleza jurídica de esta práctica: ¿constituye una cesión de datos (requiriendo consentimiento de los afectados) o puede enmarcarse en un contrato de encargo de tratamiento (art. 12 LOPD), que exime de obtener dicho consentimiento.
Cesiòn de datos vs. encargo de tratamiento
La AEPD distingue dos figuras clave en la LOPD:
Cesión de datos (art. 3.i LOPD): Ocurre cuando un responsable (empresa consultante) revela datos de sus clientes a un tercero (red social) para que este último los utilice con finalidades propias (ej.: publicidad dirigida). En este caso:
Requiere consentimiento previo e informado de los afectados (art. 11.1 y 11.3 LOPD).
No es aplicable el art. 12 LOPD, ya que la red social trata los datos por cuenta propia (no como «encargado»).
Ejemplo de cesión: Cruzar bases de datos de varias empresas para depurarlas y enviar publicidad a no clientes (art. 47 RDLOPD). Aquí, la red social puede vincularse comercialmente con los clientes del consultante, creando un nuevo vínculo con ellos (incluso mediante cifrado).
Encargo de tratamiento (art. 12 LOPD): Aplicable cuando el tercero (red social) actúa exclusivamente como herramienta del responsable, sin usar los datos para fines propios. Requisitos:
Servicio prestado al responsable: La red social solo segmenta datos para excluir a los clientes del consultante de la campaña publicitaria (ej.: limpiar su base de datos de usuarios ya existentes).
Contrato por escrito: Debe especificar que el tercero no usará los datos para otros fines, ni los conservará tras el servicio (art. 12.2 LOPD).
Instrucciones del responsable: La red social actúa bajo las directrices del consultante (art. 12.2).
Destrucción o devolución de datos: Al finalizar el servicio, los datos deben eliminarse o devolverse (art. 12.3 LOPD).
Medidas de seguridad: Equiparables a las del responsable (art. 12.2 LOPD).
Conclusión: La mera segmentación de datos no siempre es cesión. Si la red social solo excluye a los clientes del consultante de los perfiles destinatarios de la campaña (sin usar esos datos para sus propios fines), podría encajar en un encargo. Pero si la red usa los datos para contactar a nuevos perfiles con fines publicitarios propios, sería una cesión que requeriría consentimiento.
Transferencias internacionales de datos
Si la red social está fuera del Espacio Económico Europeo (EEE), aplican normas adicionales:
Art. 33 LOPD: No son válidas las transferencias de datos a países sin nivel de protección equiparable a la UE, salvo:
Que el país tenga una decisión de adecuación de la Comisión Europea (ej.: Argentina, Uruguay, Suiza).
Que las empresas en EE.UU. estén adheridas al Privacy Shield (a partir de julio de 2016, tras la invalidación de los Safe Harbor).
Notificación obligatoria: La transferencia debe registrarse en el Registro General de Protección de Datos (art. 66.3 RDLOPD).
Responsables del tratamiento en la campaña publicitaria
Tras la segmentación, ambos actores (consultante y red social) pueden ser responsables del tratamiento de los datos:
El consultante es responsable si determina los parámetros de destinatarios de la campaña (ej.: «enviar publicidad a perfiles similares a mis clientes»).
La red social es responsable si usa su propia base de datos para enviar la publicidad, requiriendo su propia legitimación (art. 6 LOPD).
Obligación de diligencia: El consultante debe asegurarse de que la red cumple con la LOPD al tratar los datos (art. 46.3 RDLOPD).
Recomendaciones para el consultante
Si es cesión:
Obtener consentimiento explícito de los clientes para que sus datos se usen en la red social.
Informar claramente de la finalidad (ej.: «sus datos se compartirán con [Red Social] para identificar perfiles similares a los que ofrecer nuestra publicidad»).
Si es encargo:
Firmar un contrato con la red social que cumpla el art. 12 LOPD (exclusión de fines propios, destrucción de datos tras el servicio).
Verificar que la red no está en un país sin nivel adecuado de protección (salvo que se adhiera a Privacy Shield).
En cualquier caso:
Notificar la transferencia internacional de datos en el Registro de la AEPD.
Auditar el proceso para garantizar que la red no usa los datos para otros fines.
Jurisprudencia y doctrina aplicable
La AEPD cita sentencias y resoluciones previas que subrayan:
La diferencia clave entre cesión y encargo radica en si el tercero establece un nuevo vínculo con los afectados (cesión) o solo actúa como herramienta (encargo).
Ejemplo de mala práctica: La «depuración» de bases de datos para crear nuevos ficheros de clientes sin consentimiento (art. 47 RDLOPD) es una cesión ilegal (Sentencia de la Audiencia Nacional de 2005).
Conclusión final de la AEPD
La AEPD concluye que:
La operación puede ser un encargo de tratamiento solo si:
La red social solo segmenta datos para excluir a los clientes del consultante (sin usar los datos para sus propios fines).
Existe un contrato por escrito que cumpla los requisitos del art. 12 LOPD.
En caso contrario, es una cesión que requiere el consentimiento de los clientes.
Si hay transferencia internacional, deben cumplirse los arts. 33 LOPD y 66.3 RDLOPD.
Ambos actores (consultante y red social) pueden ser responsables conjuntos al enviar la publicidad.
Recomendación práctica: El consultante debe evaluar si la red social actúa como encargada o como cesionaria y actuar en consecuencia (obtener consentimientos o firmar un contrato de encargo). Si no es posible, deberá obtener el consentimiento de sus clientes.