| Informe | 2016-0334 |
| Enlace | 📋 |
Resumen del informe jurídico de la AEPD (N/REF: 339183/2016)
El informe de la Agencia Española de Protección de Datos (AEPD) aborda consultas sobre la adecuación a la Ley Orgánica 15/1999 (LOPD) de la vinculación entre bases de datos de un negocio electrónico y una empresa de distribución minorista. Se analizan cuatro aspectos clave:
Ámbito de aplicación de la LOPD
La AEPD recuerda que la LOPD protege datos de personas físicas identificadas o identificables, excluyendo:
Personas jurídicas (empresas, sociedades, etc.).
Empresarios individuales cuando los datos se refieran a su actividad comercial (ej.: datos profesionales como nombre, dirección o teléfono de contacto en su rol de comerciante).
Profesionales autónomos solo si organizan su actividad como empresa (ej.: autónomos sin estructura societaria quedan protegidos).
Sin embargo, a partir del 25 de mayo de 2018, con la entrada en vigor del Reglamento General de Protección de Datos (RGPD), esta exclusión desaparece, y todos los datos de personas físicas (incluidos empresarios individuales) quedarán protegidos, sin excepciones.
Cesión de datos entre empresas
La comunicación de datos de clientes (personas físicas no excluidas) a otra empresa constituye una cesión de datos regulada por el artículo 11 LOPD, que exige:
Consentimiento previo, libre, inequívoco, específico e informado del afectado (art. 3.h LOPD).
El consentimiento debe ser expreso (no tácito) y referirse a la cesión concreta y su finalidad.
La mera inclusión en políticas de privacidad o notificaciones genéricas no es suficiente.
Deber de información: El afectado debe conocer quién recibe sus datos y para qué fin.
Prueba del consentimiento: El responsable debe poder demostrar su obtención (ej.: registros, formularios firmados).
Recomendación: Adaptarse al RGPD, que exige un consentimiento activo (ej.: casilla marcada, botón de aceptación), eliminando opciones como el consentimiento tácito (ej.: silencio o inacción).
Conservación y cancelación de datos
La LOPD establece principios clave:
Finalidad: Los datos deben usarse solo para el fin declarado (art. 4.2 LOPD).
Cancelación: Los datos deben borrarse cuando dejen de ser necesarios para ese fin (art. 4.5 LOPD).
Plazos: Dependen de la finalidad (ej.: 5 años para contratos, 3 años para infracciones según art. 47 LOPD).
Bloqueo: Antes de la supresión, los datos se bloquean (solo accesibles para autoridades judiciales o administrativas) durante el plazo de prescripción de responsabilidades (ej.: 5 años para deudas, 1 año para infracciones leves).
Ejemplo: Si un cliente no compra en 3 años, sus datos pueden cancelarse, salvo que haya obligaciones legales (ej.: facturas pendientes).
Actualización de ficheros y políticas de privacidad
Registro de ficheros: Cualquier cesión de datos debe reflejarse en la inscripción del fichero en la AEPD (art. 58.1 RD 1720/2007).
Políticas de privacidad: Deben incluir:
Finalidad de la cesión.
Identidad del cesionario.
Derechos del afectado (acceso, rectificación, cancelación, oposición).
Conclusiones clave
Exclusiones temporales: Hasta 2018, empresarios individuales en su rol comercial no están protegidos por la LOPD, pero el RGPD lo cambiará.
Consentimiento obligatorio: Para ceder datos de clientes, se necesita su consentimiento expreso y específico, no bastan notificaciones genéricas.
Conservación limitada: Los datos deben borrarse cuando ya no sean necesarios, salvo obligaciones legales.
Adaptación al RGPD: Las empresas deben revisar sus procesos para cumplir con el nuevo reglamento, especialmente en materia de consentimiento.
Recomendación final: Las empresas deben auditar sus bases de datos, actualizar políticas de privacidad y obtener consentimientos explícitos antes de cualquier cesión de datos, anticipándose al RGPD.