| Informe | 2018-0076 |
| Enlace | 📋 |
El informe jurídico de la Agencia Española de Protección de Datos (AEPD) analiza la conformidad de las cláusulas de protección de datos personales en las condiciones generales de contratación de una entidad, en el contexto del Reglamento General de Protección de Datos (RGPD) que entró en vigor el 25 de mayo de 2018.
El informe destaca que la cláusula de protección de datos es detallada, incluyendo información sobre el delegado de protección de datos, los datos personales que serán tratados, las finalidades del tratamiento, los destinatarios de los datos, los plazos de conservación, y los derechos de los afectados. Sin embargo, se identifican varias áreas de mejora para garantizar el cumplimiento del RGPD.
En cuanto a la información a facilitar al interesado, el informe señala que debe ser concisa, transparente, inteligible y de fácil acceso, con un lenguaje claro y sencillo, tal como establece el artículo 12.1 del RGPD. Además, debe incluir el contenido específico del artículo 13 del RGPD, como la identidad del responsable del tratamiento, las finalidades del tratamiento, los destinatarios de los datos, el plazo de conservación, y los derechos del afectado.
El informe critica la falta de claridad en la base jurídica de algunas finalidades del tratamiento, especialmente cuando se mencionan tanto el consentimiento del interesado como el interés legítimo del responsable. Se señala que no es posible acumular estas bases jurídicas y que, en caso de aplicar el interés legítimo, el interesado debe tener derecho a oponerse al tratamiento.
En relación con las comunicaciones comerciales, el informe indica que no es necesario recabar el consentimiento del afectado para enviar comunicaciones sobre productos o servicios similares a los ya contratados, según lo establecido en el artículo 21 de la Ley 34/2002. Sin embargo, la cláusula parece establecer un consentimiento por omisión, lo cual no está permitido por la normativa de protección de datos.
El informe también señala la necesidad de que el consentimiento del interesado se preste de forma positiva y no por la no marcación de una casilla, tal como exige el considerando 32 del RGPD. Además, se debe garantizar la «granularidad» del consentimiento, vinculada a las distintas finalidades concretas del tratamiento.
En cuanto a los destinatarios de la información, el informe sugiere incluir aquellos en los que la comunicación sea necesaria para la adecuada prestación del servicio y especificar con mayor detalle las administraciones públicas involucradas.
Por último, el informe recomienda hacer referencia expresa a la posibilidad de revocar el consentimiento en los supuestos en los que sea necesario para el tratamiento de los datos y suprimir cualquier referencia a autoridades de protección de datos distintas a la AEPD, en virtud del reparto competencial establecido en la legislación española.
En resumen, el informe jurídico de la AEPD subraya la importancia de ajustar las cláusulas de protección de datos a los requisitos del RGPD, garantizando la transparencia, la claridad y el respeto a los derechos de los afectados.