Mediante el presente artículo, analizaremos las modificaciones normativas operadas en el ámbito de las comunicaciones comerciales, como consecuencia de la modificación del art. 66.1.b) de la Ley 11/2022 General de Telecomunicaciones.

 

Esta Ley regula, entre otros temas, el derecho de los usuarios a la protección de datos personales y la privacidad en relación con las comunicaciones no solicitadas, incluyendo el no recibir llamadas no deseadas. De este modo, cambia el régimen jurídico aplicable que existía con anterioridad y contempla en su texto que ese apartado entrará en vigor el 29 de junio de este año.

La elaboración de esta Circular, que consta de una parte expositiva, cinco artículos y una disposición final, se lleva a cabo tras la publicación por parte de la AEPD de un informe jurídico en el que se analiza la interpretación de ese artículo en relación con la normativa de protección de datos.

El artículo 66.1.b) de la Ley 11/2022 recoge el derecho de los usuarios a no recibir llamadas no deseadas con fines de comunicación comercial, salvo que exista consentimiento previo del propio usuario para recibir este tipo de comunicaciones o que estas puedan ampararse en otra base de legitimación de las previstas en el Reglamento General de Protección de Datos (RGPD). Dado que el artículo no limita exclusivamente la realización de las llamadas con fines de comunicación comercial al consentimiento de los usuarios e incluye la posibilidad de que estas puedan realizarse con otras bases jurídicas, el proyecto de Circular tiene como objetivo contribuir a la seguridad jurídica, tanto de aquellos que realizan las comunicaciones como de los usuarios.

En este sentido, a continuación, contemplamos la redacción otorgada al artículo 66.1 b) de la Ley 11/2022:

Artículo 66. Derecho a la protección de datos personales y la privacidad en relación con las comunicaciones no solicitadas, con los datos de tráfico y de localización y con las guías de abonados.

1. Respecto a la protección de datos personales y la privacidad en relación con las comunicaciones no solicitadas los usuarios finales de los servicios de comunicaciones interpersonales disponibles al público basados en la numeración tendrán los siguientes derechos.
2. a no recibir llamadas automáticas sin intervención humana o mensajes de fax, con fines de comunicación comercial sin haber prestado su consentimiento previo para ello.
3. a no recibir llamadas no deseadas con fines de comunicación comercial, salvo que exista consentimiento previo del propio usuario para recibir este tipo de comunicaciones comerciales o salvo que la comunicación pueda ampararse en otra base de legitimación de las previstas en el artículo 6.1 del Reglamento (UE) 2016/679 de tratamiento de datos personales.
4. Lo establecido en las letras a) y c) del apartado 2 se entiende sin perjuicio de las obligaciones establecidas en la Ley 25/2007, de 18 de octubre, de conservación de datos relativos a las comunicaciones electrónicas y a las redes públicas de comunicaciones.
5. Lo dispuesto en este artículo será sin perjuicio de la aplicación del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016 y de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales, y su normativa de desarrollo, y, en particular, de la aplicación del concepto de consentimiento que figura en la misma.
6. De lo anterior podemos deducir una cuestión fundamental, a pesar de que el consentimiento expreso del titular no es la única base legitimadora del tratamiento, resultará necesario valorar la adecuada existencia de otra base que habilite el tratamiento de estos datos, por ejemplo, el interés legítimo del Responsable.

A efectos de concretar lo anterior, la Agencia Española de Protección de Datos, mediante la elaboración de una Circular, manifiesta las siguientes cuestiones.

A) El consentimiento expreso otorgado por el titular, debe reunir los requisitos del RGPD (art.7).

B) El tratamiento será lícito si es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado. En relación a estos intereses, deberán ser evaluados y documentados.

C) Se establece la presunción de licitud si existe relación comercial previa y se trate de comunicaciones comerciales referentes a productos o servicios de su propia empresa que sean similares a los que inicialmente fueron objeto de contratación con el cliente.

D) En todo caso, deberá garantizarse el pleno cumplimiento del deber de  transparencia, conforme a los artículos 13 y 14 del Reglamento (UE) 2016/679 y  el establecimiento de un procedimiento sencillo para el ejercicio del derecho de  oposición que será mencionado explícitamente al interesado, a más tardar, en la  primera comunicación, de acuerdo con el artículo 21.4 del citado reglamento.

E) Resultará obligatoria la consulta previa de las listas de exclusión publicitaria.

En relación al marco sancionador que resultará aplicable, las entidades o profesionales que incumplan, podrán enfrentarse a infracciones leves, sancionables con hasta 100.000€ y siendo competente la Agencia Española de Protección de Datos.

De igual modo, los representantes de las entidades que efectúen estas llamadas comerciales sin base legitimadora del tratamiento, podrán ser sancionados a título personal con hasta 5.000€, tal como establece el art. 109. Si bien es cierto que el precepto contempla que “quedan excluidas de la sanción aquellas personas que, formando parte de órganos directivos o de los órganos colegiados de administración, no hubieran asistido a las reuniones o hubieran votado en contra o salvando su voto”.

 

Publicado el 30 de Junio de 2023
Por María González
Responsable del Departamento Jurídico

La autoridad de Control, la Agencia Española de Protección de Datos, mediante la emisión de diferentes informes ante consultas formuladas, ha resuelto la cuestión planteada por parte de los auditores de cuentas y sociedades de auditoría respecto a determinar si estos actúan como encargados del tratamiento de la entidad auditada o como responsables.

 

De este modo, teniendo en cuenta las definiciones de responsable y encargado del tratamiento contenidas en el artículo 4 del Reglamento General de Protección de datos, así como la regulación que del encargado del tratamiento se efectúa en su artículo 28, debe considerarse que el criterio definidor de la condición de responsable del tratamiento viene dado por la potestad de determinar los fines y los medios del tratamiento, en tanto que el encargado debe limitar su actuación a seguir las instrucciones del responsable.

En estas consultas formuladas, los interesados parecen plantear la hipótesis de que el auditor de cuentas mantiene en relación con la entidad auditada, la condición de encargado del tratamiento, dado que la actividad desarrollada por el auditor se deriva de la existencia de un contrato celebrado con dicha entidad. Sin embargo, esta cuestión, ya fue analizada en el informe 272/2011, de 28 de julio, emitido por el Gabinete Jurídico de esta Agencia con ocasión del análisis, de conformidad con lo dispuesto en los artículos 37 h) de la Ley Orgánica, de 13 de diciembre, de Protección de datos de Carácter Personal, referente al Proyecto de Real Decreto por el que se aprobaba el Reglamento de desarrollo de la entonces vigente, Ley 19/1998, de 12 de julio de Auditoría de Cuentas. El referido informe se señalaba lo siguiente:

“En la actualidad, el artículo 14.1 de la Ley 22/2015, de 20 de julio, de Auditoría de Cuentas, relativo al principio general de independencia al que resulta obligado todo auditor, reproduce lo señalado en el derogado Texto Refundido de la Ley de Auditoría de Cuentas, aprobado por el Real Decreto Legislativo 1/2011, de 1 de julio, y dispone que, «Los auditores de cuentas y las sociedades de auditoría deberán ser independientes, en el ejercicio de su función, de las entidades auditadas, debiendo abstenerse de actuar cuando su independencia en relación con la revisión y verificación de las cuentas anuales, los estados financieros u otros documentos contables se vea comprometida«.

El criterio definidor de la condición de responsable del tratamiento se fundamenta en el imperativo legal que faculta al auditor como figura independiente, no sometida a posibles instrucciones de su cliente. Por el momento, la AEPD no ha entrado a valorar ni a diferenciar si la auditoría externa se realiza por obligación legal o, si ésta se lleva a cabo de forma potestativa por parte de la entidad.

Entre las consecuencias en la práctica, indicar a las Entidades que no se debe firmar un contrato de encargo de tratamiento, si no que en el contrato de prestación de servicios con el auditor debe identificarse al auditor como responsable del tratamiento, prever una cláusula de confidencialidad de los datos, minimización de los datos ajustada a la finalidad de la actividad y deber de diligencia.

 

Publicado el 26 de Mayo de 2023
Por María González
Responsable del Departamento Jurídico