‘Cumplimiento de protección de datos en la cadena de distribución’, por Francisco Gordillo, asociado senior de Information Technology de ECIJA
Uno de los principales problemas que se encuentra cualquier empresa a la hora de cumplir con la normativa de protección de datos es la relación con terceras empresas. En concreto, con todos aquellas empresas que ayudan a la empresa a conseguir nuevos clientes o consumidores. Por ejemplo en el caso de relaciones con agentes o distribuidores.
Sin ser necesario entrar al detalle sobre las diferencias que entrañan cada uno de estos contratos, sí es importante destacar que el objetivo común de estas terceras empresas es promover ventas para la empresa principal. Es objeto de este artículo el tratar los casos destinados a la venta de productos y servicios a consumidor final (business to consumer), descartando aquellas relaciones de ventas de productos entre empresas (business to business) por no afectar a la materia de protección de datos de carácter personal.
En este sentido, los casos más habituales suelen ser los de contratación de servicios: gas, agua, electricidad, o bien telefonía o Internet. No obstante, lo explicado en este artículo es aplicable a cualquier empresa que pretenda formalizar contratos de venta o suministro de servicios a un consumidor final por parte de una tercera empresa.
La mayoría de incumplimientos se producen en la solicitud de consentimiento. Tanto la empresa suministradora como el distribuidor o agente quieren las mínimas trabas posibles para concluir el máximo de ventas. No obstante, esta supresión de trámites puede dar lugar a eventuales fraudes que conllevan un incumplimiento de la normativa de protección de datos. El supuesto más común es la suplantación de identidad: una persona que contrata en nombre de otra ofreciendo sus datos. Otra situación que se suele dar en la práctica es la del comercial que, ávido de generar nuevas ventas, suplanta la voluntad del consumidor promoviendo contratos “falsos” (a esta práctica se la conoce con el término anglosajón “slamming”).
La primera respuesta que puede surgir a cualquier lector es que la responsabilidad debería recaer sobre esta tercera empresa que ha actuado de forma ilícita. Si bien esto podría argumentarse así y en la mayoría de casos puede producirse una responsabilidad penal, en materia de protección de datos se impone la prueba a la empresa suministradora de haber obtenido el consentimiento del titular para el tratamiento de sus datos. En este sentido se pronuncia la Sentencia de la Audiencia Nacional, de 31/05/2006, Recurso 539/2004, en su Fundamento de Derecho Cuarto, cuando señala “Por otra parte es el responsable del tratamiento (…) a quien corresponde asegurarse de que aquel a quien se solicita el consentimiento, efectivamente lo da, y que esa persona que está dando el consentimiento es efectivamente el titular de esos datos personales, debiendo conservar la prueba del cumplimiento de la obligación a disposición de la Administración, encargada de velar por el cumplimiento de la Ley.”,
Continuando con este criterio, la Audiencia Nacional en Sentencia de 18/05/2005 señaló que “…, quien trata de forma automatizada datos personales, a consecuencia de dar de alta al denunciante, es laúnica, a tenor de los establecido en el art. 6.2 de la LOPD, que debe asegurarse de que recibe el consentimiento inequívoco de este último.”
Así son numerosas las resoluciones sancionadoras a empresas que no han conseguido probar que el titular de los datos tuvo realmente la voluntad de contratar. Las sanciones por estas conductas constituyen una infracción grave que lleva aparejada sanciones de 40.000 a 300.000 euros.
Para evitar tener que afrontar estas sanciones se pueden utilizar estas medidas que han sido validadas por la Agencia Española de Protección de Datos en diferentes resoluciones de archivo de actuaciones:
– Llamada confirmatoria al consumidor antes de cerrar el procedimiento de contratación y comenzar con la facturación de servicios. Esta llamada deberá ser grabada para aportarla como evidencia de cumplimiento.
– Obligar al distribuidor o agente a aportar DNI y fotocopia del contrato. Luego la empresa suministradora deberá hacer una mínima comprobación entre los datos del contrato y los que figuran en el DNI.
– Tener un procedimiento eficaz para detectar estos fraudes y rescindir el contrato y la reclamación de cantidad al consumidor.
En conclusión, si una empresa quiere vender sus productos o servicios a través de otras empresas deberá tener en cuenta la correcta formación del consentimiento de los consumidores finales.
Enlace al artículo: http://www.microsoft.com/business/es-es/Content/Paginas/article.aspx?cbcid=623