Resolución AEPD 00500/2020: el consentimiento prestado para las finalidades de perfilado debe ser específico y debidamente informado

El objeto de la presente nota es el análisis de los criterios jurídicos apreciados por la Agencia Española de Protección de Datos (en adelante, “AEPD”) en la Resolución del Procedimiento Sancionador 00500/2020, de fecha 20 de septiembre de 2022, para la imposición de una sanción de tres millones de euros, por infracción del Art. 6.1 del Reglamento General de Protección de Datos (en adelante, “RGPD”), en relación con el Art. 7 RGPD y el Art. 6 de la Ley Orgánica de Protección de Datos y Garantía de los Derechos Digitales (en adelante, “LOPDGDD”) a la entidad financiera reclamada, cuya actividad principal consiste en la comercialización de tarjetas de crédito y préstamos; por realizar tratamientos de perfilado carentes de legitimación, al estar basadas en el consentimiento de los interesados sin que este sea específico ni adecuadamente informado.

 

• Sobre la obtención del consentimiento en las actividades de perfilado

La AEPD analiza el procedimiento de obtención del consentimiento en las actividades de perfilado llevados a cabo por la entidad. El Art. 4.4 del RGPD define la elaboración de perfiles como: “toda forma de tratamiento automatizado de datos personales consistente en utilizar datos personales para evaluar determinados aspectos personales de una persona física, en particular para analizar o predecir aspectos relativos al rendimiento profesional, situación económica, salud, preferencias personales, intereses, fiabilidad, comportamiento, ubicación o movimientos de dicha persona física”.

 

La AEPD determina que no se recaba el consentimiento específico, porque no cumple la exigencia de separación de los fines y la prestación de un consentimiento específico para cada uno de ellos, no constando tampoco debidamente informado. La ausencia de tales requisitos determina que el mismo no sea válido, de modo que los tratamientos basados en él carecen de legitimación.

 

En este sentido, cabe destacar lo señalado por el Comité Europeo de Protección de Datos (en adelante, el “CEPD”) en las Directrices sobre decisiones individuales automatizadas y elaboración de perfiles a los efectos del RGPD, al recordar que “Los responsables del tratamiento que pretendan basarse en el consentimiento como base para la elaboración de perfiles deberán demostrar que los interesados entienden exactamente qué están consintiendo, y deberán recordar que el consentimiento no es siempre una base adecuada para el tratamiento”.

 

En este sentido, la resolución también tiene en cuenta el criterio establecido por el CEPD en las Directrices 05/2020 sobre el consentimiento con arreglo al RGPD (en adelante las “Directrices sobre el Consentimiento”) relativo a la validez del consentimiento sobre los elementos “específico” e “informado”, que se desarrollan a continuación con más detalle.

 

Recuerda la AEPD que el consentimiento explícito es una de las excepciones de la prohibición sobre las decisiones automatizadas o la elaboración de perfiles, resultando esencial la correcta obtención del mismo.

 

• Sobre la manifestación de voluntad específica e informada

 

Las Directrices sobre el Consentimiento indican que para cumplir con el carácter de específico el responsable del tratamiento debe aplicar:

 

1) “la especificación del fin como garantía contra la desviación del uso” entendido como la determinación de un fin específico, explícito y legítimo para la actividad de tratamiento prevista;

2) “la disociación en las solicitudes de consentimiento”, es decir, facilitar la posibilidad de optar por cada uno de los distintos fines; y

3) “una clara separación entre la información relacionada con la obtención del consentimiento para las actividades de tratamiento de datos y la información relativa a otras cuestiones”, incluyendo la información específica sobre los datos que se tratarán para cada fin.

 

Por ello, la AEPD concluye:

• Que no puede considerarse prestado un consentimiento específico al no haberse disociado suficientemente las solicitudes de consentimiento, ya que no se permite al interesado expresar su opción sobre todos los fines para los que se tratan los datos.

 

• Que la entidad incluye una enumeración de los tratamientos que realiza que supone una ampliación de los fines, que en algunos casos ni siquiera se identifican.

 

• Que el consentimiento se solicita para el grupo empresarial del que forma parte la entidad, lo que constituye una comunicación de datos a las empresas del grupo. Esto supone una finalidad específica en sí misma, que requiere del consentimiento del interesado para poder llevarse a cabo. La entidad alega que no se produce la cesión debido a la existencia de un régimen de corresponsabilidad entre las empresas del grupo, no obstante, a juicio de la AEPD este extremo no queda acreditado.

 

En relación con la información que la entidad facilita a los interesados, la AEPD indica:

• Que es genérica y no permite conocer el alcance del tratamiento de perfilado que se lleva a cabo.

 

• Que la entidad no informa sobre la comunicación a sistemas de información crediticia, entre los que se encuentran los necesarios para obtener el “Risk Score”, con posteriores finalidades comerciales. Aunque la entidad los incluye dentro del apartado relativo a los tratamientos con finalidades regulatorias, la información debe facilitarse en forma concisa, transparente, inteligible y de fácil acceso, sin que sea admisible que el interesado deba interpretar la información para conocer qué datos se van a tratar acudiendo a la información relativa a otros tratamientos con una base distinta.

 

• Que tampoco cabe legitimar este tratamiento relativo a los sistemas de información crediticia en el Art 20.1.e) de la LOPDGDD, – que habilita la consulta a tales sistemas sin el consentimiento del interesado cuando éste hubiera solicitado la celebración de un contrato que suponga financiación, pago aplazado o facturación periódica – dado que la oferta de tales productos constituye una actividad exclusivamente comercial, sin que previamente lo haya solicitado el interesado. Por tanto, dicho tratamiento deviene inválido por carecer de base legitimadora.

 

Las Directrices sobre el Consentimiento enumeran los requisitos mínimos de contenido para que el consentimiento sea informado y, por tanto, válido, siendo uno de ellos el relativo a “qué (tipo de) datos van a recogerse y utilizarse”. La AEPD se basa en este criterio para desestimar la alegación de la entidad, que refiere que las categorías de datos objeto de tratamiento no se encuentran entre la información mínima descrita en el artículo 13 del RGPD para que el consentimiento sea informado.