En el marco de su “plan de inspección de oficio sobre contratación a distancia en los sectores de telecomunicaciones y energía”, la Agencia Española de Protección de Datos (en adelante, la “AEPD” o la “Agencia”) publicó, el pasado 29 de octubre, un informe en el que detalla los resultados de la supervisión realizada.

Para la revisión del estado actual de los sectores en cuestión, la AEPD procedió a realizar un reconocimiento extensivo de las prácticas llevadas a cabo en la contratación a distancia tales como las llamadas telefónicas, la puesta a disposición de páginas web o aplicaciones móviles, así como los medios empleados para la identificación de los contratantes (clientes o potenciales clientes) tanto en el momento de la contratación, como en la posterior gestión o modificación de la relación contractual. Así mismo, se analiza el nivel de cumplimiento en relación con los tratamientos de datos personales derivados de la contratación de los productos y servicios ofertados.

Es importante destacar que, las conclusiones y recomendaciones del informe son aplicables a cualquier proceso de contratación a distancia, ya que los procesos revisados por la AEPD son prácticas comunes en todos los sectores de actividad, si bien el plan se enfocó en la inspección de los sectores de telecomunicaciones y energía, por su especial representatividad, tanto en lo que se refiere a los medios de contratación empleados como el número de contrataciones realizadas.

Deficiencias detectadas

Entre las principales deficiencias observadas por la AEPD, incluimos a continuación un resumen de las que se consideran más relevantes:

• Transparencia: En líneas generales, se cumple con el deber de informar sobre el tratamiento de datos personales, si bien se han detectado algunas carencias comunes, como:

• No se informan los datos de contacto del delegado de protección de datos.
• No se informa de manera precisa la identidad del responsable, o de las entidades que conforman el grupo empresarial.
• No se informa sobre el derecho de oposición en determinados tratamientos.
• En los procesos de contratación telefónica, se informa de manera resumida (primera capa informativa), pero no se informa sobre como obtener más información (segunda capa).
• No se informa del periodo de conservación de los datos facilitados cuando la contratación finalmente no se ha hecho efectiva.
• Información incompleta sobre transferencias internacionales.

 

• Comunicaciones comerciales con datos obtenidos por terceros: Se ha detectado que, en el caso de bases de datos adquiridas a terceros, las empresas contratantes no poseen evidencias para demostrar que el afectado ha dado su consentimiento, aunque el proveedor externo haya garantizado contractualmente que cuenta con los consentimientos necesarios.
• Acreditación de la identidad del interesado: La identificación del contratante se realiza con posterioridad a la contratación de un servicio.
• Acreditación de la contratación a distancia: Los medios empleados y las evidencias recogidas no permiten acreditar de forma fehaciente la contratación realizada y el contenido de la misma.

Igualmente, los contratos suscritos deben ir acompañados de determinada documentación (DNI e información bancaria, generalmente) pero se ha detectado que no siempre esta documentación consta en las compañías.

• Acreditación de la identidad del interesado en procesos posteriores: Las gestiones telemáticas posteriores a la contratación se validan utilizando sistemas basados en nombre de usuario y contraseña. Generalmente este código de usuario es la dirección de correo electrónico, el DNI o el teléfono y no se obliga al cambio periódico de la contraseña, por lo que la seguridad del sistema de identificación es bastante endeble.

En el caso de gestiones telefónicas, el acceso se facilita aportando determinada información personal y contractual, que tampoco garantizan una seguridad adecuada.

• Conservación de datos: Aunque se informa del plazo aplicado para proceder a la supresión de los datos personales, solo en determinados tratamientos específicos se procede a bloquear o suprimir los datos sin que exista una solicitud expresa del usuario, y solo algunas compañías diferencian los plazos de conservación aplicables a cada tipología de los datos.

Recomendaciones

• Transparencia: Se recomienda utilizar la información por capas, indicando donde encontrar la información adicional y, en concreto, informar de:

• La dirección de contacto del Delegado de Protección de Datos.
• La base jurídica de cada uno de los tratamientos y de su finalidad (se considera una buena práctica informar sobre las categorías de datos que se someten a cada tratamiento).
• La toma de decisiones automatizadas incluida la elaboración de perfiles, especialmente en aquellos casos en que las decisiones produzcan efectos jurídicos o afecten significativamente al interesado, en cuyo caso, habrá que solicitar el consentimiento, salvo que haya otra base jurídica aplicable (en concreto, analizar la legitimación para la realización del scoring y estudiar la proporcionalidad y la necesidad de este tratamiento).
• La obtención de datos de otras fuentes distintas del interesado, aunque el tratamiento sea necesario para la satisfacción de los intereses legítimos del responsable.
• De los destinatarios de los datos, incluyendo las empresas que forman parte de un Grupo empresarial.
• Informar adecuadamente de las transferencias internacionales.

 

• Comunicaciones comerciales con datos obtenidos por terceros: En el caso de obtener datos de potenciales clientes a través de proveedores externos, que afirmen contar con el consentimiento de los interesados, el responsable debe ser diligente para asegurarse de que dicho consentimiento ha sido efectivamente obtenido de forma válida.

Por ello, se aconseja a las empresas que adquieren estas bases de datos la realización de comprobaciones aleatorias, para acreditar que se cuenta con el consentimiento expreso del destinatario de la publicidad.

• Acreditación de la identidad del interesado: Es necesario extremar las garantías de identificación del contratante con anterioridad a la ejecución del contrato.

Es importante que se utilicen sistemas con garantías adicionales, tomando como referencia lo establecido en la normativa PSD2, en cuanto al uso de dobles factores de identificación que permitan una mayor seguridad en la comprobación de la identidad.

Sería recomendable la potenciación del uso de certificados electrónicos como medida de identificación de las personas.

• Acreditación de la contratación a distancia: Es recomendable el empleo de sistemas que permitan la trazabilidad de la contratación y la verificación de la integridad de la documentación contractual.

En este sentido, se recomienda la utilización de técnicas de notificación automatizada certificada, que permitan garantizar la recepción de la comunicación. Asimismo, se afirma que la utilización de sistemas de firma electrónica permitiría a los responsables garantizar la integridad de la documentación relacionada con la contratación.

Por último, se debe verificar que se haya recibido y almacenado toda la documentación necesaria, de forma previa al inicio de la prestación de los servicios.

• Acreditación de la identidad del interesado en procesos posteriores: Es recomendable que en ciertos procesos las empresas utilicen sistemas de autenticación reforzada (o de doble factor), teniendo en cuenta la sensibilidad de la operación que vaya a realizar el usuario.

Se aconseja que cuando los clientes vayan a realizar nuevas compras o contrataciones a través de las webs, se incluya un tercer factor de autenticación, para reforzar la seguridad aplicada en esas operaciones.

En el canal telefónico también es recomendable añadir la aportación de una contraseña, para que el proceso no dependa únicamente de la aportación de datos identificativos y adicionales del cliente.

Se deben implementar políticas de contraseñas, que exijan la configuración de contraseñas complejas y robustas, para reforzar la seguridad de la autenticación del cliente. Por otro lado, se considera una buena práctica que las empresas recuerden a sus clientes la necesidad de cambiar regularmente las contraseñas.

• Conservación de datos: En todo tratamiento de datos personales debe limitarse el plazo de conservación al mínimo estrictamente necesario. En este sentido, se debe proceder a la supresión efectiva de conformidad con los plazos establecidos, y revisar periódicamente las políticas de conservación implementadas, para poder ajustar las deficiencias. En los casos de las contrataciones no formalizadas, se debe proceder a suprimir los datos, salvo que exista un fundamento jurídico que justifique su conservación.

Por último, es recomendable que los datos de los potenciales clientes, que han otorgado su consentimiento para ser contactados se supriman cuando haya transcurrido un periodo de tiempo razonable, o en su defecto, que se implanten procedimientos de revisión periódica.

__________________

Área IT, Privacidad y Seguridad

+ 34 91 781 61 60

info@ecija.com