Las empresas que utilizan contactos obtenidos a través de terceros para desarrollar campañas comerciales deben comprobar qué autorizó exactamente cada destinatario. Disponer de una base de datos cedida y de un permiso genérico para recibir ofertas de compañías colaboradoras puede no ser suficiente para justificar el envío de publicidad.
Las conclusiones presentadas el 17 de septiembre por el abogado general del Tribunal de Justicia de la Unión Europea ponen el foco en la identificación de la empresa que utilizará posteriormente los datos. El criterio cuestiona las autorizaciones genéricas cuando el consumidor no podía saber con claridad quién acabaría enviándole comunicaciones comerciales.
El asunto resulta especialmente relevante para pymes y autónomos que recurren a contactos de terceros para ampliar el alcance de sus campañas. El procedimiento analizado tiene su origen en una acción comercial realizada con información de alrededor de 3,9 millones de personas y que ha desembocado en una multa de 600.000 euros.
Recibir los datos implica asumir responsabilidades
Utilizar contactos facilitados por otra compañía no libera al negocio de las obligaciones asociadas a esa información.
Vincenzo Lo Coco, abogado especializado en Derecho Tecnológico y Digital de RSM, explica que la empresa que recibe los datos pasa a asumir la condición de responsable del tratamiento. Esto implica cumplir las exigencias que la normativa atribuye a quien utiliza información personal.
El aspecto clave para las empresas es que un contrato entre dos compañías no sustituye las obligaciones sobre privacidad. Aunque exista un acuerdo que regule la cesión y utilización de los contactos, la empresa receptora debe comprobar si puede utilizarlos legalmente para la finalidad prevista.
La responsabilidad, por tanto, no termina en el negocio que captó inicialmente al usuario. La compañía que desarrolla la campaña debe verificar que existe una base jurídica válida para tratar los datos y utilizarlos con fines comerciales.
Los acuerdos de cesión pueden establecer condiciones adicionales entre las partes. Sin embargo, no eliminan las obligaciones que corresponden directamente a la empresa que recibe y explota la información.
El cliente debe saber quién utilizará sus datos
La cuestión analizada afecta especialmente a los formularios que permiten recibir comunicaciones de “socios”, “colaboradores” u otras empresas sin identificar claramente cuáles son.
Las conclusiones del abogado general señalan que el consentimiento debe ser libre, específico, informado e inequívoco. Los cuatro requisitos deben cumplirse conjuntamente.
Esto significa que una autorización redactada de forma amplia no permite automáticamente que cualquier empresa incluida posteriormente dentro de una determinada categoría utilice esos contactos con fines comerciales.
Según Lo Coco, la persona debe conocer o, como mínimo, poder distinguir con claridad qué empresa será la responsable de utilizar posteriormente sus datos.
Para los negocios que participan en alianzas comerciales, acuerdos entre compañías o campañas conjuntas, este criterio obliga a revisar algo más que el contrato firmado con el proveedor de la lista. También hay que analizar qué información recibió el usuario en el momento en que facilitó sus datos.
Una mención genérica a empresas colaboradoras puede resultar insuficiente si el destinatario no tenía posibilidad real de identificar quién iba a contactar con él.
La empresa debe pedir pruebas antes de lanzar la campaña
La procedencia de una lista comercial puede ser compleja. Una misma base de datos puede incluir usuarios captados mediante formularios web, registros, contrataciones, suscripciones u otros procedimientos.
Por ese motivo, conocer únicamente la identidad de la empresa que facilita la información no basta.
El especialista aconseja solicitar al cedente la documentación necesaria para acreditar que disponía de autorización para facilitar los datos y que informó adecuadamente a los interesados.
Entre los documentos que pueden resultar relevantes se encuentran las políticas de privacidad, las cláusulas informativas, los contratos, los formularios utilizados en las páginas web y los procedimientos aplicados durante el registro de los usuarios.
También conviene revisar los modelos de consentimiento empleados durante la captación de cada contacto. El objetivo es comprobar exactamente qué aceptó el cliente y cuál era el alcance real de esa autorización.
Cuando el tratamiento se basa en la voluntad del interesado, la compañía debe comprobar además que existió una acción afirmativa clara. No basta con asumir que el permiso existe porque los datos proceden de otra empresa.
La empresa necesita igualmente conservar pruebas que permitan demostrar que la autorización fue realmente prestada.
Esta comprobación debe hacerse antes de iniciar la campaña. No debería dejarse para el momento en que aparezca una queja o se produzca una actuación de la autoridad competente.
Un enlace para darse de baja no corrige la falta de permiso
Otra de las cuestiones relevantes afecta a una práctica frecuente en las campañas de correo electrónico: enviar un primer mensaje y permitir después que el destinatario solicite la baja.
Las conclusiones analizadas descartan que este sistema pueda resolver una falta de autorización inicial.
La legitimidad para utilizar los datos debe existir antes del primer envío. Por tanto, incluir posteriormente un enlace de baja no convierte en lícita una comunicación que se envió sin contar previamente con una autorización suficiente.
La posibilidad de cancelar futuros mensajes cumple otra función, pero no sustituye las condiciones necesarias para realizar el primer contacto.
Para las empresas, esto obliga a revisar la base legal antes de activar los envíos. La estrategia de contactar primero y ofrecer después una opción de cancelación no corrige un posible incumplimiento previo.
El caso afecta a millones de contactos
El procedimiento europeo tiene su origen en una campaña electrónica realizada con información de cerca de 3,9 millones de personas.
Los datos habían sido recogidos por dos proveedores de internet. Sus abonados habían aceptado que determinados socios utilizaran la información para enviarles ofertas comerciales.
El problema es que esos socios no estaban identificados cuando las personas prestaron la autorización.
Ese modelo de captación es precisamente el que se encuentra en el centro del debate. La cuestión no es únicamente si el usuario aceptó recibir publicidad, sino si tenía información suficiente para saber qué compañía iba a utilizar posteriormente sus datos.
La utilización de listas masivas exige así revisar el origen de los contactos, la forma en que fueron obtenidos y el texto exacto que acompañaba a los formularios de autorización.
Las campañas ya iniciadas también deben revisarse
El riesgo no afecta exclusivamente a las nuevas campañas. Una empresa puede descubrir, después de empezar los envíos, que parte de sus contactos procede de autorizaciones genéricas que únicamente mencionaban socios o colaboradores.
Cuando el anunciante concreto no podía ser identificado por el usuario en el momento de conceder el permiso, Lo Coco recomienda suspender la campaña.
La interrupción permite revisar qué registros cumplen las condiciones necesarias y cuáles presentan problemas.
Seguir enviando mensajes podría generar reclamaciones de los interesados, actuaciones de las autoridades de control y posibles sanciones relacionadas tanto con la protección de datos como con las comunicaciones comerciales electrónicas.
Para las empresas que trabajan con grandes volúmenes de información, esta revisión puede exigir analizar diferentes grupos de contactos, ya que no todos tienen necesariamente el mismo origen ni fueron captados mediante el mismo procedimiento.
La finalidad para la que se cedieron los datos también importa
Recibir una lista de contactos no permite utilizarla libremente para cualquier objetivo comercial.
Según el especialista, los datos no pueden destinarse a finalidades diferentes de aquellas que justificaron inicialmente la cesión, salvo que exista otra base jurídica que permita hacerlo y que el interesado sea informado correctamente.
Este principio obliga a revisar también la finalidad del tratamiento. Una autorización concedida para un determinado propósito no puede ampliarse automáticamente a otros usos.
Para los negocios españoles, estas obligaciones están relacionadas tanto con el Reglamento General de Protección de Datos como con las normas aplicables a las comunicaciones comerciales electrónicas.
El criterio europeo refuerza así la necesidad de comprobar cómo se captaron los contactos antes de utilizar una base de datos ajena.
El acuerdo con el proveedor no elimina el riesgo
Las empresas pueden firmar contratos específicos para regular la entrega y utilización de información personal. Esos documentos pueden definir responsabilidades, obligaciones y condiciones entre las partes.
Sin embargo, el contrato no sustituye la revisión del consentimiento obtenido de los usuarios.
La compañía que recibe los datos debe conocer qué documentación existe, cómo se obtuvo el permiso y qué información vio el cliente cuando completó el registro.
Esto convierte la verificación documental en un paso relevante antes de activar cualquier campaña basada en información procedente de terceros.
Para una pyme, disponer de una lista comercial no significa disponer automáticamente del derecho a utilizar todos sus registros. Cada contacto puede estar sometido a condiciones diferentes en función de cómo fue captado.
El permiso genérico deja de ser suficiente por sí solo
El criterio expuesto por el abogado general del TJUE pone el foco en un punto concreto: las autorizaciones que hablan de socios o colaboradores sin identificar a las empresas que posteriormente utilizarán la información.
Cuando el usuario no puede determinar quién realizará el tratamiento, esa fórmula puede resultar insuficiente para sostener una campaña comercial.
Las compañías que utilicen listas proporcionadas por terceros deberán prestar especial atención a la identificación del anunciante, al contenido de los formularios, al momento en que se obtuvo la autorización y a la información que recibió el usuario.
También deberán poder acreditar que el permiso se prestó de forma válida y que los datos continúan utilizándose dentro de la finalidad prevista inicialmente.
La revisión previa de estos elementos se convierte así en una parte relevante de la gestión de cualquier campaña basada en contactos externos. Para las empresas, el riesgo no depende únicamente de haber recibido legalmente una lista. También depende de poder demostrar que cada destinatario podía identificar quién utilizaría sus datos y para qué.
