Source: https://legaltmt.jausas.blog/los-datos-contacto-profesional-rgpd/
Timestamp: 2019-06-18 21:14:59+00:00

Document:
Los datos de contacto profesional bajo el RGPD - Legal TMT JAUSAS
Tras unas intensas semanas de trabajo como consecuencia de la aplicación del RGPD, nos hace especial ilusión volver a compartir con tod@s vosotros nuevos contenidos! [...]
Sin duda alguna, la aplicación del Reglamento General UE 2016/679 en materia de protección de datos personales, de 27 de abril de 2016 (en adelante, el “RGPD”), ha conllevado cambios de calado en cuanto a las obligaciones y responsabilidades que tanto responsables como encargados del tratamiento deben asumir con respecto a los tratamientos que en cada caso realicen.
Entre dichas novedades, cabe destacar el cambio de interpretación que hasta el momento se venía realizando sobre el concepto de “datos profesionales de contacto” (en adelante, los “Datos”) bajo la actual Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos Personales (en adelante, la “LOPD”) y su normativa de desarrollo.
En primer lugar, analizaremos la interpretación sobre el concepto de Datos realizada con anterioridad a la aprobación del RGPD, para seguidamente exponer el cambio de criterio bajo el nuevo marco normativo.
Situación previa al RGPD
La LOPD actual, en su artículo 2.2, no contemplaba ninguna excepción que permitiese interpretar que los Datos quedaban excluidos del ámbito de aplicación de dicha ley.
No obstante, la aprobación del Real Decreto 1720/2007, de 21 de diciembre (en adelante, el “RD”), y en particular el contenido del artículo 2.3 RD, propició una interpretación favorable a la exclusión de los Datos del régimen de aplicación de la protección de datos de carácter personal.
En particular, dicho artículo indica que:
Como consecuencia de lo anterior, y siguiendo el criterio manifestado por la propia Agencia Española de Protección de Datos –Informe 0177/2017-, para aplicar la referida exclusión era necesario que el tratamiento del dato de la persona de contacto fuese accesorio en relación con la finalidad perseguida.
Por ende, los Datos tratados debían limitarse efectivamente a los meramente necesarios para identificar al sujeto en la persona jurídica a la que presta sus servicios, de forma que el tratamiento debía limitarse a los Datos de nombre y apellidos, funciones o puestos desempeñados, dirección postal o electrónica, teléfono y número de fax profesionales.
Los Datos se entendían como los meramente imprescindibles para identificar al sujeto en cuanto contacto de quien realiza el tratamiento con otra empresa o persona jurídica.
En palabras de la AEPD, “la finalidad del tratamiento debe perseguir una relación directa entre quienes traten el dato y la entidad y no entre aquéllos y quien ostente una determinada posición en la empresa. De este modo, el uso del dato debería dirigirse a la persona jurídica, siendo el dato del sujeto únicamente el medio para lograr esa finalidad.”
Situación bajo el RGPD a partir del 25 de mayo 2018
La plena aplicación del RGPD supone un cambio de criterio en lo que venía siendo una interpretación favorable a la exclusión de los Datos del régimen de aplicación de la protección de datos.
Y ello principalmente por los siguientes motivos:
El RGPD no contiene ninguna excepción como la contemplada en el referido artículo 2.2 del RD;
El actual Proyecto de Ley Orgánica de Protección de Datos, en su artículo 19, incluye lo siguiente:
La misma presunción operará para el tratamiento de los datos relativos a los empresarios individuales cuando se refieran a ellos únicamente en dicha condición y no se traten para entablar una relación con los mismos como personas físicas.”
En consecuencia, de mantenerse dicho artículo cuando se apruebe definitivamente la nueva LOPD, el legislador español no mantendría la excepción que sí contemplaba el RD actual, antes referida.
Bien al contrario, el Proyecto de Ley se inclina por considerar que dichos Datos merecen la consideración de dato de carácter personal, ya que, a pesar de no exigir el consentimiento de dichas personas físicas cuando se cumplan con los requisitos indicados en dicho artículo, sí hace referencia a la posibilidad de recurrir al interés legítimo como base de tratamiento.
Con la remisión al artículo 6.1 f) del RGPD, el cual regula el “interés legítimo” como base jurídica de tratamiento, el legislador español estaría reconociendo que los datos de contacto deben entenderse dentro del ámbito de aplicación de la norma.
El hecho de considerar que un dato de contacto de persona física que preste servicios en una persona jurídica, deba ser considero como dato de carácter personal, obligaría al titular de una base de datos de contacto a cumplir con todas las medidas del RGPD y aplicar sobre dicha base de datos todas las medidas técnicas, organizativas y de seguridad que sean necesarias para cumplir con el nuevo marco normativo.
Entre dichas medidas, el responsable del fichero deberá informar a las personas afectadas sobre todos los aspectos incluidos en los artículos 13 y 14 del RGPD, en función de si los datos han sido obtenidos directamente del interesado o a través de un tercero.

References: artículo 2
 Real Decreto 
 artículo 2
 artículo 2
 artículo 19
 artículo 6