Source: https://www.prodat.es/blog/la-subcontratacion-de-un-servicio-no-exime-al-responsable-del-tratamiento-de-atender-los-derechos-de-sus-clientes.html
Timestamp: 2020-08-06 21:54:44+00:00

Document:
PRODAT Protección de Datos para empresas RGPD, LOPDGDD y LSSI - La subcontratación de un servicio no exime al responsable del tratamiento de atender los derechos de sus clientes
Escrito por Cristina Zato Morán Visto 161 veces
Por su parte, la Mutua alega que, de haber procedido a la comunicación a la entidad contratante de aquellos clientes que le solicitaron expresamente la oposición al envío de publicidad, se estaría produciendo una cesión no consentida de datos, en base a que el propio artículo 48 RDLOPD no contempla la cesión de datos a terceras entidades de los ficheros de exclusión.
A este respecto, el Tribunal confirma lo establecido por la AEPD en relación con esta posible “cesión inconsentida” de datos personales. La AEPD es clara en este sentido, entendiendo que la Mutua no estaría cediendo datos de manera ilícita a su empresa contratante de publicidad, al entender que “toda vez que la información que afecta al derecho de oposición se encuadra en una prestación de servicios que tiene por objeto, precisamente, la realización de publicidad a favor de MM, tratamiento no autorizado por los afectados al manifestar a la entidad de la que son clientes su negativa al mismo, tal y como ocurrió en el caso del denunciante al comunicar su negativa a este tipo de tratamiento publicitario de sus datos personales”.
Continúa indicando la AEPD que dicha excepción a la necesidad del consentimiento para la cesión de datos de la Mutua ante la tercera entidad contratante de publicidad se vería amparada en el artículo 11.2 c) de la ya derogada LOPD 15/1999, al existir una relación jurídica entre ambas entidades, lo cual exime a la Mutua de la obligación de recabar consentimiento para tal cesión, tal y como se indica en el artículo 11.1 LOPD 15/1999.
En lo que respeta a nuestra legislación actual en materia de protección de datos y atendiendo a este supuesto en concreto, podríamos encontrar un amparo equivalente en el RGPD cuando en su artículo 6.1 b) recoge que el tratamiento (entendiendo por tratamiento también la comunicación de datos) será lícito, siempre y cuando sea necesario para la ejecución de un contrato en el que el interesado sea parte.
Atendiendo a la Resolución de la AEPD, así como a la sentencia del propio Tribunal, entendemos que la Mutua estaría actuando como responsable de tratamiento, ostentando la empresa contratante la figura de encargado de tratamiento, ambas figuras recogidas en los artículos 24 y 28 RPGD. Además, la Mutua considera que dicha obligación de hacer cumplir el derecho de oposición de su cliente ante la empresa contratante no se le puede hacer extensible, sin embargo, el Tribunal entiende que el hecho de que dicha empresa sea un encargado de tratamiento, “en absoluto exime de responsabilidad a la entidad Mutua Madrileña”.
A tenor de lo dispuesto, señala la sentencia expresamente que ”se desprende de todo lo anterior que la concurrencia, en el presente supuesto, de un encargado del tratamiento en absoluto exime de responsabilidad a la entidad Mutua Madrileña ahora recurrente (…) en cuanto los datos personales tratados lo fueron con la finalidad de llevar a cabo una campaña publicitaria respecto de seguros de coche y moto que comercializaba la Mutua Madrileña, en definitiva en beneficio de dicha MM, siendo tal entidad actora la que, en último término, determina los fines y medios del repetido tratamiento de datos, por lo que la misma no puede ser exonerada de responsabilidad.
Asimismo, tal y como se recoge en el artículo 82.2 RGPD en lo relativo al derecho de indemnización y responsabilidad de responsables y encargados, “cualquier responsable que participe en la operación de tratamiento responderá de los daños y perjuicios causados en caso de que dicha operación no cumpla lo dispuesto por el presente Reglamento. Un encargado únicamente responderá de los daños y perjuicios causados por el tratamiento cuando no haya cumplido con las obligaciones del presente Reglamento dirigidas específicamente a los encargados o haya actuado al margen o en contra de las instrucciones legales del responsable.”
Confirma el Tribunal que la Mutua no adoptó a este respecto ninguna medida destinada a cumplir con el derecho de oposición de su cliente con relación al envío de publicidad por parte de la empresa contratante, al haber requerido expresamente el denunciante ante la propia Mutua la oposición al tratamiento de sus datos a toda compañía con la que contratasen sus servicios de publicidad, incoándoles que consultasen la Lista Robinson y que procedieran a no enviarle ningún correo a las dos direcciones que incluyó en la Lista. En lo relativo al envío de las comunicaciones comerciales realizadas a través de medios electrónicos, a pesar de no hacer la citada sentencia alusión directa a ello, debemos recordar que la Ley 34/2002, de 11 de julio, de servicios de la sociedad de la información y de comercio electrónico establece en su artículo 21.1 la prohibición del “envío de las comunicaciones publicitarias o promocionales por correo electrónico u otro medio de comunicación electrónica equivalente que previamente no hubieran sido solicitadas o expresamente autorizadas por los destinatarios de las mismas”.
A mayor abundamiento, el artículo 51.1 RLOPD establece el derecho de los interesados a oponerse a los datos que le conciernan, “en cuyo caso serán dados de baja del tratamiento, cancelándose las informaciones que sobre ellos figuren en aquél, a su simple solicitud”. Por su parte, el artículo 51.4 RDLOPD recoge con relación con el derecho de oposición en el marco de actividades publicitarias que, “si el derecho de oposición se ejercitase ante una entidad que hubiera encomendado a un tercero la realización de una campaña publicitaria, aquélla estará obligada, en el plazo de diez días, desde la recepción de la comunicación de la solicitud de ejercicio de derechos del afectado, a comunicar la solicitud al responsable del fichero a fin de que el mismo atienda el derecho del afectado en el plazo de diez días desde la recepción de la comunicación, dando cuenta de ello al afectado.”
Por todo ello, el Tribunal declara no haber lugar al recurso de casación interpuesto por la Mutua, confirmando así la resolución de la AEPD, en la que no le exonera de la responsabilidad de cumplir con el derecho de oposición solicitado por su cliente, impidiendo y obstaculizando la efectividad del mismo.
Por último, no querríamos pasar por alto una cuestión que indica asimismo el Alto Tribunal, con relación a la prescripción de las infracciones.
A este respecto, la Mutua alegaba prescripción de la sanción interpuesta, puesto que, desde el momento en el que el denunciante ejerció su derecho de oposición, hasta que se inició el expediente sancionador, habían transcurrido más de dos años, plazo que la LOPD 15/1999 establecía para la prescripción de las acciones catalogadas como graves.
El Tribunal entiende que, al haberse producido una clara inactividad por parte de la Mutua en lo referido al cumplimiento efectivo del derecho de oposición de su cliente ante la empresa contratada por ésta para el envío de publicidad de sus productos, ello se correspondería con una omisión que da lugar a una “infracción permanente”, ante lo cual, la fecha de inicio del cómputo del plazo de prescripción no opera a partir del comienzo de la conducta típica, sino desde la finalización de la misma. Tal y como recoge el Tribunal en Sentencia de 4 de noviembre de 2013 (recurso 251/2011), la infracción permanente “no requiere un concurso de ilícitos, sino una única acción de carácter duradero, cuyo contenido antijurídico se prolongue a lo largo del tiempo, en tanto el sujeto activo (en nuestro caso, la Mutua), no decida cesar en la ejecución de su conducta.
A modo de conclusión, y en relación con este último apartado, entendemos que es de especial relevancia el criterio que señala el Tribunal y que ha de ser tenido en especial consideración, de cara a la necesidad de demostrar el cumplimiento normativo en materia de protección de datos. al determinar que los plazos de prescripción no gozan de carácter absoluto.
Más en esta categoría: « Sistemas de detección anticipada: nuevo paradigma en el uso de técnicas de reconocimiento facial.	Teletrabajo, medidas de control y su injerencia en la privacidad de los trabajadores »
Modificado por última vez en Martes, 07 Julio 2020 08:29

References: artículo 48
 artículo 11
 artículo 11
 artículo 6
 Resolución 
 artículo 82
 artículo 21
 artículo 51
 artículo 51
 resolución