Un vuelco en la transparencia contractual y el deber de informar
El Gabinete Jurídico de la Agencia Española de Protección de Datos (AEPD) ha emitido un informe clave en el que analiza la conformidad de las condiciones generales de contratación frente al Reglamento General de Protección de Datos (RGPD). La consulta, centrada en una entidad que recogía hasta doce finalidades de tratamiento en un texto exhaustivo, deja al descubierto los fallos más comunes al adaptar las cláusulas contractuales a la normativa europea.
El organismo recalca que, en virtud del artículo 12.1 del RGPD, la información al usuario no solo debe ser completa, sino expresada de forma «concisa, transparente, inteligible y de fácil acceso, con un lenguaje claro y sencillo». Para lograrlo, la AEPD aboga por el sistema de información por capas, que permite ofrecer primero una versión básica y clara al usuario y enlazar de forma sencilla a los detalles complementarios.
Exigencia de granularidad: fin al consentimiento único
Uno de los puntos más críticos señalados en el dictamen se centra en la recogida del consentimiento del usuario. Conforme al Considerando 32 del RGPD, el consentimiento requiere un acto afirmativo claro, libre, específico e inequívoco. Por lo tanto, quedan rotundamente descartadas las casillas ya premarcadas, la inacción o la aceptación tácita.
Asimismo, la AEPD exige que se cumpla el principio de granularidad. No es legal utilizar un único botón o casilla para autorizar múltiples finalidades a la vez. Si los datos van a ser empleados para varios fines (como prevención del fraude, evaluación crediticia o prospección comercial), el afectado debe tener la opción de consentir cada uno de ellos por separado.
Interés legítimo y minimización en la elaboración de perfiles
El informe precisa además la necesidad de diferenciar entre los tratamientos que requieren consentimiento explícito y aquellos amparados en el interés legítimo del responsable (artículo 6.1 f del RGPD), como es el caso de la comunicación de datos a sistemas de información crediticia o prevención del fraude.
Por último, cuando se pretenda conservar datos para la elaboración de perfiles o guardarlos durante plazos prolongados (como hasta cinco años tras la finalización del contrato), la AEPD advierte de que se deben ofrecer comunicaciones separadas que expliquen la intromisión en la privacidad. En estos supuestos se impone estrictamente el principio de minimización de datos (artículo 5.1 c del RGPD) y la aplicación de medidas de seguridad como la seudonimización para mitigar riesgos.