El principio de consentimiento del afectado en protección de datos requiere que las personas deben dar su autorización expresa e inequívoca para el tratamiento de sus datos personales. El consentimiento debe ser informado, específico y libre.
En las siguientes líneas explicamos cómo recoger el consentimiento del afectado y cuándo es necesario hacerlo.
Contenido del artículo
- ¿Qué es el principio de consentimiento del afectado?
- ¿Cómo debe ser el consentimiento del afectado en protección de datos?
- ¿Cuándo es necesario el consentimiento del afectado para poder tratar sus datos?
- ¿Cómo se recoge el consentimiento del afectado en materia de protección de datos?
- Ejemplo de cumplimiento del principio de consentimiento del afectado
- Te ayudamos a cumplir la Ley de Protección de Datos
¿Qué es el principio de consentimiento del afectado?
La LOPDGDD recoge en su artículo 6 el «Tratamiento basado en el consentimiento del afectado», que define como:
Toda manifestación de voluntad libre, específica, informada e inequívoca por la que este acepta, ya sea mediante una declaración o una clara acción afirmativa, el tratamiento de datos personales que le conciernen.
Cabe señalar que el principio de consentimiento del afectado ha cambiado tras la derogación de la LOPD de 1999 y la entrada en vigor del RGPD y la LOPDGDD, que recoge los principios de la protección de datos del RGPD, entre los que se incluye el consentimiento del afectado.
La diferencia está en la necesidad de que el consentimiento del afectado siempre deba darse a través de una declaración o acción afirmativa de este, algo que no se mencionaba en la derogada Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (LOPD) y que hace que las formas de consentimiento implícito y consentimiento tácito ya no sean válidas, siendo siempre necesario el consentimiento expreso para cumplir la LOPDGDD.
Lo que no cambia es que para el tratamiento de datos de categorías especiales (art. 9 del RGPD), el consentimiento además debe ser expreso, es decir, el interesado debe manifestar de forma fehaciente su consentimiento para el tratamiento de ese tipo de datos (ya sea mediante firma u otra fórmula).
Además, según el principio de responsabilidad proactiva del RGPD, el responsable del tratamiento debe ser capaz de demostrar siempre que cuenta con el consentimiento inequívoco para el tratamiento de datos de los interesados, por lo que ese consentimiento debe quedar registrado.
¿Consentimiento del afectado o consentimiento del interesado?
En el apartado anterior hemos hablado tanto del consentimiento del afectado como del consentimiento del interesado y es que podemos decir que ambos términos son sinónimos en lo que a la LOPD y la LOPDGDD se refiere, ya que se usan ambos términos en el texto de estas leyes.
En el RGPD, sin embargo, solo habla del consentimiento del interesado. Pero, como decimos, son términos sinónimos para referirnos a los titulares de los datos personales.
¿Cómo debe ser el consentimiento del afectado en protección de datos?
El consentimiento RGPD y, por extensión, en la LOPDGDD, tiene las siguientes características:
- El consentimiento debe prestarse libremente: No se puede supeditar a la prestación de un servicio o disfrute de un bien al consentimiento para el trato de datos personales, cuando estos no son necesarios para ello (por ejemplo, para poder navegar por una página web, no debería necesitar dar mi consentimiento para el uso de cookies de terceros).
- El consentimiento debe ser específico: Se recaba para una o varias finalidades definidas. Cuando se recaba para varias finalidades, se recomienda agrupar estas por su vinculación (por ejemplo, gestión del servicio, envío de comunicaciones comerciales, cesión de datos personales a terceros, etc.).
- El consentimiento debe ser informado: El consentimiento informado implica no solo especificar las finalidades del tratamiento y los derechos de los interesados, sino también los riesgos inherentes y hacerlo con un lenguaje claro y sencillo, explicado en términos comprensibles para cualquier tipo de usuario, incluidos menores.
- El consentimiento debe ser inequívoco: Debe ser una manifestación clara y explícita de la voluntad del interesado, que no sea susceptible de interpretarse en varios sentidos, por lo que debe quedar registrado. Además, si se recaba el consentimiento junto a otras declaraciones escritas (como un contrato), debe quedar claramente diferenciada la información de protección de datos y la prestación del consentimiento del resto del documento.
- El consentimiento debe ser revocable: Se puede revocar el consentimiento para el tratamiento de datos en cualquier momento y hacerlo debe ser tan fácil como fue prestarlo.
No cumplir con estas características o no recabar el consentimiento del afectado, cuando este es necesario para la licitud del tratamiento, podrá ser considerado como alguna de las infracciones leves, graves y muy graves previstas en la LOPD respecto al consentimiento en protección de datos.
¿Cuándo es necesario el consentimiento del afectado para poder tratar sus datos?
El consentimiento del afectado para tratar sus datos personales es necesario recabarlo siempre que no concurran algunas de las bases legitimadoras contempladas en el artículo 6.1 del RGPD:
- b) Para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales.
- c) Para el cumplimiento de una obligación legal aplicable al responsable del tratamiento.
- d) Para proteger intereses vitales del interesado o de otra persona física.
- e) Para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento.
- f) Para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales.
Así mismo, y como ya hemos dicho, el consentimiento del interesado será siempre necesario para el tratamiento de datos de categorías especiales.
Por lo tanto, si no concurre ninguna de las bases legitimadoras citadas, la licitud del tratamiento será el consentimiento del afectado.
¿Cómo se recoge el consentimiento del afectado en materia de protección de datos?
El consentimiento del afectado en materia de protección de datos puede recogerse de diferentes formas, siempre que estas sirvan para dejar constancia del mismo. Por lo tanto, se puede recoger:
- Por escrito mediante una declaración de consentimiento o a través de la firma de cláusulas de protección de datos.
- De manera digital, usando casillas de aceptación (que no deben estar premarcadas) o botones de «Acepto».
- De forma verbal (siendo importante que quede registrado).
Y, cómo ya señalamos más arriba, siempre deberá suministrarse al afectado toda la información relativa al tratamiento de datos (finalidad, responsable, plazos de conservación, etc.) con carácter previo a solicitar su consentimiento, empleando para ello la fórmula más adecuada, como puede ser un anexo en los contratos o un enlace a la política de privacidad de una página web.
Ejemplo de cumplimiento del principio de consentimiento del afectado
Un blog o página web que tiene habilitados los comentarios de los usuarios en sus artículos. Para poder comentar, es necesario que los usuarios se suscriban a la página web o blog, facilitando un nombre de usuario y una dirección de correo electrónico.
Para tratar estos datos (recabarlos y almacenarlos en la base de datos), el responsable de la web debe obtener el consentimiento de los usuarios (los afectados). Para ello:
- Habilitará un formulario donde consignar los datos solicitados.
- Incluirá un enlace a la política de privacidad de la página web.
- Especificará la finalidad del tratamiento; en este caso, verificar la identidad del usuario que realiza los comentarios.
- Habilitará una casilla de aceptación o botón de «Acepto» para la política de privacidad, que el afectado debe marcar.
- Si se quieren añadir otras finalidades, como, por ejemplo, el envío de una newsletter, se debe habilitar otra casilla de aceptación específica.
- El consentimiento debe quedar registrado (actualmente, hay complementos de páginas web y CRM que se ocupan de esta tarea).
Como ejemplo:
Gracias a la plataforma de gestión online de la protección de datos de Atico34, recabar el consentimiento de los clientes o usuarios es una tarea fácil y rápida, quedando además registrado, tal y como establece la normativa. Si quieres facilitar la gestión y cumplimiento de la Ley de Protección de Datos, no dudes en ponerte en contacto con Atico34 y preguntar por su plataforma de gestión online.
