E-01434-2020

1/17  Procedimiento Nº: E/01434/2020 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: La reclamación interpuesta por A.A.A. (en adelante, la reclamante) tiene entrada con fecha 11/07/2019 en la Agencia Española de Protección de Datos y se dirige contra BANCO SANTANDER, S.A., con NIF A39000013 (en adelante, el reclamado), siendo los motivos: “En diciembre de 2018, el Banco Popular (ahora absorbido por el Banco Santander), solicitó mi nómina y los datos económicos indicando que los tenían desactualizados o incompletos y que si no los completaba me iban a bloquear las cuentas por la ley de prevención del blanqueo de capitales. Para facilitar mis datos económicos me envió un formulario "Autorización de Registro y tratamiento de los Datos de carácter Personal" (documento 1) en el que, además de cierta información personal, incluía todas las cláusulas relativas a la autorización del tratamiento de mis datos sin que en el formulario existiese opción alguna a oponerme ni total ni parcialmente. Les solicité un documento que me permitiese facilitar mis datos personales sin tener que cederlos para su uso comercial e incluso para la cesión a terceros, y me dijeron telefónicamente el 02/01/2019 que la única opción era ceder mis datos y después revocar la autorización.” La remitieron a la oficina de privacidad de Banco Santander, que la contestó el 28/03/2019 indicando que tomaban nota de mi oposición al tratamiento de mis datos, pero tenía que seguir firmando el documento 1 para registrar mis datos económicos y por tanto, ceder mis datos. Así se lo expliqué y me solicitaron ese documento para analizarlo. Tras analizar el documento, le respondieron con carta del 09/07/2019 en la que indican: "Le informamos que este documento tiene como objeto exclusivamente recoger sus datos personales [...] y ofrecerle información sobre los posibles tratamientos de sus datos[...]. Ello quiere decir que será en otro documento posterior donde tendrá la oportunidad de dar o no su consentimiento a los tratamientos de sus datos que lo requieran y de conocer más específicamente aquellos otros tratamientos a los que, de no estar de acuerdo podrá oponerse. Por tanto el documento que se somete a su firma es de recogida de datos que Vd. reconoce entregar y de carácter informativo, no recogiendo obligación alguna ni, por tanto, la de ceder datos". C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/17 “Lamentablemente, por más que releo el documento, lo único que puedo entender es que al firmarlo, estoy autorizando ese tratamiento de datos, y desde luego, la oficina de privacidad del Banco Santander no me facilitó ese "otro documento posterior" en el que podré dar -o no- mi consentimiento. Por este motivo, como último intento, les expliqué el mismo día 9 que en el documento 1, en todas y cada una de las hojas, tanto en el encabezado como en el pie de página, se indica: " AUTORIZACIÓN DE REGISTRO Y TRATAMIENTO DE LOS DATOS DE CARÁCTER PERSONAL" y se incluye el recuadro para firmar. Por tanto, claramente, si firmo en el recuadro, estoy autorizando a la entidad a tratar y ceder mis datos. El 10/07 me contestaron que quizá el texto del documento 1 no sea afortunado pero que no obliga a ceder mis datos. No lo entiendo. Les agradeceré revisen esta documentación, ya que considero que el Banco Santander me está obligando a ceder mis datos sin derecho de oposición previo, y visto que es un modelo estándar, claramente está obligando al resto de usuarios.” Junto a la reclamación aporta:  Archivo adjunto DOCUMENTO 1 “autorización de registro y tratamiento de los datos de carácter personal” formado por tres hojas que se deben rellenar, adjuntar copia del DNI y retornar el documento original firmado. Cada hoja lleva un apartado para ser firmada sin que figure más que “firma del titular “y figura en el margen derecho superior, “1/10/2018”. La primera hoja, para rellenar los datos personales, económicos y laborales. La segunda hoja se titula CONDICIONES, dividida en tres puntos: El punto 1: “declaración de actividad económica”, indica la obligación legal de la entidad de conocer información sobre “su actividad profesional y empresarial”. El punto 2: informa sobre obligación de información sobre cuentas financieras en el ámbito de la asistencia mutua, mencionando normativa como la Directiva 2014/10 UE o el RGAT Reglamento General de actuaciones tributarias, con efectos fiscales en la indicación de la residencia y nacionalidad, obligación impuesta por la Ley 58/2003 de 17/12 general tributaria. El punto 3: “tratamiento de datos personales”, se desglosa en varios apartados que comprenden distintos aspectos que por razón de la materia se pueden diferenciar: 3.1”INFORMACIÓN BÁSICA SOBRE PROTECCIÓN DE DATOS” se indica quién es el responsable del tratamiento y los datos de contacto y del DPD. 3.2 En respuesta a la cuestión “¿POR QUÉ Y PARA QUÉ TRATAMOS PRINCIPALMENTE SUS DATOS?” se explican las siguientes finalidades: -“DE NATURALEZA CONTRACTUAL C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/17 -“Contratar, mantener y seguir el cumplimiento de los contratos de los productos y servicios que tenga con el Banco, pudiendo analizar sus datos para obtener perfiles, incluso por medios basados únicamente en el tratamiento automatizado de sus datos.” -“BASADAS EN EL INTERÉS LEGÍTIMO DEL BANCO -Desarrollar acciones comerciales en general, y en particular, ofrecerle y/o recomendarle productos y servicios del Banco, que puedan resultar de su interés, teniendo en cuenta los que haya contratado en el pasado. La recomendación de productos podrá basarse en un perfilado que, en algunos casos, se llevará a cabo utilizando medios basados únicamente en el tratamiento automatizado de sus datos. - Tratar y/o comunicar sus datos a terceros, sean o no empresas del Grupo Santander, para prevenir, investigar y/o descubrir el fraude. - Grabar su voz y/o su imagen para mantener la calidad del servicio y utilizar las grabaciones como prueba en juicio y fuera de él, en caso necesario. - Realizar procedimientos de anonimización, tras los cuales el Banco ya no estará en disposición de identificarle. - Comunicar sus datos de impago a Empresas prestadoras de solvencia patrimonial. - Comunicar sus datos a empresas del Grupo Santander, en particular a las empresas listadas en el siguiente enlace: ***URL.1 por necesidades informáticas y operativas, en tanto compartimos recursos técnicos y organizativos que contienen datos. Se pretende con ello optimizar los recursos del grupo para ofrecerle un servicio completo en las entidades del grupo de las que sea o desee hacerse cliente, agilizando asimismo los procesos de contratación. - Comunicar sus datos a empresas del Grupo Santander y terceras empresas participadas y/o empresas colaboradoras del Grupo Santander (a modo de ejemplo, entidades aseguradoras y gestoras de activos financieros), en caso de que Ud., en calidad de cliente del Banco, lleve a cabo la contratación de alguno de los productos y/o servicios de dichas entidades que son comercializados por el Banco. En este caso, la cesión afectará únicamente a un número limitado de datos meramente identificativos que el Banco dispone sobre su persona, en concreto, los estrictamente necesarios para la celebración del contrato. Se pretende con ello simplificar y agilizar la contratación a través del Banco de los productos que éste comercializa de otras empresas del Grupo o de terceras empresas, habida cuenta su condición de cliente del Banco. Podrá acceder al listado completo de sociedades a las que comunicaremos sus datos solicitándolo en su Oficina, o bien a través del siguiente enlace: ***URL.

1. La última hoja continua con la información que precisa: “Podrá solicitar la oposición a cualquiera de los tratamientos anteriores basados en el interés legítimo. Para ello, debe dirigirse al Delegado de Protección de Datos/ Oficina de Privacidad y debe explicar el motivo por el que se opone.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/17 “3.3 CRITERIOS DE CONSERVACION.” Se informa del bloqueo de los mismos cuando hayan dejado de ser necesarios Se añade la indicación que “se puede consultar el resto de las finalidades y la base legítima que las ampara solicitándolo en su Oficina, o bien en la Política de Privacidad de la página web del Banco:V ***URL.2” “3.4 ¿QUIÉNES RECIBIRAN SUS DATOS?”, informando de las comunicaciones de los datos:
2. Empresas del Grupo Santander con las siguientes finalidades: A. Desarrollar acciones comerciales de sus productos y servicios o los del Banco tanto generales como ajustadas a su perfil comercial. B. Contratar productos o servicios de dichas entidades. C. Cumplir obligaciones legales.
3. Empresas colaboradoras y/o participadas por el Grupo Santander (a modo de ejemplo, entidades aseguradoras y gestoras de activos financieros), con las siguientes finalidades: A. Desarrollar acciones comerciales de sus productos y servicios o los del Banco tanto generales como ajustadas a su perfil comercial. B. Contratar productos y/o servicios de dichas entidades.” Indicando igualmente para los puntos 1 y 2 un enlace para acceder al listado completo de sociedades.
4. Organismos Públicos competentes, Agencia Tributaria, Jueces y Tribunales, cuando el Banco tenga la obligación legal de facilitarlos.
5. Empresas prestadoras de solvencia patrimonial.
6. Además, el Banco cuenta con la colaboración de algunos terceros proveedores de servicios que tienen acceso a sus datos personales y que tratan los referidos datos en nombre y por cuenta del Banco como consecuencia de su prestación de servicios. “En concreto, y a título enunciativo y no limitativo, los citados proveedores desempeñan sus servicios en los siguientes sectores: servicios de logística, asesoramiento jurídico, servicios privados de tasación, homologación de proveedores, empresas de servicios profesionales multidisciplinares, empresas relacionadas con el mantenimiento, empresas proveedoras de servicios tecnológicos, empresas proveedoras de servicios informáticos, empresas de seguridad fíC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/17 sica, prestadores de servicios de mensajería instantánea, empresas de gestión y mantenimiento de infraestructuras y empresas de servicios de centro de llamadas.” “3.5 ¿QUÉ DERECHOS TIENE?” Se precisan todos los derechos derivados del RGPD y se indica la forma de ejercitarlos. “3.6 ¿CÓMO OBTENEMOS SUS DATOS?” Le indica cuatro procedencias de donde obtiene los datos, desde la contratación de un producto, empresas que facilitan información sobre solvencia, o empresas del Grupo Banco Santander.  “respuesta 28/03/2019” al escrito recibido de la reclamante con fecha 18/03/2019 : “Acusamos recibo de su escrito, recibido en el cual pone de manifiesto su voluntad de ejercitar el derecho de oposición respecto del tratamiento de sus datos personales.” “Le informamos que hemos procedido a registrar su derecho oposición, de modo que sus datos personales dejarán de ser objeto de tratamiento para toda finalidad más allá de las necesarias para mantener y desarrollar la relación contractual que Ud. mantiene con la Compañía, así como aquellas otras que sean necesarias para cumplir con obligaciones legales o por razones imperiosas de interés legítimo. En concreto, no comunicaremos sus datos a empresas del Grupo Santander y/o terceros colaboradores y dejaremos de tratar sus datos personales para cualquier tratamiento que conlleve una finalidad comercial. Si requiere mayor información puede ponerse en contacto a través de ***URL.
7. Asimismo, le recordamos que Ud. tiene derecho a presentar una reclamación ante la Agencia Española de Protección de Datos y a ejercitar las acciones judiciales que, conforme a la ley, considere oportunas”.  “respuesta 9/07/2019” al escrito recibido de la reclamante con fecha 10/06/2019 “ en el cual pone de manifiesto su voluntad de ejercitar un derecho respecto de los datos personales que le consta están siendo tratados por nosotros. En este sentido, le informamos que este documento tiene como objeto exclusivamente recoger sus datos personales, extremo que es legalmente obligatorio, y ofrecerle información sobre los posibles tratamientos de sus datos. Como se ve en la condición 3 de la Condiciones, lo que se recoge a partir de la misma, como dice expresamente, es INFORMACIÓN BÁSICA SOBRE PROTECCION DE DATOS. Por tanto lo que se recoge ahí tiene carácter informativo. Ello quiere decir que será en otro documento posterior donde tendrá la oportunidad de dar o no su consentimiento a los tratamientos de sus datos que lo requieran y de conocer más específicamente aquellos otros tratamientos a los que, de no estar de acuerdo podrá oponerse. Por tanto el documento que se somete a su firma es de recogida de datos que Vd. reconoce entregar y de carácter informativo, no recogiendo obligación alguna ni, por tanto, la de ceder datos.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/17  “respuesta 10/07/2019” del reclamado, escrito de reclamante recibido con fecha 9/07/ 2019: “Acusamos recibo de su escrito, en el cual pone de manifiesto su voluntad de ejercitar sus derechos en materia de protección de datos.” “Le informamos que, el título “Autorización de registro y tratamiento de datos”, es solo un título que quizás no esté claramente expresado, pero alude a los dos aspectos del contenido del documento: por una parte la autorización para registrar los datos y de otra lo que concierne a la información sobre el tratamiento de datos. Por otra parte lo que verdaderamente obliga al firmante es el texto del contenido no el título del documento y en ninguna parte del mismo se dice que esté obligado a hacer ningún tipo de cesión de datos .” SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5/12 de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), con número de referencia E/07721/2019, el 16/08/2019 se dio traslado de dicha reclamación al reclamado, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. Con fecha 19/09/2019 responde el reclamado: -El documento que se somete a la firma del interesado tiene una parte en que se explica la exigencia de los datos que ahora se le solicitan por exigencia de la normativa de blanqueo de capitales y de los acuerdos fiscales internacionales que se mencionan para los fines que de ellos resulta. De otra parte, “se incluye una referencia a la protección y tratamiento de los datos personales, en cumplimiento de la obligación exigida por la normativa en esta materia de informar sobre los tratamientos de que los datos puedan ser objeto.” “Como señala la Oficina de Privacidad en su respuesta de 9/07/2019, aunque el título del documento dice AUTORIZACIÓN DE REGISTRO Y TRATAMIENTO DE DATOS DE CARÁCTER PERSONAL, sin embargo, es lo cierto que este documento utilizado por Banco Popular solo hasta el momento de su integración en Banco Santander, bajo la rúbrica general CONDICIONES, en el punto 3 relativo al Tratamiento de datos personales recoge expresamente la rúbrica en mayúsculas titulada INFORMACIÓN BÁSICA SOBRE PROTECCIÓN DE DATOS. Coherentemente, al firmar el interesado en el recuadro al pie de la página, lo que está justificando, no es que esté aceptando las condiciones que se expresan en la información, sino que está recibiendo dicha información. Ahora bien, más allá de lo anterior y de que la reclamante haya o no suscrito un documento de recogida de consentimientos, es lo cierto que en el contexto de la reclamación formulada hay que entender que la reclamante ha ejercitado unos derechos, de una parte de oposición a tratamientos que se funden en el interés legítimo y de otra, negando el consentimiento a las cesiones de sus datos que precisen del mismo, extremos en que no cabe entender que se le ha dado una respuesta clara a su petición” “Refiriéndonos a los tratamientos propuestos basados en el interés legítimo como base legitimadora, sin duda la misma ampararía determinadas acciones comerciales sin necesidad del consentimiento del interesado, como sería la relativas a productos y servicios de propio Banco, incluso basadas en un perfilado del cliente hecho en base a los datos del propio Banco sobre el mismo que no sean de más de un año de antigüedad”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/17 “Lo mismo podía decirse de los tratamientos que tienen por objeto la prevención o investigación del fraude, grabar la voz o la imagen para los fines que se indican, realizar procesos de anonimización o comunicar datos de impago a los ficheros de solvencia patrimonial cumpliendo las prevenciones legales, en que igualmente la existencia de un interés legítimo está reconocida” “No se aprecia ese interés legítimo en la actualidad, una vez consumada la fusión del Popular con Banco Santander, en cuanto a la cesión de datos a empresas del grupo por “necesidades informáticas y operativas”, que respondían a necesidades del grupo Banco Popular, que con la integración producida han perdido su razón de ser, extremo en que debe admitirse la oposición de la reclamante.” “Por el contrario, si se aprecia aquel interés legítimo para el tratamiento previsto finalmente relativo a la cesión de datos a empresas del mismo Grupo empresarial cuando el interesado contrate con estas alguno de los productos y/o servicios de dichas entidades que son comercializados por el Banco, aunque circunscrita únicamente a los datos identificativos del interesado necesarios para la formalización del contrato respectivo de que se trate cuando esto se produzca. Y ello en base a la prueba de sopesamiento de los intereses afectados que se acompaña con este escrito” “Se estima que debe también admitirse su oposición al tratamiento de sus datos para acciones comerciales del Banco que sean distintas de las indicadas en el párrafo primero de esta manifestación e igualmente, debe estimarse que la reclamante ha denegado el consentimiento para que el Banco comunique sus datos personales a empresas del Grupo Santander, colaboradoras o participadas, para que las mismas ofrezcan sus servicios o los del Banco por cualquier medio, lo que no puede realizarse sin su consentimiento” -La entidad ha decidido dirigir comunicación a la reclamante manifestándole que sin perjuicio de que el documento en que se le solicitan sus datos personales debe firmarlo porque ello constituye una exigencia legal, la entidad toma nota de su oposición a que se hagan determinados tratamientos de sus datos basados en el interés legítimo, así como de su negativa a prestar el consentimiento para las cesiones de datos a que se ha hecho referencia, pidiéndole disculpas por no haber dado la repuesta pertinente a su peticiones. -Aporta copia del escrito dirigido a la reclamante de fecha 17/09/2019 , indicando que “sin perjuicio del documento en que se le solicitan sus datos personales deba firmarlo porque ello constituye una exigencia legal, la entidad toma nota de su oposición a que se hagan determinados tratamientos de sus datos basados en el interés legítimo así como a su negativa a prestar el consentimiento en relación con determinadas cesiones de datos” “En concreto en relación con los tratamientos propuestos basados en el interés legítimo como base legitimadora, sin duda ésta ampararía determinadas acciones comerciales, sin necesidad del consentimiento del interesado, como sería la relativas a productos y servicios de propio Banco, incluso basadas en un perfilado del cliente hecho en base a los datos del propio Banco sobre el mismo, siempre que no sean de más de un año de antigüedad, lo que la propia Agencia ha admitido en sus informes como actuación amparable en el interés legítimo. Por el contrario, se estima su oposición al tratamiento de sus datos para acciones comerciales que sean distintas de la indicadas anteriormente.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/17 “Igualmente se considera que aquella base legitimadora ampara los tratamientos que tiene por objeto la prevención o investigación del fraude, grabar la voz o la imagen para los fines que se indican, realizar procesos de anonimización o comunicar datos de impago a los ficheros de solvencia patrimonial cumpliendo las prevenciones legales, en que igualmente la existencia de un interés legítimo está reconocido en aquellos informes. Si se aprecia también aquel interés legítimo para el tratamiento previsto finalmente relativo a la cesión de datos a empresas del grupo cuando el interesado formalice un contrato con estas sobre alguno de los productos y/o servicios de dichas entidades que son comercializados por el Banco, siempre que se limite la cesión únicamente a los meros datos identificativos del interesado necesarios para la formalización del contrato respectivo de que se trate. Y ello en base a la pertinente prueba de sopesamiento de los intereses afectados. No se aprecia, sin embargo, ese interés legítimo en la actualidad, una vez consumada la fusión del Popular con Banco Santander, en cuanto a la cesión de datos a empresas del grupo por “necesidades informáticas y operativas”, que respondían a necesidades del grupo Banco Popular y que con la integración producida han perdido su razón de ser, extremo en que debe admitirse su oposición. Finalmente, tomamos nota de que niega el consentimiento para que el Banco comunique sus datos personales a empresas del Grupo Santander, colaboradoras o participadas, para que las mismas ofrezcan sus servicios o los del Banco por cualquier medio, lo que no podrá realizarse sin dicho consentimiento.” TERCERO: Con fecha 6/02/2020, la Directora de la Agencia Española de Protección de Datos acordó admitir a trámite la reclamación. FUNDAMENTOS DE DERECHO I De acuerdo con los poderes de investigación y correctivos que el artículo 58 del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) otorga a cada autoridad de control, y según lo dispuesto en el artículo 47 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. II En la fecha en que presenta la reclamación, la reclamante se había perfeccionado un proceso de reestructuración de la entidad de crédito Banco Popular (fusión) a Banco Santander que ha adquirido así la totalidad de los derechos y obligaciones de Banco Popular. Así figura en la página web de la CNMV: ***URL.4, refiriendo:28/09/2018 BANCO SANTANDER, S.A. Transformaciones, fusiones, escisiones y disoluciones C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/17 Inscripción en el Registro Mercantil de la escritura de fusión por absorción de Banco Popular Español, S.A.U. por Banco Santander. Número de registro: ***REGISTRO.1 relacionado con ***REGISTRO.2 del 24/04/2018 (07:14) Si se clica sobre este último subrayado, conduce a un comunicado del reclamado, de 24/04/2018, del acuerdo de fusión por absorción de Banco Popular por el reclamado, y que “en el momento en que se ejecute la fusión…el reclamado adquirirá por sucesión universal la totalidad de los derechos y obligaciones de Banco Popular”. Los datos de la reclamante los tiene el reclamado por la celebración de una operación mercantil regulada por el Código de Comercio y de la Ley 3/2009, de 3/04, de modificaciones estructurales de sociedades mercantiles, entendidas como aquellas alteraciones de la sociedad que van más allá de las simples modificaciones estatutarias para afectar a la estructura patrimonial o personal de la sociedad, y que, por tanto, incluyen la transformación, la fusión, la escisión y la cesión global de activo y pasivo. III En el presente caso, limitando al propio y puro contenido de la reclamación concreta y especifica, se trata de que la reclamante entiende que: -“El documento recibido incluía todas las cláusulas relativas a la autorización del tratamiento de mis datos sin que en el formulario existiese opción alguna a oponerme ni total ni parcialmente. Les solicité un documento que me permitiese facilitar mis datos personales sin tener que cederlos para su uso comercial e incluso para la cesión a terceros” - “El Banco Santander me está obligando a ceder mis datos sin derecho de oposición previo”. La reclamante considera que al firmar el documento
8. - “ estoy autorizando ese tratamiento de datos”. - “y desde luego, la oficina de privacidad del Banco Santander no me facilitó ese "otro documento posterior" en el que podré dar -o no- mi consentimiento”. -“en el documento 1, en todas y cada una de las hojas, tanto en el encabezado como en el pie de página, se indica: " AUTORIZACIÓN DE REGISTRO Y TRATAMIENTO DE LOS DATOS DE CARÁCTER PERSONAL" y se incluye el recuadro para firmar. Por tanto, claramente, si firmo en el recuadro, estoy autorizando a la entidad a tratar y ceder mis datos.” Se debe distinguir para la resolución de la reclamación: 1-El origen del tratamiento de los datos de la reclamante para el reclamado previsiblemente no es el consentimiento, que no parece se haya prestado al reclamado, sino C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/17 que su base es la subrogación en los derechos y deberes que como nuevo titular de la relación obligatoria ha tomado el reclamado. En virtud de la operación mercantil de fusión por absorción, corresponde al reclamado en cumplimiento de una obligación legal, hacerse cargo de los clientes de Banco Popular, posición en la que se ha subrogado. Entre otras obligaciones, que el RGPD impone al responsable del tratamiento, está la de artículo 14 del RGPD, cuando los datos no se han recogido u obtenido del interesado mismo, figurando la obligación de informar de una serie de aspectos. La relación obligatoria contractual en que se subroga el reclamado supone una base de legitimación para el tratamiento de datos, que se prevé en el artículo 6.1.b) del RGPD:” el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;” 2-El consentimiento podrá ser base de legitimación para el tratamiento de datos de la reclamante en algunos otros aspectos distintos de los reseñados en el punto anterior, que han de ser objeto de información específica y aceptación, con el clausulado informativo de finalidad propia de cada consentimiento a obtener, tal como prevé la normativa de protección de datos. Asociado a dicho consentimiento para una finalidad concreta, y especifica, se debe contener en la información la posibilidad de la retirada del consentimiento previamente otorgado (arts. 7.3, y 13.2.c) del RGPD) así como la circunstancia o posibilidad de no consentir para dicha finalidad, lo que el reclamado debe documentar para acreditar el cumplimiento que le puede ser exigible, como consecuencia del deber que se impone en el artículo 5.2 del RGPD. 3-La “oposición al tratamiento”, es cuestión distinta de la retirada del consentimiento, y no está relacionada con el mismo. El RGPD se refiere al derecho de oposición en su artículo 21 que precisa: “
9. El interesado tendrá derecho a oponerse en cualquier momento, por motivos relacionados con su situación particular, a que datos personales que le conciernan sean objeto de un tratamiento basado en lo dispuesto en el artículo 6, apartado 1, letras e) o f), incluida la elaboración de perfiles sobre la base de dichas disposiciones. El responsable del tratamiento dejará de tratar los datos personales, salvo que acredite motivos legítimos imperiosos para el tratamiento que prevalezcan sobre los intereses, los derechos y las libertades del interesado, o para la formulación, el ejercicio o la defensa de reclamaciones.
10. Cuando el tratamiento de datos personales tenga por objeto la mercadotecnia directa, el interesado tendrá derecho a oponerse en todo momento al tratamiento de los datos personales que le conciernan, incluida la elaboración de perfiles en la medida en que esté relacionada con la citada mercadotecnia.
11. Cuando el interesado se oponga al tratamiento con fines de mercadotecnia directa, los datos personales dejarán de ser tratados para dichos fines.
12. A más tardar en el momento de la primera comunicación con el interesado, el derecho indicado en los apartados 1 y 2 será mencionado explícitamente al interesado y será presentado claramente y al margen de cualquier otra información.” Ello quiere decir que existe la posibilidad, a más tardar cuando reciba la comunicación de estos tratamientos, basados en dichas bases legitimas, de oponerse, siendo un momento válido que queda a disposición del reclamado cuando vaya a efectuar dichos tipos de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/17 tratamientos, debiendo concurrir cuando se le informe cumplidamente de ese interés legítimo (6.1.f) o misión de interés público (6.1.e) y la opción de la oposición. 4- En cuanto a la negativa a la cesión de datos, la reclamante lo llama también oposición a la cesión, el RGPD no utiliza dicho termino de cesión sino habla de “comunicación de datos” en el artículo 4.9 del RGPD “la persona física o jurídica, autoridad pública, servicio u otro organismo al que se comuniquen datos personales”. Normalmente, podrán existir casos en que la comunicación de los datos se produzcan tratados al amparo de la base legitimadora del cumplimiento de una obligación legal (6.1.c) o a terceros, bajo la base del interés legítimo del artículo 6.1.f) o el consentimiento, en las cuales se debe de informar al interesado con los requisitos y garantías que prevé la normativa. IV Ya que no se trata de analizar un tratamiento o una serie de tratamientos en particular llevados a cabo por al reclamada, sino la información proporcionada, se debe efectuar una remisión a los considerandos del RGPD por cuanto establecen los principios relacionados con la información a los afectados y sus derechos: