La Agencia Española de Protección de Datos (AEPD) sancionó a dos empresas, una que actuaba como Responsable del Fichero (empresa que encarga el servicio) y otra como Encargada de Tratamiento (empresa que realiza el servicio), por incumplir el deber de información a las personas de las cuales recogían sus datos personales –artículo 5 de la Ley Orgánica de Protección de Datos (LOPD)-.
En este caso concreto, el Responsable del Fichero encomendó a la Encargada de Tratamiento la gestión de sus servicios de “Call Center”; todas las llamadas en dicho “Call Center” eran grabadas.
Para defenderse las dos empresas alegaron que la LOPD no se aplica cuando se tratan datos de entidades jurídicas y, en su caso, de las personas que trabajen para estas entidades, amparándose en la excepción del artículo 2.2 del Reglamento que desarrolla la LOPD (RDLOPD). Pero se demostró que se trataban datos de otras personas con motivo de la relación con la Responsable del Fichero y se atendían llamadas por personas interesadas en adquirir vehículos; en consecuencia se desestimó la excepción del art. 2.2 del RDLOPD.
El denunciante
El representante sindical denunció que las llamadas recibidas se grababan por acuerdo entre las partes, posteriormente el Encargado de Tratamiento, por su cuenta, envió un correo electrónico a los coordinadores del servicio comunicando a sus empleados que no informasen a los llamantes de que las conversaciones eran grabadas.
La AEPD resolvió que ambas empresas eran culpables
Pese a que el Encargado de Tratamiento tomó una decisión unilateral, el Responsable del Fichero también fue responsabilizado de la actuación, porque no había previsto ningún mecanismo ni establecido ningún control para evitar lo ocurrido y por no vigilar que se estuviese cumpliendo la normativa. Ambos fueron sancionados con 2.300€.
¿Qué debemos hacer para evitar situaciones similares?
- El deber de información del artículo 5 de la LOPD, debe realizarse siempre, aunque se recojan datos vía telefónica, incluso en los casos que se tenga el consentimiento previo del titular de los datos.
- Cuando se traten datos de empresas o de sus empleados, se harán siempre con la finalidad por la que se recabaron dichos datos.
- Siempre se debe firmar un contrato entre el Responsable del Fichero y el Encargado de Tratamiento, según el 12 de la LOPD, en el que se especificaran instrucciones precisas de cómo debe actuar el Encargado de Tratamiento.
- El incumplimiento de dicho contrato o de la normativa por parte del Encargado de Tratamiento le convierte en Responsable de Tratamiento, pudiendo ser sancionado. Pero también podría ser sancionado el Responsable del Fichero por no vigilar que el Encargado de Tratamiento cumple la normativa sobre protección de datos.