Todo uso de datos personales necesita una base jurídica conforme al artículo 6. La organización la elige y la registra. Normalmente no la elige usted, pero debe conocer las opciones.
Las seis bases jurídicas
- Consentimiento: la persona aceptó libremente.
- Contrato: el uso es necesario para ejecutar un contrato con la persona, o para aplicar medidas que ella pidió antes de firmarlo.
- Obligación legal: la ley lo exige, por ejemplo enviar los datos de nóminas a Revenue (la agencia tributaria irlandesa).
- Intereses vitales: es necesario para proteger la vida de alguien.
- Misión de interés público: es necesario para cumplir una tarea de interés público o un poder otorgado por ley. Los organismos públicos recurren a ella con frecuencia.
- Intereses legítimos: es necesario para los intereses genuinos de la organización o de un tercero, siempre que no prevalezcan los derechos de la persona. Las autoridades públicas no pueden usar esta base para lo que hacen como autoridades públicas.
Consentimiento válido
Según el RGPD, el consentimiento debe ser:
- libre: sin presiones y sin consecuencias negativas por negarse;
- específico e informado: la persona sabe a qué accede;
- inequívoco: un acto positivo claro. Las casillas premarcadas y el silencio no son consentimiento;
- tan fácil de retirar como de dar.
El consentimiento suele ser una base débil entre empleador y empleado, porque el trabajador puede sentir que no puede negarse. Para los datos del personal, los empleadores suelen apoyarse en el contrato, la obligación legal o los intereses legítimos. Los datos de categoría especial exigen una condición adicional del artículo 9, como el consentimiento explícito o las obligaciones del derecho laboral.
Informar a las personas: cláusulas informativas
Los artículos 13 y 14 exigen que la organización diga a las personas, en lenguaje claro y sencillo, quién es, para qué usa sus datos, cuál es la base jurídica, quién los recibe, cuánto tiempo los conserva y cuáles son sus derechos, incluido el de reclamar ante la DPC. Suele hacerse mediante una cláusula informativa o una declaración de privacidad. Si un cliente se lo pide, remítalo a ese aviso o pase la consulta a la persona adecuada.
Menores
Los datos de los menores requieren un cuidado adicional. Según la Data Protection Act 2018, artículo 31, la edad de consentimiento digital en Irlanda es 16 años. Se aplica cuando un servicio en línea se ofrece directamente a un menor y la base jurídica es el consentimiento: por debajo de 16, debe darlo o autorizarlo un progenitor o tutor. No lo confunda con la mayoría de edad general (18). Para otros fines, como un aviso escrito para un menor, la información debe poder entenderla un menor.
Marketing directo
Las reglas de marketing en Irlanda proceden de dos fuentes: el RGPD, para el uso de datos personales, y las ePrivacy Regulations 2011, para los mensajes electrónicos.
- Los correos, SMS y llamadas automáticas a un particular exigen, por lo general, su consentimiento previo, y cada mensaje debe incluir una forma clara de darse de baja.
- A los clientes existentes se les puede escribir o enviar SMS sobre productos similares de la propia empresa sin consentimiento, si se les dio la oportunidad de oponerse al recoger sus datos y en cada mensaje, y la venta fue en los últimos 12 meses.
- Cualquiera puede oponerse al marketing directo en cualquier momento (artículo 21). Si alguien dice basta, pare y déjelo registrado.
- No compre listas de contactos sin comprobar de dónde proceden los datos.
- Las cookies y tecnologías similares de un sitio web exigen por lo general consentimiento, salvo que sean estrictamente necesarias.
La DPC puede perseguir penalmente las infracciones de las ePrivacy Regulations. Cada mensaje no solicitado es un delito distinto, con multa de hasta 5.000 € en procedimiento sumario (lección 8).
Compartir datos
Compartir datos personales con otra organización exige una base jurídica y debe encajar con la finalidad que se comunicó a las personas. Si otra empresa trata datos para su empleador como encargada, debe haber un contrato por escrito (artículo 28). Si un tercero le pide datos personales, aunque sea amable, consúltelo antes con su responsable o con el DPD. No dé datos personales por teléfono a alguien a quien no pueda identificar.
Qué debe recordar
- Seis bases jurídicas; la organización elige y registra una.
- El consentimiento debe ser libre, específico, informado e inequívoco, y fácil de retirar.
- Edad de consentimiento digital: 16 años en Irlanda (Data Protection Act 2018, art. 31).
- El marketing por correo o SMS exige por lo general consentimiento y una forma de darse de baja en cada mensaje.