No se pueden tratar datos personales sin un motivo previsto por la ley. Esta lección explica los motivos más comunes, el papel del consentimiento y qué dice la cláusula informativa.
Las bases jurídicas (art. 6 del RGPD)
El tratamiento es lícito solo si se da al menos una de estas seis condiciones:
- Consentimiento de la persona.
- Contrato: el tratamiento sirve para ejecutar un contrato con el interesado o para aplicar medidas precontractuales que él mismo solicita.
- Obligación legal del responsable, por ejemplo las obligaciones fiscales y de cotización.
- Interés vital de una persona, en casos graves y urgentes.
- Interés público o ejercicio de poderes públicos (art. 2-ter del Codice para las normas italianas).
- Interés legítimo del responsable o de un tercero, si no prevalecen los derechos del interesado. Los organismos públicos no lo usan en el ejercicio de sus funciones.
El responsable elige la base antes de empezar. Usted no tiene que elegirla, pero debe saber que el fin para el que usa los datos tiene una base y que no puede cambiarlo por su cuenta.
El consentimiento no siempre es la respuesta
El consentimiento solo es válido si es libre, específico, informado e inequívoco, y si la persona puede retirarlo con la misma facilidad con que lo dio (arts. 4 y 7 del RGPD). No vale si está escondido en un texto largo o si la persona no tiene una elección real.
En la relación laboral el consentimiento es un terreno delicado: el empleado depende del empleador y puede no sentirse libre de decir que no. Por eso, para gestionar la relación laboral, el responsable suele usar otras bases, como el contrato y las obligaciones legales, y no pide un consentimiento que no sería libre. Si le hacen firmar una fórmula genérica de consentimiento «para todo», no es buena señal: avise a la persona de contacto de privacidad.
El consentimiento sí hace falta, por regla general, para enviar correos electrónicos o SMS promocionales (art. 130 del Codice). Hay una excepción: el correo a un cliente sobre productos o servicios análogos a los que ya ha comprado, si ha sido informado y no se ha opuesto (art. 130, apartado 4). Quien no quiere llamadas comerciales puede inscribir sus números, fijos y móviles, en el Registro pubblico delle opposizioni (el registro público de oposiciones).
La cláusula informativa
Antes o en el momento de la recogida, la persona debe saber qué ocurre con sus datos. Es la cláusula informativa (arts. 12, 13 y 14 del RGPD). Debe indicar, en lenguaje sencillo y claro:
- quién es el responsable y cómo contactarlo, y el contacto del DPD si lo hay;
- con qué fines y sobre qué base jurídica se tratan los datos;
- a quién pueden comunicarse;
- durante cuánto tiempo se conservan;
- los derechos de la persona y el derecho a presentar una reclamación ante el Garante.
El art. 13 se aplica cuando los datos se recogen de la propia persona. El art. 14 se aplica cuando llegan de otras fuentes.
La cláusula informativa la prepara el responsable. A usted le toca no decir lo contrario y remitir al texto correcto: «Encontrará todo en la cláusula informativa que le entregamos»; y, si no la conoce, preguntar dónde está.
Currículum y empleados
Quien envía por iniciativa propia un currículum no tiene que dar su consentimiento para que lo valoren. La cláusula informativa se da en el primer contacto útil tras el envío (art. 111-bis del Codice). Para los empleados, la cláusula informativa explica, por ejemplo, las nóminas, el control de asistencia, las herramientas informáticas y los controles.
Los menores
En los servicios en línea ofrecidos directamente a menores, el menor que haya cumplido 14 años puede dar el consentimiento por sí mismo; por debajo de 14 hace falta el consentimiento de quien ejerce la patria potestad (art. 2-quinquies del Codice). Vale para los servicios de la sociedad de la información, no para cualquier actividad.
Para recordar
- Siempre hace falta una base jurídica; el consentimiento es solo una de las seis.
- En el trabajo el consentimiento rara vez es la base adecuada.
- Cláusula informativa clara antes de la recogida; no cambie por su cuenta la finalidad de los datos.