Una llamada de spam a un número de la lista Robinson de 46 segundos ha supuesto una multa de 10.000 euros a la compañía de Más Sol Energía.
La Agencia Española de Protección de Datos ha multado a la empresa de instalación de placas solares por no demostrar que un usuario inscrito en la Lista Robinson hubiera autorizado el uso de sus datos.
En su resolución sancionadora nºEXP202416818, la autoridad advierte que los certificados emitidos por proveedores de bases de datos no bastan por sí solos y recuerda que el responsable del tratamiento de datos debe acreditar quiñen, cuándo y cómo prestó realmente el consentimiento.
Además, también sanciona a la empresa por no informar del origen de sus datos, reforzando así la obligación de las empresas de demostrar la licitud de las campañas de telemarketing.
Una llamada de spam acabó en la AEPD
Todo comenzó cuando un usuario recibió una llamada telefónica comercial de Más Sol Energía, una empresa dedicada a la instalación de placas solares. Tras identificarse, la teleoperadora se dirigió a la persona por su nombre y le preguntó si residía en un piso o en una vivienda unifamiliar.
El usuario, que estaba incluido en la Lista Robinson para evitar este tipo de llamadas de publicidad, preguntó al agente si había comprobado previamente el servicio gratuito de exclusión publicitaria. La respuesta fue tan sorprendente como reveladora: la teleoperadora le contestó que trabajan con una base de datos.
La llamada finalizó tras una segunda pregunta sobre el origen de los datos. El usuario, intrigado por cómo habían conseguido su número de teléfono y nombre, contactó con el servicio de atención de cliente, donde le indicaron que sus datos podían proceder de la aceptación de cookies.
Tras esa conversación, el usuario se dirigió ante la AEPD. Aportó el historial de llamadas donde figuraba la conversación telefónica con Más Sol Energía de duración de 46 segundos, el audio de la misma y el certificado que acreditaba que estaba inscrito de la Lista Robinson.
Tras iniciar la investigación, la empresa presentó su escrito de alegaciones donde sostuvo que había comprado una base de datos a un proveedor de servicios de marketing directo y marketing de terceros y que esta emprestaba garantizaba la existencia del consentimiento.
Para acreditarlo aportó un supuesto registro realizado dos años antes, con la dirección IP, fecha y hora de alta, la página web donde se habría obtenido y las casillas que había, supuestamente, había aceptado el consentimiento.
La empresa reconoció, además, que nunca comprobó por sí misma la validez de ese consentimiento y que se limitó a confiar en la información facilitada por su proveedor.
Comprar una base de datos no exime de responsabilidad
Y en esta falta de diligencia esta la clave de la resolución. La AEPD considera que la información remitida no es suficiente, ya que esta documentación no permite acreditar que el reclamante prestara un consentimiento válido, libre, informado e inequívoco para recibir comunicaciones comerciales.
«Tal documentación no acredita que el reclamante realizara personalmente dicho registro ni que los datos fueran introducidos por él, ni aporta elementos técnicos que vinculen de manera inequívoca la IP con su persona», explica la autoridad.
En otras palabras, una dirección IP y un formulario genérico no bastan para acreditar un consentimiento válido.
La resolución también reprocha a la compañía haber aceptado sin verificar la validez del consentimiento remitido por el proveedor: «También la parte reclamada ha manifestado que no verifica la validez del consentimiento remitido por el proveedor y que se limita a aceptar los ficheros recibidos, lo que resulta incompatible con la obligación del responsable de demostrar, en un caso concreto, que el interesado otorgó efectivamente el consentimiento», añade.
Es decir, quien decide utilizar esos datos para una campaña comercial es el responsable del tratamiento. La consecuencia jurídica es clara: la responsabilidad no desaparece porque los datos procedan de un tercero. Quien decide utilizar esa información para realizar una campaña comercial sigue siendo el responsable del tratamiento.
Por esta infracción, la Agencia impone una multa de 5.000 euros por vulnerar el artículo 66.1.b de la Ley General de Telecomunicaciones, al realizar una llamada comercial sin acreditar una base legitimadora válida.
La llamada tampoco cumplió con el deber de información del RGPD
Además, la Agencia concluye que Más Sol Energía incumplió el artículo 14 RGPD, ya que obtuvo los datos personales del afectado a través de terceros sin informarle de su origen ni de la base jurídica que legitimaba ese tratamiento cuando éste preguntó expresamente durante la llamada.
«La ausencia de esta información no solo constituye un incumplimiento formal, sino que
afecta de manera sustancial a los derechos de la parte reclamante, al impedirle ejercer
con pleno conocimiento sus derechos en materia de protección de datos personales», concluye la autoridad.
La consecuencia fue una segunda multa de otros 5.000 euros. En total, 10.000 euros por una llamada comercial de apenas 46 segundos que ha servido además para reforzar el criterio de la AEPD sobre cómo debe acreditarse el consentimiento en las campañas de telemarketing.
La AEPD aprovecha el caso para dejar claro que las empresas no pueden escudarse en los proveedores de bases de datos: si realizan llamadas comerciales, deberán ser capaces de demostrar por sí mismas que el consentimiento fue válido.
