Del estudio de los principios anteriores, concretamente el consentimiento del afectado, el deber de secreto y la seguridad, se deduce que el conocimiento o comunicaci\u00f3n de los datos de car\u00e1cter personal a terceras personas no est\u00e1 permitido, a menos que medie la aprobaci\u00f3n del propio interesado.<\/p>\n
Por tanto, la comunicaci\u00f3n de los datos a terceros exige el consentimiento, que deber\u00e1 prestarse en los mismos t\u00e9rminos exigidos por el art\u00edculo 6 LOPD, es decir, debe ser primeramente informado y prestarse de forma inequ\u00edvoca. Debido a esta \u00edntima conexi\u00f3n del consentimiento con la comunicaci\u00f3n de datos, en la inmensa mayor\u00eda de procedimientos sancionadores iniciados como consecuencia de la comunicaci\u00f3n ileg\u00edtima de datos, se infringen tanto el art\u00edculo 11 como el 6 LOPD.<\/p>\n
\u25aa Art. 11.1: <\/strong>Los datos de car\u00e1cter personal objeto del tratamiento s\u00f3lo podr\u00e1n ser comunicados a un tercero para el cumplimiento de fines directamente relacionados con las funciones leg\u00edtimas del cedente y del cesionario con el previo consentimiento del interesado.<\/em> <\/strong><\/p>\n <\/strong><\/p>\n \u25aa Art. 11.2: <\/strong>El consentimiento exigido en el apartado anterior no ser\u00e1 preciso:<\/em><\/p>\n a<\/em><\/strong>. Cuando la cesi\u00f3n est\u00e1 autorizada en una ley.<\/em><\/p>\n b<\/em><\/strong>. Cuando se trate de datos recogidos de fuentes accesibles al p\u00fablico.<\/em><\/p>\n c<\/em><\/strong>. Cuando el tratamiento responda a la libre y leg\u00edtima aceptaci\u00f3n de una relaci\u00f3n jur\u00eddica cuyo desarrollo, cumplimiento y control implique necesariamente la conexi\u00f3n de dicho tratamiento con ficheros de terceros. En este caso la comunicaci\u00f3n s\u00f3lo ser\u00e1 leg\u00edtima en cuanto se limite a la finalidad que la justifique.<\/em><\/p>\n d<\/em><\/strong>. Cuando la comunicaci\u00f3n que deba efectuarse tenga por destinatario al Defensor del Pueblo, el Ministerio Fiscal o los Jueces o Tribunales o el Tribunal de Cuentas, en el ejercicio de las funciones que tiene atribuidas. Tampoco ser\u00e1 preciso el consentimiento cuando la comunicaci\u00f3n tenga como destinatario a instituciones auton\u00f3micas con funciones an\u00e1logas al Defensor del Pueblo o al Tribunal de Cuentas.<\/em><\/p>\n e<\/em><\/strong>. Cuando la cesi\u00f3n se produzca entre Administraciones p\u00fablicas y tenga por objeto el tratamiento posterior de los datos con fines hist\u00f3ricos, estad\u00edsticos o cient\u00edficos.<\/em><\/p>\n f<\/em><\/strong>. Cuando la cesi\u00f3n de datos de car\u00e1cter personal relativos a la salud sea necesaria para solucionar una urgencia que requiera acceder a un fichero o para realizar los estudios epidemiol\u00f3gicos en los t\u00e9rminos establecidos en la legislaci\u00f3n sobre sanidad estatal o auton\u00f3mica.<\/em><\/p>\n <\/em><\/p>\n \u25aa Art. 11.3:<\/strong> Ser\u00e1 nulo el consentimiento para la comunicaci\u00f3n de los datos de car\u00e1cter personal a un tercero, cuando la informaci\u00f3n que se facilite al interesado no le permita conocer la finalidad a que destinar\u00e1n los datos cuya comunicaci\u00f3n se autoriza o el tipo de actividad de aquel a quien se pretenden comunicar.<\/em><\/p>\n <\/em><\/p>\n \u25aa Art. 11.4:<\/strong> El consentimiento para la comunicaci\u00f3n de los datos de car\u00e1cter personal tiene tambi\u00e9n un car\u00e1cter de revocable.<\/em><\/p>\n <\/em><\/p>\n \u25aa Art. 11.5<\/strong>: Aquel a quien se comuniquen los datos de car\u00e1cter personal se obliga, por el solo hecho de la comunicaci\u00f3n, a la observancia de las disposiciones de la presente Ley.<\/em><\/p>\n <\/em><\/p>\n \u25aa Art. 11.6: <\/strong>Si la comunicaci\u00f3n se efect\u00faa previo procedimiento de disociaci\u00f3n, no ser\u00e1 aplicable lo establecido en los apartados anteriores.<\/em><\/p>\n –\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0 Procedimiento N\u00ba PS\/00318\/2008. <\/strong>Lo usual en la comunicaci\u00f3n de datos a terceros sin el consentimiento del interesado es que haya con fin comercial. Normalmente se trata de pactos o contratos entre cedente y cesionario a cambio de un precio.<\/p>\n <\/strong><\/p>\n En el presente caso, ha quedado acreditado que Toledo y Asociados Gestores Administrativos SL cedi\u00f3<\/strong> a La Caixa los datos personales de la denunciante<\/strong>, junto con los de otros empleados de la empresa, para una finalidad diferente para la que fueron recabados no habiendo podido justificar que contara con el consentimiento de la denunciante para tal cesi\u00f3n<\/strong>. Las manifestaciones del delegado de personal en la empresa se contradicen con las de la denunciante, no son suficientes para acreditar que la denunciante fue informada y di\u00f3 su consentimiento de forma inequ\u00edvoca a la cesi\u00f3n de datos<\/strong>.<\/em><\/p>\n La conducta descrita \u2013 cesi\u00f3n de datos a terceros-, deber\u00eda contar con el consentimiento o, en su defecto, con que los datos proviniesen de fuentes accesibles al p\u00fablico o que existiera una Ley que amparara esa cesi\u00f3n. Sin embargo, en el presente caso, no han quedado acreditados tales extremos.<\/em><\/p>\n <\/em><\/p>\n Los fundamentos de la presente resoluci\u00f3n vienen a concretar el supuesto que produce la cesi\u00f3n ileg\u00edtima: finalidad distinta para la que fueron recabados los datos y falta de consentimiento del afectado<\/strong>.<\/p>\n En relaci\u00f3n al consentimiento, reitera lo que ya hab\u00edamos apuntado en anteriores resoluciones: la carga de la prueba. La empresa cedente alega que recab\u00f3 el consentimiento de forma verbal, hecho que desmiente la denunciante. Al no haber prueba material<\/strong>, la AEPD sanciona a la empresa cedente, que no actu\u00f3 con la debida diligencia en el momento de recabar el consentimiento<\/strong>. Tambi\u00e9n nos hemos referido en anteriores supuestos a que la LOPD no exige que el consentimiento medie por escrito<\/strong>, pero vista la inflexibilidad con la que la Agencia sanciona, la forma escrita del consentimiento se convierte en pr\u00e1cticamente una obligaci\u00f3n<\/strong>.<\/p>\n –\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0 Procedimiento N\u00ba PS\/00112\/2008. <\/strong>En este supuesto, la entidad contra la que se dirigen las actuaciones s\u00ed cumpl\u00eda los requisitos que habilitan para la comunicaci\u00f3n de datos.<\/p>\n <\/strong><\/p>\n En el presente caso, ha quedado acreditado que VENTA DIRECTA obtuvo los datos del denunciante mediante un cup\u00f3n de pedido cumplimentado por \u00e9l mismo<\/strong> para la compra de productos comercializados por dicha entidad, y que tales datos fueron cedidos a BANKINTER<\/strong>, con la intermediaci\u00f3n de la entidad Mediaprisme Espa\u00f1a, S.L., en virtud de los contratos suscrito por dichas entidades. Para que dicha cesi\u00f3n se adapte a lo previsto en la normativa de protecci\u00f3n de datos es preciso que VENTA DIRECTA contara con el consentimiento del afectado, siendo necesario, adem\u00e1s, que dicha entidad acredite la existencia de ese consentimiento.<\/strong> En su defecto, debe acreditarse que concurr\u00eda alguno de los supuestos contemplados en el art\u00edculo 11.2, que eximen al responsable del fichero del citado requisito del consentimiento.<\/strong><\/em><\/p>\n En cuanto a la carga de la prueba<\/strong>, la Sentencia de la Audiencia Nacional de fecha 11\/05\/2001 afirma que \u201cquien gestiona la base, debe estar en condiciones de acreditar el consentimiento del afectado …<\/strong> siendo carga de la prueba del mismo su justificaci\u00f3n, y la entidad recurrente en ning\u00fan momento ha realizado esfuerzo probatorio tendente a la acreditaci\u00f3n del consentimiento de las personas en las que se basa la sanci\u00f3n\u201d. As\u00ed, compete a la entidad que efect\u00faa el tratamiento de datos probar que posee el consentimiento del afectado para la utilizaci\u00f3n de los datos realizada, en definitiva acreditar que el tratamiento y cesi\u00f3n de datos que realiza resulta acorde con los dictados de la LOPD.<\/strong><\/em><\/p>\n En el presente caso, ha quedado acreditado que VENTA DIRECTA dispon\u00eda del consentimiento del denunciante para ceder sus datos a terceras empresas del sector financiero<\/strong>, como la entidad BANKINTER, con fines promocionales, por lo que no cabe imputarle la comisi\u00f3n de una infracci\u00f3n del citado art\u00edculo 11.1<\/strong> de la LOPD, que admite estas comunicaciones de datos con el consentimiento del afectado.<\/em><\/p>\n <\/em><\/p>\n Se cumple por tanto el requisito del consentimiento as\u00ed como la prueba del mismo<\/strong>. Es importante se\u00f1alar que \u00e9ste caso el consentimiento fue otorgado de forma t\u00e1cita, cuesti\u00f3n que no impide su aplicabilidad, siempre que no est\u00e9 afectando a datos de los calificados como sensibles.<\/p>\n Finalmente, decir que la falta de consentimiento del art\u00edculo 11 LOPD se sanciona con multa de 300.000 a 600.000 euros, es decir, una infracci\u00f3n muy grave, frente a la grave que supondr\u00eda recabar los datos sin el consentimiento del afectado.<\/p>\n En el a\u00f1o 2008, se resolvieron 15 procedimientos sancionadores por infracci\u00f3n el art\u00edculo 11 LOPD<\/strong>.<\/p>\n","protected":false},"excerpt":{"rendered":" Del estudio de los principios anteriores, concretamente el consentimiento del afectado, el deber de secreto y la seguridad, se deduce que el conocimiento o comunicaci\u00f3n de los datos de car\u00e1cter personal a terceras personas no est\u00e1 permitido, a menos que medie la aprobaci\u00f3n del propio interesado. Por tanto, la comunicaci\u00f3n de los datos a terceros … Seguir leyendo Principios jur\u00eddicos en la protecci\u00f3n de datos: comunicaci\u00f3n de datos<\/span>