{"id":2966,"date":"2021-03-17T10:15:41","date_gmt":"2021-03-17T08:15:41","guid":{"rendered":"https:\/\/www.audens.es\/blog\/?p=2966"},"modified":"2021-03-17T11:32:16","modified_gmt":"2021-03-17T09:32:16","slug":"dos-lecciones-de-la-aepd","status":"publish","type":"post","link":"https:\/\/www.audens.es\/blog\/dos-lecciones-de-la-aepd\/","title":{"rendered":"Dos lecciones de la AEPD"},"content":{"rendered":"\n<p>Tras las cuantiosas sanciones impuestas recientemente a sendas entidades financieras, el sector de la protecci\u00f3n de datos se ve sacudido de nuevo por <a href=\"https:\/\/www.aepd.es\/es\/documento\/ps-00059-2020.pdf\">la multa que la Agencia Espa\u00f1ola de Protecci\u00f3n de Datos (AEPD) ha impuesto a Vodafone<\/a>, uno de los gigantes de las telecomunicaciones en nuestro pa\u00eds. Ag\u00e1rrense, porque el importe bate un r\u00e9cord cuantitativo: <strong>8.150.000 euros, por varios conceptos relacionados con las acciones de marketing directo<\/strong> desplegadas por este operador. Ah\u00ed es nada&#8230;<\/p>\n\n\n\n<p>Evidentemente, no es nuestra intenci\u00f3n hacer le\u00f1a del \u00e1rbol ca\u00eddo e incidir en los posibles errores cometidos por esta empresa; pero son varias las conclusiones que se pueden extraer de esta dura sanci\u00f3n, que pone sobre la mesa <strong>nuevos criterios en relaci\u00f3n a las responsabilidades derivadas de la realizaci\u00f3n de campa\u00f1as publicitarias<\/strong>, en especial cuando se delega su realizaci\u00f3n en agencias, call centers y otros proveedores, con vistas a que realicen llamadas o env\u00eden mensajes a sus propias bases de datos.<\/p>\n\n\n\n<p><a href=\"https:\/\/www.boe.es\/buscar\/act.php?id=BOE-A-2008-979#a46\">El art\u00edculo 46.2 del Reglamento de la antigua LOPD<\/a>, sobre el tratamiento de datos en campa\u00f1as publicitarias, fijaba la definici\u00f3n de los \u00abpar\u00e1metros identificativos de los destinatarios de las acciones comerciales\u00bb como criterio para atribuir responsabilidades. En esencia, <strong>quien determinaba el <em>target<\/em> de una acci\u00f3n de marketing directo, era considerado responsable<\/strong> de los tratamientos de datos personales derivados de su realizaci\u00f3n; y ello, aunque el anunciante no tuviese acceso a los n\u00fameros de tel\u00e9fono o direcciones de correo utilizadas.<\/p>\n\n\n\n<p>La reacci\u00f3n por parte de muchas grandes empresas fue previsible: regular al m\u00ednimo este <em>target<\/em> al contratar la realizaci\u00f3n de campa\u00f1as, dejando a criterio de agencias y proveedores el uso de cu\u00e1ntas bases de datos considerasen oportunas, y estableciendo las comisiones derivadas de conversiones como forma de pago. Una soluci\u00f3n que funcion\u00f3 durante a\u00f1os&#8230; pero que dio lugar a un <strong>constante incremento de llamadas, debido a la concurrencia de multitud de <em>call centers<\/em>, a menudo descoordinados entre s\u00ed<\/strong>.<\/p>\n\n\n\n<p>Huelga decir que, si el anunciante no se consideraba responsable de las campa\u00f1as realizadas por esta v\u00eda, tampoco ten\u00eda incentivo alguno para supervisar a sus proveedores: de ah\u00ed que<strong> no les aplicasen los mismos controles y procesos de homologaci\u00f3n exigibles a nivel interno<\/strong>. Es obvio que principios como el de \u00abresponsabilidad activa\u00bb, introducidos por el nuevo Reglamento europeo de protecci\u00f3n de datos (RGPD), no parec\u00edan casar muy bien con esta estrategia&#8230; pero no son pocas las empresas que mantuvieron esta operativa en los \u00faltimos a\u00f1os.<\/p>\n\n\n\n<p>Pues bien, la sanci\u00f3n que nos ocupa refleja <strong>un importante cambio de criterio, que impacta de lleno en el sector publicitario<\/strong>. En efecto, la AEPD entiende que, incluso cuando las bases de datos sean ajenas, el suministro de instrucciones por la parte contratante, y el hecho de que el \u00fanico inter\u00e9s de los proveedores en realizar las campa\u00f1as sea la compensaci\u00f3n econ\u00f3mica a percibir por los servicios prestados, convierte a estos \u00faltimos en encargados del tratamiento&#8230; trasladando as\u00ed la responsasibilidad a los anunciantes.<\/p>\n\n\n\n<p>La consecuencia de esta nueva postura es inmediata: el control que el anunciante debe ejercer sobre los proveedores no decae cuando estos utilizan sus propias bases de datos, porque <strong>se entiende que las llamadas o mensajes se realizan en nombre y bajo la marca de la entidad contratante<\/strong>; y si este control no se concreta en una supervisi\u00f3n efectiva y real, el riesgo de sanci\u00f3n se multiplica. <\/p>\n\n\n\n<p>Sin entrar a valorar la l\u00f3gica jur\u00eddica que subyace a la resoluci\u00f3n (de eso se ocupar\u00e1n los tribunales), del planteamiento seguido por la AEPD, podemos extraer <strong>dos lecciones muy valiosas en relaci\u00f3n con los proveedores de bases de datos para fines de marketing directo<\/strong>:<\/p>\n\n\n\n<ul class=\"wp-block-list\"><li>Es evidente que la obligaci\u00f3n de <strong>apoyarse \u00fanicamente en empresas que proporcionen garant\u00edas de cumplimiento y seguridad suficientes<\/strong> tambi\u00e9n aplica en aquellos casos en que los proveedores publicitarios realicen acciones comerciales sobre sus propias bases de datos, especialmente cuando contactan a los potenciales clientes en nombre del anunciante, y el inter\u00e9s del proveedor se reduce al mero pago por sus servicios; y<\/li><li>Los procesos de homologaci\u00f3n de encargados de tratamiento no se deben limitar al momento de la contrataci\u00f3n, sino que deben <strong>permitir conocer el grado concreto de cumplimiento de la normativa de protecci\u00f3n de datos por parte de estos proveedores<\/strong>, incluyendo controles posteriores a la contrataci\u00f3n que as\u00ed lo verifiquen. Los <em>checklist <\/em>en los que solo se contesta con un \u201cS\u00ed\u201d o un \u201cNo\u201d son historia: la diligencia del anunciante en la elecci\u00f3n de proveedores implica solicitar aclaraciones, especificaciones y acreditaciones de lo que el encargado del tratamiento dice tener o hacer, y realizar evaluaciones (e incluso auditor\u00edas) posteriores a la contrataci\u00f3n que verifiquen lo declarado.<\/li><\/ul>\n\n\n\n<p>En resumen, cuando se deleguen tareas relacionadas con datos personales en terceros, es vital elegir a aquellas entidades que mejores y m\u00e1s garant\u00edas de cumplimiento y seguridad presenten, y desplegar sobre ellas una labor real de supervisi\u00f3n. El refuerzo de los protocolos de contrataci\u00f3n de proveedores redunda en una mejor reputaci\u00f3n empresarial&#8230; y evita sanciones como la que hoy nos ocupa.<\/p>\n","protected":false},"excerpt":{"rendered":"La AEPD fija un nuevo criterio en cuanto a la asignaci\u00f3n de responsabilidades en la subcontrataci\u00f3n de bases de datos publicitarias por parte de los anunciantes, en campa\u00f1as de marketing directo. <A CLASS=\"read-more\" HREF=\"https:\/\/www.audens.es\/blog\/dos-lecciones-de-la-aepd\/\">[+]<\/A>","protected":false},"author":16,"featured_media":2974,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[6,7],"tags":[65,50,73,162],"class_list":["post-2966","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-proteccion_de_datos","category-publicidad","tag-accountability","tag-aepd","tag-diligencia","tag-marketing-online"],"_links":{"self":[{"href":"https:\/\/www.audens.es\/blog\/wp-json\/wp\/v2\/posts\/2966","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.audens.es\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.audens.es\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.audens.es\/blog\/wp-json\/wp\/v2\/users\/16"}],"replies":[{"embeddable":true,"href":"https:\/\/www.audens.es\/blog\/wp-json\/wp\/v2\/comments?post=2966"}],"version-history":[{"count":0,"href":"https:\/\/www.audens.es\/blog\/wp-json\/wp\/v2\/posts\/2966\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.audens.es\/blog\/wp-json\/wp\/v2\/media\/2974"}],"wp:attachment":[{"href":"https:\/\/www.audens.es\/blog\/wp-json\/wp\/v2\/media?parent=2966"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.audens.es\/blog\/wp-json\/wp\/v2\/categories?post=2966"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.audens.es\/blog\/wp-json\/wp\/v2\/tags?post=2966"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}