GDPR – Consentimiento

El tratamiento de datos personales está generalmente prohibido, a menos que esté expresamente permitido por la ley, o que el interesado haya consentido el tratamiento. Aunque es una de las bases legales más conocidas para el tratamiento de datos personales, el consentimiento es solo una de las seis bases mencionadas en el Reglamento General de Protección de Datos (GDPR). Las otras son: contrato, obligaciones legales, intereses vitales del interesado, interés público e interés legítimo según se indica en el Artículo 6(1) del GDPR.

Los requisitos básicos para la eficacia de un consentimiento legal válido están definidos en el Artículo 7 y especificados más detalladamente en el considerando 32 del RGPD. El consentimiento debe ser otorgado libremente, ser específico, informado y sin ambigüedades. Para obtener un consentimiento otorgado libremente, debe ser dado de manera voluntaria. El elemento “libre” implica una verdadera elección por parte del sujeto de los datos. Cualquier elemento de presión o influencia inapropiada que pudiera afectar el resultado de esa elección hace que el consentimiento sea inválido. Al hacerlo, el texto legal toma en consideración cierto desequilibrio entre el responsable del tratamiento y el sujeto de los datos. Por ejemplo, en una relación empleador-empleado: El empleado puede preocuparse de que su negativa a consentir pueda tener graves consecuencias negativas en su relación laboral, por lo que el consentimiento solo puede ser una base legal para el tratamiento en unas pocas circunstancias excepcionales. Además, se aplica la llamada “prohibición de acoplamiento” o “prohibición de acoplamiento o vinculación”. Así, el cumplimiento de un contrato no puede depender del consentimiento para procesar más datos personales, que no sean necesarios para el cumplimiento de dicho contrato.

Para que el consentimiento sea informado y específico, al interesado se le debe notificar al menos sobre la identidad del responsable del tratamiento, qué tipo de datos se procesarán, cómo se utilizarán y el propósito de las operaciones de tratamiento como salvaguarda contra el ‘creep de función’. También se debe informar al interesado sobre su derecho a retirar el consentimiento en cualquier momento. La retirada debe ser tan fácil como dar el consentimiento. Cuando sea relevante, el responsable también debe informar sobre el uso de los datos para la toma de decisiones automatizadas, los posibles riesgos de transferencias de datos debido a la ausencia de una decisión de adecuación u otras garantías adecuadas.

El consentimiento debe estar vinculado a uno o varios propósitos específicos que deben ser explicados suficientemente. Si el consentimiento debe legitimar el tratamiento de categorías especiales de datos personales, la información para el interesado debe referirse expresamente a esto.
Siempre debe haber una clara distinción entre la información necesaria para el consentimiento informado y la información sobre otros asuntos contractuales.

Por último, pero no menos importante, el consentimiento debe ser inequívoco, lo que significa que requiere una declaración o un acto afirmativo claro. El consentimiento no puede ser implícito y siempre debe darse a través de un opt-in, una declaración o un movimiento activo, para que no haya malentendidos sobre que el interesado ha consentido el tratamiento en particular. Dicho esto, no existe un requisito de forma para el consentimiento, aunque se recomienda el consentimiento por escrito debido a la responsabilidad del controlador. Por lo tanto, también puede darse en forma electrónica. En este sentido, el consentimiento de niños y adolescentes en relación con los servicios de la sociedad de la información es un caso especial. Para aquellos que tienen menos de 16 años, se requiere un consentimiento o autorización adicional por parte del titular de la responsabilidad parental. El límite de edad está sujeto a una cláusula de flexibilidad. Los Estados miembros pueden prever una edad inferior mediante legislación nacional, siempre que dicha edad no sea inferior a 13 años. Cuando una oferta de servicio no está dirigida explícitamente a niños, está exenta de esta norma. Sin embargo, esto no se aplica a las ofertas que están dirigidas tanto a niños como a adultos.

Como se puede ver, el consentimiento no es una solución mágica cuando se trata del procesamiento de datos personales. Especialmente considerando que las autoridades europeas de protección de datos han dejado claro “que si un responsable del tratamiento elige basarse en el consentimiento para cualquier parte del procesamiento, debe estar preparado para respetar esa elección y detener esa parte del tratamiento si un individuo retira su consentimiento.” Interpretado estrictamente, esto significa que el responsable del tratamiento no está permitido cambiar la base legal de consentimiento por interés legítimo una vez que el interesado retira su consentimiento. Esto aplica incluso si inicialmente existía un interés legítimo válido. Por lo tanto, el consentimiento siempre debe elegirse como última opción para procesar datos personales.