Las casillas marcadas por defecto no son legales
Por Samuel Parra •
18 Septiembre, 2008
Con la entrada en vigor del Reglamento de Protección de Datos no está permitido obtener el consentimiento para el tratamiento de datos personales mediante casillas ya marcadas.
No se puede decir que el Real Decreto 1720/2007 tenga un espíritu protector para el usuario o consumidor en lo que se refiere a la forma de obtener su consentimiento para el tratamiento de datos personales, sin embargo, el artículo 15 prohíbe expresamente una práctica habitual consistente en dejar marcada la casilla del “Sí quiero”… recibir publicidad… llamadas promocionales… ceder mis datos a quien te apetezca, etc. Lo cual, unido a que este tipo de cláusulas suelen estar escritas a letra 4 y a pie de página, son una forma excelente de obtener consentimientos.
Sin embargo, a día de hoy, todavía existen empresas que no se han enterado de esta prohibición legal; y es gracias a un caso real por lo que me he animado a comentar esta “novedad” legislativa.
Sigue leyendo para ver el caso práctico.
La revista Mi Cartera de Inversión realiza cada temporada un concurso en el que cualquier lector puede participar y ganar 12000 euros; simplemente hay que seleccionar los valores del Ibex-35 que creamos tendrán la mejor evolución en un periodo de tiempo determinado; cada semana sale el ranking con los mejores posicionados y si al final de cada periodo somos los primeros pues tenemos premio.
La participación es “gratuita”; pongo lo de gratuita entre comillas porque en esta vida “nadie da nada a cambio de nada”. En este ocasión, la revista obtiene como remuneración un gran número de datos personales y lo que es más importante, su consentimiento para enviarles publicidad por cualquier vía.
Ya sé que para muchos esos datos personales pueden tener un valor igual o inferior a 0 pero es con esa mentalidad con la que poco a poco, los poderes Públicos y los Privados, nos van despojando de nuestra privacidad e intimidad sin hacer nada al respecto.
Pero vayamos al caso; en esta imagen podéis ver el formulario completo para participar en el concurso.
Y en esta otra imagen se aprecia la parte de la cláusula que no es conforme a la Ley.
El artículo 15 del Real Decreto 1720/2007 estipula:
“Si el responsable del tratamiento solicitase el consentimiento del afectado durante el proceso de formación de un contrato para finalidades que no guarden relación directa con el mantenimiento, desarrollo o control de la relación contractual, deberá permitir al afectado que manifieste expresamente su negativa al tratamiento o comunicación de datos.
En particular, se entenderá cumplido tal deber cuando se permita al afectado la marcación de una casilla claramente visible y que no se encuentre ya marcada en el documento que se le entregue para la celebración del contrato o se establezca un procedimiento equivalente que le permita manifestar su negativa al tratamiento.”
Esto tiene más bien poco que comentar; el artículo establece una prohibición expresar de recabar el consentimiento dejando marcadas casillas por defecto (lo cual se ha hecho en el ejemplo anterior); además especifica que tiene que estar “claramente visible”… en ese sentido espero con impaciencia la pronunciación de la Agencia Española de Protección de Datos en la resolución de algún caso donde se dirima sobre la “claridad visible” de una casilla.
Esta medida legal tiene cierto sentido. Primero porque parece extraño hablar de “consentimiento” cuando no se nos deja opción de decidir si marcar una casilla o no porque ésta ya viene marcada. Y en segundo lugar, porque el propio legislador debe ser consciente de la realidad: nadie lee las cláusulas legales de protección de datos, así que pretende proteger al afectado haciendo nulo el consentimiento en estos casos. Aunque claro, lo ideal habría sido exigir en todo caso la marcación de una casilla para consentir, porque así, aunque no se permite la casila marcada por defecto, parece que sí es válido indicar “y si no consiente usted marque la casilla…” por lo que como casi nadie lee estas cosas, seguirán obteniendo consentimientos…
Cargando ...
[…] Las casillas marcadas por defecto no son legaleswww.samuelparra.com/2008/09/18/las-casillas-marcadas-por-def… por sam2001 hace pocos segundos […]
Buenas, Samuel
¿Crees que podría ser válido mantener una casilla premarcada con un texto acompañándola que en sentido negativo venga a ser algo así como afirmar que autorizamos el envío de las comunicaciones comerciales?
Algunos piensan que sí, yo que no.
Salu2
Yo quería preguntar al respecto algo parecido:
Podría ser válido el incluir una casilla sin marcar que diga “marquela si no desea recibir publicidad de nuestra empresa”?
En una empresa de Telemarketing donde estuve trabajando, en las solicitudes de alta podías marcar la casilla de “Me niego a que trafiquen con mis datos, etc”, pero, magia! En la ficha de cliente NUNCA volcaban dichas casillas, es más, aparecía una nueva que decía “¿El cliente se opone a que sus datos sean vendidos a terceros o sean utilizados para enviarle propaganda?” y siempre ponía NO.
Incluso cuando la modificabas, al deslogarte y buscar de nuevo al cliente, ZAS! de nuevo estaba aceptado….
Deincognito, si la casilla está premarcada y perjudica los supuestos intereses del afectado, no es válida. De todas formas, creo que lo suyo hubiese sido obligar a que esas casillas estuviesen en sentido afirmativo y tuvieses que marcar expresamente #Deseo recibir publicidad. Pero lo que pide es una casilla sin premarcar donde pueda manifestar su negativa al tratamienton #No deseo recibir publicidad.
Al fin y al cabo es lo mismo tener la casilla premarcada en afirmativo que tenerla sin premarcar en negativo.
Alfonso, ciñéndonos al literal del artículo.. es perfectamente viable.
Estoy ansioso por ver las primeras casillas con dobles negaciones o tripes:)
# NO deseo que no traten mis datos con FINALIDADES COMERCIALES
# Deseo manifestar mi negativa a la imposibilidad de que la empresa trate mis datos con finalidades comerciales.
En cualquier caso, lo que me preocupa es “finalidades no directamente relacionadas con el objeto del contrato”… Todos entendemos que se refieren a la publicidad… pero y si el objeto del contrato es precisamente el envío de publicidad a cambio de entrar en el sorteo de un ipod? (como hay miles de páginas web)
Poner esa casilla en estos casos, implicaría como dejar sin efecto el contenido del contrato.
Hola!
Deincognito: yo estoy contigo; tampoco sería válido el consentimiento obtenido de esa forma. Del literal de la norma parece desprenderse que no vale casilla marcada por defecto, sea cual sea el texto que acompañe a esa casilla.
Alfonso: como indica Jc, ese supuesto sería válido, de hecho es lo que menciono al final en tono crítico.
Anónimo: me lo creo 100%. Yo tuve una experiencia similar: hice una portabilidad de mi teléfono móvil y entre los papeles que tenía que firmar estaba una cláusula de protección de datos donde me dejaban marcar una casilla para negarme a que mis datos fueran tratados para finalidades como marketing, seguros, etc. Yo la marqué y la chica de la tienda me dijo algo así como “si da igual, eso los de administración no lo leen y te van a mandar publicidad igualmente”. Y así ha sido.
Y por último, Jc, mira, al final de este comentario adjunto un enlace a un escaneo de una cláusula de un formulario que tengo por aquí. Fíjate bien en la forma de redactarla… seguramente será una errata pero lo cierto es que en ese caso, marques lo que marques, estás autorizando jajajaja.
http://www.samuelparra.com/wp-content/uploads/2008/09/clausula03.gif
[…] 4 - Las casillas marcadas por defecto no son legales | Proteccion de Datos […]
Hay una cosa que no me ha quedado clara.
¿ Estáis diciendo que toda esta ley destinada a protegernos, será “papel mojado” simplemente cambiando el texto de “quiero dar mis datos” (marcando la casilla), por el de “NO quiero dar mis datos” (sin marcar la casilla) ?
Si es así, en que cabeza cabe redactar una ley así, no se supone que son gente de estudios y con conocimientos de las triquiñuelas legales?¿?
Hola David. Sí, así es, tú lo has dicho… cuando hacen una ley no suelen pensar mucho en ese tipo de cosas, o si lo hacen, desde luego no van a pensar en el pobre consumidor o usuario sino en la gran y poderosa empresa privada que es la que tiene los euros.
Creo que el artículo 15 es claro, la no marcación supone el consentimiento, y la marcación el no consentimiento. Es así, y no al reves, porque una cruz de una persona resulta indistinguible de la de otra. Así, si la no marcación supusiese la oposición al tratamiento, el responsable del fichero podria marcar todos los contratos, y seria indemostabre que lo ha hecho. De la forma que está expresado, si hay marca se ejerce la oposición, y solo la no marcación supone el consentimiento.
Cualquier filigrana que pretenda eludir esta norma se arriesga a sanción. Y sabiendo como se las gasta la AEPD, yo no iria tocando las narices, y un tratamiento sin consentimiento son 60.000 €, y como tengas varias denuncias se te comen los beneficios.
[…] Las casillas marcadas por defecto no son legales. Lo advierte Samuel Parra. […]
Buenas, aunque un poco tarde y por el efecto menéame llego hasta este post y si no os importa intentaré aportar mi granito de arena sobre este tema. Me dedico a Derecho y Nuevas Tecnologías, sobre todo a LOPD, RDLOPD y demás normativa de dicho ámbito. Por suerte, conozco a gente de la Agencia y Off The Record me han comentado que por poder hay varias opciones para solucionar esta situación.
La más cómoda y haciendo referencia a la casilla visible y no premarcada es, como han apuntado en algún comentario por ahí arriba, es dejar una casilla en blanco al lado de un texto que especifique que mediante el marcado de la casilla se autoriza al tratamiento de datos con finalidad diferente a la de la relación contractual o para la cesión de los mismos.
En este mismo sentido, entiendo que si se deja una casilla en blanco junto al texto “no deseo recibir información comercial/ceder mis datos”, se está premarcando la misma, ya que si no lo leemos o no nos damos cuenta, vamos a recibir publicidad o se van a ceder los datos, lo que proceda.
La otra opción es como han hecho en esa cláusula que ha escaneado Samuel (obviamente haciéndolo bien y no marcando previamente nada :p), pero al dejar las dos casillas mareas a la gente que no sabe que premarcar.
En cualquier caso, yo siempre aconsejo a mis clientes que si van a utilizar los datos para finalidad distinta de la finalidad principal para la que se van a destinar los datos, habiliten una casilla en blanco indicando que si la marcan, podrán enviar publicidad o lo que sea a sus clientes. Aunque esto, y es palabra literal de una empresa de publicidad, es un suicidio comercialmente hablando, ya que la gente ha “interiorizado” que si hay una casilla no hay que marcarla porque si no te frien a publi. Vamos que de la noche a la mañana el sistema ha cambiado.
En otro orden de cosas y para acabar (joder que tocho he escrito), en la fundación universidad y empresa de Valencia han organizado la segunda edición de las jornadas sobre el RD 1720/2007, y va gente interesante como Ricard Martinez, Agustín Puente Escobar (abogado del Estado y jefe de los servicios jurídicos de la AGPD), Jesús Rubí Navarrete, María José Blanco Anton, Jefa del Registro de AGPD. Vamos un programa muy completo.
Si no es SPAM (si lo es, pido disculpas de antemano), dejo el enlace al programa del curso.
Un saludo y perdón por el tocho
Hola Sergio.
Gracias por tu aportación :); por cierto, creo que te olvidaste de poner el enlace al curso ese que nos mencionas.
Sergio ¿tu redactarias un texto ambiguo dejando el resultado a la interpretación de la AGPD? yo prefiero un texto clarisimo, que no tenga multiples interpretaciones, no sea que lo interpreten distinto. O haces un balance riesgos/beneficios, pues con 10 denuncias que te caigan por tratamiento sin consentimiento te puedes encontrar con que se coman los beneficios.
Hola Pit y Samuel.
Gracias por el recibimiento.
Vayamos por partes que dijo Jack el Destripador
Samuel, efectivamente me deje el enlace por colocar, intente editar el comentario, pero no vi la opcion.
http://www.adeit-uv.es/DOCUMENTOS_C/PROTECCION_DATOS_2.PDF
Pit, yo intento evitar en todos los casos los textos ambiguos. De hecho con mi jefe he hablado muchas veces de este tema y tambien con Ricard Martinez. Un ejemplo de este tipo de clausula seria el siguiente
“Los datos personales facilitados por usted serán incorporados a un fichero titularidad de RESPONSABLE DE FICHERO, cuya finalidad es la gestión del presupuesto por usted solicitado.
Para el caso de estar interesado en recibir información, por cualquier medio [vía postal, fax, correo electrónico, mensaje telefónico o por medios electrónicos equivalentes] acerca de los productos y servicios del RESPONSABLE DEL FICHERO, el Solicitante deberá autorizar el envío, marcando la siguiente casilla:
[] Sí, deseo recibir información de productos y servicios del RF.“
Como veis, yo creo que queda bastante claro que si no se marca la casilla, no se le va a enviar publicidad y yo entiendo que esa casilla no es premarcada, es visible y suficientemente clara.
Como ya os he comentado, gente de la AGPD nos ha comentado que ese metodo es perfectamente valido y no supone obtener un consentimiento viciado del titular de los datos.
Espero haber ayudado a clarificar mi postura. Perdon por no poner acentos pero no se que pasa con Firefox que a veces le da por irse de vacaciones y me desconfigura el teclado :s.
Saludos a todos
Sergio, en la Agencia hay muchos, demasiados opinantes, pero al final son los inspectores, instructores, y finalmente el director quienes deciden.
Los inspectores, pues los resultados dependen de la orientación de la investigación.
Los instructores, pues con el material recibido de los inspectores tienen que poder justificar la infracción que detecte.
Finalmente, el director, que tiene la última palabra.
Respecto de Ricard ¿que decirte? busca su nicho de mercado, y parece que lo ha encontrado en las cuestiones de Seguridad. Me sorprenció mucho su intervención en la 1ª Jornada Anual de la Agencia ¡que valor! ¡que suerte tuvo que no le preguntase nigún técnico! menos mal que solo le preguntaron abogados sin conocimientos informáticos. ¿Donde estaban los inspectores? Pues estaban sentados en la segunda línea, tragando quina, supongo, que un lego recien llegado estuviese hablando de los temas que mejor dominan ellos.
Novedades: hoy han publicado las cuentas de la Agencia de 2007. En un vistazo preliminar me ha sorprendido ver la reducción de tesorería de 24 a 17 millones, pero luego he visto que han invertido 12,5 millones en valores. Así pues, pasan de 24 a 29,5 millones ahorrados desde que la Agencia existe, y eso pese a la alegre aplicación que están realizando del 45.5. Seria interesate un análisis de alguien con buenos conocimientos contables.
¿ Han invertido 12,5 millones en valores?; ¿si? - ¿de Euros ?- :Jolines…………..
Por ejemplo, en un sorteo para un viaje, que parece con la colección de libros infantiles de EL PA?S, aparece premarcada la casilla “Si, estoy de acuerdo en recibir información comercial de DIARIO EL PAíS SL a través de mi correo electrónico o medio de comunicación electrónica equivalente”.
Está claro que NO QUIEREN ENTERARSE.
Pit, yo también estuve allí y Ricard se dedicó sobre todo a hablar de medidas de seguridad para ficheros automatizados, pero no recuerdo que hablase de medidas de seguridad para ficheros automatizados.
En cuanto a lo de la premarcación, yo creo que con el ejemplo que he puesto queda muy claro que si no marcas, no recibes publicidad, y eso para mi es no premarcado.
En cuanto a la consideración de Ricard como lego en materia de protección de datos, creo que te has columpiado un poco (buen rollo ante todo ;)), pero creo que hoy por hoy es una de las personas que más al dedillo conoce la ley, su reglamento y normativa relacionada. Otra cosa es que su formación no sea la de informático.
En lo que si coincido contigo, es el bajo nivel de las preguntas efectuadas durante la charla de la agencia, yo estuve allí y me sorprendieron algunas cuestiones, por lo simples y absurdas que eran.
Saludos.
Efectivamente, ese señor busca su nicho, al igual que el resto de los primeros espadas de la Agencia, que acabarán a codazos, pues por lo que parece, cada vez hay más gente en Gabinete - asesores y varios - y menos en puestos operativos (instructores e inspectores, esos que resuelven las denuncias de los ciudadanos).
Y si se me permite la broma, para escuchar hablar en foros y conferencias públicas a los inspectores e instructores y que así dejen de tragar quina, habrá que llegar a un acuerdo para dejar de pagarlas, o al menos dejar de pagarlas tan bien, y como por arte de magia empezarán a mandar a los curritos en su representación. Suena triste decirlo, pero es así. Quizás ganemos todos, porque hay algunos de esos primeras espadas que ya cantan las conferencias como el padrenuestro, con honrosas excepciones. Y que, por cierto, también necesitan tiempo para atender las obligaciones por las que les pagamos los españoles a fin de mes.
Saludos
Sergio: conocí a Ricard desde que entró a trabajar en la Agencia. Asistí a dos o tres presentaciones suyas. Le hice varias preguntas y tras las respuestas dejé de asistir a sus presentaciones. No dudo que Ricard sea inteligente, y que dedicándose en exclusiva a la protección de datos, algo habrá aprendido, pero las mejores respuestas las he conseguido siempre de inspectores e instructores. Algunos son ya viejos conocidos, que están en la Agencia desde hace años, incluso su creación. Siempre que asisto a una inspección aprovecho para para preguntar, y luego en el sancionador, si visitamos la Agencia también lo hago.
Pedro: veo un problema fundamental en que los directivos de la Agencia, los que tienen la mayor capacidad de decisión o de influencia, cobren, y cobren mucho, por realizar su trabajo, la difusión de las leyes encomendadas a la Agencia. Cantidades grandes pueden influir en las decisiones, cantidades pequeñas no. Nadie se moja por cuatro euros.
De lo que me han contado, los cursos bien pagados se los quedan los directivos, mientras que los demás se van difundiendo hacia abajo, segun baja el precio. Me he encontrado a instructores e inspectores en cursos de pago (los asistentes, me refiero), y me contaban que ellos iban gratis. Y lo hacen por toda España.
Es una obligación de la Agencia la difusión de la Protección de Datos. Me parece lógico, pero, con lo que sacan de las sanciones creo que ya está bien pagado el servicio. Ver el mensaje que puse ayer: casi 30 millones de euros ahorrados. Las Administraciones publicas no tienen que ser un negocio, no tienen que arrojar beneficios.
Creo que la Agencia debería enviar por su cuenta y pagar a los ponentes de cursos, conferencias etc, y a los precios normales de los cursos. Si acaso, el pago del receptor sería unicamente los gastos de transporte y dietas del ponente, si corresponde. Aquí en Madrid, el taxi de ida y vuelta a la Agencia, y un desayuno, por cortesia. Repito, es obligación de la Agencia, les va en el sueldo.
Aquí teneis el enlace a las cuentas anuales de la Agencia:
http://www.boe.es/boe/dias/2008/09/25/pdfs/A38998-39015.pdf
Aquí tienen un interesante tema de estudio: El Poder Judicial impide a la Agencia de Datos investigar en los juzgados valencianos
http://www.levante-emv.com/secciones/noticia.jsp?pRef=2008092600_19_499617__Comunitat-Valenciana-Poder-Judicial-impide-Agencia-Datos-investigar-juzgados-valencianos
¿Es o no es competente la AEPD en este caso? Aqui creo que va a entrar en cuestión la separación de poderes, pero el CGPJ está tambien sujeto a la LOPD, puesto que no está expresamente excepcionado, y la LOPD encomienda a la AEPD la competencia en la materia.
Estoy realmente alucinado con lo que estoy leyendo… Se trata de cargos públicos, y por consiguiente, estas prácticas, que estáis aquí públicamente exponiendo, me parecen sorprendentes a la vez que decepcionantes.
En cuanto al tema del artículo 15 y según el texto:
“En particular, se entenderá cumplido tal deber cuando se permita al afectado la marcación de una casilla claramente visible y que no se encuentre ya marcada en el documento que se le entregue para la celebración del contrato o se establezca un procedimiento equivalente que le permita manifestar su negativa al tratamiento.?
Yo interpreto claramente que el consentimiento está implícito (debidamente informado) y que en cualquier caso deberá haber una casilla para negarse (”…. manifestar su negativa ….”). Si el artículo tuviera por objeto recabar tanto el consentimiento como el no consentimiento, debería ser claramente expuesto no?
Viendo la redacción de mi anterior mensaje, da la sensación que queda algo ambiguo: inspectores e instructores iban como ponentes, no como alumnos, y no se les pagaba por ello, ni la Agencia ni los organizadores del curso, pese a que los organizadores del curso cobraban a los asistentes, digamos 300€ por alumno, 200 alumnos, 60.000 €. Por muchos gastos que tengan, la impartición del curso genera a los organizadores suculentos beneficios. En este caso la Agencia debería declinar la invitación.
Pienso que si un colegio profesional, por poner un ejemplo, quiere contar con personal de la Agencia para que den los cursos, no debería cobrar mas allá de los gastos, y la Agencia proporcionarle los profesores gratis, pero si pretende generar beneficios, que contrate y pague a profesionales fuera de la Agencia. O establecer unos precios públicos, por sus servicios. El que la organización de un evento sea quien ofrezca y, según el precio ofrecido, vayan unos u otros me parece algo poco transparente.
Sergio: he estabo buscando en Internet y debo retractarme de mi opinión de que Ricard era un lego en protección de datos, pues he encontrado referencias suyas desde, al menos, 1999.
Hola Pit.
No te preocupes. En ningún momento me lo he tomado a mal, pero cuando dijiste que conocías a Ricard desde hace tiempo, pensaba que conocías su trayectoria. En cualquier caso, aquí estamos para argumentar y discutir de buen rollo :p.
Por cierto me parece que Samuel va a estar como profesor en el curso de promoción educativa de la universidad de murcia, que es online.
A ver si me inscribo y le veo por el aula virtual
Jajaajaj, “verme” lo que se dice “verme” creo que me “verás” igual que por aquí; eso sí, si coincidimos en el aula virtual deberás tratarme de usted (es broma)
[…] Las casillas marcadas por defecto no son legales. Lo advierte Samuel Parra. […]
Jajaja, muy buena la imagen esa de las dos casillas…
¿Y si no tuviese las comas? Es decir, dos casillas, una con “Sí autorizo” y otra con “No autorizo”, y en un caso en el que el afectado no marcase ninguna. Se está solicitando el consentimiento y se está permitiendo al afectado manifestar expresamente su negativa, permitiéndole marcar una casilla claramente visible y no premarcada…