Estos días he comprado varios pares calcetines. Y no lo he hecho en tiendas online, sino en tiendas físicas, presencialmente. ¿Y qué tienen que ver los calcetines con los datos personales? A priori, cualquiera podría afirmar que no hay ninguna relación, pero quiero compartir mi experiencia como consumidor y desde una perspectiva de privacidad y protección de datos: me he encontrado con una práctica comercial bastante llamativa, que consiste en la solicitud de mi correo electrónico para, en palabras del dependiente, "enviarle por email el ticket, para que lo tenga a mano". Y al comentarlo con otras personas, coincidimos en que esta situación se está dando en otros muchos locales y establecimientos.
Es indudable que esta práctica tiene algunas ventajas para elconsumidor. Por mencionar algunas, está el menor riesgo de perder el ticket ola factura; gestión de cambios o devoluciones con mayor facilidad;simplificación en el control de los gastos; y, si es autónomo, podrá cumplirmejor con sus obligaciones contables y fiscales, etc.
Pero, qué duda cabe, también conlleva ventajas para el dueñoo gestor del establecimiento. Y es que esta hábil práctica, que ofrece unservicio de valor para el consumidor, también permite al comercio disponer deun dato de sus clientes minoristas de enorme valor comercial, al quedifícilmente podían acceder las tiendas físicas: el email. Y por algo tansencillo como la compra de unos calcetines.
¿Una práctica lícita?
Como he dicho, es una práctica muy hábil, pero ¿es correcta desde el punto de vista de la protección de datos? Pues depende, porque siempre será necesario analizar el caso concreto. Muchas de estas tiendas físicas también cuentan con plataformas de ecommerce para facilitar a sus clientes la compra online. Y muchas también se estarán preparando para dar el salto a la digitalización, por si vuelven los confinamientos y es necesario vender "a distancia".
Con esta rutina de enviar la factura por email, la empresaobtiene nuestros datos. Esta práctica será lícita si damos al dependiente o alencargado el consentimiento al tratamiento de nuestros datos (el correoelectrónico, o los que sean), tal como recoge el Reglamento General deProtección de Datos (RGPD). Esta misma norma señala que, como titulares de losdatos, deberíamos también estar informados sobre la finalidad para la que serecaban nuestros datos, es decir, qué es aquello a lo que en realidad estamosconsintiendo. Si nos informan que es para el envío del ticket de compra ofactura, será correcto: es lo propio de la compra.
Ahora bien, será distinto -y también muy probable- que el email sea utilizado no solo para enviarnos el ticket o factura, sino también para hacernos llegar correos con descuentos, promociones, información sobre periodos de rebajas, campañas especiales de fidelización o fiestas de apertura de nuevos locales. Si no hemos prestado nuestro consentimiento para dichas finalidades, el establecimiento en cuestión -es decir, el responsable de tratamiento de los datos personales- estará incurriendo en una infracción de mis derechos.
Consentimiento expreso del cliente
Visto lo visto, en las compras que realicemos de ropa ycomplementos, así como de otros bienes y servicios en comercios establecidos ytiendas físicas, no será extraño a partir de ahora que nos pidan el email paraenviarnos el ticket. La empresa debe facilitar información previa al consumidorsobre lo que ocurrirá con sus datos, un paso fundamental. El usuario tambiéndebe tener en cuenta que son varias las normas que exigen el consentimiento expresodel comprador para poder enviar el justificante de compra de modo electrónico.Además del RGPD, también lo contempla el art. 9, Real Decreto 1619/2012, de 30de noviembre, por el que se aprueba el Reglamento por el que se regulan lasobligaciones de facturación.
Así pues, cualquiera de nosotros, consumidores y titulares de los datos personales que nos están solicitando, podemos negarnos a que nos envíen por correo electrónico el ticket o la factura. Pero, ¿qué ocurre si aceptamos este envío? Nos tienen que informar de para qué van a usar nuestros datos, es decir, si solo los utilizarán para el envío de la factura correspondiente o también para hacernos llegar información comercial, publicidad; o si los datos se cederán a terceros (lo que legalmente se conoce como "encargados del tratamiento"), los fines de esta práctica, etc. Y nosotros tenemos que dar nuestro consentimiento a ese uso que harán de nuestros datos personales.
Pero desde el punto de vista de la empresa, también hay unaserie de cautelas y medidas que deben adoptar. Será aconsejable que elestablecimiento pueda justificar el tratamiento de los datos, acreditando queha cumplido con la solicitud del consentimiento informado y libre delinteresado. De lo contrario, corre el riesgo de que se interponga una denunciaante la Agencia Española de Protección de Datos (AEPD), que puede derivar enuna inspección. Y estas actuaciones exigen que la empresa pueda demostrar queha cumplido con todas las exigencias que establece la normativa vigente: es el principiode responsabilidad proactiva, que contiene el RGPD.
Los clientes, de ahora en adelante, ya sabemos por qué nospueden pedir el email cuando nos compramos un par de calcetines… y qué debemoshacer para proteger nuestra privacidad y nuestros datos personales.
Alejandro Álvarez Serrano es abogado del área de Tecnología del Bufete Mas y Calvet