Cuidado con las promociones para nuevos clientes
Es habitual que las empresas ofrezcan promociones para nuevos clientes. Así, lo hacía Iberia Cards, que ofrecía una promoción para nuevos solicitantes de esta tarjeta.
A raíz de una reclamación presentada por una persona ante la AEPD se inició un procedimiento sancionador contra la empresa que gestiona estas tarjetas por el tratamiento de datos personales una vez ejercitado el derecho de supresión lo que permitió a la Agencia analizar con detalle los límites del bloqueo de datos y su compatibilidad con el principio de licitud del tratamiento reconocido en el RGPD
De los hechos que la AEPD considera probados se desprende que la persona había contratado inicialmente esta tarjeta con la empresa y, posteriormente, en noviembre de 2022 solicitó la cancelación de la tarjeta y ejerció el ejercicio del derecho de supresión de sus datos personales, solicitud que fue atendida por la empresa confirmando la cancelación y el bloqueo de los datos conforme a los plazos de conservación legalmente previstos. Casi un año después la persona volvió a solicitar la tarjeta y la empresa le comunicó que podía tramitarse la solicitud pero sin aplicar las condiciones reservadas a nuevos clientes, al constar una relación contractual previa, lo que motivó nuevas comunicaciones en las que la persona solicitó información sobre el tratamiento de sus datos y sobre las tarjetas anteriormente contratadas.
La AEPD indicó que cualquier acceso consulta o utilización de datos personales constituye un tratamiento en los términos definidos por el artículo 4 del RGPD, incluso cuando los datos han sido objeto de supresión y se encuentran bloqueados conforme a la LOPDGDD. Desde esta premisa la Agencia analizó el alcance del bloqueo regulado en el artículo 32 de la LOPDGDD, destacando que el bloqueo implica la prohibición de tratar los datos para finalidades distintas de su puesta a disposición de jueces tribunales o administraciones públicas para la exigencia de responsabilidades durante los plazos de prescripción correspondientes. Así, la AEPD rechazó que el uso de datos bloqueados para verificar si una persona había sido cliente con anterioridad y negar una promoción comercial pueda ampararse en una base de legitimación válida conforme al artículo 6 del RGPD, ya que dicho tratamiento no resulta necesario ni para la ejecución de un contrato ni para el cumplimiento de una obligación legal, ni puede sustentarse en el interés legítimo cuando los datos debían permanecer reservados y sin tratamiento activo. La Agencia subrayó, además, que el ejercicio del derecho de acceso por parte de la persona no legitima otros tratamientos distintos de la mera puesta a disposición de la información solicitada ni permite reutilizar los datos para finalidades comerciales o promocionales.
Finalmente, la AEPD concluyó que la empresa trató datos personales de forma ilícita tras haber confirmado su supresión y bloqueo vulnerando el artículo 6 del RGPD al no concurrir ninguna de las condiciones de licitud exigidas por la norma, lo que constituye una infracción tipificada en el artículo 83 del RGPD y calificada como muy grave por la LOPDGDD. La propuesta de resolución la Agencia acordó la imposición de una sanción económica de 20.000 euros.
Moraleja: por raro que parezca, cuidado con comprobar si un nuevo cliente es un excliente a la hora de aplicarle una promoción.