10.07.2023
Circular 1/2023 de la Agencia Española de Protección de Datos: ¿El fin de las llamadas comerciales no solicitadas?
Por Jon Somocueto
El pasado 29 de junio de 2023 entró en vigor el artículo 66.1.b) de la Ley 11/2022, de 28 de junio, General de Telecomunicaciones (en adelante, la “LGT”), referente a las comunicaciones comerciales no solicitadas.
En virtud de dicha previsión normativa y con el fin de defender el derecho a la protección de datos personales y la privacidad de los usuarios finales de servicios de telefonía, se prohíben las llamadas comerciales no automáticas que no hubieran sido consentidas por los usuarios, salvo que dicha comunicación pueda ampararse en otra base de legitimación de las previstas en el RGPD.
Ello no obstante, la referida previsión normativa (llamada a suponer el fin de las llamadas comerciales no solicitadas) plantea no pocas dudas en su aplicación práctica.
Tanto es así que el 28 de junio de 2023 la Agencia Española de Protección de Datos (en adelante, la “AEPD”), como Autoridad competente a este respecto, publicó su Circular 1/2023, referente a la aplicación del aludido artículo 66.1.b) de la LGT y, en cuya virtud, preestablece los criterios prácticos a los que responderá su actuación (sancionadora) en lo que afecta a las llamadas comerciales no solicitadas.
No se trata, por lo tanto, de una cuestión menor. Mediante su Circular 1/2023 (aplicable desde el 29 de junio), la AEPD completa el marco jurídico aplicable, fijando los criterios legales que cualquier entidad que realice dicha tipología de llamadas comerciales (ya sea en nombre propio o por cuenta de terceros) deberá observar al respecto.
En este sentido, deben destacarse los siguientes aspectos:
- Los criterios establecidos en la Circular 1/2023 de la AEPD solo resultan de aplicación a las llamadas comerciales no automáticas. Las llamadas automáticas y sin intervención humana continuarán rigiéndose por las previsiones del artículo 66.1.a) de la LGT (a saber, siempre será necesario el consentimiento previo de los usuarios).
Tampoco será aplicables dichos criterios a cualesquiera otros tratamientos de datos personales que pretendan realizarse con carácter complementario a las aludidas comunicaciones telefónicas (e.g. perfilado de contactos, segmentación, enriquecimiento, etc.), que deberán cumplir las previsiones legales específicamente aplicables para poder entenderse realizados de forma válida.
- No podrán realizarse llamadas comerciales a números generados de forma aleatoria sin el consentimiento previo del usuario.
- Cuando se pretenda realizar llamadas a usuarios que figuren en las guías de abonados, será necesario que éstos hubieran prestado un consentimiento específico, que deberá constar en las correspondientes guías.
- No obstante todo lo antedicho, se prevé la posibilidad de que las llamadas comerciales no solicitadas puedan realizarse al amparo del interés legítimo del Responsable del Tratamiento o de un tercero y, por lo tanto, sin necesidad de consentimiento previo del usuario.
- En este sentido, se establecen los siguientes criterios:
- La empresa responsable de la llamada comercial deberá realizar la correspondiente ponderación de los derechos e intereses en conflicto, conforme al RGPD, debiendo justificar su realización ante la AEPD si fuese requerido.
- Se presumirá, salvo prueba en contrario, que dichas llamadas comerciales se encuentran amparadas en el interés legítimo y, por lo tanto, resultan lícitas cuando (i) exista una relación contractual previa con el usuario; y (ii) la llamada comercial se refiera a productos o servicios de la propia empresa similares a los que inicialmente fueron objeto de contratación por parte del usuario.
En todo caso, la antedicha presunción de licitud no amparará (salvo prueba en contrario) aquellas llamadas comerciales que se realicen sin consentimiento cuando, habiendo finalizado la relación contractual con el usuario, hubiera transcurrido más de un año sin que éste hubiera realizado solicitud o interacción previa con el responsable de la llamada comercial (ausencia de expectativa razonable del interesado).
- Asimismo, quedan expresamente excluidas de la antedicha presunción de licitud cualesquiera comunicaciones de datos que la empresa pretenda realizar a otras entidades pertenecientes su grupo empresarial con fines de comunicación comercial que, en todo caso, requerirán consentimiento.
- En todo caso, se mantiene la obligación de consulta de los sistemas de exclusión publicitaria, por lo que el aludido interés legítimo no ampararía las llamadas realizadas a los usuarios inscritos en dichos sistemas.
- Cuando las llamadas comerciales no solicitadas se dirijan a personas físicas que prestan servicios en una persona jurídica, se presumirá lícito el tratamiento de sus datos siempre que se ajuste a lo previsto en el artículo 19 de la LOPD-GDD (llamada realizada para establecer relaciones con la persona jurídica en la que el usuario presta sus servicios).
Igualmente ocurrirá respecto de los empresarios individuales o los profesionales liberales, presumiéndose lícito el tratamiento de sus datos siempre que esté dirigido a establecer relación con estos en su condición de empresarios o profesionales, y no como particulares.
Finalmente, la Circular 1/2023 de la AEPD prevé la necesidad de adoptar otras garantías adicionales aplicables a las llamadas comerciales no solicitadas, al objeto de cumplir con los principios de lealtad, transparencia y responsabilidad proactiva previstos en el RGPD, entre las cuales destacan las siguientes:
- Al inicio de cada llamada debe informarse sobre (i) la identidad del empresario y, si procede, la persona por cuenta de la cual se realiza la llamada; (ii) la finalidad comercial de la misma; y (iii) la posibilidad de revocar el consentimiento o, cuando la llamada se ampare en el interés legítimo, ejercer el derecho de oposición.
- Cualquier manifestación inequívoca del usuario contraria a la recepción de dichas llamadas deberá entenderse como revocación del consentimiento o, en su caso, ejercicio del derecho de oposición.
- Podrá grabarse la llamada como medio para demostrar el cumplimiento normativo en materia de privacidad.