Publicado el · RedData Legal
El correo corporativo nominativo es un dato personal
Una dirección del tipo nombre.apellido@empresa.com identifica a una persona física y es, por tanto, un dato personal conforme al artículo 4.1 del Reglamento (UE) 2016/679 (RGPD). Que la persona actúe en su ámbito profesional no le quita esa condición. Las direcciones genéricas (info@, ventas@) no identifican a una persona y quedan fuera del RGPD, pero siguen protegidas por el artículo 21 de la LSSI-CE.
Toda utilización necesita una base jurídica
El artículo 6.1 del RGPD exige que cualquier tratamiento de datos personales se apoye en una base jurídica. Para el envío de correo comercial, las dos que se invocan habitualmente son el consentimiento (6.1.a) y el interés legítimo (6.1.f). Ahora bien, en el correo electrónico la LSSI-CE actúa como norma especial y exige, salvo relación contractual previa, el consentimiento previo del destinatario. En la práctica, el interés legítimo no ampara el primer contacto comercial por correo con alguien que no ha dado su consentimiento.
Qué es un consentimiento válido
El artículo 4.11 del RGPD define el consentimiento como toda manifestación de voluntad libre, específica, informada e inequívoca por la que el interesado acepta el tratamiento mediante una declaración o una clara acción afirmativa. El artículo 7 añade que el responsable debe poder demostrarlo y que la solicitud debe presentarse de forma inteligible y separada de otros asuntos. No son consentimiento válido:
- Las casillas premarcadas o el silencio.
- Haber encontrado la dirección en una web, en LinkedIn o en un directorio.
- Haber comprado o alquilado una base de datos sin el consentimiento específico para ese remitente.
- Un consentimiento genérico para «recibir comunicaciones de terceros».
El derecho a oponerse
El artículo 21.2 del RGPD reconoce el derecho a oponerse en cualquier momento al tratamiento con fines de mercadotecnia directa, y en ese caso los datos dejan de tratarse para tal fin. El artículo 13 de la LSSI-CE y el artículo 22 de la misma ley obligan además a facilitar una baja sencilla y gratuita en cada comunicación.
Información al interesado
Cuando los datos no se obtienen del propio interesado, el artículo 14 del RGPD obliga a informarle, entre otras cosas, de la fuente de la que proceden, de la finalidad y de la base jurídica. Un correo comercial enviado sin esta información acumula una segunda infracción a la de la falta de consentimiento.
Consecuencias
El tratamiento sin base jurídica es infracción del artículo 83.5 del RGPD, sancionable por la AEPD con multas de hasta 20 millones de euros o el 4 % del volumen de negocio anual, según el caso. El artículo 82 reconoce al afectado el derecho a ser indemnizado por los daños y perjuicios sufridos. Y, como en todo envío comercial no consentido, se aplica en paralelo el régimen sancionador de la LSSI-CE.