¿Qué ocurre con los consentimientos tácitos obtenidos con anterioridad a la entrada en vigor del RGPD?

¿Qué ocurre con los consentimientos tácitos obtenidos con anterioridad a la entrada en vigor del RGPD?

Como ya se ha indicado reiteradamente, con la entrada en vigor y posterior aplicación de Reglamento Europeo de Protección de Datos (RGPD) desaparecen los consentimientos tácitos. Esto es consecuencia de lo establecido en el considerando 11 del citado Reglamento que define el consentimiento del afectado así: “«consentimiento del interesado»: toda manifestación de voluntad libre, específica, informada e inequívoca por la que el interesado acepta, ya sea mediante una declaración o una clara acción afirmativa, el tratamiento de datos personales que le conciernen”. Dicha definición, tiene como consecuencia que el consentimiento tácito ya no sea acorde con la nueva norma.

De esta forma, una vez que sea aplicable el RGPD (25 de mayo de 2018), los tratamientos que estén basados en estos consentimientos deberán adaptarse a los requisitos establecidos por el mismo, de manera que debe encontrarse otra forma de legitimación para los tratamientos que se hayan legitimado en base al consentimiento tácito; esto podrá hacerse de varias formas:

         – Mediante una nueva solicitud de consentimiento informado acorde con el RGPD. Teniendo en cuenta que el contenido de la información que se ha de facilitar al interesado se ve muy ampliado, a nuestro entender, esta sería la fórmula más recomendable, pues dicha información hay que facilitarla obligatoriamente, por lo que se podría aprovechar ese momento para recabar este consentimiento expreso.

        – Mediante la aplicación de algún otro supuesto de legitimación, como podría ser la regla del interés legítimo que tendría que ponderarse. Esta posibilidad que ofrece la propia AEPD está sujeta a varias condiciones y siempre a esa ponderación o valoración.

Hay que tener en cuenta que, al margen de la ponderación y valoración que inicialmente hiciera el Responsable del Tratamiento, siempre habría una posterior ponderación o valoración a realizar por la propia AEPD o juez, si hubiera conflicto debido al tratamiento efectuado. Esto no deja de ser una incertidumbre que pesaría siempre sobre la legitimidad del tratamiento y del consentimiento.

Para añadir mayor incertidumbre sobre dicha legitimación, la AEPD señala que no es posible dar una respuesta genérica, sino que habría que estudiar el caso particular; concretamente la AEPD señala lo siguiente en su contestación a la consulta planteada sobre este tema: “Para determinar si es posible aplicar esta regla del interés legítimo, habrá de atenderse a las circunstancias de cada tratamiento concreto y, en particular, el origen de los datos, el alcance de la información tratada o la finalidad perseguida, no siendo posible fijar una respuesta única”.

 Posteriormente señala algunos casos en los que parece que podría existir un interés legítimo, como son, por ejemplo: “Envío de comunicaciones comerciales sobre los propios productos o servicios podría ser adecuada a la vista de la Directiva e-privacy y la LSSI (se entiende que se trata de envío a personas que ya son clientes); Tratamiento de dato que el afectado hubiese hecho manifiestamente públicos”.

Finalmente, la AEPD reitera lo ya señalado más arriba: “En todo caso, si se opta por una base legal distinta del consentimiento, será preciso informar a los interesados, entendiendo que, además, les corresponden todos los derechos y garantías propios de la base jurídica elegida, como podría ser el derecho de oposición”.