El art. 4.11 del Reglamento 2016/679/UE, de 27 de abril , define “consentimiento del interesado” como:
Toda manifestación de voluntad libre, específica, informada e inequívoca por la que el interesado acepta, ya sea mediante una declaración o una clara acción afirmativa, el tratamiento de datos personales que le conciernen (definición que recoge el art. 6.1 de la LOPD-GDD/2018 ).
Asimismo, una famosa Sentencia de la Audiencia Nacional de 2 de febrero de 2018, recurso nº 486/2015 establece lo siguiente:
<<Es cierto que de la prueba testifical practicada se desprende que un empleado de una oficina de la entidad bancaria (encargada del tratamiento) se puso en contacto telefónico con la esposa del denunciante para recabar el consentimiento para la contratación de tales seguros. Más aun sin negar verosimilitud a dicha conversación telefónica, en ningún caso se prueba la existencia de consentimiento alguno por parte del denunciante, Sr. Juan Ramón sino en su caso, exclusivamente, de la esposa del mismo, por lo que la virtualidad probatoria de tal testifical resultaría en todo caso incompleta. En definitiva, por tanto, SEGURCAIXA ADESLAS y VIDA CAIXA trataron los datos del denunciante, emitiendo las pólizas de seguros de accidentes y de vida, otorgándole la condición de tomador y cargando en su cuenta bancaria los recibos de las primas correspondientes a 17/03/2013, 31/03/2013, 07/04/2013, y 5/05/2013. Todo ello sin que haya quedado acreditado que contara con su consentimiento para el tratamiento de sus datos necesarios para contratar los repetidos seguros por lo que, tal y como consideran las resoluciones combatidas, se vulnera uno de los esenciales principios en materia de protección de datos, cual es el del consentimiento, contemplado en el art. 6.1 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (LOPD 15/1999) , sin que concurra en el supuesto ninguna de las circunstancias previstas en el art. 6.2 de la LOPD 15/1999 que permitirían tratar los datos sin consentimiento>>.
Por tanto, el tratamiento de datos personales exige:
- El consentimiento del afectado
- Que el consentimiento lo sea, de manera específica e inequívoca, para cada finalidad. De manera que, cuando se pretenda fundar el tratamiento de los datos en el consentimiento del afectado para una pluralidad de finalidades será preciso que conste de manera específica e inequívoca que dicho consentimiento se otorga para cada una de ellas ( art. 6.2 de la LOPD-GDD/2018 ).
Sobre este requisito se pronuncia la SAN de 22 de febrero de 2019, en un supuesto de utilización de datos por el Ayuntamiento de Madrid. La sentencia señala que la finalidad de la información de la existencia de una plataforma para dar ideas a fin de mejorar la ciudad, no puede quedar comprendida, dentro del consentimiento dado para el fichero de donde se obtuvieron las direcciones de correo electrónico, que era para facilitar la gestión de contacto con el ciudadano. La utilización por la Entidad local de los datos de carácter personal de las direcciones de correo de los vecinos para finalidades distintas de las que figuraban en el registro para el que se obtuvieron dichos datos suponen la infracción del art. 4.1 y 2 de la anterior LOPD.
- Que la ejecución del contrato no pueda supeditarse a que el afectado preste su consentimiento para que sus datos sean tratados para finalidades distintas. No podrá supeditarse la ejecución del contrato a que el afectado consienta el tratamiento de los datos personales para finalidades que no guarden relación con el mantenimiento, desarrollo o control de la relación contractual (art. 6.3 de la LOPD-GDD/2018).
Con respecto al consentimiento del tratamiento de los datos personales de los menores de edad
El tratamiento de los datos personales de un menor de edad únicamente podrá fundarse en su consentimiento cuando sea mayor de catorce años.
Se exceptúan los supuestos en que la ley exija la asistencia de los titulares de la patria potestad o tutela para la celebración del acto o negocio jurídico en cuyo contexto se recaba el consentimiento para el tratamiento ( art. 7.1 de la LOPD-GDD/2018).
De esta forma, el art. 7.2 de la LOPD-GDD/2018 establece que el tratamiento de los datos de los menores de trece años sólo será lícito si consta el consentimiento del titular de la patria potestad o tutela, con el alcance que determinen los titulares de la patria potestad o tutela.
