encargados de tratamiento

Sexo, partidos políticos y encargados de tratamiento

 

Venimos hablando del nuevo terreno de juego que estrenarán esta primavera los partidos políticos, hoy hablaremos de su relación con las empresas de marketing, sus encargados de tratamiento.

Hablemos del papel clave que jugarán las primeras campañas electorales online, legitimadas en los nuevos términos del art 58 bis LOREG, pero, lamentablemente no reguladas con el mismo celo y detalle que las viejunas, anacrónicas y poco relevantes campañas offline.

Campañas que serán ejecutadas por esas empresas que, como vimos en episodios anteriores de 58 bis Street Blues, ya nos tienen perfectamente perfilados de acuerdo con nuestros gustos, disgustos e intereses.

O que no serán ejecutadas.

1.- Ya comentamos que Google ha anunciado que denegará su servicio de publicidad segmentada a los partidos políticos que concurren a las próximas elecciones en Israel. El argumento es que no se considera capaz de distinguir un mensaje propagandístico ortodoxo, de una campaña desinformativa.

2.- ¿Lo de Epi y Blas del PP es mensaje ortodoxo o desinformación?

A mí no me pregunten. Ni a Google.

3.- Hay quien va a esperar a ver qué dice la Agencia: ayer conocimos que otro partido político español ha interrumpido sus campañas publicitarias en Facebook a la espera de aclarar unas dudillas que plantea la recientísima Circular sobre el tema de la AEPD.

Hablaremos de la Circular en un momentillo.

Partidos y Empresas de marketing: su primera vez

Ante estas campañas electorales que nos vienen, todos vamos a perder nuestra virginidad. Los partidos se acostarán con la empresa de marketing directo de su elección.

Y todos nuestros dispositivos electrónicos la perderán (en términos de recepción de spam electoral).

(Salvo, claro, que te apuntes a la Lista Viernes. Nueve de cada diez expertos recomiendan tomar medidas preventivas. O profilácticas)

En un mundo post 58 bis LOREG, el control sobre los partidos tiene que extenderse a estas empresas. No sólo el de la AEPD, también desde luego el de la Junta Electoral. Por lo menos.

Tiene que quedarles clarísimo a las organizaciones políticas lo que pueden o no pueden hacer, porque sólo así, esa misma regla de tres les será aplicables a las empresas a las que deleguen o encarguen el trabajo.

Amoavé:

Unas cuantas cosillas que sí están claras:

  • Las empresas contratadas por los partidos no pueden hacer, como encargados de tratamiento, lo que no pueden hacer los propios partidos que les encargan el trabajo.
  • Y si sobrepasan esa línea roja (la del mandato o instrucción del responsable) se convertirán automáticamente en, ¡glups!, corresponsables del tratamiento por las malas.
  • El encargado de tratamiento (empresa de marketing) debe advertir al responsable (partido político) en caso de que reciba una instrucción o encargo que infrinja la normativa. Hay que entender que no sólo advertir, sino “no cumplir” so pena de incurrir en responsabilidad, claro.
  • Responsable y encargado de tratamiento son solidariamente responsables frente a terceros.
  • El encargado de tratamiento, tras el RGPD, tiene responsabilidad propia, autónoma, por sus propias acciones.

La Circular ha venido a consolidar todo lo que venía anunciando la Agencia:

Esas empresas tendrán que cumplir con las garantías adecuadas del art 7.7º de la Circular de la Agencia.

Si recopilan y espamean como encargados de tratamiento, tendrán que cumplir, lo de “ofrecer garantías suficientes”, porque lo de suscribir el contrato de encargado de tratamiento es mucho más asequible.

Si “comparten” -como responsables del tratamiento- los datos que previamente tenían recopilados y clasificaditos para enviar mensajes personalizados y teledirigidos (por entendernos, eso que Google ha decidido no hacer en Israel), tendrán que cumplir, en especial, las garantías del art. 7.9º de la misma circular: especial atención a que dichos datos se hayan obtenido y tratado de forma lícita y con una base de legitimación específica para dichos tratamientos.

Las grandes plataformas publicitarias han sido denunciadas ya bajo el RGPD por no contar con base de legitimación adecuada o suficiente para captar y tratar los datos en la forma que lo hacen.

Consentimientos lentejas” o información insuficiente y nada clara en el caso del reciente multazo a Google, por parte de la CNIL en Francia).

El “punto G”

De acuerdo con el 58 bis.1, los partidos políticos pueden tratar datos ideológicos para fines electorales con base en el interés público.

Pero ese “Interés público” no es el que regula el artículo 6.1.e del Reglamento. Aunque lo parezca a la vista de la paupérrima regulación del art 58 bis.

Tendría que ser el interés público esencial del Punto G: del art 9.2.g del Reglamento.

Esto es lo que Elena Gil González y servidora desarrollamos a lo largo de 15 páginas en nuestra propuesta de recurso de inconstitucionalidad, que les resumimos a continuación en cuatro líneas de ná.

Llegamos a acuñar, fíjense ustedes lo que hace el hervor de sangre, un “conceto”: “tratamientos de categoría especial”.

Cómo molamos.

Esos tratamientos de categoría especial requieren condiciones, claro, especiales:

Ese interés público, de acuerdo con el Considerando 56 RGPD tendría que haber sido invocado e identificado (pero no), así como la necesidad que justificase la medida (nop).

Ese interés público, de acuerdo con el 9.2.g) RGPD tendría que haber sido esencial (tampoco). Y el tratamiento, justificado (agua), proporcional (zero). Acompañado de medidas adecuadas y específicas (vuelva usted mañana), reguladas por ley (haha). Respetuoso con la esencia del derecho limitado: el de protección de datos personales.

Así pues, si el 58 bis apela a un interés público que no reúne los requisitos mínimos para legitimar un “tratamiento de categoría especial” realizado sobre “datos de categoría especial”…

Nuestra tesis es que ese interés público… no ampara materialmente los tratamientos formalmente autorizados por el art 58 bis.

Esa parte de la propuesta de recurso fue muy sucintamente incluida en la versión definitiva interpuesta por el Defensor del Pueblo.

Entonces… ese interés público sospechoso, y cuya constitucionalidad está impugnada…  ¿puede ser delegado en terceros por los partidos políticos?

“Interés público delegado el que tengo aquí colgado”

El 58 bis es un precepto aparentemente claro pero cuyos términos son interpretables de muchas maneras. No en vano la AEPD se está dejando el cuello desde el 6 de diciembre pasado tratando de detener la hemorragia con sus notas de prensa, informes y ahora su Circular.

Porque desde el 58 bis hacia adelante, todo son preguntas:

  • ¿Si el partido político contrata a una empresa para que le recopile los datos, la base legítima de la empresa será también el interés público? ¿Sería “interés público delegado”?
  • Si el partido contrata a la empresa, no para que recopile, sino para que espamee a conciencia (o a la conciencia) de los interesados que ya tenga previamente perfilados o clasificados…
    • ¿…La empresa contratada será responsable o será encargada de tratamiento? Esta es la pregunta más graciosa de todas.
    • ¿…La base de legitimación de la empresa (responsable de tratamiento) es el “interés público delegado”?
    • Si la empresa contratada no ha captado como responsable correctamente esos datos ideológicos de sus titulares… ¿el partido será corresponsable al lanzar su propaganda sobre ellos?
    • Si la empresa contratada envía “desinformación”, fake news a sus contactos… ¿es responsable solidaria con el partido político, al cooperar con éste?

Ciertamente, la Circular sí da contestación a muchas de estas preguntas, y pistas para todas ellas.

Lástima que esas respuestas y pistas no vengan dadas en una norma con rango de Ley, elaborada, debatida y aprobada con todas las garantías, como todos nos merecíamos.

Conclusión

Así que, niño, tengamos todos en cuenta lo que podemos y no podemos hacer. Y que en caso de marrón, vendrá mamá Mar España (la directora de la Agencia de Protección de datos) con la zapatilla.

Con la zapatilla nuclear.

Y en este caso concreto, amigos, permítanme que dude que le vaya a doler a ella más que a los sancionados.

De momento, yo que tú, me apuntaría en la Lista Viernes.

De hecho, ya me he apuntado.

Muy buena semana.

Jorge García Herrero

Abogado y Delegado de protección de datos