Métodos inadecuados para permitir a los interesados el ejercicio de los derechos recogidos en el RGPD

El Garante también recibió numerosas reclamaciones contra WindTre por no atender los derechos de los interesados, ni siquiera cuando estos fueron ejercidos de forma reiterada. Especialmente el derecho de oposición al tratamiento y el derecho de supresión.

Según la resolución, WindTre no atendió estos derechos por las siguientes razones:


Primera razón: las solicitudes se enviaron a una dirección postal que no era la adecuada para gestionar este tipo de solicitudes.

Esto ocasionó que las solicitudes no fueran atendidas por personal especializado en materia de protección de datos personales.

El Garante investigó la página web de la Compañía de la marca Wind, y encontró que para el ejercicio de los derechos del RGPD, solo se ponía a disposición de los interesados una dirección postal, o llamar al servicio de atención al cliente.

En relación con la investigación de la página web de la marca Tre, se detectaron dos direcciones postales distintas, sin aclarar cuál era la correcta. También se proporcionó una dirección de correo electrónico, y por último se invitó a los interesados a llamar al servicio de atención al cliente de la compañía.

Tras la investigación de ambas páginas web, el Garante concluyó que, dada la tecnología actualmente disponible, el ofrecer una dirección postal para la presentación de solicitudes resulta insuficiente. Además, se obliga a los interesados a enviar una carta o carta certificada incurriendo en gastos innecesarios, lo cual contravendría lo dispuesto en el art. 7.3 del RGPD que establece que será tan fácil retirar el consentimiento como darlo.

La alternativa del contacto telefónico con el número del servicio de atención al cliente no satisfizo las necesidades de los interesados que querían acreditar la presentación de una solicitud, y los trabajadores en el servicio de atención al cliente carecían de formación en materia de protección de datos.

Por último, numerosos reclamantes indicaron la falta de respuesta a las solicitudes enviadas a las direcciones de e-mail.

Todo lo anterior contravendría lo dispuesto en el artículo 12.2 del RGPD, que establece que el responsable del tratamiento facilitará el ejercicio de los derechos del interesado.


Segunda razón: para ejercer sus derechos, se requirió a los interesados que adjuntaran un documento identificativo.

WindTre declaró que no respondió con prontitud a las solicitudes de los interesados por no estar acompañadas de un documento de identidad.

En el marco normativo vigente, la identificación del interesado que ejerce sus derechos se configura como un requisito previo necesario para la correcta respuesta de las solicitudes, evitando perjuicios a los interesados, como por ejemplo el acceso de terceros no autorizados a su información.

El artículo 12.6 del RGPD permite al responsable del tratamiento solicitar información adicional que sea necesaria para confirmar la identidad del interesado si se tiene dudas razonables sobre la identidad de la persona que presenta la solicitud.

El considerando 64 sugiere la adopción de medidas razonables para verificar la identidad del solicitante, para evitar el uso de requisitos desproporcionados que puedan desalentar el ejercicio de los derechos recogidos en el RGPD, y para evitar la recepción y conservación de datos personales innecesarios.

Según la resolución “Las medidas para la identificación del interesado, por lo tanto, deben guiarse por el cumplimiento de los principios de proporcionalidad, necesidad y adecuación”.

Para valorar la necesidad en el caso que nos ocupa, resulta necesario entender que el riesgo asociado a la revocación del consentimiento con fines comerciales es diferente al riesgo del ejercicio de otros derechos reconocidos por el RGPD. Es decir: las escasas consecuencias que la revocación del consentimiento con fines comerciales pudiera tener en el ámbito jurídico del interesado, distan mucho de las consecuencias, mucho más perjudiciales, derivadas del ejercicio de otros derechos (ej. Derecho de acceso) por un tercero usurpando la identidad del interesado.

Además, parece razonable asumir que una solicitud de revocación de consentimiento u oposición a actividades de marketing solo sería realizada por el interesado real, dado que sería extraño que terceros pudieran tener un interés en este sentido.

Las medidas también deben ser adecuadas para limitar la adquisición y almacenamiento de datos innecesarios. Especialmente en el caso de sujetos que, aunque no son clientes de WindTre, han sido contactados a través de alguna actividad publicitaria de esta. Exigir a estas personas que ni siquiera son clientes de WindTre el envío de una copia de su documento de identidad para el ejercicio de su derecho de oposición al tratamiento de datos para fines comerciales resulta inadecuado y desproporcionado.

En resumen, las medidas de identificación exigidas por WindTre podrían considerarse innecesarias, inadecuadas y desproporcionadas.


Tercera razón: por “errores o problemas en la recepción de papel o correo electrónico”.

En varios casos más, WindTre justificó la falta de respuesta a las solicitudes enviadas por los interesados como consecuencia de la pérdida de la correspondencia, o que esta no llegó a los destinatarios correctos debido a errores en la recepción de las solicitudes.


Infracciones:

El Garante concluye que los procedimientos implementados por WindTre para la gestión de solicitudes de los interesados han complicado innecesariamente la retirada del consentimiento u oposición al tratamiento con fines promocionales y, en muchos casos, anulado por completo sus efectos.

En consecuencia, WindTre infringió los artículos 24 y 25 del RGPD con motivo de la falta de medidas técnicas y organizativas adecuadas para permitir a los interesados el ejercicio de sus derechos.

Vuelve al post principal aquí.

Ir al TOP