El pasado mes de marzo, la Autoridad Holandesa de Protección de Datos (AP) anunció la imposición de una multa de 525.000 euros a la Real Asociación Holandesa de Tenis sobre Césped (“KNLTB”) por la venta ilícita de datos personales de sus socios a dos de sus patrocinadores para fines comerciales.

Hechos:

A principios del 2018, la KNLTB anunció en su boletín y página web que había proporcionado datos personales de sus socios a patrocinadores para que estos les enviaran ofertas promocionales.

Durante el verano de 2018, la AP recibió varias quejas de socios de la KNLTB sobre llamadas de telemarketing y correos promocionales recibidos sin su consentimiento. Dicha actuación por parte de KNLTB fue además captada por los medios de comunicación.

En consecuencia, la AP inició una investigación en octubre de 2018 sobre el tratamiento de datos personales realizado por la KNLTB.

Durante la investigación se determinó que:

• El 11 de junio de 2018, la KNLTB vendió al primer patrocinador un archivo con los nombres, apellidos y direcciones de correo de 50.000 de sus socios. Dicha información fue utilizada por el patrocinador para remitir a los socios correo promocional.

• El 29 de junio de 2018, la KNLTB vendió al segundo patrocinador un archivo con los datos personales de 314,846 de sus socios, que incluían nombres, apellidos, direcciones, fechas de nacimiento, números de teléfono fijo y móvil, y direcciones de correo electrónico. Estos datos se utilizaron para llamadas de telemarketing.

Infracción:

En base a los hechos, la AP concluyó que la KNLTB infringió los siguientes artículos del RGPD:

• Artículo 5.1.b) “Principio de limitación de la finalidad”: La finalidad original de la recopilación de datos personales por parte de KNLTB de sus socios era la inscripción de estos en la asociación. Una finalidad incompatible con la venta de dichos datos a promotores para su uso comercial.

• Artículo 5.1.a) y 6.1: Todo tratamiento de datos requiere una base legal para ello. KNLTB argumentó que la base legal para la venta de los datos personales era su interés legítimo. Sin embargo, la AP rechazó esta argumentación, y resolvió que KNLTB carecía de una base legal para vender los datos personales de sus socios a patrocinadores para fines comerciales. Es decir: realizó un tratamiento ilícito de datos personales al venderlos.

Conclusión:

El considerando 47 del RGPD reconoce cierto margen de maniobra a las empresas que desean realizar un tratamiento de datos personales para fines comerciales, estando en teoría amparados por la base legal del interés legítimo (art. 6.1.f).

No obstante, la presente resolución ilustra cómo las empresas deben tener más cautela a la hora de utilizar la base legal del interés legítimo para el tratamiento de datos personales, pues existen ciertos límites. Por ejemplo: la venta de datos personales a otra empresa para fines comerciales.

Dado que la KNLTB no ocultó su actividad de venta de los datos personales en ningún momento, parece razonable asumir que su actuación estaba basada en una grave ignorancia de la normativa de protección de datos y sus riesgos de incumplimiento, o en un pésimo asesoramiento. Cualquiera de estas razones es preocupante para una asociación que, según su página web, trata los datos personales de más de medio millón de socios.

Es imposible determinar si la captación de la noticia del incumplimiento de la KNLTB por los medios de comunicación holandeses fue un factor que influyó en el inicio de la investigación de lo sucedido por parte de la AP.

Si deseas estar informado de las sanciones más relevantes por infracción del RGPD, tanto en España como en Europa, por favor no dudes en suscribirte a nuestro blog.