Tratamiento de datos personales de empresarios autónomos: legitimación e información

La Agencia Española de Protección de Datos ha emitido varias resoluciones en las que aborda el tratamiento y la comunicación de datos personales de empresarios autónomos por parte de diversas entidades. Como consecuencia de las mismas, se ordena lo siguiente:

•  El cese en la comunicación de datos personales de empresarios individuales por parte de Cámara de España a la empresa Camerdata. 
• Camerdata debe cesar en el tratamiento de todos los datos personales relativos a empresarios individuales que tengan su origen en la cesión por parte de Cámara de España y suprimir los mismos. Además, ordena el fin de la comunicación que Camerdata realiza a las empresas infomediarias Informa, Iberinform Internacional y Datacentric.
• Informa, Iberinform Internacional y Datacentric deben finalizar el tratamiento de estos datos personales de empresarios autónomos hasta que cuenten con una base de legitimación de las contempladas en el art. 6.1 del RGPD, y suprimir dichos datos personales. 

A continuación se recogen los elementos jurídicos más relevantes de las resoluciones, que pueden ser recurridas en vía administrativa presentando un recurso de reposición ante la propia Agencia o directamente ante la Audiencia Nacional.

• Finalidad institucional del censo cameral, no comercial. El censo público de empresas tiene como único fin legal servir a las funciones institucionales de las Cámaras de Comercio, como órganos públicos representativos y de promoción empresarial, y conformar el censo electoral cameral. No ha sido diseñado como fuente de publicidad económica ni como base de datos abierta para otros usos.
• Ausencia de un marco normativo habilitante para la reutilización de la información. A diferencia de otros países de la UE, no existe en el ordenamiento jurídico español un marco normativo que disponga de forma abierta, y con respaldo legal expreso, el tratamiento de los datos personales de empresarios individuales, con garantías adecuadas para los fines con los que se estaban utilizando. La ausencia de un establecimiento de marco normativo por parte del legislador impide presumir la licitud de tratamientos generalizados de esta naturaleza, por muy extendidos que estén en la práctica empresarial.
• Necesidad de una reforma legal si se quiere ampliar el uso del censo. El texto de las resoluciones apunta que una intervención legislativa podría abrir el censo a finalidades más amplias, permitiendo, con garantías adecuadas, su uso para fines legítimos que hoy quedan excluidos por el marco jurídico vigente.
• Interés legítimo. Las resoluciones distinguen entre el interés legítimo cuando está recogido en una ley y cuando no lo está. En el caso de la finalidad posterior, como se ha mencionado, no lo está, y no se ha realizado una evaluación individualizada y restrictiva, documentando adecuadamente la necesidad, idoneidad y proporcionalidad del tratamiento, y ponderando con rigor los intereses del responsable frente a los derechos y libertades de las personas. En el presente caso, no se superaría la prueba de ponderación ni el tratamiento sería compatible con el espíritu, la letra y los objetivos de la norma sectorial que ampara la recogida inicial de los datos.
• Prohibición de uso. Las resoluciones rechazan que los datos personales de empresarios autónomos del censo puedan utilizarse para estructurar productos de información empresarial por parte de terceros. Tales finalidades no están previstas por el legislador, aunque puedan responder a una demanda del mercado.
• Acceso restringido y confidencialidad reforzada. La regulación impone límites estrictos de acceso y uso interno, lo que refuerza la idea de que no se trata de una base de datos disponible para el público o para finalidades diversas, por lo que los tratamientos realizados no se han considerado respetuosos con la normativa.
• Desconexión del artículo 19 LOPDGDD respecto al censo. Aunque el artículo 19 LOPDGDD permite, bajo condiciones, el tratamiento de datos profesionales, esto no legitima el uso del censo cameral con fines distintos a los previstos legalmente. Cualquier tratamiento con otra finalidad deberá encontrar su base legal fuera de esta figura.
• Inexistencia de expectativa razonable. Los empresarios individuales no podían prever razonablemente que sus datos, recogidos con fines institucionales, acabarían siendo tratados con fines comerciales por terceros.
• Aplicación plena del RGPD y la LOPDGDD. Incluso para los tratamientos que se ajusten a la finalidad legal del censo, deben observarse todas las obligaciones del RGPD, incluyendo los principios de minimización, transparencia, limitación de la finalidad y responsabilidad proactiva.

Las resoluciones íntegras a las que hace referencia este texto se publicarán cuando sean firmes en vía administrativa en su correspondiente sección