Principio de consentimiento del afectado y deber de la información (Art. 6 LOPD y Art. 10, 12 a 19 RLOPD)

Regla general

Los datos únicamente podrán ser tratados o cedidos cuando exista el consentimiento del afectado.

Excepciones

Se concretan los supuestos en los que no es necesario el consentimiento del afectado en el tratamiento y en la cesión:

• Cuando una norma con rango de Ley o una norma de derecho comunitario así lo establezca.
• Los datos objeto de tratamiento o cesión consten en fuentes accesibles al público.

Tanto el responsable del tratamiento (cedente) como el cesionario deben tener intereses legítimos.
No será necesario el consentimiento del afectado en el tratamiento

• Cuando los datos se recojan para el ejercicio de las funciones propias de las Administraciones Públicas.
• Cuando se recaben por el responsable del tratamiento con ocasión de la celebración de un contrato o precontrato o de la existencia de una relación negocial, laboral o administrativa de la que sea parte el afectado y sean necesarios para su mantenimiento o cumplimiento.
• Cuando tenga por finalidad un interés vital del afectado.
• Cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado (por ejemplo en la atención médica con carácter de urgencia).

Será posible la cesión sin consentimiento

1. Cuando la cesión responda a la libre y legítima aceptación de una relación jurídica cuyo desarrollo, cumplimiento y control comporte la comunicación de los datos (simplificación).

Sobre la comunicación de datos personales de salud

No será necesario el consentimiento del interesado para la comunicación de datos personales sobre la salud, incluso a través de medios electrónicos, entre organismos, centros y servicios del Sistema Nacional de Salud cuando se realice para la atención sanitaria de las personas, conforme a lo dispuesto en el Capítulo V de la Ley 16/2003, de 28 de mayo, de cohesión y calidad del Sistema Nacional de Salud.

Consentimiento para el tratamiento de los datos y deber de información

Principios generales

• El responsable del tratamiento deberá obtener el consentimiento del interesado para el tratamiento de sus datos.
• La solicitud de consentimiento deberá ir referida a un tratamiento o tratamientos concretos, con delimitación de la finalidad para laque se recaba el dato.
• Cuando se solicite el consentimiento para la cesión, el afectado deberá ser informado de forma que conozca inequívocamente la finalidad a la que se destinarán los datos y el tipo de actividad desarrollada por el cesionario. En caso contrario, el consentimiento será nulo.
• Corresponderá al responsable del tratamiento la prueba de existencia de consentimiento.

Menores de edad

Podrá procederse al tratamiento de los datos de los mayores de 14 años con su consentimiento, con excepción en aquellos casos en los que la Ley exija para su prestación la asistencia de titulares de la patria potestad. En menores de 14 años es exigible el consentimiento de padres o tutores.

Forma de recabar el consentimiento

Excepto en los supuestos en los que la Ley exija consentimiento expreso, el responsable del tratamiento podrá recabar el consentimiento de la siguiente forma:

• El responsable podrá dirigirse al afectado informándole de los aspectos exigidos en la LOPD, y en caso de cesión, de la finalidad de la misma y de la actividad de los cesionarios.
• Deberá concederle 30 días para manifestar su negativa al tratamiento, advirtiéndole que si no se pronuncia a tal efecto, se entenderá que consiente el tratamiento de sus datos de carácter personal.
• Cuando se trate de responsables que presten al afectado un servicio que genere información periódica o reiterada, o facturación periódica, la comunicación podrá llevarse a cabo de forma conjunta a esta información o a la facturación del servicio prestado, siempre que se realice de forma claramente visible.
• En todo caso, será necesario que el responsable pueda conocer si la comunicación ha sido objeto de devolución por cualquier causa, en cuyo caso no podrá proceder al tratamiento de los datos del afectado.
• Deberá facilitarse al interesado un medio sencillo y gratuito para manifestar su negativa al tratamiento de sus datos. Como ejemplo se establece el envío prefranqueado al responsable del tratamiento, la llamada a un número telefónico gratuito o a los servicios de atención al público que el mismo hubiera establecido.
• Cuando se solicite el consentimiento del interesado a través del procedimiento explicado, no será posible solicitarlo de nuevo respecto de los mismos tratamientos y para las mismas finalidades en el plazo de un año a contar desde la fecha de la anterior solicitud.

Solicitud del consentimiento en el marco de una relación contractual para fines no relacionados directamente con la misma

Si durante el proceso de formación de un contrato se solicitase el consentimiento del interesado para finalidades que no guarden relación directa con el mantenimiento, desarrollo o control de la relación contractual, deberá permitir al afectado que manifieste expresamente su negativa al tratamiento o comunicación de datos.

Se entenderá cumplido tal deber cuando se permita al afectado la marcación de una casilla claramente visible y que no se encuentre ya marcada en el documento que se le entregue para la celebración del contrato.

Revocación del consentimiento

• El afectado podrá revocar su consentimiento a través de un medio sencillo, gratuito y que no implique ingreso alguno para el responsable. Como ejemplo se establece el envío prefranqueado al responsable del tratamiento, la llamada a un número telefónico gratuito o a los servicios de atención al público que el mismo hubiera establecido.
• El responsable deberá cesar el tratamiento de los datos en el plazo de 10 días desde la recepción de revocación del consentimiento.
• Si el interesado solicita la confirmación, el responsable deberá responder expresamente a la solicitud.
• En el plazo de 10 días debería comunicarlo a los cesionarios, en su caso.

Acreditación del cumplimiento del deber de información

• El deber de información al que se refiere la LOPD deberá llevarse a cabo a través de un medio que permita acreditar su cumplimiento, debiendo conservarse mientras persista el tratamiento de los datos del afectado.
• El responsable deberá conservar el soporte en el que conste el cumplimiento de dicha obligación. Se podrán utilizar medios informáticos o telemáticos, en particular se permitirá el escaneado de la documentación en soporte papel.

Supuestos especiales: Operaciones Societarias

En caso de modificación de ficheros como consecuencia de operaciones de fusión, escisión, cesión global de activos y pasivos, aportación o transmisión de negocio, o cualquier operación de reestructuración societaria de análoga naturaleza, contemplada por la normativa mercantil, no se entenderá como cesión de datos, sin perjuicio del deber de información por parte del responsable del fichero.