..José Lanzas. Abogado.
Comienzan a arribar a nuestras costas los sonidos de las sanciones de la Agencia Española de Protección de Datos (AEPD). Es la encargada de la supervisión del cumplimiento de la normativa relativa a los datos personales, incluido el consentimiento expreso.
Las clínicas y los hospitales no están exentos de cumplir con esta normativa. Su inobservancia puede conllevar tanto un procedimiento sancionador como uno de apercibimiento, e incluso puede concluir con multas económicas de enorme relevancia. De hecho, recientemente, a un hospital se le impusieron 48.000 euros de multa por una infracción del Reglamento Europeo de Protección de Datos (RGPD).
Las clínicas y los hospitales no están exentos de cumplir con el consentimiento expreso
El hospital introdujo en sus formularios de ingreso dos cláusulas que fueron denunciadas ante la AEPD. Al final de estos documentos incluyeron dos casillas, dándole al cliente la opción de marcarlas y así evitar que sus datos personales se transmitieran a terceros y que se le enviara publicidad comercial.
Las cláusulas eran:
- Si no desea que se facilite esta información a terceros, marque esta casilla
- Si no desea autorizar el envío de publicidad, marque esta casilla
La anterior legislación, la Ley Orgánica de Protección de Datos (LOPD), permitía obtener el consentimiento de manera tácita, esto es, mediante la inacción. Sin embargo, desde la entrada en vigor del RGPD, el 25 de mayo de 2018, esta forma de manifestar el consentimiento ha quedado vedada.
Desde mayo de 2018 no es suficiente con el consentimiento tácito
El RGPD mantiene los mismos requisitos que la anterior legislación, a saber, que la manifestación de voluntad sea “libre, específica, informada e inequívoca”. Asimismo, como coda, añade una exigencia más: que sea “mediante una declaración o una clara acción afirmativa”.
El significado de esta inclusión queda aclarado en el preámbulo del RGPD. Éste señala que “el consentimiento debe darse mediante un acto afirmativo claro (…) como una declaración por escrito, inclusive por medios electrónicos, o una declaración verbal (…). Por tanto, el silencio, las casillas ya marcadas o la inacción no deben constituir consentimiento”.
No cabe duda de que los formularios que incluyen este tipo de consentimiento, llamado consentimiento tácito o presunto, quebrantan la normativa de protección de datos. No llevan consentimiento expreso.
La AEPD ha ido imponiendo sanciones de pequeña cuantía para concienciar de la importancia de los datos personales
Conviene entender que la AEPD ha ido apercibiendo e imponiendo sanciones de pequeña cuantía a los operadores económicos con un objetivo: concienciar acerca de la importancia de los datos personales. Aunque 48.000 euros no sea una cantidad desdeñable, las multas por este tipo de infracciones pueden ascender hasta 20.000.000 o al 4% del volumen de negocio total anual global del ejercicio financiero anterior. Por ello, cabe esperar que las cuantías vayan poco a poco in crescendo.
Es cierto que en el día a día podríamos señalar muchos otros casos de incumplimiento. Mas, aunque se trate de una regulación novedosa y por ello su implementación sea progresiva, el riesgo de una sanción similar pende, como la Espada de Damocles, sobre todos aquellos que no atienden estos deberes jurídicos.
Lo más efectivo para evitar este tipo de castigo es contar con el asesoramiento de profesionales especializados en la materia. Elaborarán un cuestionario personalizado mediante el cual podrán detectar las deficiencias más acuciantes de la entidad. Posteriormente realizarán recomendaciones dirigidas a solventar los riesgos existentes y a prevenir la aparición de problemas futuros. La concienciación acerca de la importancia de la protección de datos personales va en aumento. Sin embargo, todavía falta que se destinen los suficientes recursos para cumplir los deberes que impone la normativa.
Estos castigos actúan como señales de aviso para todo aquél que esté sujeto al RGPD. No es nada recomendable hacer oídos sordos a este tipo de advertencias. Si, además, nos encontramos en el sector sanitario, que por su naturaleza maneja datos sensibles, la sanción será la primera de muchas otras.
