En ocasiones surgen dudas acerca de la aplicación de la legislación de protección de datos a los datos de las personas físicas firmantes de documentos contractuales en su condición de representantes de empresas, a las personas de contacto de empresas y a los empresarios individuales.
En este artículo procuraremos, en la medida de lo posible, solucionarlas.
- Datos de “personas de contacto”
La Agencia de Protección de Datos, en informes como el 0042/2008, el 0078/2008, el 0322/2010, señala, básicamente, que la legislación protectora de datos de carácter personal no extiende su protección a los tratamientos y ficheros de datos de carácter personal de las personas físicas de contacto de las personas jurídicas, esto es, a los datos de carácter personal identificativos de personas físicas que aparecen exclusivamente vinculados a la actividad y en el marco de una determinada organización empresarial.
Así se desprende del artículo 2.2 del Reglamento, que establece:
“Este Reglamento no será aplicable a los tratamientos de datos referidos a personas jurídicas, ni a los ficheros que se limiten a incorporar los datos de las personas físicas que presten sus servicios en aquéllas, consistentes únicamente en su nombre y apellidos, las funciones o puestos desempeñados, así como la dirección postal o electrónica, teléfono y número de fax profesionales.”
La Agencia ha venido señalando que en los supuestos en que el tratamiento del dato de la persona de contacto es meramente incidental en relación con la finalidad del tratamiento, referida realmente a las personas jurídicas en las que el sujeto presta sus servicios, no resulta de aplicación lo dispuesto en la Ley Orgánica 15/1999, viniendo el Reglamento a plasmar este principio.
Para ello, será necesario el cumplimiento de dos requisitos:
- Uno, que aparece expresamente recogido en el Reglamento, consistente en que los datos tratados se limiten efectivamente a los meramente necesarios para identificar al sujeto en la persona jurídica a la que presta sus servicios. Por ello, el Reglamento impone que el tratamiento se limite a los datos de nombre y apellidos, funciones o puestos desempeñados, dirección postal o electrónica, teléfono y número de fax profesionales.
Por ello, cualquier tratamiento que contenga datos adicionales a los citados se encontrará sometido a la Ley Orgánica por exceder de lo meramente imprescindible para identificar al sujeto en cuanto contacto de quien realiza el tratamiento con otra empresa o persona jurídica.
- Y que la inclusión de los datos de la persona de contacto sea meramente accidental o incidental respecto de la verdadera finalidad perseguida por el tratamiento, que ha de residenciarse no en el sujeto, sino en la entidad en la que el mismo desarrolla su actividad o a la que aquél representa en sus relaciones con quienes tratan los datos.
Estos datos deberán referirse exclusivamente al entorno profesional del sujeto y a su actividad en el marco de su integración profesional en una persona jurídica. En ese sentido el tratamiento o inclusión en un fichero de los datos identificativos de una persona física debe ser “accesoria” de la finalidad perseguida por quien pudiera tratar el dato, cual es la de que se pueda identificar al interlocutor en las relaciones comerciales o profesionales que mantenga la empresa en la que dicho interlocutor o representante presta sus servicios
Por ello, la finalidad del tratamiento debe perseguir una relación directa entre quienes traten el dato y la entidad y no entre aquéllos y quien ostente una determinada posición en la empresa. De este modo, el uso del dato debería dirigirse a la persona jurídica, siendo el dato del sujeto únicamente el medio para logar esa finalidad.
Así sucedería en el caso de relaciones “business to business”, de modo que las comunicaciones dirigidas a la empresa sólo incorporen el nombre d ela persona como medio de representar gráficamente el destinatario de la misma. No así si la relación fuera “business to consumer”, es decir, siendo relevante el sujeto cuyo dato se trata como destinatario real de la comunicación, no sólo en cuanto a la posición ocupada en la empresa.
- Datos de firmantes
En su Informe 0322/2010, la Agencia de Protección de Datos responde a una consulta referida específicamente a si es posible el tratamiento del dato personal del documento nacional de identidad DNI de las personas físicas en cuanto actúan y estampan su firma en los documentos contractuales de empresas, ya que aquellas personas físicas representan a estas en las citadas operaciones.
La Agencia considera que el número del DNI no se encuentra incluido (como es obvio) en los datos de carácter personal a que se refiere el artículo 2.2. del Reglamento (datos excluidos) y que tiene el carácter de personal. A la misma conclusión acerca de la naturaleza del dato llega en sus informes 0476/2008 y 0669/2009. Por ello, su tratamiento se ha de sujetar a lo previsto en el artículo 6 de la Ley Orgánica y en el artículo 10 del Reglamento.
Razona entonces la Agencia que de lo anterior se desprende que el tratamiento del dato del DNI, en el seno de la empresa en que presta sus servicios de representación la persona física titular de aquel, requerirá su “consentimiento inequívoco”, salvo que se estuviera en presencia de alguno de los supuestos respecto de los que el artículo 6.2 de la Ley señala que no es precio tal consentimiento.
Y, entre aquellos supuestos se encuentra el relativo a “cuando [los datos] se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa, y sean necesario para su mantenimiento o cumplimiento; […]”
La Agencia estima que tal excepción concurre en este caso, puesto que el tratamiento del número del DNI es necesario para el pleno desenvolvimiento de las relaciones jurídicas entre la persona física y la empresa a la que ha de representar, la cual ha de tener constancia indubitada de quién llevará a cabo su representación; y además es una garantía de identificación para la otra parte contratante respecto de quién efectivamente representará a la empresa con quien vaya a contratar.
En opinión de la Agencia, este dato podrá ser tratado e incorporado a un posible fichero, cuyo responsable sería aquella empresa a la que la persona física titular del DNI preste sus servicios de representación.
Respecto al dato de la firma de los representantes, al que también se refiere la consulta, la Agencia estima que un tratamiento específico de las firmas, como tales, de las personas físicas firmantes-representantes de las empresas, podría admitirse en ciertos casos, en base al principio de calidad y proporcionalidad en el tratamiento de datos de carácter personal. Pero tales casos (que no deben ser la regla general), han de presentar unas características tales que permitan razonablemente concluir que el tratamiento de la firma es necesario, a los fines pretendidos de representar debidamente y con garantías a la persona jurídica. Un tratamiento del dato de la firma, generalizada e incondicionado, se consideraría excesivo e innecesario.
- Datos de empresarios individuales y profesionales
El artículo 2.3 del Reglamento señala que:
“3. Asimismo, los datos relativos a empresarios individuales, cuando hagan referencia a ellos en su calidad de comerciantes, industriales o navieros, también se entenderán excluidos del régimen de aplicación de la protección de datos de carácter personal.”
La Agencia considera (Informes 0078/2008, 0042/2008 que en caso de datos de empresarios individuales habrían de diferenciarse (de acuerdo con lo establecido por la misma Agencia en su Resolución de 27 de febrero de 2001) los siguientes supuestos:
- Profesionales que organizan su actividad bajo la forma de empresa (ostentando, en consecuencia, la condición de comerciante a la que se refieren los artículos primero y siguientes del Código de Comercio) y empresarios individuales que ejercen una actividad comercial y respecto de las cuales sea posible diferenciar su actividad mercantil de su propia actividad privada. Tanto las personas jurídicas como los profesionales y los comerciantes individuales (éstos dos últimos sólo en los estrictos términos señalados anteriormente), quedan fuera de la Ley Orgánica 15/1999.
- Profesionales o comerciantes individuales que no tengan organizada la actividad profesional bajo la forma de persona jurídica. Tanto los profesionales como los comerciantes individuales quedarían bajo el ámbito de aplicación de la Ley Orgánica 15/1999 y amparados por ella cuando los primeros no tuvieran organizada su actividad profesional bajo la forma de empresa, no ostentando, en consecuencia, la condición de comerciante (es el caso de los profesionales liberales) y los segundos cuando no fuera posible diferenciar su actividad mercantil de la propia actividad privada.
En este sentido, el Informe 0451/2009 dice expresamente que “[…] la recogida de los datos personales de profesionales autónomos, siempre que no ejerzan su actividad en forma de empresa, para la inclusión en el directorio a que hace referencia la consulta, constituye un tratamiento de datos personales, plenamente sometido a la Ley Orgánica 15/1999 […]”
La Agencia señala que en los casos a los que se refiere este segundo punto deberán aplicarse siempre las garantías de la Ley Orgánica 15/1999, dada la naturaleza fundamental del derecho a proteger. “Ello exigirá siempre ir analizando caso por caso para hallar en cada supuesto concreto el límite fronterizo donde resulte afectado el derecho fundamental a la protección de datos de los interesados personas físicas, o, por el contrario, aquél que no resulte amenazado por incidir tan solo en la esfera de la actividad comercial o empresarial, teniendo en todo caso presente que, en caso de duda, la solución deberá siempre adoptarse a favor de la protección de los derechos individuales.”
La Agencia menciona también la sentencia del Tribunal Supremo de fecha de 20 de febrero de 2007, en la que se señaló que “[…] Es claro que los Arquitectos y Promotores a que se refiere el litigio participan de la naturaleza de personas físicas y que no dejan de serlo por su condición de profesionales o agentes que intervienen en el mercado de la construcción, por lo que los datos personales relativos a los mismos, quedan amparados y sujetos en cuanto a su tratamiento informatizado a las previsiones de la LORTAD; y es que desde este punto de vista subjetivo la exclusión del ámbito de aplicación de la LORTAD no viene determinado por el carácter profesional o no del afectado o titular de los datos objeto de tratamiento, sino por la naturaleza de persona física o jurídica titular de los datos, en cuanto sólo las personas físicas se consideran titulares de los derechos a que se refiere el artículo 18.4 de la Constitución.”
Además, la Agencia insiste en que existen supuestos especiales que exigen un análisis concreto.
La Agencia se refiere también a su informe de 14 de febrero de 2006, referido al tratamiento de los datos de facturación de las oficinas de farmacia y en el que razonó que el hecho de que el establecimiento mercantil se denomine con el nombre y apellidos del titular no convertirá dicho establecimiento en una persona física. Añade que la legislación mercantil impone en determinados supuestos la obligación de que la denominación social de una determinada persona jurídica se corresponda precisamente con los datos identificativos de los socios que la componen. Asimismo, la legislación reguladora de las marcas y signos distintivos no establece limitación a la posibilidad de que las marcas o los rótulos de los establecimientos mercantiles puedan identificarse por un nombre y apellidos, siempre que se respeten los restantes requisitos exigidos.
Por tanto, existirán supuestos en los que los datos identificativos de una persona física puedan corresponderse con la denominación de una persona jurídica, el rótulo de un establecimiento mercantil o la marca de un determinado producto o servicio o de una gama de los mismos. Sin embargo, ello no alterará el hecho de que dichas denominaciones identificarán a la persona jurídica, al establecimiento o al producto o gama, sin que puedan ser considerados a efectos de lo dispuesto en la ley Orgánica 15/1999 como datos de carácter personal.
Por tanto, los datos referidos a los empresarios individuales y que aparecen exclusivamente ligados a su actividad comercial o mercantil, o que identifican, aún con su nombre y apellidos un determinado establecimiento o la marca de un producto o servicio, como consecuencia de una libre decisión empresarial adoptada en este sentido, no se encuentran sometidos a la protección conferida por la Ley Orgánica 15/1999. La Agencia entiende que este es el criterio recogido en el artículo 2.3 de su Reglamento de desarrollo.
Pero, además, el tratamiento ha de llevarse a cabo en el ámbito empresarial. Es decir, la finalidad perseguida por quien trata el dato ha de ser la de recabar y mantener información sobre la empresa y no sobre el comerciante que la ha constituido.
Por tanto, no podrá considerarse amparado por el artículo 2.3 del Reglamento el tratamiento de los datos del comerciante llevado a cabo no con la finalidad de mantener una relación empresarial con el establecimiento u organización que el mismo hubiera creado, sino para conocer la información del propio sujeto organizado en forma de empresa, siendo el destinatario del tratamiento no la empresa sino el propio empresario en tanto, por ejemplo, que consumidor individual.
En consecuencia, cabe extraer dos conclusiones determinantes del alcance de lo dispuesto en el artículo 2.3 del Reglamento:
– Cabrá considerar que la legislación de protección de datos no es aplicable en los supuestos en los que los datos del comerciante sometidos a tratamiento hacen referencia únicamente al mismo en su condición de comerciante, industrial o naviero; es decir, a su actividad empresarial.
– Además, el uso de los datos deberá quedar limitado a las actividades empresariales; es decir, el sujeto respecto del que pretende llevarse a cabo el tratamiento es la empresa constituida por el comerciante industrial o naviero y no el empresario mismo que la hubiese constituido.
Datos-firmantes-empresarios-y-personas-de-contacto.pdf