KNOW. Novedades Jurídicas y Fiscales nº79 - Junio 2019

© 2019 KPMG Abogados S.L.P. sociedad española de responsabilidad limitada profesional y firma miembro de la red KPMG de firmas independientes afiliadas a KPMG International Cooperative (“KPMG International”), sociedad suiza. Todos los derechos reservados. 7 Nº 79 - Junio 2019 Teniendo en cuenta lo anterior, a la hora de determinar la base o bases legitimadoras en las que pudiera ampararse el tratamiento de datos que se produce cuando se aplican técnicas de web scraping , nuestra capacidad de elección será limitada y se circunscribirá, a nuestro juicio, a: (a) si estamos ante un tratamiento necesario para el cumplimiento de una misión de interés público o (b) si cabe argumentar la existencia de un interés legítimo por parte del responsable del tratamiento o de un tercero. A nuestros ojos, el resto de bases legitimadoras del tratamiento, bien no serían de aplicación, bien no serían opciones viables en la práctica (como sucedería si tratásemos de ampararnos en el consentimiento de los interesados). Antes de profundizar en el análisis de la primera de ambas opciones, realizaremos dos consideraciones previas: La primera es que, cuando la finalidad principal del tratamiento sea comercial (es decir, obtener un rendimiento económico a cambio del resultado del rastreo), estaremos normalmente ante un tratamiento incompatible con el cumplimiento de una misión de interés público (léase la que, por ejemplo, llevaría a cabo una asociación pro-vida o una asociación que defienda los derechos de los consumidores). Decimos normalmente, ya que es posible tener afán comercial y cumplir una misión de interés público en ciertos supuestos: por ejemplo, cuando se actúa en el marco de una concesión pública (aunque, en la práctica, las obligaciones derivadas de un contrato de concesión pública difícilmente desembocarán en la necesidad de emplear técnicas de web scraping ). La segunda es que la Agencia Española de Protección de Datos ha sido, históricamente, especialmente beligerante a la hora de perseguir a quienes recaban y tratan datos personales de fuentes de acceso público sin haber informado previamente/ contar con el consentimiento de los interesados. Sentadas estas bases, conviene recordar que, para que un tratamiento sea “necesario” para dar cumplimiento a una misión de interés público debe, en primer lugar, tratarse de una misión de interés público establecida por ley (Considerando 45 del RGPD). Esto implica que, sólo en los supuestos en que una autoridad u organismo público tuviera encomendada la vigilancia de la red (o existiese una habilitación legal para el sector privado al efecto) y sólo cuando dicha autoridad u organismo público, en el ejercicio de esa función pública establecida por la ley, contratase a un prestador de servicios para llevar a cabo ese tipo de control, podríamos valorar si cabría amparar estos tratamientos de datos personales en esta base legitimadora. Por otra parte, si considerar este tipo de tratamientos como “necesarios” para el cumplimiento de una misión de interés público quebraría, prima facie , el principio de legalidad, un tanto de lo mismo sucedería si se pretendiera su amparo en el interés legítimo del responsable o, incluso, de un potencial cliente al que posteriormente se le ofreciera acceso a esa información. Sin olvidarnos de lo dispuesto en el Considerando 50 (7) , que se nos antoja un límite difícil de soslayar en este caso, que establece que para que un tratamiento (cualquiera que sea) pueda fundamentarse en el interés legítimo del responsable del tratamiento o en el de un tercero (por ejemplo, en un escenario de posterior cesión de los datos a ese tercero), es preciso que dicho interés legítimo prevalezca sobre los derechos y libertades del interesado. De este modo, tanto si estamos ante un tratamiento de datos que responde al ejercicio de un derecho fundamental (esto sucede por ejemplo, en los casos en que la tensión se produce entre el derecho a la protección de datos y el derecho a la tutela judicial efectiva o el derecho de información) como si, de no ser éste el caso, el beneficio (potencial) que pudiera derivarse del tratamiento supera la transgresión de la privacidad de los interesados y resulta una medida proporcionada, será un ejercicio que habremos de realizar casa por caso. ------------------------------------------------------------------------------ (5) Que exista: a) consentimiento del interesado; b) una relación contractual o precontractual con el interesado; c) la necesidad de llevar a cabo el tratamiento para el cumplimiento de una obligación legal; d) la necesidad de llevar a cabo el tratamiento para proteger los intereses vitales del interesado o de otra persona física; e) la necesidad de llevar a cabo el tratamiento para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento; o f) la necesidad de llevar a cabo el tratamiento para la satisfacción de intereses legítimos del responsable del tratamiento o de un tercero, siempre que no prevalezcan sobre ellos los derechos y libertades fundamentales del interesado. (6) Tribunal Supremo, Sala Tercera, de lo Contencioso-administrativo, Sección 7ª, Sentencia de 8 de junio de 2015, Rec. 1651/2013 [LA LEY 89597/2015]. Excepcionalmente, en relación con especiales categorías de datos, y sólo cuando se hubieran hecho “manifiestamente públicos”, es decir, si el interesado hubiese llevado a cabo actos dirigidos expresamente a darlos a conocer al público en general, será posible rebajar las especiales condiciones de legitimidad aplicables al tratamiento de este tipo de datos más sensibles para colocarlos al mismo nivel que los datos personales ordinarios (Vid. art. 9.2 e) del RGPD), pero como para cualquier otro tipo de dato personal, seguirá siendo preciso que el tratamiento encuentre amparo en alguna de las bases legitimadoras mencionadas. (7) El Considerando 50 del RGPD señala que: “El tratamiento de datos personales con fines distintos de aquellos para los que hayan sido recogidos inicialmente solo debe permitirse cuando sea compatible con los fines de su recogida inicial” , lo que se nos antoja un nuevo límite difícil de soslayar. .