Circular 1/2023, de 26 de junio, sobre la aplicación del artículo 66.1.b) de la Ley 11/2022, de 28 de junio, General de Telecomunicaciones.

Artículo 1. Objeto.

1. La presente circular tiene por objeto fijar los criterios a que responderá la actuación de la AEPD en relación con el derecho de los usuarios finales de los servicios de comunicaciones interpersonales disponibles al público basados en la numeración a no recibir llamadas no deseadas con fines de comunicación comercial, independientemente del sector al que pertenezca el responsable, salvo que exista consentimiento previo del propio usuario para recibir este tipo de comunicaciones comerciales o salvo que la comunicación pueda ampararse en otra base de legitimación de las previstas en el artículo 6.1 del Reglamento (UE) 2016/679, de conformidad con lo previsto en el artículo 66.1.b) de la Ley 11/2022, de 28 de junio, General de Telecomunicaciones.

1. No son objeto de la presente circular cualesquiera otros tratamientos de datos personales, distintos a los necesarios para la realización de la llamada con fines de comunicación comercial, que puedan realizarse por el responsable vinculados a la misma finalidad comercial, como puedan ser los relacionados con la obtención de datos de contacto procedentes de terceros, el posible perfilado de los contactos y su segmentación, el enriquecimiento de datos con, entre otros, las respuestas que esté dando el cliente o su posible grabación con estos fines, los cuales requerirán contar con la correspondiente base legitimadora conforme al artículo 6.1. del Reglamento (UE) 2016/679 y cumplir con todos los principios y obligaciones que la normativa sobre protección de datos personales establece.

Tampoco es objeto de la presente circular el derecho de los usuarios a no recibir llamadas automáticas sin intervención humana o mensajes de fax, con fines de comunicación comercial sin haber prestado su consentimiento previo para ello, previsto en el artículo 66.1.a) de la Ley 11/2022, de 28 de junio, General de Telecomunicaciones.

Artículo 2. Consentimiento de los usuarios finales.

El consentimiento de los usuarios finales deberá haber sido prestado de acuerdo con las previsiones del Reglamento (UE) 2016/679 y de la Ley Orgánica 3/2018, de 5 de diciembre.

No podrán realizarse llamadas comerciales a números generados de forma aleatoria sin el consentimiento previo del usuario.

Las llamadas a los usuarios que figuren en las guías de abonados requerirán que hayan prestado su consentimiento específico previo para que sus datos puedan ser usados con fines comerciales, debiendo constar expresamente dicho consentimiento, con carácter general, en las correspondientes guías.

Artículo 3. Interés legítimo del responsable o de terceros.

En virtud de la remisión contenida en el artículo 66.1.b) de la Ley 11/2022, de 28 de junio, a las bases de legitimación del artículo 6.1 del Reglamento (UE) 2016/679, será lícito el tratamiento de los datos personales de los usuarios finales si es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño, de conformidad con la letra f) del citado artículo 6.1 del Reglamento (UE) 2016/679.

El responsable del tratamiento deberá realizar, con carácter previo al inicio del tratamiento y atendiendo a las distintas categorías de afectados, la correspondiente ponderación de los derechos e intereses en conflicto. En caso de ser requerido, el responsable deberá justificar la correspondiente ponderación ante la Agencia Española de Protección de Datos y, en su caso, ante los organismos de supervisión o de resolución de controversias previstos en los códigos de conducta que sean aplicables por razón de la materia.

La AEPD presumirá, salvo prueba en contrario, que el tratamiento es lícito cuando exista una relación contractual previa, siempre que el responsable hubiera obtenido de forma lícita los datos de contacto del destinatario y los empleara para comunicaciones comerciales referentes a productos o servicios de su propia empresa que sean similares a los que inicialmente fueron objeto de contratación con el cliente. Esta presunción no ampara la comunicación de los datos personales a otras entidades pertenecientes al mismo grupo empresarial con fines de comunicación comercial, siendo necesario el consentimiento específico previo del usuario.

La AEPD no presumirá en el marco de esta ponderación, salvo prueba en contrario, la existencia de expectativa razonable de los interesados en aquellos casos en los que no exista relación contractual vigente, solicitud o interacción previa y realizada durante el último año por parte del interesado con el responsable que pretenda realizar la acción comercial, particularmente cuanto este tratamiento suponga una pérdida de control del interesado sobre sus datos.

En todo caso, deberá cumplirse el deber de transparencia, conforme a los artículos 13 y 14 del Reglamento (UE) 2016/679 y facilitarse el ejercicio del derecho de oposición que será mencionado explícitamente al interesado, a más tardar, en la primera comunicación, de acuerdo con el artículo 21.4 del citado reglamento.

Artículo 4. Consulta de los sistemas de exclusión publicitaria.

Deberán consultarse previamente los sistemas de exclusión publicitaria, en los casos y términos previstos en el artículo 23 de la Ley Orgánica 3/2018, de 5 de diciembre.

Artículo 5. Tratamiento de datos de contacto, de empresarios individuales y de profesionales liberales.

Se presumirá lícito el tratamiento de los datos de las personas físicas que presten servicios en una persona jurídica, empresarios individuales y profesionales liberales, en los casos y términos previstos en el artículo 19 de Ley Orgánica 3/2018, de 5 de diciembre.

Artículo 6. Otras garantías adicionales.

Para el adecuado cumplimiento de los principios de lealtad y transparencia, así como del principio de responsabilidad proactiva, contemplados en el artículo 5 del Reglamento (UE) 2016/679, según el criterio de esta Agencia, deberán adoptarse garantías adicionales, entre las que se encuentran las siguientes:

a) Al inicio de cada llamada, informar sobre la identidad del empresario, y si procede, la identidad de la persona por cuenta de la cual se efectúa la llamada, indicar la finalidad comercial de la misma e informar sobre la posibilidad de revocar el consentimiento o ejercer el derecho de oposición a recibir llamadas comerciales no deseadas.

b) Cualquier manifestación inequívoca del usuario contraria a la recepción de dichas llamadas deberá entenderse como revocación del consentimiento o, en su caso, ejercicio del derecho de oposición, debiendo atenderse inmediatamente.

c) La grabación de la llamada como medio de demostrar el cumplimiento de la normativa sobre protección de datos personales.

Disposición final. Entrada en vigor.

La presente circular entrará en vigor el día siguiente al de su publicación en el «Boletín Oficial del Estado».

Madrid, 26 de junio de 2023.–La Directora de la Agencia Española de Protección de Datos, Mar España Martí.