Consentimientos de protección de datos firmados en el móvil

Fichas de clientes, autorizaciones para usar fotos, altas de trabajadores, permisos para enviar comunicaciones comerciales: casi todas las empresas tienen algún documento de protección de datos que hay que entregar o firmar. Muchas siguen haciéndolo en papel, y luego no encuentran el papel cuando lo necesitan. Firmarlos en el móvil es más cómodo, pero antes conviene tener claro qué documentos necesitan de verdad un consentimiento y qué tiene que cumplir para ser válido.

No todo necesita consentimiento

El primer error es pedir consentimiento para todo. El Reglamento (UE) 2016/679 (RGPD) prevé varias bases legales para tratar datos personales en su artículo 6, y el consentimiento es solo una de ellas. Por ejemplo:

• Los datos que necesitas para gestionar un contrato de trabajo o un pedido se tratan porque son necesarios para ejecutar ese contrato.
• Los que tienes que conservar o comunicar porque lo manda una ley (fiscales, laborales) se tratan por obligación legal.
• El consentimiento tiene sentido para lo que no es necesario: enviar publicidad, publicar la foto de una persona, usar sus datos para una finalidad distinta.

En esos casos de base distinta al consentimiento, lo que sí debes hacer siempre es informar (artículo 13 del RGPD). Y entregar esa información con acuse de lectura o con firma también es útil, aunque no sea un consentimiento.

Ojo en el ámbito laboral: entre empresa y trabajador hay una relación de dependencia, y es difícil sostener que un consentimiento sea libre si la persona teme consecuencias por negarse. Por eso, para los datos necesarios de la relación laboral, la base no suele ser el consentimiento.

Qué tiene que cumplir un consentimiento válido

El artículo 4.11 del RGPD, recogido en el artículo 6.1 de la Ley Orgánica 3/2018 (LOPDGDD), define el consentimiento como una manifestación de voluntad libre, específica, informada e inequívoca, dada mediante una declaración o una clara acción afirmativa. En la práctica:

• Libre: la persona puede decir que no sin perder el servicio. El artículo 6.3 de la LOPDGDD prohíbe condicionar el contrato a que se consienta un tratamiento que no tenga relación con él.
• Específico: si hay varias finalidades, debe constar que se consiente cada una (artículo 6.2 de la LOPDGDD). Una casilla por finalidad, no una para todo.
• Informado: la persona sabe quién trata sus datos, para qué y cómo ejercer sus derechos.
• Inequívoco: hace falta una acción clara. Las casillas premarcadas o el silencio no valen.

El artículo 7 del RGPD añade tres reglas prácticas: el responsable debe poder demostrar que se dio el consentimiento; si va en un documento que trata otros asuntos, debe distinguirse claramente; y retirarlo tiene que ser tan fácil como darlo.

Menores y datos especialmente protegidos

• Menores: según el artículo 7 de la LOPDGDD, el consentimiento solo vale si la persona es mayor de catorce años; por debajo de esa edad, debe constar el de quien ejerce la patria potestad o la tutela.
• Categorías especiales (salud, origen étnico, religión, afiliación sindical, entre otras): el artículo 9 del RGPD exige un consentimiento explícito cuando esa es la base. Y el artículo 9 de la LOPDGDD añade que el solo consentimiento no basta para tratar datos cuya finalidad principal sea identificar la ideología, afiliación sindical, religión, orientación sexual, creencias u origen racial o étnico.

Si tu caso entra en alguno de estos supuestos, revisa el documento con quien te asesore en protección de datos antes de enviarlo.

Por qué firmarlo ayuda a demostrarlo

La obligación de poder demostrar el consentimiento es la clave. Un papel firmado en un cajón lo demuestra si lo encuentras. Un documento firmado electrónicamente lo demuestra con más datos: qué texto exacto se aceptó, quién lo aceptó y cuándo. Según el artículo 25.1 del Reglamento (UE) 910/2014 (eIDAS), esa firma no pierde valor como prueba por ser electrónica.

Cómo montar el documento de consentimiento

1. Información básica arriba: responsable, finalidad y derechos. El artículo 11 de la LOPDGDD permite dar esa información básica y remitir a un enlace o medio con el resto.
2. Una opción por finalidad, separadas y sin marcar de antemano.
3. Cómo retirar el consentimiento, dicho con claridad.
4. Datos de la persona y, si es menor de catorce años, de quien ejerce la patria potestad o la tutela.
5. Firma al final del documento, con su fecha.
6. Copia para la persona y archivo del firmado junto a su ficha.

Errores frecuentes

• Meter el consentimiento para publicidad dentro de las condiciones del contrato, sin poder separarlo.
• Usar el mismo documento para todas las finalidades, con una sola firma.
• No guardar qué versión del texto firmó cada persona cuando el texto cambia.
• No tener previsto cómo se retira el consentimiento ni anotar las retiradas.
• Pedir consentimiento para lo que ya se trata por contrato u obligación legal, lo que crea confusión si luego la persona lo retira.

Firmar consentimientos y documentos de datos con InfoSign

InfoSign permite enviar a firmar cualquier documento de tu empresa, también los de protección de datos, desde tu programa de gestión. La persona lo lee y lo firma en el móvil, la tableta o el ordenador sin instalar nada, con tu logotipo y tu imagen corporativa, y puedes añadir la verificación OTP por SMS. Si solo necesitas acreditar que has entregado una información, puedes enviarla como notificación certificada con acuse de recibo.

Cada documento firmado llega con su documento de evidencias (huella del documento, fecha y hora de cada paso, identificación del firmante), que es justo lo que pide el deber de poder demostrar el consentimiento. Más en firma electrónica de documentos y en notificaciones certificadas.