RGPD y base jurídica: Entender todo sobre la ejecución de un contrato
Según el RGPD, la ejecución de un contrato o de medidas precontractuales puede servir como base jurídica para el tratamiento de datos personales. Sin embargo, existen varias condiciones que deben cumplirse para aplicar esta base legal al tratamiento.
Así que siéntate cómodamente con el té y te lo explicaremos todo en 5 minutos! ☕
Respuesta a la encuesta: En el marco de una compra online, ¿pedir la dirección postal del cliente demuestra la ejecución del contrato de compraventa? "
Para introducir el tema, el 22 de marzo te ofrecimos una encuesta en nuestra página de LinkedIn, preguntándote si pedir la dirección postal del cliente en el contexto de una compra demuestra la ejecución de un contrato de compraventa.
¡bien hecho! De 95 votantes, el 74% respondió "No". En efecto, para ejecutar un contrato de compraventa, el vendedor puede solicitar más información al comprador, si ésta es necesaria para la ejecución del contrato.
Las 6 bases jurídicas previstas por el RGPD
La ejecución de un contrato o de medidas precontractuales es una de las 6 bases jurídicas previstas en el artículo 6 del RGPD:
- El consentimiento, del que hablamos la semana pasada,
- El contrato que estamos discutiendo hoy,
- Obligación legal,
- La misión de interés público,
- Salvaguardar intereses vitales,
- Interés legítimo.
Elegir su base legal es obligatorio para que el tratamiento sea lícito. Esto también determina los derechos que los interesados podrán hacer uso para el tratamiento en cuestión. Los derechos no serán los mismos dependiendo de la base elegida. Para obtener más información, consulte nuestros artículos anteriores y síganos en LinkedIn para recibir notificaciones tan pronto como se publiquen nuestros próximos artículos! 👩💻
La base jurídica del “contrato”: ¿qué es?
El procesamiento puede basarse en un contrato. Sin embargo, debe ser objetivamente necesario para el cumplimiento de la obligación contractual. Esta base jurídica se aplica cuando el tratamiento de datos es esencial para la ejecución de un contrato entre el interesado y el responsable del tratamiento.
Para entender mejor lo que esto significa, tomemos un ejemplo. Un profesional vende pares de gafas en su página web. Al vender un par, el comprador y el vendedor están sujetos a un contrato de compraventa. A cambio del pago al comprador, el vendedor deberá entregar el par de gafas. Para ello, necesita al menos su nombre y apellido, dirección postal e información bancaria para realizar el pago online. Por otra parte, recoger el sexo, la situación familiar y la nacionalidad de la persona no parece necesario para expedir el par de gafas.
Por tanto, el vendedor recoge los datos necesarios para cumplir con su obligación de entregar la mercancía a la persona. La base jurídica para su tramitación será entonces la ejecución del contrato celebrado con su cliente. La recogida de los datos estrictamente necesarios para el tratamiento permite cumplir la obligación de minimización. Para entender todo sobre este principio, encuentre nuestro artículo.
¿En qué casos puede la ejecución de un contrato servir de base jurídica?
En resumen, el cumplimiento de obligaciones contractuales o precontractuales puede ser la base legal para el tratamiento si:
- Existe una relación contractual o precontractual entre el responsable del tratamiento y el interesado.
- El responsable del tratamiento deberá acreditar que mantiene una relación de esta naturaleza con el interesado. Esta base jurídica puede elegirse independientemente de que el contrato exista o no todavía. En el caso de que la tramitación se base en medidas precontractuales, no es obligatorio que el contrato se celebre definitivamente.
- Para ilustrarlo, tomemos ahora el ejemplo del tratamiento necesario para la ejecución de medidas precontractuales. Este es el caso cuando la persona quiere comprobar si el vendedor de gafas puede entregar la mercancía en su domicilio. El tratamiento de estos datos por parte del responsable del tratamiento podrá seguir basándose en la ejecución de medidas precontractuales. En este caso, el responsable del tratamiento prevé la celebración del contrato, pero aún puede elegir esta base jurídica.
- El contrato es legal según la ley aplicable. Para ser lícito, el contrato debe cumplir los requisitos del derecho francés. En términos generales, se aplica el derecho contractual. Para determinados contratos se deben respetar restricciones específicas. Este es el caso, por ejemplo, cuando el contrato se celebra con un consumidor, se aplica entonces el derecho del consumidor.
- El tratamiento es necesario para la ejecución del contrato o medidas precontractuales. El tratamiento que se realice sólo deberá utilizarse para la ejecución del contrato. Es decir, no puede servir para ningún otro fin que el de proporcionar el bien o servicio al interesado. Por ejemplo, la recopilación de datos para enviar el par de gafas no se puede utilizar para enviar un boletín informativo. En este caso, el responsable del tratamiento realiza un nuevo tratamiento que no puede basarse en la base jurídica del contrato. Esto está en línea con el principio de limitación de finalidades, ¡consulta nuestro artículo sobre el tema para saber más!
- Por otra parte, el responsable del tratamiento debe tener en cuenta las expectativas razonables de su cocontratista. El responsable del tratamiento garantiza, antes de ejecutar el tratamiento, que éste es el único medio posible para ejecutar el contrato.
¿Cuáles son las consecuencias de elegir esta base jurídica?
Consecuencias al final del contrato
Tan pronto como finalice el contrato, incluso en caso de rescisión contractual, deberá cesar el tratamiento de datos. Sin embargo, este principio sigue acompañado de una excepción para las operaciones de tratamiento indisolublemente ligadas a la ejecución del contrato.
Volviendo al ejemplo del vendedor de gafas, una vez que el comprador ha recibido su par, en principio sus datos deben eliminarse. Pero si la persona solicita la aplicación de la garantía legal de conformidad, el vendedor deberá necesariamente tratar los datos de la persona para responder a su solicitud. En este caso, dado que este nuevo tratamiento está directamente relacionado con la ejecución del contrato, se aplica la misma base jurídica.
Consecuencias para las partes del contrato
Para el responsable del tratamiento de datos, la elección de esta base jurídica implica que el tratamiento está sujeto al mecanismo de cooperación de ventanilla única. Pero esto sólo afecta a las empresas que realizan tratamientos transfronterizos. Es decir, el tratamiento se realiza:
- Ya sea por una empresa presente en varios estados de la Unión Europea,
- Ya sea por una empresa establecida en un único Estado que trate los datos de personas presentes en otros Estados miembros.
En este caso se identifica una autoridad “líder”. La que se deberá elegir es la del país miembro en el que esté establecida la sede social de la empresa. Para obtener más información sobre el mecanismo del mercado único, puede consultar el sitio web de la CNIL.
Respecto de las personas interesadas, sus derechos se ven afectados por la elección de la base jurídica del contrato. No podrán oponerse al procesamiento. Por otra parte, podrán ejercer su derecho a la portabilidad. Próximamente publicaremos una nueva serie de artículos sobre los derechos de las personas.
Data Comply One (anteriormente Mission RGPD) y la base legal del "contrato"
¿Tiene problemas para saber qué base legal elegir? ¿No tienes el tiempo que necesitas dedicar a gestionar tu cumplimiento?
✅ Con Data Comply One (anteriormente Mission RGPD) no te asustes, en nuestros modelos de procesamiento te ofrecemos una base legal aplicable.
Además, en cada una de las hojas de tramitación, para respetar el principio de rendición de cuentas, se puede adjuntar el modelo de contrato de que se trate.
¡De esta manera centralizas todos los documentos necesarios en un solo lugar!
