Hoy quiero mostrar un par de Resoluciones de la AEPD sobre las que he tenido conocimiento y tienen como tema en común el uso de WhatsApp.
La primera de ellas es la Resolución E/01824/201 en el que se admitía como tratamiento de datos lícito (y por tanto no hubo vulneración de la normativa) la comunicación con una persona a través de WhatsApp, aun sin tener la autorización expresa de esta persona, ya que el dato de teléfono es necesario para la ejecución de un contrato en el que el interesado era parte. Por decirlo de alguna manera, la AEPD ha equiparado mensaje enviado a través de SMS y mensaje enviado a través de WhatsApp como una situación de naturaleza análoga.
La segunda, se trata de una Resolución de finales del año pasado (la Resolución E/09288/2018) , en la que se consideraba que el envío por WhatsApp de un mensaje solicitando dinero para una nueva marca, sin contar con el consentimiento del receptor es considerada » una simple prospección empresarial de cortesía, en aras de una posible colaboración «. En este punto parece que el envío de mensajes «publicitarios» por WhatsApp, no tienen la consideración de comunicación comercial y, por tanto, los requisitos del artículo 21 de la LSSI no deberán ser tenidos en cuenta.
Me han llamado la atención estas dos Resoluciones, porque parece que ha habido un cambio de criterio en la AEPD sobre el uso de WhatsApp. Me viene a la mente la Resolución R/03041/2017 (con la anterior normativa) en la que se declaraba que un Ayuntamiento había infringido la normativa de protección de datos, ya que debería haber contado no sólo con el consentimiento previo e inequívoco de los titulares afectados para incluir sus datos de carácter personal en grupos de WhatsApp, sino también que dicho uso de datos personales deberían haber respondido a finalidades concretas para las cuales se obtuvieron y autorizadas su tratamiento por sus titulares.
Si, ciertamente esta Resolución, con el RGPD y su considerando 43 en el que se considera que el consentimiento otorgado ante autoridades públicas no se considera válido, tiene actualmente un difícil encaje.
En definitiva, como bien dice la AEPD en el apartado de Informe jurídicos, igual lo que ha ocurrido es que «Los criterios seguidos pueden haberse vistos afectados por la aplicación del Reglamento General de Protección de Datos (Reglamento (UE) 2016/679).»
Gontzal Gallo
Especialista en Derecho de las TIC
Colegiado en el Colegio de la Abogacía de Bizkaia
http://www.gontzalgallo.com
Twitter: @gongaru
Linkedin: Gonzalo Gallo
Entre Códigos Civiles y Androides 