La llamada de 46 segundos con spam más cara de la historia
¿Cuánto puede llegar a costar una llamada comercial de apenas 46 segundos? Para la empresa Más Sol Energía, la respuesta es 10.000 euros. La Agencia Española de Protección de Datos ha sancionado a la compañía de instalación de placas solares por realizar una llamada de telemarketing a un usuario que estaba inscrito en la Lista Robinson, y por no haber acreditado que contaba con su consentimiento válido. No fue una llamada larga. El teleoperador se identificó, preguntó si el usuario residía en un piso o en una vivienda unifamiliar, y la conversación terminó cuando el afectado preguntó por el origen de sus datos. Pero la sanción no ha sido por la duración de la llamada, sino por la falta de diligencia de la empresa a la hora de verificar el consentimiento y por el incumplimiento de su deber de informar al usuario sobre el origen de sus datos.
La lectura apresurada de la noticia podría inducir a pensar que estamos ante una sanción excesiva para una llamada tan breve. Pero la resolución de la Agencia Española de Protección de Datos, con número de expediente EXP202416818, revela una realidad más compleja. La Agencia no ha sancionado la duración de la llamada, sino el hecho de que la empresa no pudiera demostrar que el usuario había dado un consentimiento válido, libre, informado e inequívoco para recibir comunicaciones comerciales, y lo que es más importante: la Agencia ha aprovechado el caso para recordar a las empresas de telemarketing que comprar una base de datos a un proveedor no las exime de su responsabilidad de verificar por sí mismas la validez del consentimiento.
El caso es un ejemplo perfecto de cómo la externalización de la obtención de datos no externaliza la responsabilidad. Más Sol Energía compró una base de datos a un proveedor de servicios de marketing directo que le garantizó la existencia del consentimiento. Incluso aportó a la Agencia un registro que supuestamente acreditaba que el usuario se había dado de alta en una página web dos años antes, con dirección IP, fecha y hora. Pero la Agencia ha considerado que esa documentación no era suficiente para acreditar que el reclamante prestó personalmente su consentimiento. Una dirección IP y un formulario genérico no bastan. La empresa, además, reconoció que nunca comprobó por sí misma la validez de ese consentimiento y que se limitó a confiar en la información facilitada por su proveedor.
II. La Lista Robinson y el consentimiento como prueba
El afectado estaba inscrito en la Lista Robinson, el servicio gratuito de exclusión publicitaria que permite a los ciudadanos manifestar su oposición a recibir comunicaciones comerciales. Cuando el usuario preguntó al teleoperador si había comprobado previamente ese servicio, la respuesta fue reveladora: "Trabajamos con una base de datos". El usuario, que ya había grabado la llamada, preguntó por el origen de sus datos y, tras una conversación con el servicio de atención al cliente en la que le indicaron que sus datos podían proceder de la aceptación de cookies, decidió acudir a la Agencia Española de Protección de Datos.
La Agencia ha sido contundente en su resolución. No basta con que la empresa diga que compró una base de datos a un proveedor que garantizaba el consentimiento. La empresa que realiza las llamadas es la responsable del tratamiento y debe poder acreditar quién, cuándo y cómo prestó realmente el consentimiento. En palabras de la Agencia: "Tal documentación no acredita que el reclamante realizara personalmente dicho registro ni que los datos fueran introducidos por él, ni aporta elementos técnicos que vinculen de manera inequívoca la IP con su persona". Es decir, una dirección IP no identifica a una persona de manera inequívoca. Puede corresponder a un ordenador compartido, a un navegador con configuración privada o a un dispositivo móvil con IP dinámica. Sin más elementos, la Agencia no puede dar por acreditado el consentimiento.
La resolución también reprocha a la empresa no haber verificado por sí misma la validez del consentimiento. Esa conducta, según la Agencia, "resulta incompatible con la obligación del responsable de demostrar, en un caso concreto, que el interesado otorgó efectivamente el consentimiento". La carga de la prueba recae sobre quien realiza la llamada, no sobre el proveedor de datos, y esa carga no se puede externalizar.
III. El deber de informar del origen de los datos
Además de la infracción por realizar una llamada comercial sin acreditar una base legitimadora válida, la Agencia ha considerado que Más Sol Energía incumplió el artículo 14 del Reglamento General de Protección de Datos. Este precepto establece que, cuando los datos personales no se han obtenido del interesado, el responsable del tratamiento debe informarle del origen de esos datos y de la base jurídica que legitima el tratamiento, y si el interesado pregunta, como ocurrió en este caso, la información debe proporcionarse de manera clara y accesible.
El usuario preguntó dos veces por el origen de sus datos durante la llamada. La primera, al teleoperador, que respondió que trabajaban con una base de datos. La segunda, al servicio de atención al cliente, donde le indicaron que sus datos podían proceder de la aceptación de cookies. La Agencia ha considerado que esa información era insuficiente. La empresa no acreditó haber informado al usuario de manera completa y transparente sobre el origen de sus datos y la base jurídica que legitimaba el tratamiento. Esa falta de información afecta de manera sustancial a los derechos del afectado, al impedirle ejercer con pleno conocimiento sus derechos en materia de protección de datos.
La consecuencia fue una segunda multa de 5.000 euros, que sumada a la primera, totaliza los 10.000 euros de la sanción. No es una cantidad desorbitada, pero sí lo suficientemente elevada como para llamar la atención de cualquier empresa que realice campañas de telemarketing. Sobre todo si se tiene en cuenta que la llamada duró apenas 46 segundos.
IV. La doctrina de la Agencia Española de Protección de Datos: comprar una base de datos no exime de responsabilidad
La resolución de la Agencia Española de Protección de Datos en el caso de Más Sol Energía es especialmente relevante porque refuerza un criterio que la autoridad viene aplicando en los últimos años. Comprar una base de datos a un proveedor no exime a la empresa que realiza las llamadas de su responsabilidad de acreditar el consentimiento. La carga de la prueba recae sobre el responsable del tratamiento, y no puede transferirse al proveedor de datos. La empresa debe poder demostrar por sí misma que el consentimiento fue válido, libre, informado e inequívoco.
La Agencia ha sido clara al respecto: un registro genérico con una dirección IP, una fecha y una hora no es suficiente para acreditar el consentimiento. La empresa debe poder vincular de manera inequívoca esa IP con la persona que supuestamente prestó el consentimiento, y eso, en la práctica, es muy difícil de hacer si no se dispone de elementos técnicos adicionales, como la autenticación mediante doble factor o la verificación mediante correo electrónico.
La resolución también deja claro que la empresa no puede limitarse a confiar en la información facilitada por su proveedor. Si utiliza los datos para una campaña comercial, debe verificar por sí misma la validez del consentimiento. Esa falta de diligencia es incompatible con las obligaciones del responsable del tratamiento.
V. El coste de la falta de diligencia: más de 10.000 euros por 46 segundos
El caso de Más Sol Energía es un recordatorio de que, en el ámbito del telemarketing, los costes de la falta de diligencia pueden ser elevados. La empresa ha sido sancionada con 10.000 euros por una llamada de 46 segundos, pero el coste real de la operación es mucho mayor. La empresa ha tenido que asumir los gastos del procedimiento administrativo, el tiempo de sus equipos legales y el daño reputacional que supone una sanción de la Agencia Española de Protección de Datos, y todo ello por no haber verificado la validez del consentimiento y por no haber informado al usuario del origen de sus datos.
La Agencia ha aprovechado el caso para enviar un mensaje claro a las empresas de telemarketing: no basta con comprar una base de datos y confiar en que el proveedor ha obtenido el consentimiento. La empresa que realiza la llamada es la responsable del tratamiento y debe poder acreditar que el consentimiento fue válido, y si no puede hacerlo, se enfrenta a sanciones que pueden ser muy superiores al beneficio esperado de la campaña de marketing.
El caso también es un recordatorio para los usuarios de la Lista Robinson de que sus derechos pueden ser protegidos. El afectado no se quedó de brazos cruzados. Grabó la llamada, preguntó por el origen de sus datos y acudió a la Agencia Española de Protección de Datos. Su reclamación ha dado lugar a una sanción que, aunque no es millonaria, es lo suficientemente elevada como para que la empresa lo recuerde, y lo que es más importante: ha servido para reforzar la doctrina de la Agencia sobre la necesidad de acreditar el consentimiento en las campañas de telemarketing.
VI. Reflexiones finales: una llamada de 46 segundos, una sanción de 10.000 euros y una lección para todas las empresas
El caso de Más Sol Energía es una lección para todas las empresas que realizan campañas de telemarketing. La lección es simple: comprar una base de datos no exime de responsabilidad. La empresa que realiza la llamada es la responsable del tratamiento y debe poder acreditar que el consentimiento fue válido, y no basta con confiar en el proveedor. La empresa debe verificar por sí misma la validez del consentimiento. Si no lo hace, se expone a sanciones que pueden ser muy superiores al beneficio esperado.
La Agencia Española de Protección de Datos ha aprovechado el caso para recordar que el consentimiento debe ser probado. Una dirección IP y un formulario genérico no bastan. La empresa debe poder vincular de manera inequívoca la IP con la persona que supuestamente prestó el consentimiento, y si no puede hacerlo, la sanción es inevitable.
El caso también es un recordatorio para los usuarios de la Lista Robinson. La inscripción en este servicio no es una garantía absoluta de que no se recibirán llamadas comerciales, pero sí es una herramienta que permite reclamar cuando se recibe una llamada no deseada, y esa reclamación, como ha demostrado el caso de Más Sol Energía, puede tener consecuencias.
La llamada de 46 segundos más cara de la historia no es solo una anécdota. Es un recordatorio de que, en la era digital, la protección de datos no es un lujo, sino una obligación, y que las empresas que no la cumplan, por muy corta que sea la llamada, acabarán pagando el precio.
