Protección de datos para proveedores comerciales
Quien, como empresario, trate datos personales de interesados, clientes, empleados u otras personas debe respetar el Reglamento general de protección de datos (RGPD) y, en su caso, otras disposiciones sobre protección de datos.
Esto también se aplica a los datos personales que un proveedor comercial recibe en relación con un anuncio o un contacto a través de Suchen.Expert.
Suchen.Expert sirve para publicar anuncios, establecer contactos y facilitar la comunicación entre usuarios. El uso de la plataforma no autoriza a un proveedor comercial a utilizar sin límites los datos personales recibidos ni a destinarlos a cualquier otra finalidad.
1. ¿Qué son los datos personales?
Los datos personales son información relativa a una persona física identificada o identificable.
Pueden incluir, por ejemplo:
nombre y dirección,
número de teléfono y dirección de correo electrónico,
mensajes y contenido de las comunicaciones,
datos de entrega y facturación,
información de pago,
identificadores de usuario,
fotografías u otra información que permita identificar a una persona.
El RGPD protege, en principio, los datos de las personas físicas. La información sobre una persona jurídica como tal no está automáticamente comprendida en su ámbito. Sin embargo, los datos de las personas físicas que actúan como contactos de una empresa, por ejemplo, el nombre, la dirección de correo electrónico profesional o el número de teléfono de un empleado, pueden ser datos personales.
2. Los datos personales requieren una base jurídica
Los datos personales no pueden tratarse por el solo hecho de estar técnicamente disponibles.
Según el art. 6 del RGPD, un tratamiento solo es lícito si existe una base jurídica prevista en la ley. Entre ellas figuran, en particular:
el consentimiento del interesado,
el tratamiento para ejecutar un contrato o medidas precontractuales,
el cumplimiento de una obligación legal o
la satisfacción de intereses legítimos, siempre que no prevalezcan intereses o derechos contrarios del interesado.
Ante una consulta de un posible cliente, el tratamiento de los datos necesarios para responder y, en su caso, para un contrato posterior puede basarse, en particular, en el art. 6, apartado 1, letra b), del RGPD, siempre que se cumplan los requisitos legales.
3. Datos procedentes de un contacto a través de Suchen.Expert
Si un usuario se pone en contacto con un proveedor comercial a través de Suchen.Expert, los datos recibidos pueden tratarse, en particular, para gestionar esa consulta y, en la medida necesaria, para iniciar y ejecutar la operación correspondiente.
Ejemplo:
Un interesado consulta a un proveedor comercial a través de Suchen.Expert sobre un producto ofrecido. El proveedor puede utilizar los datos de contacto necesarios para responder a la consulta y para una posible ejecución del contrato.
Sin embargo, el contacto no significa automáticamente que el interesado haya consentido un uso adicional de sus datos.
En particular, sin una base jurídica propia, los datos de contacto no pueden reutilizarse para otros fines, comunicarse a terceros ni incorporarse a listas de distribución publicitaria.
El RGPD exige, entre otros principios, la limitación de la finalidad y la minimización de datos: los datos pueden tratarse para fines determinados y legítimos, y deben limitarse a lo necesario para esos fines.
4. No existe consentimiento automático para publicidad
Una consulta a través de Suchen.Expert no constituye, en particular, un consentimiento general para recibir publicidad.
Quien reciba, por ejemplo, una dirección de correo electrónico para responder a una consulta concreta o ejecutar un contrato no puede utilizarla posteriormente a su discreción para boletines u otros mensajes publicitarios por ese solo motivo.
Para la publicidad mediante correo electrónico, el § 7 de la UWG exige, en principio, un consentimiento previo y expreso. Existe una excepción limitada, bajo las condiciones del § 7, apartado 3, de la UWG, para la publicidad a clientes existentes de bienes o servicios propios similares. Deben cumplirse todas las condiciones que allí se establecen.
Además, debe examinarse por separado la licitud del tratamiento conforme a la normativa de protección de datos.
5. Recoger únicamente los datos necesarios
Los empresarios deberían solicitar únicamente los datos personales que realmente necesiten para la finalidad correspondiente.
Por ejemplo, para una simple consulta normalmente no se requieren copias de documentos de identidad, documentos bancarios ni otra información personal especialmente extensa.
El principio de minimización de datos del art. 5 del RGPD exige que los datos personales sean adecuados, pertinentes y limitados a lo necesario para la finalidad.
Debe actuarse con especial cautela ante información sensible. En particular, los datos no deberían publicarse en un anuncio o perfil de empresa si no existe una necesidad y una base jurídica suficiente para ello.
6. Información del empresario sobre protección de datos
Los empresarios que recojan y traten datos personales por sí mismos deben comprobar qué obligaciones de información deben cumplir frente a los interesados.
Si los datos personales se recogen directamente del interesado, el art. 13 del RGPD establece las obligaciones de información correspondientes. Estas incluyen, en particular, información sobre el responsable del tratamiento, las finalidades y las bases jurídicas del tratamiento, así como otros datos legalmente exigidos.
Si los datos personales no se recogen directamente del interesado, puede resultar aplicable el art. 14 del RGPD.
Por ello, los proveedores comerciales deberían comprobar si necesitan una política de privacidad o información propia sobre protección de datos para su propio tratamiento.
La política de privacidad de Suchen.Expert no sustituye automáticamente la información sobre protección de datos que debe facilitar cada empresario respecto de su propio tratamiento de datos personales.
7. Responsabilidad de Suchen.Expert y del empresario
Suchen.Expert trata datos personales en relación con el funcionamiento de la plataforma conforme a las disposiciones de protección de datos aplicables a Suchen.Expert.
Debe distinguirse de ello el tratamiento propio de datos personales por un proveedor comercial.
Si el empresario decide por sí mismo con qué fines propios y de qué manera trata los datos de clientes recibidos, puede ser responsable de ese tratamiento en el sentido del RGPD. Según el art. 4, punto 7, del RGPD, el responsable del tratamiento es, en principio, la entidad que, sola o junto con otras, determina los fines y medios de un tratamiento.
Por tanto, el mero uso de Suchen.Expert no implica automáticamente que Suchen.Expert sea encargado del tratamiento del usuario comercial ni que el usuario comercial sea encargado del tratamiento de Suchen.Expert.
La función a efectos de protección de datos depende del tratamiento concreto y de las tareas reales de las partes implicadas.
8. Comunicación de datos de clientes
Los datos personales solo pueden comunicarse a terceros si existe una base jurídica suficiente.
En el marco de la ejecución de un contrato, puede ser necesario, por ejemplo, transmitir determinados datos necesarios a un proveedor de servicios de envío para que pueda entregarse la mercancía solicitada.
La comunicación a asesores fiscales, proveedores de servicios de pago u otros prestadores de servicios también puede ser lícita según la finalidad y la configuración jurídica.
No obstante, debe comprobarse qué función desempeña el destinatario correspondiente a efectos de protección de datos.
Si un prestador externo trata datos personales exclusivamente por cuenta del empresario, puede existir una relación de encargado del tratamiento conforme al art. 28 del RGPD. En ese caso se requiere, en principio, un contrato correspondiente u otro instrumento jurídico que cumpla los requisitos del art. 28 del RGPD.
Sin embargo, no todos los prestadores externos son automáticamente encargados del tratamiento.
9. Conservación y supresión
En principio, los datos personales no pueden conservarse indefinidamente.
El art. 5 del RGPD exige limitar el período de conservación al tiempo necesario para las finalidades correspondientes del tratamiento.
Sin embargo, esto no significa que deban suprimirse todos los datos de los clientes inmediatamente después de finalizar una operación comercial.
Las obligaciones legales de conservación, por ejemplo, para facturas, justificantes contables o documentación comercial, pueden exigir conservar determinados datos durante más tiempo.
Por ello, los empresarios deberían distinguir entre:
los datos que siguen siendo necesarios para cumplir obligaciones legales de conservación y
los datos para cuya conservación ya no existe una finalidad ni una base jurídica.
Los datos personales que ya no sean necesarios deberían suprimirse conforme a los requisitos legales o, en su caso, someterse a una limitación del tratamiento.
10. Tratamiento seguro
Los empresarios deben proteger adecuadamente los datos personales frente a pérdidas, usos no autorizados y accesos indebidos.
El art. 32 del RGPD exige medidas técnicas y organizativas adecuadas, teniendo en cuenta, en particular, el riesgo, el estado de la técnica y la naturaleza del tratamiento. Según el riesgo concreto, pueden incluir, por ejemplo, cifrado, restricciones de acceso, copias de seguridad y procedimientos para revisar periódicamente las medidas de seguridad.
Para el uso de Suchen.Expert, esto significa, en particular, que los usuarios comerciales deberían proteger sus credenciales y permitir el acceso a su cuenta de empresa únicamente a personas autorizadas.
Si la información personal de Suchen.Expert se exporta o transfiere a sistemas propios, también debe garantizarse en ellos un nivel de protección adecuado.
11. Derechos de acceso dentro de la empresa
No todos los empleados de una empresa deberían tener acceso automático a todos los datos de los clientes.
Los accesos deberían depender de los datos que cada persona necesite para su tarea.
Si un empleado deja la empresa o ya no necesita un acceso, sus permisos deberían revisarse inmediatamente y, si es necesario, retirarse.
Las contraseñas o los accesos personales de usuario no deberían compartirse sin control entre varias personas.
12. Derechos de los interesados
El RGPD reconoce diversos derechos a las personas cuyos datos se tratan.
Entre ellos figuran, bajo los requisitos legales correspondientes, en particular, los derechos de acceso, rectificación, supresión, limitación del tratamiento y portabilidad de los datos, así como el derecho de oposición a determinados tratamientos.
Un proveedor comercial debe tramitar las solicitudes de los interesados conforme a los requisitos legales, en la medida en que sea responsable del tratamiento correspondiente.
En primer lugar, debe aclararse si la solicitud se refiere a un tratamiento de datos del empresario o a un tratamiento realizado por la propia Suchen.Expert.
13. Violaciones de la seguridad de los datos personales
La pérdida de datos personales, su envío accidental a un destinatario incorrecto o el acceso de personas no autorizadas pueden constituir una violación de la seguridad de los datos personales.
Si es probable que exista un riesgo para los derechos y libertades de las personas físicas, el responsable debe, en principio, notificar la violación a la autoridad de control competente sin dilación indebida y, de ser posible, dentro de las 72 horas siguientes a haber tenido conocimiento de ella. El art. 33 del RGPD contiene los requisitos legales al respecto.
Si es probable que exista un alto riesgo para los derechos y libertades de los interesados, también puede ser necesario informar sin demora a las personas afectadas.
Además, las violaciones de la seguridad de los datos personales deben documentarse conforme al art. 33, apartado 5, del RGPD.
14. Prestadores de servicios y programas propios
Quien, como empresario, utilice además sus propios:
servicios en la nube, sistemas CRM, servicios de boletines, programas de contabilidad, programas de análisis, servicios de comunicación u otros sistemas externos
para los datos de clientes debe evaluar ese tratamiento de forma independiente desde el punto de vista de la protección de datos.
Pueden ser relevantes, en particular:
la base jurídica, el tratamiento por encargo, las medidas técnicas y organizativas, los plazos de conservación y, en su caso, las transferencias de datos fuera del Espacio Económico Europeo.
El hecho de que los datos se hayan recibido originalmente a través de Suchen.Expert no exime al empresario de estas obligaciones.
15. No publicar datos de clientes
En principio, los datos personales de interesados o clientes no pueden publicarse en anuncios, valoraciones, perfiles de empresa u otras áreas de acceso público sin una base jurídica suficiente.
Esto afecta, en particular, a:
nombres, direcciones privadas, números de teléfono, direcciones de correo electrónico, fotografías, historiales de mensajes e información sobre pagos o contratos.
Las capturas de pantalla de una comunicación también pueden contener datos personales.
Por ello, quien desee, por ejemplo, publicar un mensaje positivo de un cliente como referencia o testimonio debe comprobar previamente si existe una base jurídica suficiente.
Protección de datos en Suchen.Expert
Suchen.Expert proporciona la plataforma técnica para anuncios, establecimiento de contactos y comunicación.
A los tratamientos de datos que Suchen.Expert realiza por sí misma en relación con el funcionamiento de la plataforma se les aplica la información sobre protección de datos de Suchen.Expert.
En cambio, si un usuario comercial trata datos personales para sus propios fines empresariales, es responsable de cumplir los requisitos de protección de datos aplicables, en la medida en que sea responsable de ese tratamiento.
En particular, los datos de contacto recibidos a través de Suchen.Expert no pueden utilizarse para publicidad, listas de distribución externas, publicación u otras nuevas finalidades por el solo hecho de que el usuario correspondiente haya contactado previamente a través de la plataforma.
Estas indicaciones sirven de orientación general y no sustituyen una evaluación, desde el punto de vista de la protección de datos, de las actividades concretas de tratamiento de una empresa.
