45.000 libras de multa por recolectar datos de LinkedIn para ofrecer planes de pensiones
La empresa sancionada realizó 40.000 llamadas no solicitadas con información captada de la
La agencia de protección de datos inglesa, la Oficina del Comisionado de Información de Reino Unido (ICO) ha multado a la compañía Pension House Exchange Limited (PHE) con 45.000 libras esterlinas por realizar 39.722 llamadas no solicitadas con fines comerciales en relación con planes de pensiones. La resolución está motivada por tres denuncias presentadas contra PHE ante la agencia de protección de datos de Reino Unido durante el periodo de 9 de enero de 2019 al 8 de septiembre de 2019.
En enero de 2019 la ley cambió para limitar quién puede llamar a la gente por sus pensiones y esta semana el ICO ha multado a una segunda empresa por infringir el Reglamento de Privacidad y Comunicaciones Electrónicas (PECR).
La resolución es especialmente relevante, porque castiga de forma ejemplar una conducta que consistió en recoger sin el debido consentimiento datos de contacto a través de los perfiles de LinkedIn y realizar llamadas con fines comerciales relacionadas con planes de pensiones haciéndose pasar como parte de un servicio público de comunicaciones electrónicas.
¿Es la aceptación de una solicitud de LinkedIn un consentimiento válido para el tratamiento de datos personales?
Utilizar o instigar el uso de un sistema electrónico público servicio de comunicaciones para hacer llamadas no solicitadas a un individuo con fines comerciales en relación con planes de pensiones constituye, para el organismo, una infracción del Reglamento de Privacidad y Comunicaciones Electrónicas (PECR) que puede llegar a ser sancionada con hasta 500.000 libras. El PECR, que abarca las llamadas de marketing, los correos electrónicos y los textos, se actualizó en enero de 2019 para proteger mejor a las personas que son víctimas de las estafas en materia de pensiones.
Según esta ley, las empresas sólo pueden llamar por teléfono y hablar con la gente sobre sus pensiones laborales o personales si están autorizadas por la Autoridad de Conducta Financiera (FCA), o es el fideicomisario o gestor de un plan de pensiones ocupacional o personal; y si el receptor de la llamada consiente en las llamadas, o tiene una relación existente con la persona que llama.
En el transcurso de la investigación, la ICO comprobó que PHE no estaba autorizada por la Autoridad de Conducta Financiera (FCA) para realizar llamadas con ese fin comercial. Además, tras realizar una orden de registro de los locales comerciales de PHE, la agencia de protección de datos constató que el personal de PHE se conectaba con personas en LinkedIn y recogía sus datos de contacto para dirigirse a ellos con llamadas de marketing directo relacionadas con los planes de pensiones. Así, la PHE confirmó que los datos obtenidos a través de LinkedIn eran la única fuente de datos de la compañía y que, entre el 9 de enero de 2019 y el 3 de octubre de 2019 hubo un total de 289.679 llamadas realizadas, de las cuales 39.722 fueron conectadas.
Según las alegaciones realizadas durante el procedimiento por PHE, la aceptación de un individuo de una solicitud de “conexión” era considerada como confirmación de que también consentía en recibir comercialización directa de llamadas. Sin embargo, el artículo 4.11 del Reglamento General de Protección de Datos 2016/679, establece que solo puede considerarse como consentimiento válido “todo lo que se dé libremente, sea específico, informado y con indicación inequívoca de los deseos del interesado por los que él o ella, por una declaración o por una clara acción afirmativa, significa acuerdo con el tratamiento de los datos personales que le conciernen”.
En el caso, PHE no proporcionó ninguna prueba de que se buscara el consentimiento específico de individuos en LinkedIn cuyos datos fueron obtenidos, de hecho, la ICO sugiere en su resolución que PHE realizó su campaña de marketing directo sin considerar en absoluto la posibilidad de obtener el consentimiento válido de los individuos con los que intentó contactar.
Por tanto, la ICO concluye que la aceptación de una solicitud de LinkedIn no puede considerarse un consentimiento válido para el tratamiento de datos personales, y al no estar PHE autorizada para realizar llamadas con dicho fin comercial, la compañía cometió deliberadamente una infracción que sanciona con una multa de 45.000 libras.
Desde TalentoProtec, división especializada en protección de datos de Talento Consulting te podemos ayudar con tus dudas con respecto a la protección de datos o en la adaptación de tu empresa o negocio al nuevo Reglamento Europeo de Protección de Datos. Además si estas interesado en formarte en materia de protección de datos, te recomendamos nuestro curso online sobre la aplicación práctica de la RGPD.
Para más información, no dudes en consultarnos o mandarnos un email protecciondedatos@talentoprotec.com