Advertencia de la KVKK a las tiendas sobre los SMS: Se debe proporcionar información y obtener el consentimiento explícito

Últimamente, ha llamado la atención que, especialmente durante las transacciones en caja en las tiendas, se envíen códigos de verificación por SMS a los clientes bajo el pretexto de completar el pago y generar la factura, pero que, tras la operación, las tiendas comiencen a enviar SMS publicitarios a los clientes. La KVKK ha advertido por segunda vez a las tiendas sobre esta práctica que ha generado quejas.

Los datos personales han dejado de ser personales. Nuestra información se obtiene mediante el hackeo de los sistemas de las instituciones en las que estamos registrados o la entregamos voluntariamente a las tiendas al realizar compras. Recientemente, el hecho de que las tiendas soliciten números de teléfono durante el pago con la excusa de enviar un código de verificación por SMS y generar una factura, y que posteriormente lleguen mensajes publicitarios y anuncios de dichas tiendas a esos números, ha causado malestar. La Autoridad de Protección de Datos Personales (KVKK) llamó la atención sobre esta situación en un comunicado publicado en su sitio web. 

En el comunicado de la KVKK, se recordó que ya se había publicado un anuncio público debido a quejas recibidas anteriormente sobre el mismo tema. Se señaló que la práctica actual continúa y que "ha surgido la necesidad de actualizar el anuncio público".

El comunicado, en el que se subraya que las tiendas deben informar a los consumidores y obtener su consentimiento explícito, es el siguiente:

El artículo 5 de la Ley de Protección de Datos Personales (Ley) n.º 6698 regula las condiciones para el tratamiento de datos personales. De acuerdo con esto, después de establecer en el párrafo (1) del artículo 5 de la Ley que los datos personales no pueden ser tratados sin el consentimiento explícito del interesado, el párrafo (2) enumera las condiciones de tratamiento en las que es posible tratar datos personales sin necesidad de dicho consentimiento.

En el artículo 3 de la Ley, el consentimiento explícito se define como "el consentimiento relacionado con un tema específico, basado en la información y expresado con libre albedrío", y de dicha definición se desprende que el consentimiento explícito debe reunir tres elementos. En primer lugar, el consentimiento explícito obtenido debe estar relacionado con un tema específico y limitarse a ese tema; en otras palabras, el responsable del tratamiento debe exponer claramente para qué tema se solicita la declaración de consentimiento explícito. Si se va a realizar una declaración de consentimiento explícito para el tratamiento de datos relacionados con múltiples categorías, es obligatorio que el consentimiento cubra los diferentes aspectos del tratamiento, como qué datos se tratarán y con qué fines. El consentimiento explícito es una declaración de voluntad, y para que una persona pueda consentir libremente, debe saber a qué está consintiendo; en este sentido, la persona debe tener pleno conocimiento no solo sobre el tema, sino también sobre las consecuencias de su consentimiento. Por último, el consentimiento explícito, al ser una declaración de voluntad, solo será válido si la persona es consciente de su acción y es su propia decisión. Cualquier situación que vicie la voluntad de la persona, como la coacción, la amenaza, el error o el engaño, también viciará el consentimiento explícito otorgado para el tratamiento de datos personales, y en tales casos no se podrá hablar de una declaración de libre albedrío. Además, cuando la obtención del consentimiento explícito del interesado se presenta como una condición previa para la prestación de un producto o servicio, o para beneficiarse de un producto o servicio, no se podrá hablar de un consentimiento explícito válido, ya que se vulnera el elemento de libre albedrío.

Por otro lado, de conformidad con el artículo 10 de la Ley, durante la obtención de datos personales, el responsable del tratamiento o la persona autorizada por él debe cumplir con la obligación de informar proporcionando información a los interesados sobre: la identidad del responsable del tratamiento y su representante, si lo hubiera; el propósito del tratamiento de los datos personales; a quiénes y con qué fines pueden transferirse los datos personales tratados; el método y la base legal para la recopilación de datos personales; y otros derechos enumerados en el artículo 11 de la Ley. En este contexto, la obligación de informar es una obligación que debe cumplirse independientemente de la obtención del consentimiento explícito o del cumplimiento de otras condiciones de tratamiento de datos personales previstas en la Ley. No obstante, en caso de que la actividad de tratamiento de datos personales se lleve a cabo basándose en el consentimiento explícito del interesado, el responsable del tratamiento debe cumplir por separado con la obligación de informar y con el proceso de obtención del consentimiento explícito.

En este contexto, como resultado de las evaluaciones realizadas por la Autoridad de Protección de Datos Personales;

• Que el propósito del SMS que se enviará al teléfono de las personas durante las transacciones en caja tras una compra en la tienda, y las consecuencias que se derivarán si se proporciona el código enviado con dicho SMS, sean comunicados de manera clara y comprensible a los interesados en la primera etapa por las personas autorizadas por el responsable del tratamiento en las tiendas, como requisito de una información estratificada, y que también se proporcionen los canales de información necesarios en el contenido de dichos SMS para poder cumplir con la obligación de informar,
• Que se ponga fin a las prácticas destinadas a realizar, mediante una sola acción, actividades de tratamiento diferentes entre sí, como la aprobación del contrato de afiliación, la obtención de permiso para el tratamiento de datos personales, la obtención de consentimiento para comunicaciones comerciales electrónicas, etc., mediante el envío de un código de verificación por SMS a los interesados durante las transacciones de pago en las tiendas, y que se obtenga el consentimiento explícito por separado ofreciendo opciones para las actividades de tratamiento que deben realizarse con consentimiento explícito,
• Además de esto, que los responsables del tratamiento realicen por separado los procesos de obtención del consentimiento explícito y el cumplimiento de la obligación de informar,
• En caso de que se opte por una práctica de envío de un código de verificación por SMS para obtener el consentimiento explícito para el envío de comunicaciones comerciales electrónicas, que el consentimiento explícito obtenido en dicha operación cubra todos los elementos especificados en la Ley,
• Que no se presente a los interesados la concesión del consentimiento explícito para el tratamiento de datos personales con fines de envío de comunicaciones comerciales como un elemento obligatorio para poder completar la compra; de lo contrario, dado que dicha práctica podría causar la vulneración de los elementos de "basarse en la información y expresarse con libre albedrío", que forman parte de los elementos del consentimiento explícito, dichas prácticas deben realizarse de conformidad con la Ley,
• En este contexto, que el consentimiento explícito para el tratamiento de datos personales con fines de envío de comunicaciones comerciales electrónicas se solicite después de completar la compra; evitando así que el consentimiento explícito para el permiso de comunicaciones comerciales electrónicas sea percibido como un elemento necesario de la compra

es de gran importancia. Se comunica respetuosamente al público. 

 y se observa que se incluyen alegaciones de que se solicita al cajero que informe dicho código bajo el pretexto de que es necesario para completar los pagos, generar la factura, enviar la factura a la dirección de contacto o actualizar la información, pero que, tras la operación en cuestión, se envían comunicaciones comerciales electrónicas a los interesados relacionadas con las actividades de dicha tienda.

Fuente de la noticia: 12punto