El responsable del tratamiento debe obtener el consentimiento de la persona interesada para tratar sus datos personales, salvo en los casos en que no sea necesario. A él le corresponde demostrar que dispone de este consentimiento.
Cómo debe ser el consentimiento y en qué casos no es necesario solicitarlo
A) Si es para tratar datos personales que no tienen la consideración de sensibles o especialmente protegidos
Por ejemplo, nombre, apellidos, DNI, dirección postal y electrónica, número de teléfono, características físicas, voz, fotografías y otras imágenes.
- Es necesario el consentimiento inequívoco: cualquier acción u omisión que muestre que se ha consentido (salvo que no haga falta de acuerdo con lo que dispone la ley).
- Casos en los que no es necesario el consentimiento:
- Cuando el tratamiento esté autorizado por ley.
- Cuando los datos se recojan para ejercer funciones propias de las Administraciones públicas en el ámbito de competencias que la ley le atribuye.
- Cuando los datos se refieran a las partes de un contrato, precontrato o relación de negocio, laboral o administrativa, y sean necesarios para mantenerlo o cumplirlo.
- Cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para satisfacer el interés legítimo que persigue el responsable del fichero o el tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y las libertades fundamentales de la persona.
- Cuando el tratamiento tenga por finalidad proteger un interés vital de la persona.
- Cuando los datos personales sean recogidos y tratados por la policía para prevenir un peligro real, garantizar la seguridad pública o reprimir infracciones penales.
B) Si es para tratar datos personales que tienen la consideración de sensibles o especialmente protegidos
1) Si hacen referencia al origen racial o étnico, la salud y la vida sexual
- Es necesario el consentimiento expreso (salvo que no haga falta de acuerdo con lo que dispone la ley).
- Casos en los que no es necesario el consentimiento:
- Cuando por razones de interés general, así lo disponga una ley.
- Cuando el tratamiento sea necesario:
- Para llevar a cabo la prevención o el diagnóstico médicos, la prestación de asistencia sanitaria o de tratamientos médicos o la gestión de servicios sanitarios, siempre que los haga un profesional sanitario sujeto al secreto profesional u otra persona sujeta a una obligación equivalente de secreto.
- Para salvaguardar el interés vital de la persona afectada o de otra persona, en caso de que la persona afectada esté física o jurídicamente incapacitada para dar el consentimiento.
- Cuando los datos personales sean recogidos y tratados por la policía y exclusivamente en los casos en que sea absolutamente necesario para las finalidades de una investigación concreta.
2) Si revelan la ideología, la afiliación sindical, la religión y las creencias
- Es necesario el consentimiento expreso y por escrito (salvo que no haga falta de acuerdo con lo que dispone la ley).
Cuando se recoge el consentimiento, hay que advertir a la persona de su derecho a no darlo. - Casos en los que no es necesario el consentimiento:
- Cuando el tratamiento lo hagan los partidos políticos, los sindicatos, las iglesias, las confesiones o las comunidades religiosas respecto a los datos de sus asociados o miembros.
- Cuando los datos personales sean recogidos y tratados por la policía y exclusivamente en los casos en que sea absolutamente necesario para las finalidades de una investigación concreta.
No se pueden crear ficheros con la finalidad exclusiva de almacenar datos que hagan referencia al origen racial o étnico o a la vida sexual, o que revelen la ideología, la afiliación sindical, la religión o las creencias.
Cómo hay que solicitar y obtener el consentimiento, y posibilidad de revocarlo
Cómo hay que solicitarlo:
En los casos en que sea suficiente el consentimiento inequívoco, hay que dar treinta días a la persona a quien se solicita, para que se pueda oponer al tratamiento, y hay que advertirla de que, si no dice nada, se entiende que consiente. Hay que facilitarle un medio sencillo y gratuito para hacerlo, como, por ejemplo, un envío prefranqueado al responsable del tratamiento, una llamada a un número de teléfono gratuito o a través del servicio de atención al público. Esta información debe ser claramente visible, y si hay constancia de que la comunicación se ha devuelto, no se puede hacer el tratamiento. No se puede solicitar el consentimiento siguiendo este procedimiento respecto a los mismos tratamientos y finalidades en intervalos inferiores a un año.
Cómo hay que obtenerlo:
- Si son menores de 14 años, hay que solicitar el consentimiento a los padres o tutores. A los menores sólo se les puede pedir el nombre y los apellidos, y la dirección de los padres o tutores para solicitarles el consentimiento.
- Si son mayores de 14 años, pueden consentir por sí mismos, salvo que una ley disponga lo contrario. Hay que utilizar un lenguaje sencillo y no se les puede pedir información sobre los otros miembros de la familia, ni referente a la profesión ni de tipo económico.
- La solicitud del consentimiento tiene que hacer referencia a uno o varios tratamientos concretos, y debe determinar la finalidad para la que se pide y las condiciones del tratamiento o los tratamientos. En la cesión, además, hay que hacer referencia al tipo de actividad del tercero (si no, el consentimiento es nulo).
- Si en el marco de una relación contractual se quiere solicitar el consentimiento para tratar y comunicar los datos con una finalidad que no esté relacionada directamente con dicha relación contractual, hay que permitir que la persona pueda manifestar expresamente su negativa al tratamiento. Por ejemplo, se puede incluir en el propio contrato una casilla claramente visible y que no esté ya marcada.
Cómo se puede revocar:
Consultar el apartado Derecho a revocar el consentimiento.