Esta mañana me encontré en el mostrador de un establecimiento (una cafetería, para más señas) con una hoja de recogida de firmas. En ella se solicitaban nombres y apellidos, números de DNI y la firma de los interesados.
Si van a recoger firmas para un fin concreto, antes deben informar a los interesados de los siguientes extremos:
- Identidad y datos de contacto del responsable del tratamiento o de su representante si no está establecido en la Unión.
- Datos de contacto del delegado de protección de datos, si lo tienen.
- Base jurídica que legitima el tratamiento de datos personales.
- Fines del tratamiento.
- Destinatarios o categorías de destinatarios de los datos personales.
- Plazo de conservación de los datos personales o los criterios utilizados para determinar este plazo.
- Si tienen intención de transferir los datos personales a terceros países u organizaciones internacionales.
- Derechos de los interesados y cómo ejercerlos.
- Derecho a presentar una reclamación ante la autoridad de control competente.
La información debe facilitarse en el momento de la recogida de los datos (en la propia hoja o en un documento adjunto claramente visible y accesible), de forma clara, concisa, transparente y comprensible.
Si el tratamiento se basa en el consentimiento, como es habitual, este debe ser libre, específico, informado e inequívoco, manifestado mediante una acción afirmativa clara. La firma suele considerarse válida como manifestación inequívoca, siempre que la información previa sea adecuada y no exista coacción. El consentimiento puede retirarse en cualquier momento, sin que su retirada afecte a la licitud del tratamiento realizado con anterioridad.
Es importante identificar correctamente al responsable del tratamiento; de lo contrario, se podría entender que el responsable es el propietario del establecimiento que se encarga de recabar las firmas, aunque en la práctica sea ajeno, así que cuidado si se prestan a recoger las firmas en su establecimiento.
Conclusión
No tomen estas cosas a la ligera, pues pueden incurrir en una infracción grave en materia de protección de datos.
