Des de l’entrada en vigor del Reglament General de Protecció de Dades (RGPD), s’ha assenyalat que el consentiment, com a base jurídica per legitimar el tractament, s'ha reforçat amb la norma europea. Aquesta idea s'ha entès, a vegades, en el sentit que el consentiment ha de ser la base jurídica d’ús preferent per legitimar el tractament de les dades personals per part dels responsables del tractament.
Aquesta idea ha de ser descartada, perquè el consentiment no és la base jurídica preferent per tractar dades personals. N’és una més, amb la mateixa força o “qualitat” que qualsevol de les altres que regula l’article 6 del RGPD, i utilitzar-la quan no és adient la desvirtua.
El consentiment ha estat reforçat en el sentit que quan és la base jurídica (és a dir, no és aplicable cap de les altres, com ara un contracte, una obligació legal, una missió realitzada en interès públic, etc.), ha de ser un consentiment real i, per tant, s'ha de permetre a la persona optar lliurement. Cal que cadascun dels requisits que defineixen el consentiment es tingui en compte i es valori adequadament.
L’article 4.11 del RGPD defineix el consentiment com “tota manifestació de voluntat lliure, específica, informada e inequívoca per la qual la persona interessada accepta, ja sigui mitjançant una declaració o una clara acció afirmativa, el tractament de les seves dades personals”. Per tant, cal tenir en compte que:
- No és acceptable el consentiment tàcit, el silenci i la inacció.
- La persona interessada té dret a retirar el seu consentiment en qualsevol moment, però això no afecta la licitud del tractament basada en el consentiment previ.
En particular, em vull referir al requisit de la voluntat lliure: quan es pot considerar que el consentiment ha estat atorgat lliurement?
Per fer-ho, utilitzaré les Directrius sobre el consentiment del RGPD, del Grup de treball de l’article 29 (WP 259/2018). Aquest organisme, en referir-se a la “declaració de voluntat lliure”, identifica quatre conceptes que cal valorar per determinar si el consentiment és lliure:
- Desequilibri de poder
- Condicionalitat
- Dissociació de les finalitats
- Perjudici.
Per considerar que el consentiment és lliure la persona ha de poder triar i mantenir el control; per exemple, si la persona creu que patirà conseqüències negatives si no el dona, aquest consentiment no es consideraria lliure.
Desequilibri de poder
Per definició hi ha relacions en les quals existeix un desequilibri de poder; per exemple, és poc probable que les autoritats públiques puguin utilitzar el consentiment per fonamentar els seus tractaments, i el mateix passa amb les relacions laborals.
Però, també, es poden donar altres situacions atenent a les circumstàncies de les persones, com en el cas dels menors o d’altres col·lectius vulnerables. Tot i que, fins i tot, en les situacions descrites poden existir excepcions en què el consentiment sigui la base jurídica, però caldrà valorar-ho molt acuradament i establir els mecanismes de garantia que ajudin a eliminar el desequilibri.
Condicionalitat
El considerant 43 del RGPD indica que el consentiment es presumeix inapropiat quan està vinculat a l’acceptació dels termes i les condicions, o a la realització d’un contracte o la prestació d’un servei, i el tractament no és necessari per efectuar el contracte o el servei.
El RGPD vol evitar que el tractament de les dades per al qual es demana el consentiment sigui, en realitat, una contraprestació del contracte.
Dissociació de les finalitats del tractament
Una activitat o una prestació d’un servei pot comportar diverses finalitats. És important que es concretin i es detallin abans d’iniciar el tractament perquè en el moment d’obtenir el consentiment es doni a la persona la possibilitat de triar entre les diferents finalitats que vol acceptar. Cal tenir present que un altre dels requisits del consentiment és l’especificitat. El consentiment es pot donar per a totes les activitats de tractament que tenen la mateixa finalitat.
En tot cas, com indica el RGPD, si el consentiment es dona en el context d'una declaració escrita que també es refereix a altres assumptes, la sol·licitud de consentiment s’ha de presentar de manera que es distingeixi clarament dels altres assumptes, de manera intel·ligible, de fàcil accés i utilitzant un llenguatge clar i senzill.
Perjudici
Correspon al responsable del tractament provar que la persona té la possibilitat de negar o retirar el consentiment i que això no li representa cap perjudici. Ha de poder demostrar que la persona va fer una elecció lliure i real quan va donar el consentiment i que podia revocar-lo sense por a patir algun tipus de perjudici.
Causar un perjudici també pot derivar d’un engany, d'una coerció o similars.
Finalment, cal assenyalar que un compliment correcte del RGPD i, per tant, de l’obtenció del consentiment, exigeix complir el principi de responsabilitat proactiva i de l’enfocament en el risc. Per tant, ens hem d’allunyar d’un compliment formal i hem de “mirar” des del punt de vista de les persones per establir quina és la millor manera d’obtenir aquest consentiment atenent les circumstàncies de la nostra activitat (naturalesa de la relació jurídica existent amb les persones, forma d’obtenció de les dades, tipologia de dades, etc.).
