Es un hecho que WhatsApp es una de las aplicaciones de mensajería instantánea más popular en todo el mundo. En la actualidad, es usada por casi 3.000 millones de personas. Dado el volumen de usuarios y la relevancia de esta aplicación, es necesario que los mismos conozcan el gran abanico de posibilidades y de herramientas que tienen a su alcance para resolver diferentes situaciones, incluidas actuaciones en materia de protección de datos personales.
De hecho, recientemente, se ha presentado un caso ante la Agencia Española de Protección de Datos (en adelante, AEPD) en el que se ha avalado el ejercicio de un derecho de acceso a través de la aplicación de WhatsApp, uno de los derechos digitales recogidos en los artículos 15 a 22 del Reglamento General de Protección de Datos (en adelante, RGPD) y 13 a 18 de la Ley Orgánica de Protección de Datos y Garantían de los Derechos Digitales (en adelante, LOPDGDD).
En concreto, los hechos se reducen a los siguientes:
- La parte reclamante, tras una serie de problemas con un producto contratado telefónicamente con una gran empresa de telefonía, contactó con el servicio de atención de ésta a través de WhatsApp.
- En el transcurso de la conversación mantenida a través de esta aplicación, la parte reclamante solicitó, en varias ocasiones, que le facilitasen una copia de la grabación de la contratación del producto inicialmente acordado por teléfono, sin que su solicitud haya tenido contestación.
Por su parte, la parte reclamada ha señalado expresamente que no se ha recibido solicitud relativa al ejercicio del derecho de acceso a través de los canales que la entidad tiene específicamente habilitados y publicados para la gestión de los mismos. A consecuencia de esto, la entidad pone de manifiesto que no se ha dado respuesta a esa supuesta solicitud, precisamente porque no ha sido recibida por las vías habilitadas a tales efectos.
Esta ausencia de gestión ha llevado a la AEPD a poner de relieve que esta actuación no permite entender satisfechas las pretensiones de la parte reclamante, razón por la que se ha admitido a trámite esta reclamación.
Hay que tener en cuenta que el específico derecho de acceso aparece determinado en el 13 de la LOPDGDD que dispone que:
“Cuando el responsable trate una gran cantidad de datos relativos al afectado y este ejercite su derecho de acceso sin especificar si se refiere a todos o a una pare de los datos, el responsable podrá solicitarle, antes de facilitar la información, que el afectado especifique los datos o actividades de tratamiento a los que se refiere la solicitud. El derecho de acceso se entenderá otorgado si el responsable del tratamiento facilitara al afectado un sistema de acceso remoto, directo y seguro a los datos personales que garantice, de modo permanente, el acceso a su totalidad. A tales efectos, la comunicación por el responsable al afectado del modo en que este podrá acceder a dicho sistema bastará para tener por atendida la solicitud de ejercicio del derecho”.
Antes de entrar en el fondo del asunto, la AEPD recuerda que la voz también se considera un dato de carácter personal del artículo 4.1. del RGPD y, en consecuencia, el derecho de acceso a la grabación de la voz solicitada por la parte reclamante a través de WhatsApp sí estaría amparado por la normativa vigente en materia de protección de datos.
La clave de esta cuestión se encuentra en lo dispuesto en los artículos 12 del RGPD y 12 de la LOPDGDD, preceptos en los que se recogen los aspectos formales relativos al ejercicio de los derechos. Tales preceptos indican que el responsable del tratamiento tiene la obligación de arbitrar fórmulas y mecanismos para facilitar al interesado el ejercicio de sus derechos, que serán, además, gratuitas. Se infiere de esta estipulación que recae sobre el responsable la prueba del cumplimiento del deber de responder a la solicitud de ejercicio de los derechos formulados por el afectado. La única excepción para no atender esta solicitud se salvaría si se pudiera demostrar que no está la entidad en condiciones de identificar al interesado, singularidad que no concurre en el presente caso.
En concreto, precisa la AEPD que la comunicación que se dirija al interesado, con ocasión de su solicitud, deberá expresarse de forma concisa, transparente, inteligible y de fácil acceso, con un lenguaje claro y sencillo.
Por tanto,la autoridad de controlindica que, en el supuesto aquí analizado, queda acreditado que la parte reclamante ejercitó su derecho de acceso a la grabación de voz del contrato formalizado con la parte reclamada y que, trascurrido el plazo establecido de 30 días, su solicitud no obtuvo la respuesta legalmente exigible. Queda comprobado que la entidad reclamada no ha atendido la solicitud de la parte reclamante ni lo ha acreditado ante la Agencia.
Cabe señalar que, en estos casos, en que la solicitud no se presente mediante el canal facilitado o en la oficina correspondiente, como ocurre en este supuesto, el órgano receptor deberá transmitir la solicitud recibida al Delegado de Protección de Datos asignado o el departamento encargado de la gestión de este tipo de solicitudes.
Asimismo, se deja claro por parte de la AEPD que, aunque es adecuado que dicha solicitud se dirija a la dirección declarada por el responsable, a efectos del ejercicio de los derechos, o a la oficina central, se considera que la recepción de la solicitud por cualquier departamento o sucursal del responsable es destino válido de la misma. Esta estipulación se infiere del artículo 12 de LODPGDD, que dispone que “el responsable del tratamiento estará obligado a informar al afectado sobre los medios a su disposición para ejercer los derechos que le corresponden. Los medios deberán ser fácilmente accesibles para el afectado. El ejercicio del derecho no podrá ser denegado por el solo motivo de optar el afectado por otro medio”.
Finalmente, la AEPD concluye que no puede obviarse la solicitud de la parte reclamante como si no la hubiera planteado, dejándola sin la respuesta obligatoria que deben de emitir los responsables tanto para atender o, por el contrario, como para denegar la solicitud indicando las causas motivadas por las que no procede a considerar el derecho de que se trate.
Por tanto, se infiere de esta resolución que, pese a que el afectado no haya utilizado los canales habilitados y publicados específicamente por el responsable del tratamiento para el ejercicio de los derechos, esto no es óbice para que no se atienda la solicitud de ejercicio formulada a través de cualquier otro departamento de recepción del responsable. La solicitud que se formule obliga, en todo caso, al responsable a dar respuesta expresa, empleando para ello cualquier medio que justifique la recepción de la contestación.
Asimismo, y, paralelamente, de la misma manera que debemos atender una solicitud de ejercicio de derechos a través de, en este caso, WhatsApp, también es preciso que se recuerde cómo debe procederse en cuanto a la identificación y verificación de la persona que ejerce dicho derecho. Para más información sobre esta última cuestión, pulse aquí y aquí.
