Este año me han ocurrido
en dos ocasiones la misma situación. Un amigo ha creado un grupo de whatsapp, ha incluido en él a un montón
de personas (más de 250 en ambos casos) y ha enviado un mensaje inicial de
felicitación de Navidad. Uno de ellos se llama “Año Nuevo” y el otro “Primer
Grupo Navidad 2025”. La finalidad está claramente determinada.
La reacción de los
integrantes ha sido muy respetuosa y se han limitado a felicitar las Navidades
y/o simplemente a salir del grupo. En alguno de ellos se han cruzado mensajes
de “¿quiénes sois?” o algo parecido,
pero no he visto ninguna mala contestación de nadie.
Pero por mi deformación
profesional me he preguntado si será o no legal esta práctica, especialmente a
efectos de protección de datos, pues es evidente que al introducir a una
persona en un grupo de desconocidos, éstos tienen acceso a su número de
teléfono, su nombre de la persona (si tiene identificado el móvil) e incluso a
su foto de perfil si tiene una activa. Es decir, afecta claramente a datos
personales. Pero, ¿es sancionable esto?
Aunque no he entrado a
revisar con profundidad la web de la Agencia Española de Protección de Datos
–exceso de información-, sí he encontrado una resolución antigua que trata la
cuestión y en la que se decide apercibir a un restaurante que creó un grupo de whatsapp para la cena de Navidad en la
que incluyó a todos los comensales que se habían apuntado, la mayoría
desconocidos entre sí, e incluso compartió en el mismo sus nombres completos y
números de teléfono.
La resolución es
interesante porque, a pesar de recoger las obligaciones legales así como enumerar
las infracciones cometidas, concluye que resulta innecesaria la sanción
económica y se limita al apercibimiento para que no vuelva a hacerlo.
Analizando la resolución
–que podéis consultar directamente AQUÍ-, es evidente que la inclusión en un
grupo de whatsapp supone un
tratamiento de datos y que éste requiere el consentimiento previo e inequívoco
del afectado, sin que concurra ninguna de las excepciones establecidas
legalmente. Adicionalmente a ello, al comunicar datos a terceras personas, se
está infringiendo también el deber de secreto profesional que atañe al
responsable del fichero, por lo que se están cometiendo dos infracciones graves
tipificadas en la Ley Orgánica de Protección de Datos Personales.
En definitiva, la
resolución es impecable desde el punto de vista de la enumeración de
obligaciones legales y tipificación de infracción, y además, combina el
criterio legal con el criterio de equidad, al no imponer sanción económica al
restaurante a pesar de reconocer la comisión de dos infracciones graves.
Pero, en el caso que da
origen a esta entrada –los grupos de Navidad para felicitar de una sola vez a
todos los amigos- ¿estaríamos realmente ante un tratamiento de datos personales
sometido a la rigurosa normativa en la materia? ¿es tan profunda la inmisión
del Estado en la vida personal de los ciudadanos que incluso podría afectar a
algo tan simple y tan bienintencionado como esto? Evidentemente, no estamos
ante una empresa ni ante un perseguido interés comercial, sino ante un
particular que “simplifica” sus
felicitaciones navideñas unificándolas en un único mensaje.
No es fácil dar una
respuesta taxativa a esta cuestión porque podría alegarse la no aplicación de
la normativa de protección de datos con fundamento en la llamada “excepción doméstica”. Sobre esto, me
ocupé en su día en un capítulo de la obra colectiva El individuo ante el conflicto entre Poder y Derecho: problemas
contemporáneos, de la que también dimos cuenta en este blog (AQUÍ tenéis la entrada).
La excepción doméstica se
recoge en la actualidad tanto en el Reglamento comunitario que regula la
protección de datos personales (art. 2.c) como en la Ley Orgánica 3/2018, de 5
de diciembre, de protección de datos personales y garantía de los derechos
digitales (art. 2.a). El Reglamento, al que se remite la Ley Orgánica, excluye
de la aplicación de la norma el tratamiento de datos personales efectuado por
una persona física en el ejercicio de actividades exclusivamente personales o
domésticas.
En principio, si el grupo
de whatsapp es creado por una persona
física y no tiene ningún tipo de implicación comercial, podría pensarse que
estaría excluido de la normativa de protección de datos personales por la
excepción doméstica. Sin embargo, si acudimos a la jurisprudencia del Tribunal
de Justicia de la Unión Europea, el tema no estaría tan claro, sobre todo si
tenemos en cuenta que en su Sentencia Lindqvist,
de 6 de noviembre de 2003, rechazó la aplicación de esta excepción al tratarse
de la difusión de datos personales por
internet de modo que resulten accesibles a un grupo indeterminado de personas.
¿Estaríamos en un supuesto de hecho similar? Estaremos atentos a las novedades
que se vayan produciendo al respecto e informaremos por aquí del resultado.
