El interesado que tiene la intención de entablar una relación contractual con un proveedor de servicios suele dar su consentimiento para que se reúnan y almacenen sus datos, pero la validez del consentimiento puede ser a menudo cuestionable. Los contratos de prestación de servicios suelen contener declaraciones normalizadas preformuladas del consentimiento del interesado, redactadas unilateralmente por los proveedores de servicios. 

Según el Tribunal de Justicia de la Unión Europea, los proveedores de servicios tienen la obligación de demostrar que sus clientes han dado activamente su consentimiento al tratamiento de sus datos personales y que fueron informados, de forma inteligible y fácilmente accesible, en un lenguaje claro y sencillo, de las consecuencias de ese consentimiento.  

La semana pasada, el Tribunal de Justicia de la Unión Europea (TJUE) se pronunció en el caso C-61/19 sobre las condiciones para un consentimiento válido al tratamiento de datos personales en virtud de la legislación de protección de datos de la UE (Directiva 95/46/CE sobre protección de datos y el Reglamento General de Protección de Datos 2016/679). Este caso sigue a la anterior sentencia en el asunto C-673/17 Planet49, y es pertinente para confirmar las condiciones de un consentimiento válido en las relaciones contractuales con los consumidores. 

El caso se refería a una controversia a partir de 2018 entre la Autoridad de Protección de Datos de Rumania (la Autoritatea Națională de Supraveghere a Pelucrării Datelor cu Caracter Personal) y Orange Romania SA, un proveedor de servicios de telecomunicaciones móviles.

La Autoridad Rumana de Protección de Datos impuso una sanción administrativa a Orange por una presunta recogida y almacenamiento ilegal de copias de los documentos de identidad de sus clientes. Según la Autoridad Rumana de Protección de Datos, Orange Rumania no había demostrado que sus clientes hubieran dado un consentimiento legalmente efectivo. 

Lo interesante es que el proveedor de servicios mencionó explícitamente en una cláusula contractual preformulada que el cliente había sido informado del procesamiento y almacenamiento de sus documentos con fines de identificación. Además, en anexo a esos contratos había declaraciones de consentimiento, firmadas por los clientes. En otros casos, la existencia del consentimiento de los clientes se había establecido mediante la inserción de cruces en una casilla de verificación. Se pedía a los clientes que se negaban a dar su consentimiento a la fotocopia de sus documentos de identificación que siguieran otros pasos y que confirmaran su negativa en un formulario específico. 

En este contexto, se habían planteado dudas sobre si estas cláusulas contractuales preformuladas sobre el tratamiento de datos podían distinguirse fácilmente del resto del contrato, si el proveedor de servicios había tratado de orientar a sus clientes hacia el comportamiento deseado utilizando el método de los llamados "patrones oscuros" y, por lo tanto, si esto podría haber afectado a la validez de su consentimiento. 

A este respecto, el Tribunal de Justicia de la Unión Europea nos proporciona un importante análisis de los requisitos para obtener un consentimiento válido en virtud del Reglamento sobre la aplicación de la legislación nacional:

- El Tribunal dictaminó que un proveedor de servicios en su calidad de procesador de datos tiene que demostrar que sus clientes han dado su consentimiento válido de manera activa. Así pues, marcar una casilla preseleccionada que se refiere a la recopilación de los datos de los clientes no demuestra que ese cliente haya dado su consentimiento de manera activa y haya disfrutado de un alto grado de autonomía para decidir si da o no su consentimiento. 

- El proveedor de servicios también debe velar por que sus clientes estén informados de todas las circunstancias que rodean el tratamiento de sus datos de manera clara y diferenciada de otras cuestiones contractuales. El cliente "debe poder determinar fácilmente las consecuencias de cualquier consentimiento que pueda dar". 

- Del mismo modo, el proveedor de servicios debe informar a sus clientes en un lenguaje claro y sencillo de que el rechazo a la recopilación y almacenamiento de sus datos personales no hace imposible la celebración del contrato. Por ejemplo, las condiciones contractuales no deben inducir a error a los clientes en cuanto a la existencia del consentimiento como requisito previo para la celebración de un contrato. 

- Exigir a un cliente que declare por escrito que no da su consentimiento a la recopilación y almacenamiento de sus datos personales es una carga demasiado pesada para ese cliente y afecta a su libertad de oponerse a ello. 

El fallo tendrá repercusiones para los proveedores de servicios que obtengan datos basados en cláusulas normalizadas y preformuladas y puede aumentar la protección del consumidor en el ámbito del derecho de los datos. El proveedor de servicios debe poder demostrar en el futuro que sus clientes han dado libremente su consentimiento y que no ha utilizado prácticas engañosas para evaluar un consentimiento válido.