Circular 1/2023, de 26 de junio, sobre la aplicación del artículo 66.1.b) de la Ley 11/2022, de 28 de junio, General de Telecomunicaciones.

Artículo 1. Objeto. 1. La presente circular tiene por objeto fijar los criterios a que responderá la actuación de la AEPD en relación con el derecho de los usuarios finales de los servicios de comunicaciones interpersonales disponibles al público basados en la numeración a no recibir llamadas no deseadas con fines de comunicación comercial, independientemente del sector al que pertenezca el responsable, salvo que exista consentimiento previo del propio usuario para recibir este tipo de comunicaciones comerciales o salvo que la comunicación pueda ampararse en otra base de legitimación de las previstas en el artículo 6.1 del Reglamento (UE) 2016/679, de conformidad con lo previsto en el artículo 66.1.b) de la Ley 11/2022, de 28 de junio, General de Telecomunicaciones. 2. No son objeto de la presente circular cualesquiera otros tratamientos de datos personales, distintos a los necesarios para la realización de la llamada con fines de comunicación comercial, que puedan realizarse por el responsable vinculados a la misma finalidad comercial, como puedan ser los relacionados con la obtención de datos de contacto procedentes de terceros, el posible perfilado de los contactos y su segmentación, el enriquecimiento de datos con, entre otros, las respuestas que esté dando el cliente o su posible grabación con estos fines, los cuales requerirán contar con la correspondiente base legitimadora conforme al artículo 6.1. del Reglamento (UE) 2016/679 y cumplir con todos los principios y obligaciones que la normativa sobre protección de datos personales establece. Tampoco es objeto de la presente circular el derecho de los usuarios a no recibir llamadas automáticas sin intervención humana o mensajes de fax, con fines de comunicación comercial sin haber prestado su consentimiento previo para ello, previsto en el artículo 66.1.a) de la Ley 11/2022, de 28 de junio, General de Telecomunicaciones.

Artículo 2. Consentimiento de los usuarios finales. El consentimiento de los usuarios finales deberá haber sido prestado de acuerdo con las previsiones del Reglamento (UE) 2016/679 y de la Ley Orgánica 3/2018, de 5 de diciembre. No podrán realizarse llamadas comerciales a números generados de forma aleatoria sin el consentimiento previo del usuario. Las llamadas a los usuarios que figuren en las guías de abonados requerirán que hayan prestado su consentimiento específico previo para que sus datos puedan ser usados con fines comerciales, debiendo constar expresamente dicho consentimiento, con carácter general, en las correspondientes guías.

Artículo 3. Interés legítimo del responsable o de terceros. En virtud de la remisión contenida en el artículo 66.1.b) de la Ley 11/2022, de 28 de junio, a las bases de legitimación del artículo 6.1 del Reglamento (UE) 2016/679, será lícito el tratamiento de los datos personales de los usuarios finales si es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño, de conformidad con la letra f) del citado artículo 6.1 del Reglamento (UE) 2016/679. El responsable del tratamiento deberá realizar, con carácter previo al inicio del tratamiento y atendiendo a las distintas categorías de afectados, la correspondiente ponderación de los derechos e intereses en conflicto. En caso de ser requerido, el responsable deberá justificar la correspondiente ponderación ante la Agencia Española de Protección de Datos y, en su caso, ante los organismos de supervisión o de resolución de controversias previstos en los códigos de conducta que sean aplicables por razón de la materia. La AEPD presumirá, salvo prueba en contrario, que el tratamiento es lícito cuando exista una relación contractual previa, siempre que el responsable hubiera obtenido de forma lícita los datos de contacto del destinatario y los empleara para comunicaciones comerciales referentes a productos o servicios de su propia empresa que sean similares a los que inicialmente fueron objeto de contratación con el cliente. Esta presunción no ampara la comunicación de los datos personales a otras entidades pertenecientes al mismo grupo empresarial con fines de comunicación comercial, siendo necesario el consentimiento específico previo del usuario. La AEPD no presumirá en el marco de esta ponderación, salvo prueba en contrario, la existencia de expectativa razonable de los interesados en aquellos casos en los que no exista relación contractual vigente, solicitud o interacción previa y realizada durante el último año por parte del interesado con el responsable que pretenda realizar la acción comercial, particularmente cuanto este tratamiento suponga una pérdida de control del interesado sobre sus datos. En todo caso, deberá cumplirse el deber de transparencia, conforme a los artículos 13 y 14 del Reglamento (UE) 2016/679 y facilitarse el ejercicio del derecho de oposición que será mencionado explícitamente al interesado, a más tardar, en la primera comunicación, de acuerdo con el artículo 21.4 del citado reglamento.

Artículo 4. Consulta de los sistemas de exclusión publicitaria. Deberán consultarse previamente los sistemas de exclusión publicitaria, en los casos y términos previstos en el artículo 23 de la Ley Orgánica 3/2018, de 5 de diciembre.

Artículo 5. Tratamiento de datos de contacto, de empresarios individuales y de profesionales liberales. Se presumirá lícito el tratamiento de los datos de las personas físicas que presten servicios en una persona jurídica, empresarios individuales y profesionales liberales, en los casos y términos previstos en el artículo 19 de Ley Orgánica 3/2018, de 5 de diciembre.

Artículo 6. Otras garantías adicionales. Para el adecuado cumplimiento de los principios de lealtad y transparencia, así como del principio de responsabilidad proactiva, contemplados en el artículo 5 del Reglamento (UE) 2016/679, según el criterio de esta Agencia, deberán adoptarse garantías adicionales, entre las que se encuentran las siguientes: a) Al inicio de cada llamada, informar sobre la identidad del empresario, y si procede, la identidad de la persona por cuenta de la cual se efectúa la llamada, indicar la finalidad comercial de la misma e informar sobre la posibilidad de revocar el consentimiento o ejercer el derecho de oposición a recibir llamadas comerciales no deseadas. b) Cualquier manifestación inequívoca del usuario contraria a la recepción de dichas llamadas deberá entenderse como revocación del consentimiento o, en su caso, ejercicio del derecho de oposición, debiendo atenderse inmediatamente. c) La grabación de la llamada como medio de demostrar el cumplimiento de la normativa sobre protección de datos personales.

[preambulo] La Ley 11/2022, de 28 de junio, General de Telecomunicaciones, publicada en el «Boletín Oficial del Estado» de 29 de junio de 2022, dedica el apartado 1 de su artículo 66 a regular el derecho de los usuarios finales a la protección de datos personales y la privacidad en relación con las comunicaciones no solicitadas, incluyendo en su letra b) el derecho a no recibir llamadas no deseadas, con las excepciones que el mismo precepto contempla: 1. Respecto a la protección de datos personales y la privacidad en relación con las comunicaciones no solicitadas los usuarios finales de los servicios de comunicaciones interpersonales disponibles al público basados en la numeración tendrán los siguientes derechos: […] b) a no recibir llamadas no deseadas con fines de comunicación comercial, salvo que exista consentimiento previo del propio usuario para recibir este tipo de comunicaciones comerciales o salvo que la comunicación pueda ampararse en otra base de legitimación de las previstas en el artículo 6.1 del Reglamento (UE) 2016/679 de tratamiento de datos personales. Dicha regulación se completa con la previsión respecto de su entrada en vigor, que se contiene en el apartado segundo de la disposición final sexta: 2. El derecho de los usuarios finales a no recibir llamadas no deseadas con fines de comunicación comercial contemplado en el artículo 66.1.b) entrará en vigor en el plazo de un año a contar desde la publicación de la presente ley en el «Boletín Oficial del Estado». Hasta ese momento, los usuarios finales de los servicios de comunicaciones interpersonales disponibles al público basados en la numeración podrán seguir ejercitando el derecho a oponerse a recibir llamadas no deseadas con fines de comunicación comercial que se efectúen mediante sistemas distintos de los establecidos en el artículo 66.1.a) y a ser informados de este derecho. Esta nueva regulación implica un cambio sustancial respecto del régimen jurídico aplicable bajo la vigencia de la derogada Ley 9/2014, de 9 de mayo, General de Telecomunicaciones, cuyo artículo 48.1.b. reconocía a los usuarios finales el derecho «a oponerse a recibir llamadas no deseadas con fines de comunicación comercial que se efectúen mediante sistemas distintos de los establecidos en la letra anterior y a ser informado de este derecho», haciendo primar el derecho de los usuarios finales a no recibir dichas llamadas y la consiguiente obligación de los responsables de no realizarlas, salvo que acrediten la concurrencia de alguna de las excepciones contempladas en la norma que, dado su carácter excepcional, deben ser objeto de interpretación restrictiva. Como consecuencia de las dudas suscitadas respecto de la interpretación del nuevo artículo 66.1.b) de la vigente Ley General de Telecomunicaciones, a petición de la Directora de la Agencia Española de Protección de Datos, el Gabinete Jurídico emitió el informe 40/2022 en el que, atendiendo a que el citado artículo no ha limitado exclusivamente la realización de las llamadas con fines de comunicación comercial al previo consentimiento de los usuarios finales, sino que ha incluido la posibilidad de que puedan ampararse en otras bases jurídicas del artículo 6.1. del RGPD, concluía que el precepto admite, como base legitimadora, además del consentimiento, el interés legítimo, recomendando que, ante las dudas suscitadas y con la finalidad de contribuir a la seguridad jurídica, se aprobara una circular. Con la finalidad de fijar los criterios a los que responderá la actuación de esta autoridad en la aplicación de la normativa sobre protección de datos de carácter personal, la presente circular delimita su ámbito de aplicación, referido al derecho de los usuarios finales de los servicios de comunicaciones interpersonales disponibles al público basados en la numeración a no recibir llamadas no deseadas con fines de comunicación comercial contemplado en el artículo 66.1.b) de la Ley 11/2022, de 28 de junio, General de Telecomunicaciones, el cual resulta de aplicación a todos los responsables del tratamiento que realicen llamadas comerciales, con independencia del sector al que pertenezcan, al tratarse de una normativa referida a los derechos de los consumidores y usuarios que se aplica de manera general a cualquier empresa o empresario que utilice aquellos servicios y no solamente a las compañías operadoras en el sector. Asimismo, se procede a concretar las bases jurídicas aplicables al tratamiento de los datos personales conforme al artículo 6.1. del Reglamento (UE) 2016/679, que según el criterio de esta Agencia quedarían limitadas, además de al consentimiento del afectado, al interés legítimo previsto en su letra f), al no resultar de aplicación, conforme a reiterada doctrina de esta Agencia, la base contractual de la letra b) por tratarse de tratamientos que no son necesarios para la ejecución del contrato, ni concurrir los demás supuestos contemplados en dicho precepto. En relación con la base jurídica del interés legítimo, se considera necesario establecer criterios que faciliten la realización de la ponderación por el responsable teniendo en cuenta la finalidad restrictiva de la nueva regulación, estableciéndose una presunción iuris tantum de prevalencia del interés legítimo del responsable que operará en los supuestos en los que se cumplan los requisitos contenidos en la misma, y que se corresponden con los contemplados en el artículo 21.2 de la Ley 34/2002, de 11 de julio, de servicios de la sociedad de la información y de comercio electrónico, al existir identidad de razón. La ausencia de alguno de los requisitos señalados impedirá que opere la citada presunción. Asimismo, se especifica que dicha presunción no ampara la comunicación de los datos personales a otras empresas del grupo con fines comerciales, al requerir este tratamiento el consentimiento específico previo del usuario. Por otro lado, se especifica que la nueva regulación introducida por el artículo 66.1.b) de la Ley 11/2022, de 28 de junio ha venido a poner fin a la práctica generalizada de realizar llamadas comerciales a números generados de forma aleatoria sin el consentimiento previo del usuario, al no poder valorarse en estos supuestos, dada la ausencia de otros datos personales, la posible prevalencia de los intereses, derechos y libertades de los afectados. Asimismo, se especifica que los números de teléfono obrantes en las guías de abonados únicamente podrán utilizarse respecto de aquellos abonados que hayan prestado su consentimiento expreso para su uso con fines comerciales lo que deberá figurar, con carácter general, en las correspondientes guías. Tratándose de números correspondientes a personas físicas que presten servicios en personas jurídicas o de empresarios individuales y de profesionales liberales que puedan figurar en dichas guías o en otros instrumentos similares, operará la presunción contenida en el artículo 19 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales en cuanto se refiera a la oferta de productos y servicios relacionados con la actividad profesional o empresarial y no se trate de entablar relación en cuanto tales personas físicas. Por último, se identifican otras garantías específicas que, según el criterio de esta Agencia, contribuyen a reforzar la licitud del tratamiento, referidas al deber de informar y a la forma de retirar el consentimiento o ejercer el derecho de oposición, incluida la grabación de las llamadas conforme al principio de responsabilidad proactiva como forma de acreditar el cumplimiento de los requisitos establecidos en la presente circular. Por ello y de conformidad con lo dispuesto en los artículos 48.1 y 55 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales y en el artículo 6 del Real Decreto 389/2021, de 1 de junio, por el que se aprueba el Estatuto de la Agencia Española de Protección de Datos, de acuerdo con el Consejo de Estado, dispongo: Artículo 1 Artículo 1. Objeto. 1. La presente circular tiene por objeto fijar los criterios a que responderá la actuación de la AEPD en relación con el derecho de los usuarios finales de los servicios de comunicaciones interpersonales disponibles al público basados en la numeración a no recibir llamadas no deseadas con fines de comunicación comercial, independientemente del sector al que pertenezca el responsable, salvo que exista consentimiento previo del propio usuario para recibir este tipo de comunicaciones comerciales o salvo que la comunicación pueda ampararse en otra base de legitimación de las previstas en el artículo 6.1 del Reglamento (UE) 2016/679, de conformidad con lo previsto en el artículo 66.1.b) de la Ley 11/2022, de 28 de junio, General de Telecomunicaciones. 2. No son objeto de la presente circular cualesquiera otros tratamientos de datos personales, distintos a los necesarios para la realización de la llamada con fines de comunicación comercial, que puedan realizarse por el responsable vinculados a la misma finalidad comercial, como puedan ser los relacionados con la obtención de datos de contacto procedentes de terceros, el posible perfilado de los contactos y su segmentación, el enriquecimiento de datos con, entre otros, las respuestas que esté dando el cliente o su posible grabación con estos fines, los cuales requerirán contar con la correspondiente base legitimadora conforme al artículo 6.1. del Reglamento (UE) 2016/679 y cumplir con todos los principios y obligaciones que la normativa sobre protección de datos personales establece. Tampoco es objeto de la presente circular el derecho de los usuarios a no recibir llamadas automáticas sin intervención humana o mensajes de fax, con fines de comunicación comercial sin haber prestado su consentimiento previo para ello, previsto en el artículo 66.1.a) de la Ley 11/2022, de 28 de junio, General de Telecomunicaciones. Artículo 2 Artículo 2. Consentimiento de los usuarios finales. El consentimiento de los usuarios finales deberá haber sido prestado de acuerdo con las previsiones del Reglamento (UE) 2016/679 y de la Ley Orgánica 3/2018, de 5 de diciembre. No podrán realizarse llamadas comerciales a números generados de forma aleatoria sin el consentimiento previo del usuario. Las llamadas a los usuarios que figuren en las guías de abonados requerirán que hayan prestado su consentimiento específico previo para que sus datos puedan ser usados con fines comerciales, debiendo constar expresamente dicho consentimiento, con carácter general, en las correspondientes guías. Artículo 3 Artículo 3. Interés legítimo del responsable o de terceros. En virtud de la remisión contenida en el artículo 66.1.b) de la Ley 11/2022, de 28 de junio, a las bases de legitimación del artículo 6.1 del Reglamento (UE) 2016/679, será lícito el tratamiento de los datos personales de los usuarios finales si es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño, de conformidad con la letra f) del citado artículo 6.1 del Reglamento (UE) 2016/679. El responsable del tratamiento deberá realizar, con carácter previo al inicio del tratamiento y atendiendo a las distintas categorías de afectados, la correspondiente ponderación de los derechos e intereses en conflicto. En caso de ser requerido, el responsable deberá justificar la correspondiente ponderación ante la Agencia Española de Protección de Datos y, en su caso, ante los organismos de supervisión o de resolución de controversias previstos en los códigos de conducta que sean aplicables por razón de la materia. La AEPD presumirá, salvo prueba en contrario, que el tratamiento es lícito cuando exista una relación contractual previa, siempre que el responsable hubiera obtenido de forma lícita los datos de contacto del destinatario y los empleara para comunicaciones comerciales referentes a productos o servicios de su propia empresa que sean similares a los que inicialmente fueron objeto de contratación con el cliente. Esta presunción no ampara la comunicación de los datos personales a otras entidades pertenecientes al mismo grupo empresarial con fines de comunicación comercial, siendo necesario el consentimiento específico previo del usuario. La AEPD no presumirá en el marco de esta ponderación, salvo prueba en contrario, la existencia de expectativa razonable de los interesados en aquellos casos en los que no exista relación contractual vigente, solicitud o interacción previa y realizada durante el último año por parte del interesado con el responsable que pretenda realizar la acción comercial, particularmente cuanto este tratamiento suponga una pérdida de control del interesado sobre sus datos. En todo caso, deberá cumplirse el deber de transparencia, conforme a los artículos 13 y 14 del Reglamento (UE) 2016/679 y facilitarse el ejercicio del derecho de oposición que será mencionado explícitamente al interesado, a más tardar, en la primera comunicación, de acuerdo con el artículo 21.4 del citado reglamento. Artículo 4 Artículo 4. Consulta de los sistemas de exclusión publicitaria. Deberán consultarse previamente los sistemas de exclusión publicitaria, en los casos y términos previstos en el artículo 23 de la Ley Orgánica 3/2018, de 5 de diciembre. Artículo 5 Artículo 5. Tratamiento de datos de contacto, de empresarios individuales y de profesionales liberales. Se presumirá lícito el tratamiento de los datos de las personas físicas que presten servicios en una persona jurídica, empresarios individuales y profesionales liberales, en los casos y términos previstos en el artículo 19 de Ley Orgánica 3/2018, de 5 de diciembre. Artículo 6 Artículo 6. Otras garantías adicionales. Para el adecuado cumplimiento de los principios de lealtad y transparencia, así como del principio de responsabilidad proactiva, contemplados en el artículo 5 del Reglamento (UE) 2016/679, según el criterio de esta Agencia, deberán adoptarse garantías adicionales, entre las que se encuentran las siguientes: a) Al inicio de cada llamada, informar sobre la identidad del empresario, y si procede, la identidad de la persona por cuenta de la cual se efectúa la llamada, indicar la finalidad comercial de la misma e informar sobre la posibilidad de revocar el consentimiento o ejercer el derecho de oposición a recibir llamadas comerciales no deseadas. b) Cualquier manifestación inequívoca del usuario contraria a la recepción de dichas llamadas deberá entenderse como revocación del consentimiento o, en su caso, ejercicio del derecho de oposición, debiendo atenderse inmediatamente. c) La grabación de la llamada como medio de demostrar el cumplimiento de la normativa sobre protección de datos personales. Disposición final Disposición final. Entrada en vigor. La presente circular entrará en vigor el día siguiente al de su publicación en el «Boletín Oficial del Estado». [firma] Madrid, 26 de junio de 2023.–La Directora de la Agencia Española de Protección de Datos, Mar España Martí.

Disposición final. Entrada en vigor. La presente circular entrará en vigor el día siguiente al de su publicación en el «Boletín Oficial del Estado».