Tribunal Supremo, Sala de lo Contencioso-administrativo, Sentencia 815/2020, 18 Jun. Rec. 1074/2019 (LA LEY 53347/2020)
El Supremo confirma la sanción impuesta a la empresa titular de una app mediante la cual se gastaban bromas telefónicamente a unas personas, gracias a los datos proporcionados por alguno de sus allegados, los cuales se almacenaban al igual que las alocuciones telefónicas, y en las que sólo al final se informaba al embromado de la posibilidad de oponerse al tratamiento de sus datos personales.
La argumentación de la empresa se basa en que su actividad, de simple intermediación entre personas, tiene carácter particular. Sin embargo, no es esta la cuestión nuclear. Lo realmente definitorio es si el tratamiento de datos se realiza en el ámbito particular o doméstico, para lo que debe analizarse si se realiza por un particular y si la actividad es exclusivamente particular o doméstica. Y ninguna de las dos circunstancias confluyen en esta situación, en la que entra en juego una empresa que ha desarrollado la actividad descrita en el marco de su actividad empresarial o comercial.
Por otro lado, la empresa alega que las grabaciones de voz no son datos de carácter personal, dado que no permiten identificar a la persona. Sin embargo, esto no es así, pues la empresa almacena además de la grabación el número de teléfono, y de este modo, la persona sí es identificable. Además, debe decirse que el tratamiento de los datos no se proyecta solo hacia la empresa, puesto que tales grabaciones son accesibles y descargables por los usuarios de la aplicación que conocen la identidad de los embromados y que han facilitado sus teléfonos sin el consentimiento de los afectados.
Y en relación al consentimiento, debe decirse que no puede considerarse como tal la información que se le ofrece a quien ha sido objeto de la broma la autorización para almacenar sus datos en un fichero de datos. No puede hablarse de un “consentimiento pasivo otorgado de forma negativa” entendido como no oposición a la pregunta sobre el tratamiento de sus datos.
Por otro lado, pondera el Supremo los intereses en juego: por un lado, la protección de datos. Por otro, los intereses comerciales de la empresa responsable de fichero de datos. A este respecto, se aclara que no se trata de comparar ambos intereses, pues una actividad – de cualquier tipo- debe atenerse a la protección de datos.
Por todo ello, el Supremo declara con carácter de doctrina casacional que el tratamiento de datos efectuado por una empresa en el marco de su actividad mercantil no puede considerarse comprendido en el supuesto de exclusión de la protección de datos por tratarse de actividades exclusivamente personales o domésticas, aunque el servicio prestado por la empresa consista en facilitar una relación entre personas físicas; además, una grabación de la voz asociada a otros datos como el número de teléfono o su puesta a disposición de otras personas que pueden identificar a quien pertenece ha de considerarse un dato de carácter personal sujeto a la normativa de protección del tratamiento automatizado de los mismos y en todo caso, los intereses comerciales de una empresa responsable de un fichero de datos han de ceder ante el interés legítimo del titular de los datos en la protección de los mismos.