Imagen generada con IA.
La Agencia Española de Protección de Datos (AEPD) ha sancionado con 100.000 euros a Securitas Direct por un motivo que afecta a prácticamente cualquier negocio con clientes: obligar a las personas a llamar a un número de teléfono de tarificación especial (el conocido prefijo 902) para poder ejercer sus derechos de acceso u oposición sobre sus propios datos. El caso es un recordatorio contundente de que el RGPD no solo exige que existan canales para ejercer derechos, sino que esos canales sean realmente gratuitos y accesibles.
El caso: Securitas Direct y el teléfono 902 como único canal para ejercer derechos
El procedimiento se inició a raíz de la queja de una asociación de consumidores, que denunció que los avisos de videovigilancia de Securitas Direct remitían a los interesados a un número de teléfono de pago (902) para ejercer sus derechos de acceso y oposición frente al tratamiento de sus datos. Es decir: una persona que quería saber qué datos tenía la empresa sobre ella, o se oponía a que las cámaras la grabaran, tenía que asumir el coste de una llamada a un número de tarificación especial simplemente para iniciar ese trámite.
La AEPD constató que, aunque la empresa disponía de otros canales gratuitos —como su sitio web—, eso no solucionaba el problema de fondo: el aviso de videovigilancia remitía específicamente a los interesados a ese número 902 para ejercer sus derechos, lo que en la práctica imponía un coste económico directo a quien quisiera ejercerlos y podía disuadir a muchas personas de hacerlo.
Por qué cobrar (o poner trabas) para ejercer un derecho RGPD está prohibido
El artículo 12.2 del RGPD es claro: el responsable del tratamiento debe facilitar el ejercicio de los derechos reconocidos en los artículos 15 a 22 del Reglamento (acceso, rectificación, supresión, oposición, limitación, portabilidad). «Facilitar» no es una expresión decorativa: significa que el ejercicio de esos derechos debe ser, por defecto, gratuito y razonablemente sencillo para el interesado.
Cuando una empresa diseña su proceso de atención de derechos de forma que la única vía indicada al usuario conlleva un coste —ya sea una llamada de pago, un desplazamiento obligatorio a una oficina física sin alternativa, o la exigencia de documentación desproporcionada—, está introduciendo una barrera económica o burocrática al ejercicio de un derecho fundamental. La AEPD lo deja claro en su resolución: el hecho de que existan canales gratuitos alternativos no exime de responsabilidad si el aviso concreto dirige al usuario, de forma específica, hacia la vía de pago. Lo que importa no es que exista en algún lugar una alternativa gratuita, sino qué canal es el que realmente se comunica y se ofrece al interesado en el momento en que necesita actuar.
Además de la multa de 100.000 euros, la AEPD ha impuesto a Securitas Direct una medida correctiva: adaptar, en un plazo de 12 meses, todos los avisos que todavía hagan referencia al número 902 para el ejercicio de derechos.
Qué canales debe ofrecer tu empresa para que un cliente ejerza sus derechos gratis
No es necesario tener un departamento jurídico enorme para cumplir con este requisito. Lo esencial es que el canal indicado al usuario —en la política de privacidad, en los avisos de videovigilancia, en las comunicaciones comerciales— sea gratuito y accesible. Algunas opciones habituales y válidas:
- Una dirección de correo electrónico específica, del tipo protecciondedatos@tuempresa.com, revisada con regularidad.
- Un formulario en la propia página web, siempre que sea fácil de localizar y no exija registrarse o pagar nada para usarlo.
- Una dirección postal, como alternativa para quien prefiera un canal no digital.
- Un número de teléfono de tarificación normal (o gratuito), nunca de tarificación especial, si se opta por ofrecer también esta vía.
Lo importante no es multiplicar canales, sino asegurarse de que el canal que efectivamente se comunica al cliente —el que aparece en el aviso legal, en el cartel de videovigilancia o en el pie de email— no tenga ningún coste añadido ni ninguna traba innecesaria para quien quiere ejercer un derecho tan básico como saber qué datos suyos se están tratando.
Cómo revisar si tu propio canal de atención cumple con el artículo 12 RGPD
Este caso es una buena excusa para hacer una revisión rápida de los propios canales de atención a derechos. Algunas preguntas que conviene hacerse:
- ¿El canal que aparece en mi política de privacidad y en mis avisos (cartelería, emails, contratos) es gratuito para el usuario, sin excepciones?
- ¿Existe algún aviso —físico o digital— que remita específicamente a un teléfono de pago, a una oficina con cita previa obligatoria, o a un trámite que implique coste?
- ¿El personal que recibe estas solicitudes sabe identificarlas y derivarlas al canal correcto, sin pedir documentación desproporcionada?
- ¿Se responde dentro del plazo de un mes que marca el RGPD, independientemente del canal por el que llegue la solicitud?
Si la respuesta a alguna de estas preguntas genera dudas, es el momento de revisar y actualizar los avisos antes de que una reclamación —como la que recibió Securitas Direct— obligue a hacerlo con una sanción de por medio.
¿Quieres comprobar si tus canales de atención a derechos cumplen el RGPD?
En Dataibérica revisamos avisos de privacidad, cartelería de videovigilancia y procesos de atención a clientes para detectar barreras que puedan suponer una infracción del artículo 12 del RGPD. Contacta con nosotros y lo revisamos juntos.
