Agencia Estatal Boletín Oficial del Estado

La Comisión Permanente del Consejo de Estado, en sesión celebrada el día 22 de junio de 2023, emitió, por unanimidad, el siguiente dictamen:

"Por Orden de V. E. de fecha 5 de junio de 2023, con registro de entrada el día 6 siguiente, el Consejo de Estado ha examinado el expediente relativo al Proyecto de Circular de la Agencia Española de Protección de Datos, sobre la aplicación del artículo 66.1.b) de la Ley 11/2022, de 28 de junio, General de Telecomunicaciones.

De antecedentes resulta:

Primero.- Se somete a consulta un proyecto de Circular de la Agencia Española de Protección de Datos, sobre la aplicación del artículo 66.1.b) de la Ley 11/2022, de 28 de junio, General de Telecomunicaciones, del que obran en el expediente tres versiones. La versión que se somete a consulta consta de un preámbulo, seis artículos y una disposición final.

El artículo 1 se refiere al ámbito objetivo de la circular; el artículo 2, al consentimiento de los usuarios finales; el artículo 3, al interés legítimo del responsable o de terceros; el artículo 4, a la consulta a los sistemas de exclusión publicitaria; el artículo 5, al tratamiento de datos de contacto, de empresarios individuales y de profesionales liberales; y el artículo 6 a otras garantías adicionales. La disposición final establece la entrada en vigor, que fija en el día siguiente al de su publicación en el "Boletín Oficial del Estado".

Segundo.- El proyecto se acompaña de una Memoria del Análisis de Impacto Normativo, fechada el 26 de mayo de 2023, que comienza con un resumen ejecutivo, una justificación del carácter abreviado de la Memoria y una referencia a la base jurídica y rango del proyecto normativo. En este punto, hace referencia a los artículos 48.1 y 55 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPD), al artículo 6 del Real Decreto 389/2021, de 1 de junio, por el que se aprueba el Estatuto de la Agencia Española de Protección de Datos (en adelante EAEPD), en relación con su disposición transitoria primera, y todo ello puesto en conexión con el artículo 114 de la Ley 11/2022, de 28 de junio, General de Telecomunicaciones (en adelante, LGTC), que atribuye competencia sancionadora a la Agencia Española de Protección de Datos (AEPD), en el caso de determinadas infracciones cuando se vulneren los derechos de los usuarios finales sobre protección de datos y privacidad reconocidos en el artículo 66.

A continuación, se incluye una breve descripción del contenido y de la tramitación de la propuesta normativa. Señala que no se ha sustanciado el trámite de consulta pública al regular aspectos parciales de una materia, que se ha dado audiencia a las principales asociaciones y organizaciones representativas de los intereses afectados, que se ha realizado el trámite de información pública del 26 de abril al 22 de mayo de 2023 y que se ha dado audiencia al Ministerio de Economía y Transformación Digital.

Sobre la oportunidad de la norma, se detiene en la motivación, los objetivos y las alternativas. En relación con lo primero, señala que la LGTC ha incorporado al ordenamiento interno la Directiva (UE) 2018/1972 (del Parlamento Europeo y del Consejo, de 11 de diciembre de 2018, por la que se establece el Código Europeo de las Comunicaciones Electrónicas), introduciendo reformas estructurales en el régimen jurídico de las telecomunicaciones, con distintos fines, entre los que se encuentra el de mejorar la protección de los derechos de los usuarios; para ello, dedica el apartado 1 de su artículo 66 a regular el derecho de los usuarios finales a la protección de datos personales y la privacidad en relación con las comunicaciones no solicitadas, incluyendo en su letra b) el derecho a no recibir llamadas no deseadas, con las excepciones que el mismo precepto contempla. Esta nueva regulación implica un cambio sustancial respecto del régimen previsto en la anterior Ley 9/2014, de 9 de mayo, General de Telecomunicaciones, cuyo artículo 48.1.b) reconocía a los usuarios finales el derecho "a oponerse a recibir llamadas no deseadas con fines de comunicación comercial" y a ser informados de ese derecho.

Como consecuencia de las dudas suscitadas respecto de la interpretación del nuevo artículo 66.1.b) de la LGTC, en cuanto ha incluido la posibilidad de que la realización de llamadas con fines de comunicación comercial puedan ampararse en otras bases jurídicas del artículo 6.1 del Reglamento (UE) 2016/679 el Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (en adelante, RGPD), el Gabinete Jurídico emitió un informe en el que recomendaba que se aprobara una circular, para contribuir a la seguridad jurídica.

Como objetivos, menciona el de contribuir a la seguridad jurídica, resolviendo las dudas suscitadas en la interpretación del artículo 66.1.b) de la LGTC y fijando los criterios a los que responderá la actuación de la AEPD en la aplicación de la normativa sobre protección de datos de carácter personal, singularmente en cuanto a la aplicación de la base jurídica del interés legítimo contemplada en el artículo 6.1 del RGPD. Se añade que, dado el carácter novedoso de la regulación y ante la ausencia de criterios interpretativos por parte de la AEPD "no hay alternativa posible".

En materia de impactos, considera que el proyecto carece de impacto presupuestario y no conlleva incremento de gastos públicos o disminución de ingresos públicos; que tiene un impacto por razón de género nulo; y que tiene impacto nulo en la infancia, en la adolescencia y en la familia. A ello se añade una referencia anterior a que del proyecto no se deriva impacto alguno sobre la economía en general ni se producen efectos significativos sobre la competencia, ni afecta a las cargas administrativas.

La Memoria incluye un anexo en el que se sintetizan las observaciones recibidas en el trámite de audiencia.

Tercero.- Se han incorporado al expediente informes de los siguientes órganos de la AEPD:

a) Un primer informe del Gabinete Jurídico de la AEPD, firmado por el abogado del Estado jefe.

b) Informe de la Subdirección General de Inspección de Datos de la AEPD.

c) Informe de la Subdirección General de Promoción y Autorizaciones de la AEPD.

d) Informe de la División de Relaciones Internacionales de la AEPD.

e) Informe de la División de Innovación Tecnológica de la AEPD.

Cuarto.- En trámite de audiencia se han recibido observaciones de distintas personas y entidades, incluyendo FACUA, ASEDIE, Picón & Asociados Abogados, J. F., G. M. A., H. D., ASNEF, Legal TcT, Alemany & Asociados, Abogados y Economistas, Anexa Smart Center, Grupo DKV, Vodafone España, S. A. U., AEERC, ASOTEM, Orange España, S. A. U., Xfera Móviles, S. A., APEP y G.O.M.

Quinto.- Se ha incorporado al expediente informe de la Secretaría General de Telecomunicaciones y Ordenación de los Servicios de Comunicación Audiovisual.

Sexto.- Se ha incorporado al expediente un segundo informe del Gabinete Jurídico de la AEPD en el que se hace un análisis detallado de los distintos criterios recogidos a lo largo del articulado de la circular, atendiendo en particular a las dudas puestas de manifiesto en los diversos escritos recibidos en el trámite de audiencia.

Séptimo.- Ya el expediente en el Consejo de Estado, ha sido completado mediante la remisión íntegra de algunos de los escritos presentados en trámite de audiencia (que inicialmente solo habían sido parcialmente remitidos). Además, se ha recibido una nueva orden de remisión, fechada el 12 de junio y con entrada en registro el siguiente día 19, en la que se corrige la redacción, tanto en cuanto al órgano del que se recaba el dictamen (la Comisión Permanente y no el Pleno del Consejo de Estado), como en cuanto al precepto en que se ampara la consulta (el artículo 22 y no el 21.11 de la Ley Orgánica 3/1980, de 22 de abril, del Consejo de Estado).

En tal estado de tramitación, el Consejo de Estado emite el presente dictamen.

I. Objeto y procedimiento

La presente consulta tiene por objeto un proyecto de Circular de la Agencia Española de Protección de Datos, sobre la aplicación del artículo 66.1.b) de la Ley 11/2022, de 28 de junio, General de Telecomunicaciones (en adelante, el Proyecto). Se trata de una circular que se dicta al amparo de lo dispuesto en los artículos 48.1 y 55 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDD).

El presente dictamen se emite de acuerdo con lo previsto en el artículo 22.3 de la Ley Orgánica 3/1980, de 22 de abril, del Consejo de Estado, que impone la consulta a su Comisión Permanente en relación con los reglamentos o disposiciones de carácter general que se dicten en ejecución de las leyes, así como sus modificaciones. Aunque la orden de remisión inicial hacía referencia al Pleno del Consejo de Estado y al artículo 21.11 de su ley orgánica, la recibida el día 19 de junio corrige ambos extremos.

El carácter urgente con el que se recaba el presente dictamen deriva de la próxima entrada en vigor del 66.1.b) de la Ley 11/2022, de 28 de junio, General de Telecomunicaciones, prevista para el 29 de junio de 2023, y de las dudas que su aplicación ha suscitado en los sectores afectados, con la finalidad de clarificar los criterios interpretativos que aplicará en esta materia la AEPD. A juicio del Consejo de Estado, ello no justifica suficientemente la urgencia con que se recaba el dictamen. En primer lugar, porque, publicada la LGTC el 22 de junio de 2022, ha habido tiempo más que suficiente para tramitar una circular en relación con su artículo 66.1.b), sin urgencia alguna (lo que hubiera podido hacerse sin dificultad adelantando el comienzo de su tramitación). En segundo término, porque el objeto de la circular radica en fijar los criterios a que responderá la actuación de la AEPD en esta concreta cuestión (cuestión sobre la que después se volverá), por lo que no resulta imprescindible esa aprobación de la circular con carácter previo a la entrada en vigor del citado artículo 66.1.b) de la LGTC. En fin, sobre lo anterior, ha de tenerse en cuenta el carácter excepcional que las declaraciones de urgencia han de tener.

El procedimiento para la aprobación de las circulares de la AEPD está recogido en el artículo 6 del Estatuto de la Agencia Española de Protección de Datos, aprobado por el Real Decreto 389/2021, de 1 de junio (EAPD). Se trata de un procedimiento regulado al amparo de la habilitación contenida en el artículo 55.2 de la LOPDD (que prevé que la elaboración de las circulares de la AEPD "se sujetará al procedimiento establecido en el Estatuto de la Agencia Española de Protección de Datos, que deberá prever los informes técnicos y jurídicos que fueran necesarios y la audiencia a los interesados"). En relación con esta tramitación, el Consejo de Estado abordó, en el dictamen número 683/2020, de 11 de febrero de 2021 (sobre el EAEPD, en fase de proyecto), la cuestión de si en la elaboración de las circulares de la AEPD debían aplicarse, por una parte, las reglas procedimentales contenidas en la Ley 50/1997, de 27 de noviembre, del Gobierno y, por otra, las recogidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas. Lo primero se descartó, por las razones que allí se exponían (básicamente, por entender que las disposiciones del título V de la Ley del Gobierno no son aplicables al ejercicio de la potestad normativa de las llamadas autoridades administrativas independientes, pues aquel se refiere a la iniciativa legislativa y la potestad reglamentaria del Gobierno y de sus miembros); pero no así lo segundo, de forma que en el ejercicio de la potestad regulatoria de la AEPD deben tenerse en cuenta los principios de buena regulación consagrados en el artículo 129 de la Ley 39/2015 (necesidad, eficacia, proporcionalidad, seguridad jurídica, transparencia, y eficiencia), o las disposiciones de sus artículos 130 y 133 sobre los trámites de evaluación normativa, consulta previa y audiencia e información pública. Se trata, en suma, de una garantía procedimental fundamental a la luz de la sensibilidad de la materia sobre la que aquellas potestades se ejercen, de forma que el Consejo de Estado viene insistiendo en la relevancia de garantizar que las autoridades administrativas independientes cumplan las normas de procedimiento (vid., a título de ejemplo, en relación con la potestad de dictar circulares del Banco de España, el dictamen número 726/2019, de 3 de octubre; en relación con la CNMV, el dictamen número 745/2019, de 17 de octubre; o, en relación con la CNMC, el dictamen número 823/2019, de 7 de noviembre, entre otros).

Así las cosas, y según se desprende de la información incorporada al expediente, el texto inicial del proyecto fue elaborado por el Gabinete Jurídico, a instancia de la directora de la AEPD, sobre la base de un informe del propio Gabinete Jurídico (Informe 40/2023); al texto inicial se acompañaba una Memoria que se ha ido actualizando con la evolución del Proyecto, con el contenido que queda reflejado en el antecedente segundo del presente dictamen. Figuran en el expediente un informe técnico de la Subdirección General de Inspección de Datos, en el que se pone de manifiesto la necesidad de una circular como la proyectada. También han emitido informe la Subdirección General de Promoción y Autorizaciones, la División de Relaciones Internacionales y la División de Innovación Tecnológica. Se ha dado trámite de audiencia e información pública (con el resultado que se recoge en el antecedente cuarto del presente dictamen) y se ha recabado el informe de la Secretaría General de Telecomunicaciones y Ordenación de los Servicios de Comunicación Audiovisual del Ministerio de Asuntos Económicos y Transformación Digital, al afectar a sus competencias, dado el objeto de la circular proyectada (centrada en el artículo 66.1.b) de la LGTC). Finalmente, se ha incorporado al expediente un segundo informe del Gabinete Jurídico de la AEPD (Informe 52/2023).

No se ha sustanciado el trámite de consulta pública, lo que se justifica en la Memoria por el hecho de regular aspectos parciales de una materia (en línea con lo que el Consejo de Estado apuntaba que podía suceder con no poca frecuencia, en el citado dictamen número 683/2020).

A la vista de ello, entiende el Consejo de Estado que se han cumplido los trámites esenciales previstos al efecto en el artículo 6 del EAEPD.

No obstante, quiera llamarse la atención sobre el hecho de que no se ha dejado constancia expresa, en función de lo previsto en los apartados 6 y 7 del EAEPD, de la elevación a la Adjuntía a la Presidencia, a efectos de que pudiera solicitar que se complete el expediente, y a la propia Presidencia de la AEPD (que podría solicitar otros informes), de lo que, con carácter general, debe dejarse constancia expresa en el expediente, con independencia de que dichos órganos soliciten o no esos otros trámites o informes.

Por lo demás, cabría poner en cuestión lo que se afirma en la Memoria sobre la inexistencia de alternativas a la regulación proyectada (lo que se apoya en el carácter novedoso de la regulación y ante la ausencia de criterios interpretativos por parte de la AEPD), lo que hubiera aconsejado mayor justificación, en función de los instrumentos de que la AEPD dispone. Asimismo, la afirmación de que no afecta a las cargas administrativas podría ser cuestionado a la vista de las previsiones que el Proyecto incluye, si bien la cuestión puede quedar solventada en función de las observaciones que después se harán en relación con el texto sometido a consulta.

II. Marco normativo

La referencia al marco normativo en el que se desenvuelve la circular proyectada requiere una doble perspectiva: de un lado, ha de tenerse en cuenta la legislación de telecomunicaciones a que se refiere el Proyecto y, de otro, la legislación sobre protección de datos en que se desenvuelve el mismo.

A) Telecomunicaciones

Desde el primero de los puntos de vista indicados, y en línea con lo que recoge el informe de la Secretaría General de Telecomunicaciones y Ordenación Audiovisual, ha de tenerse en cuenta que, hasta la aprobación de la vigente Ley 11/2022, de 28 de junio, General de Telecomunicaciones (LGTC), el derecho a la protección de datos personales y la privacidad en relación con las comunicaciones no solicitadas estaba regulado en el artículo 48.1 de la Ley 9/2014, de 9 de mayo, ya derogada. Dicho artículo establecía un régimen "opt-in" (consentimiento) para las comunicaciones comerciales realizadas mediante llamadas automáticas sin intervención humana o mensajes de fax (apartado 1.a), en contraste con el régimen "opt-out" (derecho de oposición) previsto para las que se realizaran mediante sistemas distintos (apartado 1.b). Ese régimen de "opt-out", por el que se reconocía a los usuarios finales un derecho de oposición a recibir llamadas con fines de comunicación comercial, se mantenía inalterado en el proyecto de lo que luego sería la LGTC que fue remitido por el Gobierno a las Cortes Generales. Sin embargo, durante su tramitación parlamentaria se sustituyó ese régimen de "opt-out" (derecho de oposición) por un régimen de "opt-in", basado en el consentimiento; además, a la base legitimadora del consentimiento se añadió la referencia a las bases de legitimación contenidas en el artículo 6.1 del Reglamento (UE) 2016/679 de tratamiento de datos personales (RGPD).

De este modo, el artículo 66.1.b) de la vigente LGTC dispone:

"1. Respecto a la protección de datos personales y la privacidad en relación con las comunicaciones no solicitadas los usuarios finales de los servicios de comunicaciones interpersonales disponibles al público basados en la numeración tendrán los siguientes derechos:

a) a no recibir llamadas automáticas sin intervención humana o mensajes de fax, con fines de comunicación comercial sin haber prestado su consentimiento previo para ello;

b) a no recibir llamadas no deseadas con fines de comunicación comercial, salvo que exista consentimiento previo del propio usuario para recibir este tipo de comunicaciones comerciales o salvo que la comunicación pueda ampararse en otra base de legitimación de las previstas en el artículo 6.1 del Reglamento (UE) 2016/679 de tratamiento de datos personales".

Precisa el informe de la citada secretaría general que el referido régimen de "opt-in", que ya regía hace tiempo para las comunicaciones comerciales por correo electrónico o medios de comunicación electrónica equivalentes (ex artículo 21 de la Ley 34/2002, de 11 de julio, de servicios de la sociedad de la información y de comercio electrónico), resulta acorde con lo previsto en el artículo 13 de la Directiva 2002/58/CE del Parlamento Europeo y del Consejo, de 12 de julio de 2002, relativa al tratamiento de los datos personales y a la protección de la intimidad en el sector de las comunicaciones electrónicas (Directiva sobre la privacidad y las comunicaciones electrónicas).

De este modo, el citado artículo 66.1.b) supone un cambio normativo que transitar desde el régimen de "opt-out" (derecho de oposición) previsto en el artículo 48.1.b) de la derogada Ley 9/2014 a un régimen "opt-in" (basado en el consentimiento), lo que supone un cambio relevante para el derecho de los usuarios finales en relación con la recepción de llamadas con fines de comunicación comercial.

Ahora bien, junto a ese régimen "opt-in" (basado en el consentimiento previo del usuario), la realización de llamadas con fines de comunicación comercial puede ampararse también en otras bases legitimadoras de las previstas en el artículo 6.1 del RGPD, como puede ser el interés legítimo; pero parece que ese interés legítimo debería constatarse en cada caso y no aplicarse de forma generalizada, puesto que una aplicación generalizada del interés legítimo de terceros como base legitimadora a estos efectos desvirtuaría el cambio regulatorio introducido por el legislador.

En este mismo sentido se pronuncia el Gabinete Jurídico de la AEPD en su Informe 52/2023 (antecedente sexto), al destacar que se trata de un cambio sustancial, puesto que se ha pasado de un sistema en el que se presumía la existencia de un interés legítimo del responsable que le facultaba para realizar las llamadas (reconociéndose solo un derecho de oposición), a un nuevo sistema en el que se reconoce el derecho de los afectados a no recibir esas llamadas, salvo que exista consentimiento previo del propio usuario o se acredite la existencia de un interés legítimo sobre el que no deban prevalecer los intereses o los derechos y libertades fundamentales del interesado.

En fin, en relación con todo ello, ha de destacarse que, de acuerdo con el artículo 114.1 de la LGTC, la competencia sancionadora en ese ámbito está distribuida entre la CNMC, la AEPD y la Secretaría de Estado de Telecomunicaciones e Infraestructuras Digitales, de forma que corresponde aquella a la AEPD "en el caso de que se trate de las infracciones graves del artículo 107 tipificadas en el apartado 30 y de las infracciones leves del artículo 108 tipificadas en el apartado 11 cuando se vulneren los derechos de los usuarios finales sobre protección de datos y privacidad reconocidos en el artículo 66". Esta competencia sancionadora de la AEPD pone de manifiesto la importancia de la circular proyectada, lo que conduce al segundo de los marcos normativos apuntados.

B) Protección de Datos

Por razón del cambio normativo en el régimen de telecomunicaciones que queda apuntado, y teniendo en cuenta la competencia sancionadora de la AEPD, el Gabinete Jurídico de la AEPD puso de manifiesto, en su primer informe (antecedente tercero, apartado a), que dadas las dudas suscitadas en la interpretación del citado artículo 66.1.b) de la LGTC, y con la finalidad de contribuir a la seguridad jurídica, se consideraba oportuna la tramitación y aprobación de una circular, conforme a lo previsto en el artículo 55 de la LOPD y en el artículo 6 del EAPD.

Dispone el artículo 55 de la LOPD ("Potestades de regulación. Circulares de la Agencia Española de Protección de Datos"):

"1. La Presidencia de la Agencia Española de Protección de Datos podrá dictar disposiciones que fijen los criterios a que responderá la actuación de esta autoridad en la aplicación de lo dispuesto en el Reglamento (UE) 2016/679 y en la presente ley orgánica, que se denominarán "Circulares de la Agencia Española de Protección de Datos".

2. Su elaboración se sujetará al procedimiento establecido en el Estatuto de la Agencia Española de Protección de Datos, que deberá prever los informes técnicos y jurídicos que fueran necesarios y la audiencia a los interesados.

3. Las circulares serán obligatorias una vez publicadas en el Boletín Oficial del Estado".

En desarrollo de este precepto, el EAEPD recoge en su artículo 5.3.c) que la agencia dictará circulares "que fijen los criterios a que responderá la actuación de esta autoridad en la aplicación de lo dispuesto" en el RGPD y en la LOPD; y en términos análogos se pronuncia el artículo 6 que, como se ha visto, desarrolla también el procedimiento para su elaboración.

El Consejo de Estado examinó esta potestad de la Presidencia de la AEPD tanto en el dictamen número 757/2017, de 26 de octubre (sobre el anteproyecto de lo que después sería la LOPD) como en el dictamen número 683/2020, anteriormente citado (sobre el proyecto de lo que luego sería el EAEPD).

Cabe recordar que la redacción de este artículo 55 de la LOPD resulta, entre otras aportaciones, de una observación formulada en el dictamen número 757/2017, en el que se apuntó a la necesidad de reconsiderar la amplitud con que aquel anteproyecto configuraba las potestades normativas de la Presidencia de la AEPD, de forma que esa potestad normativa de la agencia (no prevista en el RGPD) debía quedar claramente delimitada en el sentido de que no corresponde a aquella desarrollar las previsiones del RGPD, sino únicamente velar por su correcta aplicación. Se recordaba allí que la jurisprudencia constitucional se ha mostrado restrictiva incluso a la hora de enjuiciar la hipotética relación entre la ley orgánica y la ley ordinaria, "lo que restringe el ámbito de actuación del Gobierno al respecto y, con más claridad, la del Presidente de una Administración Independiente". Por ello, se entendía que debía mantenerse la habilitación al Gobierno de la nación para aprobar o modificar las disposiciones reglamentarias para la aplicación y desarrollo de lo previsto en la ley, "y contemplando la potestad del Presidente de la Agencia Española de Protección de Datos de dictar Circulares e Instrucciones que fijen los criterios y guías a que responderá la actuación de esa entidad en el tratamiento de las materias y cuestiones que recomienden tal explicitación de criterios".

En esta línea se adaptó el artículo 55.1 de la LOPD, delimitando su ámbito material en el sentido indicado, y así se recogió después en el EAPD, para evitar que la redacción inicialmente proyectada pudiera interpretarse en un sentido más amplio que la delimitación material prevista en el artículo 55.1 de la LOPD.

En relación con la naturaleza de estas circulares de la AEPD, el dictamen número 683/2020 destacaba por su parte que la estricta delimitación que el citado artículo 55.1 de la LOPD hace de su ámbito material podría llevar a la conclusión de que tienen "como únicos destinatarios a los subordinados del órgano administrativo, y exteriorice por ello pautas para la futura actuación administrativa que dichos subordinados hayan de realizar". Sin embargo, el apartado 3 del mismo artículo 55 dispone que las circulares "serán obligatorias una vez publicadas en el Boletín Oficial del Estado", lo que revela su eficacia ad extra, "en la medida en que, más allá de su obligatoriedad ad intra en la estructura administrativa de la Agencia, podrán afectar a todos los ciudadanos".

Las circulares de la AEPD, en definitiva, fijan los criterios con arreglo a los cuales la propia agencia aplica lo dispuesto en el RGPD y en la LOPD. Esos criterios, como se decía en el repetido dictamen número 683/2020 "vincularán, desde luego, la actuación de los distintos órganos de la Agencia, pero también tienen la vocación de afectar los derechos y obligaciones de terceros".

Sin perjuicio, por tanto, de que sean más asimilables a disposiciones de carácter general que a instrucciones o directrices de actuación dictadas en el ejercicio del poder jerárquico (con el fin de establecer criterios de aplicación e interpretación jurídica), deben tenerse en cuenta, en todo caso, los estrictos contornos materiales a que se limitan estas circulares de acuerdo con lo dispuesto en el artículo 55.1 de la LOPD y artículos 5 y 6 del AEPD. Es decir, estas circulares deben limitarse a fijar los criterios a que responderá la actuación de la AEPD en la aplicación de lo dispuesto en el RGPD y en la LOPD.

Es en este marco en el que se desenvuelve la propuesta del Gabinete Jurídico cuando, en su primer informe, indica que "dadas las dudas suscitadas en la interpretación de este precepto [el art. 66.1.b de la LGTC], y con la finalidad de contribuir a la seguridad jurídica, este Gabinete Jurídico considera oportuno que se tramite y apruebe una circular, conforme a lo previsto en el artículo 55 de la LOPDGDD y en el artículo 6 del Real Decreto 389/2021, de 1 de junio, por el que se aprueba el Estatuto de la Agencia Española de Protección de Datos".

La oportunidad de esta recomendación del Gabinete Jurídico ha quedado confirmada en trámite de audiencia y, en particular, al ponerse de manifiesto los problemas competitivos que generan las dudas suscitadas. Así, alguna de las entidades intervinientes ha destacado que, en la actualidad, "dadas las discrepancias entre los distintos sectores sobre la interpretación del artículo 66.1.b) de la LGTC, la elaboración del proyecto de Circular es necesaria no solo por razones de seguridad jurídica, sino también para asegurar la igualdad de condiciones de todas aquellas entidades que realizan comunicaciones comerciales, siendo de vital importancia una interpretación clara por parte de la AEPD que garantice la estabilidad jurídica a la hora de definir los modelos de negocio de las entidades interesadas y no sea la disparidad de interpretaciones de la normativa utilizada como palanca competitiva". De este modo, se ha puesto de manifiesto que una valoración distinta entre los distintos operadores sobre la interpretación de unos u otros conceptos (p. ej., la "expectativa razonable de los interesados") ante tratamientos similares, podría dar lugar a tratamientos de datos masivos de quien realice una interpretación amplia o expansiva y a una mayor contención de quienes realicen una interpretación más prudente o cautelosa, con las consiguientes desventajas competitivas para estos últimos.

En este sentido, merece ser destacado el cuidado Informe 52/2023 del Gabinete Jurídico (antecedente sexto) y sus razonadas consideraciones sobre las principales cuestiones y dudas suscitadas durante el trámite de audiencia e información pública, en un ámbito no exento de complejidad. Uno de los méritos de ese informe es que pone de manifiesto cómo determinados preceptos legales y reglamentarios, redactados en términos abiertos y con un significativo grado de indeterminación, van siendo precisados por la jurisprudencia (nacional y comunitaria), que va marcando criterios interpretativos a los que ha de ceñirse la actuación de la AEPD. La evolución de esos criterios jurisprudenciales -dinámicos, no estáticos- puede ser un elemento que apoye la idoneidad de un instrumento como la circular de la AEPD para reforzar la seguridad jurídica de los operadores que han de aplicar aquellas normas (y que eventualmente podrían ser sancionados por su incorrecta aplicación).

A partir de todo ello, se analizará el contenido de la circular sometida a consulta, que debe respetar, en todo caso, lo dispuesto en las normas que quedan apuntadas en cada uno de los grupos normativos en que se desenvuelve y los criterios que la jurisprudencia va marcando; pero, sobre todo, debe cuidarse que las previsiones incluidas en la circular se ciñan al ámbito material que es propio de este instrumento, en los términos que está configurado legalmente, de acuerdo con lo expuesto.

III. Observaciones al texto

El preámbulo de la circular adelanta los problemas que, a juicio del Consejo de Estado, presenta su articulado en los puntos concretos a que después se hará referencia.

En función de las observaciones que se harán en relación con los distintos artículos que integran la circular, y de las modificaciones que en ellos se introduzcan, será necesario incorporar los ajustes correspondientes en el texto del preámbulo.

Por lo demás, se considera necesario hacer una revisión general para corrección de erratas, homogeneización del uso de mayúsculas (en particular, en relación con las referencias a la circular, que a veces aparece con mayúscula y otras con minúscula sin que ese distinto uso parezca responder a un criterio concreto), y con supresión de los puntos que cierran los títulos de cada artículo (de acuerdo con los criterios marcados por la RAE: nunca se escribe punto tras los títulos y subtítulos de artículos, capítulos, etc. cuando aparecen aislados y son el único texto del renglón).

A) Artículo 1

El artículo 1 ("Ámbito objetivo") indica que la circular "se aplica al derecho de los usuarios finales de los servicios de comunicaciones interpersonales disponibles al público basados en la numeración a no recibir llamadas no deseadas con fines de comunicación comercial, independientemente del sector al que pertenezca el responsable, salvo que exista consentimiento previo del propio usuario para recibir este tipo de comunicaciones comerciales o salvo que la comunicación pueda ampararse en otra base de legitimación de las previstas en el artículo 6.1 del Reglamento (UE) 2016/679, de conformidad con lo previsto en el artículo 66.1.b) de la Ley 11/2022, de 28 de junio, General de Telecomunicaciones".

A juicio del Consejo de Estado, este primer artículo debería precisar el objeto de la circular -que no está claro en el texto, como en seguida se verá-, por lo que su título deberá ser "Objeto". De acuerdo con ello, su apartado 1 debería comenzar con los siguientes o parecidos términos: "La presente circular tiene por objeto fijar los criterios a que responderá la actuación de la AEPD en relación con el derecho de los usuarios finales...". Esta precisión resulta fundamental en este caso, porque determina el alcance de las demás previsiones de la circular, ciñéndolas al contorno estricto que establece el artículo 55.1 de la LOPD, y afecta de manera relevante a la forma en que deben ser entendidas las demás previsiones de la circular, cuya redacción, en algunos casos, genera una apariencia diferente como en seguida se verá.

Por tanto, en la medida en que esta precisión acota el alcance real de las demás previsiones de la circular -más allá de su concreta redacción en cada caso- para que se mantengan dentro de lo que el artículo 55.1 de la LOPD permite, entiende el Consejo de Estado que resulta imprescindible incluir esa delimitación del objeto, sea en los términos indicados o sea en otros análogos pero siempre de conformidad con lo dispuesto en el artículo 55.1 de la LOPD.

Esta observación tiene carácter esencial a efectos de lo previsto en el artículo 130.3 del Reglamento Orgánico del Consejo de Estado, aprobado por Real Decreto 1674/1980, de 18 de julio.

En relación con ello, llama la atención que mientras el artículo 1 admite que la comunicación pueda ampararse "en otra base de legitimación de las previstas en el artículo 6.1" del RGPD (lo que se considera correcto, tal y como permite el artículo 66.1.b) de la LGTC), el preámbulo de la circular proyectada limita tal posibilidad a la base de legitimación prevista en el artículo 6.1.f) del RGPD. En efecto, dice el preámbulo que "se procede a concretar las bases jurídicas aplicables al tratamiento de los datos personales conforme al artículo 6.1. del Reglamento (UE) 2016/679, que quedarían limitadas, además de al consentimiento del afectado, al interés legítimo previsto en su letra f), al no resultar de aplicación, conforme a reiterada doctrina de esta Agencia, la base contractual de la letra b) por tratarse de tratamientos que no son necesarios para la ejecución del contrato, ni concurrir los demás supuestos contemplados en dicho precepto". A juicio del Consejo de Estado, si el artículo 66.1.b) de la LGTC admite, además del consentimiento, "otra base de legitimación de las previstas en el artículo 6.1" del RGPD, no debe la circular afirmar que no es aplicable ninguna otra base de legitimación de las allí previstas. Como se ha razonado, el objeto de la circular no es delimitar derechos de los particulares o de las empresas (que ya están delimitados en las leyes), sino que su objeto consiste en establecer criterios de actuación de la AEPD; criterios que no vinculan a los tribunales, pero que sí facilitan la aplicación de la ley generando seguridad jurídica y una legítima confianza sobre las eventuales actuaciones de la AEPD. Por tanto, lo indicado en el preámbulo en este punto debe adecuarse a lo que establece el artículo 1.1 de la circular (o, como mínimo, redactarse de forma diferente para dejar claro que se trata de apuntar un criterio de la AEPD, pero sin pretensiones de modificar el alcance de lo dispuesto en el artículo 66.1.b) de la LGTC).

Por lo demás, en cuanto a la extensión a todos los sectores ("independientemente del sector al que pertenezca el responsable") las observaciones formuladas en trámite de audiencia habían puesto de manifiesto las dudas suscitadas en torno a esta cuestión, pero el Informe 52/2023 del Gabinete Jurídico de la AEPD razona detenidamente sobre esta cuestión para llegar a la conclusión que el artículo 1 refleja y que el Consejo de Estado comparte.

El apartado 2 del mismo artículo 1 aclara que no son objeto de la circular "cualesquiera otros tratamientos de datos (...), como puedan ser los relacionados con (...), los cuales requerirá[n] contar con la correspondiente base legitimadora conforme al artículo 6.1 del Reglamento (UE) 2016/679 y cumplir con todos los principios y obligaciones que la normativa sobre protección de datos personales establece". Y en un segundo párrafo se añade otra precisión a lo que tampoco es objeto de esta circular, por referencia a lo previsto en el artículo 66.1.a) de la LGTC.

Esta aclaración parece tener origen en lo interesado por la División de Innovación Tecnológica de la AEPD, que sugiere explicitar en la circular que solo se refiere a la comunicación comercial y no a todo el resto de operaciones que puede haber en un tratamiento de marketing telefónico. Ninguna objeción merece la determinación, en este primer artículo, de lo que "no es objeto de la presente circular", puesto que es la propia AEPD la que ha de decidir sobre qué concretos aspectos regulatorios considera necesario fijar los criterios que va a aplicar y sobre qué no tiene intención de hacerlo (al menos, en esta circular). No obstante, si se dice que esos otros tratamientos no son objeto de la presente circular, quizás sea mejor -por razones de coherencia interna- no decir nada sobre ellos: ni siquiera que "requerirán contar con la correspondiente base legitimadora...", aunque así sea (no porque lo diga esta circular -de cuyo objeto están excluidos-, sino porque así lo establece -y en la medida y términos en que lo establece- el RGPD y demás normas sobre protección de datos.

B) Artículo 2

El artículo 2 es claro exponente (en particular, sus párrafos segundo y tercero) de los problemas que puede originar la concreta redacción que se dé a las previsiones de la circular y de la confusión que puede generar sobre su alcance; y, en definitiva, de lo imprescindible que resulta delimitar claramente su objeto en el artículo 1, en los términos de lo que ya se ha observado con carácter esencial. Consta este artículo 2 de tres párrafos que requieren ser considerados por separado.

a) El primer párrafo dispone: "El consentimiento de los usuarios finales deberá ajustarse a las previsiones del Reglamento (UE) 2016/679 y de la Ley Orgánica 3/2018, de 5 de diciembre". Esta redacción genera la apariencia de que se está imponiendo un deber a los usuarios finales, cuando la finalidad es la opuesta; por ello, se sugiere matizar la redacción de forma que diga que para que sea aplicable la excepción del artículo 66.2.b), el consentimiento de los usuarios "deberá haber sido prestado de acuerdo con las previsiones" del RGPD y de la LOPD. De este modo se configuraría como lo que pretende ser: una carga para los empresarios (que tienen que obtener un consentimiento prestado en esos términos) y no para los usuarios.

b) El segundo párrafo dispone: "No podrán realizarse llamadas comerciales a números generados de forma aleatoria sin el consentimiento previo del usuario".

Este es un buen ejemplo de lo que antes se indicaba sobre el alcance de estas previsiones: son criterios de actuación de la AEPD, y no normas que desarrollen o complementen la regulación de la LGTC. Así, este segundo párrafo del artículo 2 no es (y no debe configurarse como) una prohibición normativa de que se realicen llamadas comerciales a números generados de forma aleatoria (sin el consentimiento previo del usuario), sino que fija el criterio que va a aplicar la AEPD en relación con esta cuestión (advirtiendo así a los operadores jurídicos de su criterio y, en ese sentido, dando seguridad jurídica). De este modo, si en un caso concreto un operador realizara una llamada comercial a un número generado de forma aleatoria, y concurriese -aunque fuera por casualidad- una base de legitimación de las previstas en el artículo 6.1 del RGPD, no existiría infracción del artículo 66.1.b) de la LGTC, ni lo previsto en esta circular podría servir de base para apreciarla. Cuestión distinta es que, precisamente por su validez en la generalidad de los casos, la AEPD lo pueda fijar como criterio de actuación.

Dicho lo anterior, el criterio se considera razonable y justificado por el giro dado por el artículo 66.1.b) de la LGTC respecto del sistema previsto en el artículo 48 de la anterior Ley General de Telecomunicaciones, tal y como quedó expuesto más arriba.

En efecto, se trata de una cuestión que se ha planteado por distintos alegantes en trámite de audiencia, en uno y en otro sentido, y que aborda detenidamente el Gabinete Jurídico de la AEPD en su Informe 52/2023, para concluir que, puesto que dichos números aleatorios tienen el carácter de dato de carácter personal, al referirse a personas identificables, tampoco podría resultar de aplicación el artículo 6.1.f) del RGPD, ya que la falta de más información respecto a los afectados impediría tener en cuenta en la ponderación sus intereses, derechos y libertades (y singularmente, las expectativas de los propios afectados a las que se refiere el Considerando 47 del RGPD). Por tanto, considera que el artículo 66.1.b) de la LGTC excluye la posibilidad de realizar llamadas a números de teléfono generados aleatoriamente, prevaleciendo el derecho a no recibir llamadas no deseadas con fines de comunicación comercial, salvo que se contara con el consentimiento previo del usuario. Y, como señala expresamente el mismo artículo 66.1.b), dicho consentimiento debe haberse obtenido con carácter previo a la propia realización de la llamada (y no en la misma llamada, ya que, en ese caso, teniendo la llamada una finalidad comercial y aun cuando se solicitase el consentimiento antes de exponer el concreto mensaje comercial, se habría realizado un tratamiento de datos personales contrario al repetido artículo 66.1.b).

En definitiva, a juicio del Consejo de Estado, el criterio recogido en el segundo párrafo del artículo 2 está justificado, pero su redacción podría inducir a confusión sobre su alcance de forma que debe quedar claro que se trata de un criterio de actuación de la AEPD, de acuerdo con lo establecido en el artículo 55.1 de la LOPD (por lo que resulta conveniente adaptar su redacción), si bien las dudas quedarán muy mitigadas si se modifica el artículo 1 del Proyecto en el sentido que se indicó más arriba.

c) El tercer párrafo dispone que las llamadas a los usuarios que figuren en las guías de abonados requerirá(n) que hayan prestado su consentimiento específico para que sus datos puedan ser usados con fines comerciales, "debiendo constar expresamente dicho consentimiento en las correspondientes guías".

Debería precisarse la redacción de este párrafo, puesto que los términos en que está expresado no se consideran correctos. Nuevamente, el hecho de que esté precisado el objeto de la circular en el artículo 1 mitigaría la objeción a este párrafo, puesto que la generalidad con la que se establece puede servir a efectos de fijar un criterio, pero no podría configurarse como un mandato, puesto que, a juicio del Consejo de Estado, se trataría de una exigencia no prevista legalmente (y, en caso contrario, bastaría citar el concreto precepto que recoge esa exigencia con esta generalidad).

En efecto, ese consentimiento puede constar expresamente en las correspondientes guías -y quizás sea la forma más lógica de articularlo-, pero no es imprescindible que sea precisamente ahí donde conste aquel (p. ej., podría constar en otro sitio o plataforma; o un consumidor puede no querer hacer constar expresamente ese consentimiento en una guía -por su carácter generalizado-, pero sí haber prestado un consentimiento específico para que las empresas de un determinado grupo le contacten a través del número de teléfono que conste en cada momento en las guías de abonados; nótese, así, como la regla podría redundar en perjuicio de determinados usuarios). La lectura de otros artículos de la LGTC y, en particular del artículo 72 (sobre guías de abonados y servicios de información sobre números de abonado) y del artículo 66 (cuyo apartado 3 se ocupa de la protección de datos personales y la privacidad en relación con las guías de abonados) permiten pensar en otras situaciones posibles. Dicho, en otros términos, la habitualidad de una situación no debe llevar a excluir otras posibles situaciones, por lo que también aquí se recomienda matizar la redacción.

La observación no se formula con carácter esencial, partiendo de que se aclarará de forma expresa en el artículo 1 que se trata de un criterio a que responderá la actuación de la AEPD; y ciertamente la AEPD puede adoptar este criterio en términos de regla general, pero entendido siempre sin perjuicio de modularlo en casos concretos o apreciar excepciones (en la medida en que, aun no constando el consentimiento en las correspondientes guías, es posible que no deba apreciarse una infracción del 66.1.b) de la LGTC).

Sentado lo anterior, y con el matiz apuntado, el Consejo de Estado comparte el criterio de carácter general que refleja este tercer párrafo del artículo 2. Se trata de una cuestión que también ha suscitado posicionamientos distintos en trámite de audiencia, de forma que en alguno de los escritos se ha considerado que, si alguien está en las guías de abonados, concurre la base del interés legítimo. Como se ha visto, el punto de partida del Proyecto es el opuesto: el hecho de estar en ellas no resulta suficiente de forma que es necesario que concurra el consentimiento previo. Nuevamente, el Informe 52/2023 del Gabinete Jurídico justifica de forma razonada que, si no se ha prestado dicho consentimiento, los datos no podrán tratarse con esa finalidad comercial, de forma que el tratamiento no podría ampararse en un pretendido interés legítimo, lo que considera contrario a la legislación sobre la materia y, en particular, opuesto a las propias expectativas de privacidad del interesado si recibiese publicidad mediante el tratamiento de unos datos personales que no consintió expresamente para este fin.

En suma, y como se viene indicando, el criterio se considera justificado, pero concebido como tal -como un criterio- y no como una norma imperativa de desarrollo o complemento de lo dispuesto en la legislación de telecomunicaciones y de protección de datos, que imponga una obligación adicional no prevista allí.

C) Artículo 3

El artículo 3 se refiere al interés legítimo del responsable o de terceros, lo que constituye una de las bases de legitimación del artículo 6.1 del RGPD (en concreto, la contemplada en su apartado f). La especial atención que se le presta en el Proyecto es coherente con las dudas que suscita su aplicación concreta en cada caso, y las distintas interpretaciones a que puede dar lugar, de forma que la laxitud o prudencia de cada operador podría dar lugar, como se apuntó, a diferencias competitivas (en perjuicio, precisamente, de quien hiciera interpretaciones más respetuosas del derecho a la protección de datos de carácter personal). Piénsese, p. ej., en la amplia indeterminación del concepto de "expectativa razonable de los interesados" a que se refiere el Considerando 47 del RGPD en relación con la ponderación que exige la apreciación de aquel interés legítimo.

En este sentido, el Tribunal de Justicia de la Unión Europea (TJUE) ha subrayado que la aplicación de esta base legitimadora requiere la concurrencia de tres requisitos acumulativos: en primer lugar, que el responsable del tratamiento o el tercero o terceros a los que se comuniquen los datos persigan un interés legítimo; en segundo lugar, la necesidad del tratamiento de datos personales para la satisfacción del interés legítimo perseguido; y, en tercer lugar, el requisito de que no prevalezcan los derechos y libertades fundamentales del interesado (STJUE de 29 de julio de 2019, as. C-40/17, "Fashion ID", apartado 95). Y, en cuanto al requisito de la ponderación de los derechos e intereses en conflicto, esta dependerá, en principio, de las circunstancias concretas del caso particular de que se trate (STJUE de 4 de mayo de 2017, as. C-13/16, "Rigas Satskime", apartado 31).

El párrafo segundo de este artículo 3 dispone que el responsable del tratamiento "deberá realizar, con carácter previo al inicio del tratamiento y atendiendo a las distintas categorías de afectados, la correspondiente ponderación de los derechos e intereses en conflicto, documentarla y tenerla a disposición de la Agencia Española de Protección de Datos y, en su caso, de los organismos de supervisión o de resolución de controversias previstos en los códigos de conducta que sean aplicables por razón de la materia"; y añade que, asimismo, si el interesado lo solicitara, "el responsable del tratamiento pondrá a disposición de éste la correspondiente ponderación".

Nuevamente, en este párrafo se establecen "deberes" -o así se desprendería de su tenor- para los responsables del tratamiento: realizar la ponderación, documentarla y tenerla a disposición de las entidades que indica. Ciertamente, la necesidad de hacer la ponderación parece inherente al contenido del artículo 6.1.f) del RGPD, pero la obligación de documentarla y de tenerla a disposición de esas entidades solo sería válida en la medida en que así esté establecido en el RGPD y demás legislación aplicable (y no siempre y en todo caso en virtud de lo aquí establecido); y nótese que no se dice que deberá ponerla a disposición de la AEPD si esta se lo requiere (p. ej., ante una denuncia), sino que sería obligatorio, siempre, documentarla y tenerla a disposición de la AEPD (aun en el supuesto más evidente y aun cuando la AEPD no hubiera realizado actuación alguna ni cuestionado en modo alguno la actuación del responsable), con las relevantes cargas administrativas que ello supone (siendo así que la Memoria -antecedente segundo del presente dictamen- afirma que el Proyecto no supone cargas administrativas). Por ello, ha de insistirse: no puede establecerse este deber con carácter general, sino que solo existirá en los casos y términos previstos en la legislación vigente (y, en particular, RGPD y LOPD).

Así, si la comunicación puede ampararse en la base de legitimación del artículo 6.1.f) del RGPD no habría infracción del artículo 66.1.b) de la LGTC, aun cuando no se hubiera efectuado la documentación y puesta a disposición aquí previstas (cuestión distinta es que, una vez examinada o investigada la situación, el responsable deba estar en condiciones de justificar la ponderación o la no prevalencia de los intereses a que se refiere el artículo 6.1.f) del RGPD).

Por tanto, aun configurado como un criterio de actuación de la AEPD, deben modificarse los términos de este criterio de actuación para evitar la apariencia indicada [p. ej., podría decirse que, en caso de ser requerido, el responsable deberá justificar ante la AEPD (y quien corresponda) la correspondiente ponderación]. Incluso, y ya como sugerencia a la vista del análisis de la cuestión por el "Grupo del 29" que recoge el Informe 40/2023 del Gabinete Jurídico, podría ser más útil que esta circular recoja o sintetice aquellos criterios, debidamente actualizados, a que imponga a los interesados determinadas obligaciones de documentación y tenencia a disposición, sin referencia alguna a cómo ha de hacerse esa ponderación.

Los párrafos tercero y cuarto de este mismo artículo 3 establecen determinadas presunciones y las delimitan, marcando un buen campo de juego para los criterios que haya de aplicar la AEPD (se sugiere, en sus incisos iniciales, matizar las expresiones impersonales "se presumirá" o "no se presumirá" con la introducción del sujeto: la AEPD presumirá o no presumirá). Entiende el Consejo de Estado que esta es una buena fórmula para dar seguridad jurídica en un ámbito tan relevante -y tan abierto-, de forma que la circular se mueve más claramente en el marco del artículo 55.1 de la LOPD; una fórmula, por tanto, que podría extenderse a otros artículos de la circular proyectada.

Como observación particular en relación con el párrafo tercero, entiende el Consejo de Estado que se debe reconsiderar la redacción de la segunda frase y, en su caso, suprimir el inciso final ("...siendo necesario el consentimiento específico previo del usuario"). Como puede apreciarse, este párrafo comienza estableciendo una presunción; y aclara a continuación que esta presunción "no ampara la comunicación de los datos personales a otras entidades pertenecientes al mismo grupo empresarial con fines de comunicación comercial, siendo necesario el consentimiento específico previo del usuario". Aunque se considera positivo aclarar y delimitar la presunción (dando así seguridad jurídica sobre el criterio que aplicará la AEPD), ofrece dudas la concreta redacción de la frase transcrita.

Así, no es claro si ese consentimiento específico y previo se considera necesario para la comunicación de los datos personales a otras entidades pertenecientes al mismo grupo empresarial (con fines de comunicación comercial) o para la comunicación comercial que, a raíz de ello, pudieran realizar esas otras entidades del mismo grupo. Si es lo primero (como parece deducirse de su tenor), se trataría de una cuestión que quedaría fuera del objeto de la circular proyectada, ceñido al artículo 66.1.b) de la LGTC (que se refiere a la realización de llamada comercial, no a las comunicaciones de datos entre distintas empresas de un mismo grupo). Y si es lo segundo -en realidad, en todo caso- la necesidad de consentimiento específico y previo parte de la ausencia de cualquier otra base de legitimación que pudiera existir, lo que no debería presuponerse a priori (i. e., no siempre sería necesario ese consentimiento). Se propone, por ello, reconsiderar la redacción a la vista de lo indicado.

En fin, el último párrafo del artículo 3 dispone que, en todo caso, "deberá garantizarse el pleno cumplimiento del deber de transparencia, conforme a los artículos 13 y 14 del Reglamento (UE) 2016/679 y el establecimiento de un procedimiento sencillo para el ejercicio del derecho de oposición que será mencionado explícitamente al interesado, a más tardar, en la primera comunicación, de acuerdo con el artículo 21.4 del citado reglamento".

En relación con este párrafo, se sugiere que, en lugar de imponer el deber de garantizar ("deberá garantizarse") el cumplimiento del deber de transparencia y el establecimiento del procedimiento que se indica, se haga referencia directamente al deber de cumplimiento, conforme a los preceptos legales que se apuntan. Por lo demás, suscita dudas la referencia al "establecimiento de un procedimiento sencillo (...) de acuerdo con el artículo 21.4 del citado reglamento"; por una parte, porque este artículo 21.4 no menciona un deber de establecer un procedimiento (aunque sí que el derecho de oposición sea mencionado explícitamente al interesado, a más tardar, en el momento de la primera comunicación con el interesado, y que sea presentado claramente y al margen de cualquier otra información); por otra, porque la exigencia de establecer un procedimiento -aunque sea sencillo- podría entenderse como algo formalizado, cuando parece que el sentido del artículo 21 del RGPD es más bien el de facilitarlo sin imponer trabas procedimentales.

D) Artículo 4

El artículo 4, titulado "Consulta a los sistemas de exclusión publicitaria" (en el que se sugiere cambiar la preposición "a" por "de") dispone que deberá(n) consultarse previamente los sistemas de exclusión publicitaria, de conformidad con lo previsto en el artículo 23 de la LOPD.

A juicio del Consejo de Estado convendría matizar levemente la redacción de este artículo para evitar que induzca a confusión, de forma que sería mejor que hiciera una remisión al deber de consulta "en los casos y términos" previstos en el artículo 23 de la LOPD; y ello, porque el citado artículo 23 refiere esa obligación solo a "quienes pretendan realizar comunicaciones de mercadotecnia directa" (artículo 23.4) y el segundo párrafo del mismo artículo 23.4 establece una excepción que aquí no se menciona (cuando se haya prestado su consentimiento para recibir la comunicación a quien pretenda realizarla). En suma, podría pensarse que el artículo proyectado configura un deber de carácter general, tanto desde el punto de vista subjetivo (sin tener en cuenta la limitación que establece el artículo 23.4) como desde el punto de vista objetivo (sin tener en cuenta la excepción del segundo párrafo del artículo 23.4 citado). Ciertamente, la referencia que el proyectado artículo hace a que la consulta sea "de conformidad con lo previsto en el art. 23" podría salvar la objeción; pero para que quede claro que la circular no pretende ampliar el ámbito subjetivo ni objetivo de lo que ya dice ese artículo 23 se considera preferible que utilice una fórmula como la indicada ("en los casos y términos" previstos en el artículo 23 de la LOPD) u otra análoga.

E) Artículo 5

El artículo 5 ("Tratamiento de datos de contacto, de empresarios individuales y de profesionales liberales") dispone que se presumirá lícito el tratamiento de los datos de las personas físicas que presten servicios en una persona jurídica, empresarios individuales y profesionales liberales, "en los términos previstos en el artículo 19 de Ley Orgánica 3/2018, de 5 de diciembre". Aunque aquí la redacción es más adecuada que en el artículo anterior, se puede hacer análoga observación para que se diga, también aquí, "en los casos y términos" previstos en el artículo 19 de la LOPD (puesto que dicho artículo delimita, precisamente, los casos en que opera tal presunción).

F) Artículo 6

El artículo 6 ("Otras garantías adicionales") dispone que, al inicio de cada llamada, "deberá informarse" sobre determinados extremos. Añade que cualquier manifestación inequívoca del usuario contraria a la recepción de dichas llamadas "deberá entenderse" como revocación del consentimiento o, en su caso, ejercicio del derecho de oposición, debiendo atenderse inmediatamente. Y termina indicando que todas las llamadas "deberán grabarse" y facilitarse la grabación al usuario si ejercita el derecho de acceso.

De este modo, este artículo parece establecer diferentes deberes del responsable (informar sobre la identidad, indicar la finalidad comercial, informar sobre la posibilidad de revocación y oposición, entender como revocación cualquier manifestación inequívoca y atenderla, grabar y facilitar la grabación); ello no resulta objetable solo en la medida en que se trate de deberes establecidos en la legislación aplicable.

Ciertamente son previsiones que contribuyen a reforzar los principios de lealtad y transparencia del tratamiento, pero -de acuerdo con lo ya indicado- no se pueden imponer nuevos deberes por vía de circular. Por tanto, a juicio del Consejo de Estado debe adecuarse la redacción de forma que, o bien se incluya una remisión a los concretos preceptos o normas que establecen tales deberes, o bien se evidencie -con un tenor claro y distinto del proyectado- que el este artículo 6 no establece nuevos deberes sino criterios de actuación de la AEPD.

A título de ejemplo, y en relación con la grabación de las llamadas, podría pensarse -en línea con lo que indica el Informe 52/2023 del Gabinete Jurídico- que la grabación de las llamadas resulta imprescindible conforme al principio de responsabilidad proactiva como forma de facilitar al usuario final el ejercicio de su derecho de acceso a sus datos personales, que incluye "el derecho a obtener una reproducción auténtica de sus datos personales, entendidos en un sentido amplio, que sean objeto de operaciones que deben calificarse de tratamiento por parte del responsable de ese tratamiento", tal y como recoge la sentencia del TJUE de 4 de mayo de 2023 (asunto C-487/21, apartado 28). Ahora bien, si no hay grabación, los datos objeto de tratamiento serán otros -y más limitados-; y el citado apartado de la STJUE de 4 de mayo de 2023 se refiere precisamente al artículo 15.3, primera frase, del RGPD ("El responsable del tratamiento facilitará una copia de los datos personales objeto de tratamiento"), por lo que no parece que este concreto precepto imponga, por sí mismo, ese deber de grabación. En este punto, cabe destacar la relevancia de la distinción entre un deber de grabar todas las llamadas que se realicen y el deber de facilitar una copia de los datos objeto de tratamiento al interesado que ejercite el derecho de acceso (no solo en cuanto al número de infracciones que podría estar cometiendo una empresa que no actuara así, sino incluso en cuanto a la existencia misma de infracción -o no- en función de que se haya llegado a ejercitar -o no- un derecho de acceso). Con ello no se trata de cuestionar los razonamientos recogidos en el citado informe del Gabinete Jurídico (que, como se ha dicho, se consideran acertados y son ampliamente compartidos por el Consejo de Estado), sino de reflexionar sobre cómo deben quedar plasmados esos criterios en la circular proyectada.

En definitiva, se trata de cuestiones complejas, que requieren un análisis detallado caso por caso, por lo que resulta necesario que la redacción del Proyecto (también en este artículo 6) evidencie que no se están imponiendo nuevos deberes (con nuevas cargas que previsiblemente serían repercutidas sobre los usuarios), sino que se están fijando los criterios a los que responderá la actuación de la AEPD, tal y como establece el artículo 55.1 de la LOPD.

IV. Consideración final

A lo largo del presente dictamen se han formulado diversas observaciones en relación con los distintos artículos que integran la circular proyectada. Gran parte de esas observaciones responden a una misma idea, como es la necesidad de que el contenido de la circular se ciña a lo que prevé el artículo 55.1 de la LOPD.

Ello ha de tener reflejo, por una parte, en el artículo 1, mediante la definición clara del objeto de un instrumento como el ahora proyectado, lo que ha determinado que se formulara una observación esencial al citado artículo 1: no solo porque se considere necesario en este caso que quede claramente definido el objeto de la circular, sino porque con esa delimitación queda predefinido el alcance de las previsiones que se incluyen a lo largo del articulado y pueden quedar mitigadas o eliminadas las dudas que pudiera suscitar su concreta redacción.

Pero, por otra parte, se considera necesario también que se matice la redacción de diversos párrafos de la circular para que quede claro ese alcance. En estos otros casos las observaciones no se formulan con carácter esencial, dado que, introducida la precisión indicada en el artículo 1, el alcance de las demás previsiones queda enmarcado en esa delimitación inicial. Sin embargo, por razones de seguridad jurídica y de coherencia interna resulta más que conveniente que se modulen o maticen también los demás artículos en la línea de las observaciones formuladas.

En todo caso, y en cuanto al contenido sustantivo de los criterios recogidos en el Proyecto, merecen una valoración muy positiva, a la luz de los razonamientos expuestos en los informes del Gabinete Jurídico de la AEPD, en un ámbito especialmente complejo y abierto a interpretaciones muy variadas por parte de los distintos operadores jurídicos, con los nocivos efectos -también, pero no solo, en términos de ventajas competitivas- que han quedado apuntados. Con ello, la circular proyectada podrá cumplir la función que el artículo 55 de la LOPD le atribuye, dotando de seguridad jurídica a los operadores en este ámbito, y mediante un instrumento normativo dotado de la agilidad suficiente para ir adaptándose a la evolución de los criterios que la legislación y la jurisprudencia, europea y española, vayan marcando.

En mérito de lo expuesto, el Consejo de Estado es de dictamen:

Que, una vez tenida en cuenta la observación formulada con carácter esencial en el apartado III.A (en relación con el artículo 1), y consideradas las demás, puede aprobarse la Circular de la Agencia Española de Protección de Datos a que se refiere la consulta".

V. E., no obstante, resolverá lo que estime más acertado.

Madrid, 22 de junio de 2023

EL SECRETARIO GENERAL ACCTAL.,

LA PRESIDENTA,

EXCMA. SRA. MINISTRA DE JUSTICIA.

- 1 -