Numerosos establecimientos cosméticos ofrecen fichas de clientes a sus consumidores con el objetivo de fidelizarlos. La creación de estas fichas tienen diferentes finalidades pero todas van enfocadas a proporcionar un mejor servicio a sus clientes. Por un lado, estas fichas están encaminadas a permitir el envío de comunicaciones publicitarias, ofertas promocionales, descuentos, novedades…, mientras que otras van dirigidas a hacer un seguimiento de los productos que adquiere cada cliente, analizar los que más se venden o simplemente ayudar al cliente en su próxima compra.
En cualquier caso, sea con el fin que fuere, estas fichas recogen datos personales de cada consumidor. Información como nombre, apellidos, domicilio, teléfono, dirección, email, o sexo. En ocasiones pueden pedir alguna información adicional, pero lo más frecuente es recopilar estos datos que permiten identificar a la persona y facilitan ponerse en contacto con ella.
Toda esta información está protegida por la protección de datos de carácter personal y su normativa correspondiente que se encarga de velar porque los datos personales de cada interesado estén debidamente tratados, y que el interesado tenga información suficiente sobre el tratamiento de los mismos.
En este artículo nos disponemos a hacer una valoración de cómo ha cambiado la normativa en materia de protección de datos tras la entrada en vigor con fecha del pasado 25 de mayo de 2018 del Reglamento General Europeo de Protección de Datos (de ahora en adelante, “RGPD”) y así poder entender la nueva información que debe constar en las fichas de clientes así como poder dar a conocer los derechos que como interesados tenemos cuando recaban información personal.
Cambio de normativa
Hasta el 25 de mayo de este año 2018, estaba en vigor la Directiva Europea 95/46/CE. Esta directiva se transpuso en España a través de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de datos de carácter personal que ha quedado sustituida por el RGPD.
No obstante, el Gobierno ha desarrollado un nuevo texto normativo que está en la actualidad en tramitación parlamentaria y que será la nueva norma española en materia de Protección de Datos que complementará al RGPD.
Este cambio de normativa viene motivado por la necesidad de establecer una manera de regular la protección de datos diferente a la que estaba en vigor hasta el pasado 25 de mayo. El objetivo de esta nueva legislación es que quienes recopilan y tratan los datos personales sean responsables y tengan que establecer sus propios mecanismos de protección y seguridad cuando tratan y almacenan dichos datos. El RGPD es un texto más flexible lo que ha permitido que las empresas tengan un mayor grado de libertad para organizar sus políticas de protección de datos pero, sobre todo, ha permitido tener una política común para aquellas empresas que operan en diferentes países.
Por otro lado, este cambio de normativa viene propiciado por querer que el interesado reciba más información y para ello el RGPD ha creado una lista exhaustiva de información que se debe facilitar a los interesados en su artículo 13.
Deber de informar
Desde la entrada en vigor del RGPD, se ofrece más información al consumidor de tal manera que el cliente es más consciente sobre el tratamiento realizado a la información que ha proporcionado. El interesado debe saber cuál es la motivación que justifica la recogida de los datos personales. Podrá ser desde guardar la lista de productos comprados, o avisarle del producto que le interesa cuando se traiga de nuevo, hasta saber si va a recibir comunicaciones promocionales, si sus datos van a pasar a terceros o qué hacer en caso de no querer seguir siendo cliente fiel de la firma. Estas y otras cuestiones son las que se han conseguido con el nuevo RGPD y por ello hay que poner a disposición del cliente la información completa acerca del tratamiento de sus datos.
Las nuevas fichas de cliente deberán contener información acerca de quién es el responsable del tratamiento de los datos personales, cuál es la finalidad que justifica la recogida de los mismos, cuál es la base jurídica que legitima dicha recogida, si hay previsión de ceder los datos recogidos y tratados a terceros, y los derechos que tiene el interesado que da sus datos personales para fidelizarle a una firma o comercio.
Toda esta información puede darse de diferentes maneras. La primera de ellas es a través de las políticas de privacidad o avisos de privacidad donde consta toda la información de manera detallada y ampliamente explicada.
Sin embargo, existe otra posibilidad que se conoce como “la información por capas” y que es muy utilizada cuando no se quiere informar al completo para no abrumar al consumidor. Se utiliza con frecuencia en comercios físicos donde tienen a primera vista la primera capa, o en las fichas de cliente, por ejemplo. Se ofrece al cliente una primera capa de información donde constan todos los apartados que se detallarán a continuación pero sin entrar en excesivo detalle de tal manera que el interesado conocerá los rasgos generales del tratamiento de sus datos personales. Esta es la información que posiblemente conste en la ficha de cliente o la que se ofrecerá al cliente cuando se fidelice a una marca o comercio determinado.
No obstante, como la información tiene que ser completa, el responsable del tratamiento ofrecerá un documento o link a un sitio web con toda la información ampliada y en su completa extensión de tal manera que quede bajo los estándares del RGPD y que se conocerá como segunda capa.
Quién es el responsable
El responsable es la persona física o jurídica que se va a encargar de recopilar y tratar los datos personales que le proporcione el cliente. Con respecto a los comercios o marcas que hacen fichas de clientes en el mundo de la cosmética, los responsables del tratamiento serán las empresas que hacen las fichas o sus matrices.
Deberá constar el nombre completo del responsable, su número de identificación fiscal (NIF), y su dirección, email y/o teléfono. El objetivo es identificar claramente quién trata su información personal.
Cuál es la finalidad del tratamiento
Una vez se expone quién es el responsable del tratamiento, es preciso explicar cuáles son las razones que justifican la recopilación y tratamiento de esos datos personales. En el caso de la creación de fichas de cliente, la finalidad del tratamiento variará en función de las necesidades de la firma pero, a título meramente enunciativo, se podrían señalar las siguientes: el registro de los productos que cada cliente compra, la elaboración de estadísticas, el envío de promociones, novedades, el envío de publicidad, acumulación de puntos de cliente, entre otros.
En este punto además se ofrece información acerca de cuánto tiempo van a conservar sus datos personales, o si se van a realizar perfiles o decisiones automatizadas con sus datos personales. Esta práctica es común en la medida en que ayuda a las firmas a crear estadísticas sobre los productos más vendidos, las necesidades de los clientes, o los períodos de mayor compra, entre otros. No todos los responsables del tratamiento realizan este tipo de perfiles o actúan a través de decisiones automatizadas, pero si lo hacen, han de señalarlo en sus políticas de privacidad.
Cuál es la base legal que legitima el tratamiento
Para poder recopilar y tratar sus datos personales es necesario que los responsables justifiquen la base legal que les legitima para obtener información personal del consumidor, o cliente. El RGPD establece las bases legales que son de aplicación y que justifican que los datos se traten de manera lícita. Estas bases son:
- El consentimiento. La primera base legitimadora del tratamiento es que el interesado consienta, es decir, preste su consentimiento para que sus datos se utilicen según las finalidades previstas por el responsable.
- La ejecución de un contrato. Cuando se necesita obtener datos personales del interesado para ejecutar un contrato, el consentimiento no es necesario porque sin la obtención de dichos datos, resultaría imposible el desarrollo de la relación contractual.
- El cumplimiento de una obligación legal. Esta base legal implica que la propia obligación legal justifica que el responsable trate esa información personal del interesado.
- La protección de los intereses vitales del interesado o de otra persona física.
- El cumplimiento de una misión realizada en interés público.
- La satisfacción del interés legítimo perseguido por el responsable o un tercero. Cuando el tratamiento se justifica a través de los intereses legítimos del responsable, es necesario que se haga una ponderación entre los intereses que tiene quien trata los datos y los intereses del propio interesado. En cualquier caso, cuando el tratamiento se legitima sobre esta base legal, deben constar en la información proporcionada al interesado cuáles son esos intereses legítimos que justifican el tratamiento.
En relación con las fichas de cliente de una firma cosmética, la base legal que justifica el tratamiento de los datos es que el cliente consienta que se fidelicen los mismos. Sería posible que incluyeran como justificación los fines legítimos en beneficio de la empresa y su desarrollo pero en cualquier caso, al no ser un tratamiento necesario para la venta de un producto cosmético, si un consumidor decide que sus datos consten en el sistema es porque lo consiente de forma libre, consciente y voluntaria.
Cesión de datos a terceros
Este es un apartado particular que se incluye o no dependiendo de si la firma va a transferir los datos personales a terceros. Puede ser el caso por ejemplo de aquellas empresas de cosmética que tienen una matriz o varias filiales, o sociedades diferentes en cada país donde los datos personales que recaban se ceden a su matriz para tratarlos también.
Es un supuesto que dependerá de las características del grupo y de la necesidad que tengan de ceder los datos para poder funcionar. Por lo tanto, no siempre constará en las políticas de privacidad o en las informaciones por capas. En caso de incluirlos, tendrán que justificar que se han tomado las medidas de protección adecuada y que dichas cesiones están realizadas conforme los estándares de la norma.
El ejercicio de derechos
El interesado que ofrece sus datos personales para convertirse en cliente de una firma, tiene una serie de derechos que puede ejercer y que han de recogerse en las “fichas de cliente”. En este apartado deben constar qué derechos tiene el interesado y también cómo puede ejercerlos, esto es, cómo contactar (vía email, teléfono, dirección postal) y con quién hacerlo.
Los derechos que el cliente va a poder ejercer son los siguientes: los derechos de acceso, rectificación, supresión y portabilidad de sus datos así como el derecho a oponerse a que continúen tratándolos. Estos derechos permiten al interesado disponer de su información personal ya sea accediendo a ella, modificándola en caso de que sus datos personales hayan cambiado, suprimiendo datos o transmitiéndola a otro responsable. Es posible también que el interesado se oponga al tratamiento sobre todo en caso de envío de publicaciones de marketing, o la elaboración de perfiles.
Además, el cliente siempre va a poder retirar su consentimiento. Si el interesado ya no quisiera seguir recibiendo ofertas, no quisiera sumar puntos, o no quisiera que la marca conserve la lista de productos que compra el cliente, entre otros, podrá retirar su consentimiento en cualquier momento.
Por último, el interesado también tendrá derecho a reclamar ante la autoridad de control que sus datos no se están tratando adecuadamente. En España, la autoridad de control es la Agencia Española de Protección de Datos.
La aplicación del nuevo RGPD ha supuesto un cambio en las políticas de privacidad de todos aquellos que tratan datos personales pero, sin duda, supone un avance en derechos e información para el interesado.
