Sanción de 2.000 euros a un bar por pedir el número de teléfono para la emisión de una factura
El pasado 31 de mayo de 2022 nuestra Autoridad de Control, Agencia Española de Protección de Datos (en adelante, AEPD), propuso una sanción de 2.000 euros a un restaurante al pedir a una de sus clientas su número de teléfono para emitir una factura. Finalmente, la sanción se redujo a 1.600 euros por pronto pago por parte del establecimiento.
En su defensa la reclamada refiere que solo hubo una persona afectada y que sus protocolos no requieren la solicitud del número de teléfono para la emisión de factura simplificada. Los camareros que realizan la gestión de emitir la factura simplificada no deberían solicitar el número de teléfono, ya que la casilla que se debe consignar obligatoriamente en el CRM es un número genérico habilitado. Sin embargo, el camarero cometió el error de solicitar ese dato para entregar la factura reclamada.
La AEPD considera que solicitar el número de teléfono incumple la normativa de protección de datos al ser un dato innecesario para el fin perseguido, que era la emisión de la factura. En concreto, el precepto vulnerado art. 5.1.c) del Reglamento General de Protección de Datos (RGPD) que recoge el principio de minimización de datos y establece que los datos personales serán: “adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados”.
A fin de determinar si el dato del teléfono podría resultar necesario acudimos al Real Decreto 1619/2012, de 30 de noviembre, por el que se aprueba el Reglamento por el que se regulan las obligaciones de facturación que en su artículo 6 establece el contenido de la factura, entre otros datos, sí se requiere el número de identificación fiscal o el nombre, pero no el número de teléfono. Por tanto, al no existir una base de legitimación que ampare dicho tratamiento resultaría excesivo y por tanto se habría incumplido el artículo 5.1.c) del RGPD.
La Resolución pone de manifiesto la necesidad de que las empresas destinen los recursos necesarios para crear una verdadera cultura en materia de protección de datos, siendo importante establecer protocolos de actuación en relación con el tratamiento de datos, así como, formación periódica que permita calar y concienciar a todos los trabajadores en relación con sus obligaciones en el tratamiento de datos personales por la prestación de sus servicios profesionales.
Puede acceder a la Resolución aquí.
#Proteccióndatos #helas #legaltech #complaince # AEPD
Marta Serrano Carnicer
Consultor de Helas Consultores
