La Autoridad Catalana de Protección de Datos (conocida por siglas, “APDCAT”) ha emitido un dictamen en el que analiza cuál es la base legal adecuada para el tratamiento de datos personales de ponentes y asistentes derivado de su participación en congresos y jornadas. El pronunciamiento responde a una consulta formulada por el Colegio Oficial de Ingenieros Industriales de Cataluña, que planteaba cuál era la base jurídica adecuada para el tratamiento de datos personales en los eventos de asistencia gratuita o cuando los ponentes participan sin remuneración. En concreto, se cuestionaba si dicho tratamiento debía fundamentarse en la ejecución de un contrato, en el interés legítimo o en el consentimiento de los interesados.
Hasta ahora, el Colegio consideraba que en los eventos de pago la base jurídica era la ejecución de un contrato, conforme al art. 6.1.b del Reglamento General de Protección de Datos (“RGPD”), mientras que en los eventos gratuitos recurría al interés legítimo (art. 6.1.f del RGPD), al entender que no existía una relación contractual.
Sin embargo, la APDCAT concluye que la gratuidad de un evento no excluye, por sí sola, la existencia de un contrato. Apoyándose en las Directrices 2/2019 del Comité Europeo de Protección de Datos y en el artículo 1261 del Código Civil, recuerda que un contrato no requiere necesariamente una contraprestación económica, sino que basta con el consentimiento de las partes, un objeto determinado y una causa lícita.
Así, en el caso de los asistentes, la inscripción en una jornada gratuita puede entenderse como la aceptación de la oferta realizada por la entidad organizadora, generándose una relación jurídica con obligaciones recíprocas: la organización ofrece la actividad y el participante se compromete a asistir conforme a las condiciones establecidas.
La misma lógica puede aplicarse a los ponentes que intervienen de forma voluntaria. Aunque no perciban una remuneración económica, existe un acuerdo sobre la prestación del servicio y una contraprestación de carácter no económico, como la promoción profesional o el prestigio asociado a impartir la conferencia.
Por ello, la APDCAT considera que, siempre que pueda acreditarse la existencia de una relación jurídica bilateral con obligaciones recíprocas, la base jurídica adecuada para el tratamiento será la ejecución de un contrato, tanto en eventos gratuitos como de pago.
No obstante, el dictamen advierte de que, si el responsable del tratamiento no puede demostrar la existencia de esa relación contractual, deberá recurrir a otra base jurídica. En este sentido, deja abierta la posibilidad de fundamentar el tratamiento en el interés legítimo, siempre que se cumplan los requisitos previstos en el artículo 6.1.f del RGPD y se realice la correspondiente ponderación de intereses.
Asimismo, la APDCAT recuerda que cualquier tratamiento de datos que vaya más allá de lo estrictamente necesario para organizar un evento (como la grabación y difusión de imágenes o vídeos en los que los participantes sean identificables y no se trate de una captación meramente incidental) requerirá, con carácter general, el consentimiento de los afectados.