¿Cómo legitimar la comunicación de datos personales para contacto comercial, proporcionada por amigos o familiares del interesado?

Muchas empresas emplean unos formularios incluidos en las encuestas de satisfacción para que sus clientes les faciliten datos de contacto de sus amigos o conocidos para ofrecerles un descuento, o una sesión gratuita, o otras formas de publicidad.

Cuando una persona física comunica datos de contacto de otras personas (familiares, amigos, conocidos, etc.) a empresas, no se le aplica el GDPR, porque la comunicación se realiza en el ámbito personal o doméstico, pero sí que se le aplicará a la empresa que recibe los datos.

Las empresas que reciben estos datos personales que no han sido obtenidos del interesado podrán legitimar el tratamiento teniendo en cuenta lo siguiente:

• La información facilitada a la persona que nos comunica los datos debe ser clara y transparente, informando de qué se va a hacer con los datos que nos va a facilitar.

• La legitimación para tratar estos datos puede basarse en el interés legítimo (art. 6.1.f) de la empresa siempre y cuando se utilicen dichos datos de contacto únicamente para comunicar al interesado si nos da el consentimiento para enviarle información sobre nuestros productos o servicios, o sea publicidad.

• Se deben tener en cuenta los detalles del art. 6.1.f: "el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño".

• La información del tratamiento facilitada al interesado deberá incluir lo estipulado en el art. 14 GDPR (cuando los datos personales no se hayan obtenido del interesado), informando, además de lo habitual, de la categoría de datos y de la fuente de procedencia.

Una vez obtenido el consentimiento del interesado (art. 4.11: "manifestación de voluntad libre, específica, informada e inequívoca por la que el interesado acepta, ya sea mediante una declaración o una clara acción afirmativa, el tratamiento de datos personales que le conciernen"), podremos ponernos en contacto con él para ofrecerle nuestros productos y o servicios.


Si existiera una relación contractual previa con esta persona (art. 21.2 LSSI), sí se podría enviar publicidad directamente, siempre que el prestador hubiera obtenido de forma lícita los datos de contacto del destinatario y los empleara para el envío de comunicaciones comerciales referentes a productos o servicios de su propia empresa que sean similares a los que inicialmente fueron objeto de contratación con el cliente.

En cualquier caso, siempre que se envíe publicidad por correo electrónico u otro medio de comunicación electrónica equivalente, el responsable “deberá ofrecer al destinatario la posibilidad de oponerse al tratamiento de sus datos con fines promocionales mediante un procedimiento sencillo y gratuito, tanto en el momento de recogida de los datos como en cada una de las comunicaciones comerciales que le dirija”.

Resumiendo, siempre nos podemos poner en contacto con cualquier interesado por el interés legítimo de conseguir un posible cliente, aunque debemos tener muy en cuenta que no es lo mismo ponernos en contacto para solicitarle si desea recibir publicidad, que ofrecerle directamente la publicidad, o información sobre productos y servicios.