Has vendido bases de datos a terceros sin consentimiento: riesgos y remedios

¿Tienes razón?

Vender bases de datos sin consentimiento puede ser legal solo en circunstancias muy concretas (por ejemplo, cuando existe una base jurídica distinta al consentimiento, como el cumplimiento de una obligación legal o interés legítimo bien fundamentado y documentado). Para valorar si tu acción es defendible debes comprobar: la naturaleza de los datos vendidos (datos ordinarios versus categorías especiales), la procedencia de esos datos y la base jurídica que acreditaba su tratamiento comercial, las cláusulas y avisos que informaron a los interesados, y los contratos con los compradores (para saber si actuaban como destinatarios, encargados o responsables). Si no existe consentimiento ni otra base jurídica adecuada y no se informó a los afectados, tu exposición es alta. Otro factor clave es si los compradores usaron los datos para fines distintos o los cedieron a terceros: eso agrava la responsabilidad. La existencia de facturas y contratos comerciales documentados no sustituye la falta de base legal; puede, en cambio, ser prueba utilizada en tu contra.

Cómo se soluciona

1. Suspende inmediatamente las cesiones y contacta a los compradores. Pide que cesen el uso y que te confirmen por escrito qué datos recibieron, cómo los almacenan y si los han tratado o transmitido a terceros.
2. Auditoría interna: genera un inventario de la base de datos vendida (campos, origen, fecha de recogida, comunicaciones de consentimiento si existen) y localiza la documentación contractual que justificó la operación (facturas, correos, acuerdos).
3. Notifica internamente y, si procede, al delegado de protección de datos. Si la venta ha afectado a muchos interesados o implicado datos especialmente protegidos, evalúa la posibilidad de comunicar una brecha de seguridad y el impacto reputacional.
4. Ofrece remedios a los afectados: información sobre qué ha ocurrido, opciones para ejercitar derechos (acceso, supresión, oposición) y, si procede, medidas para mitigar el daño (por ejemplo, inclusión en listas de exclusión para llamadas comerciales).
5. Prepara defensas documentales. Si firmaste contratos que transferían responsabilidades, recógelos; si hubo consentimiento, aporta los registros. Si no los hay, documenta las medidas correctoras implementadas y la política de remediación.
6. Valora la comunicación a la autoridad de protección de datos y la posibilidad de negociar medidas. En algunos supuestos, ofrecer colaboración y remediación puede reducir la intensidad de la actuación sancionadora.

Qué puedes hacer solo: detener la cesión, auditar y preparar comunicaciones básicas a compradores y afectados. Qué necesita profesional: análisis jurídico de la base jurídica, redacción de comunicaciones oficiales, negociación con compradores y defensa ante la autoridad.

Qué puede pasar

1. Se arregla con ceses y correcciones: los compradores eliminan los datos y aceptan medidas, y los afectados reciben información y vías para ejercer derechos. Esto es frecuente cuando el volumen es pequeño y los datos no son sensibles.
2. Acuerdo o medidas impuestas por la autoridad: la autoridad puede exigir la adopción de medidas correctoras o imponer condiciones para el tratamiento futuro. Un acuerdo puede implicar auditorías y compromisos de cumplimiento.
3. Procedimiento sancionador y responsabilidad civil: si hay incumplimiento grave, puede iniciarse un procedimiento sancionador y pueden reclamarte indemnizaciones por daños y perjuicios en vía civil por parte de los afectados. Además, si la venta facilitó usos fraudulentos, la responsabilidad reputacional y económica se incrementa.

¿Y si ganas, cobras? Ganar en la vía administrativa suele significar no haber incurrido en infracción o que la autoridad no apreció prueba suficiente; la restitución económica por daños la lograrías solo por la vía civil y con prueba del perjuicio.

Errores que arruinan el caso

• No detener la cesión inmediata: cada día que pasan datos en manos de terceros agrava el daño.
• No pedir a los compradores confirmación escrita de destrucción: la ausencia de prueba dificulta la defensa.
• No conservar contratos y facturas: pierdes la prueba de la operativa comercial y quedas más expuesto.
• No notificar a los afectados cuando procede: puede agravar la actuación de la autoridad y la confianza pública.
• Intentar «arreglar» borrando sólo tus copias sin controlar las copias de terceros: la eliminación parcial no protege legalmente.