23.6.2017

Diario Oficial de la Unión Europea

C 200/10

Resumen del Dictamen sobre la propuesta de Directiva relativa a determinados aspectos de los contratos de suministro de contenidos digitales

(El texto completo de este Dictamen puede consultarse en alemán, francés e inglés en el sitio web del SEPD www.edps.europa.eu)

(2017/C 200/07)

El SEPD reconoce la importancia de la economía basada en los datos para el crecimiento en la UE y su protagonismo en el entorno digital de conformidad con lo dispuesto en la Estrategia para el Mercado Único Digital. Hemos defendido sistemáticamente las sinergias y la complementariedad entre la legislación de protección de datos y la del consumidor. Por lo tanto, apoyamos el objetivo de la propuesta de Directiva de la Comisión de diciembre de 2015 relativa a determinados aspectos de los contratos de suministro de contenidos digitales para mejorar la protección de los consumidores que están obligados a revelar datos como condición para el suministro de «bienes digitales».

No obstante, la presente propuesta plantea un aspecto problemático, ya que será aplicable en situaciones en las que el contenido digital se obtenga por el pago de un precio, pero también cuando el contenido digital se suministre a cambio de una contraprestación no monetaria en forma de datos personales o de otra índole. El SEPD advierte contra cualquier nueva disposición que introduzca la idea de que los ciudadanos pueden pagar con sus datos del mismo modo que con su dinero. Derechos fundamentales como el derecho a la protección de los datos personales no pueden quedar sometidos al puro interés de los consumidores, como tampoco deben considerarse los datos personales como una mera mercancía.

El recientemente adoptado Reglamento general de protección de datos («RGPD») todavía no se ha aplicado en su totalidad y la propuesta de nueva legislación sobre privacidad en las comunicaciones electrónicas se encuentra actualmente en discusión. Por consiguiente, la UE debe evitar cualquier nueva propuesta que altere el cuidadoso equilibrio negociado por los legisladores de la UE respecto a las normas de protección de datos. El solapamiento de iniciativas podría poner en peligro involuntariamente la coherencia del Mercado Único Digital, dando lugar a una fragmentación de la reglamentación y a una inseguridad jurídica. El SEPD recomienda que la UE aplique el RGPD como medio para regular la utilización de datos personales en la economía digital.

La noción de «datos como contraprestación», sin definir en la propuesta, podría causar confusión respecto a la función concreta de los datos en una determinada transacción. En este sentido, la falta de información clara por parte de los proveedores originaría aún más dificultades. Por lo tanto, como solución a este problema, sugerimos la idea de utilizar la definición de servicios contemplada en el TFUE o la disposición del RGPD para determinar su ámbito territorial.

El presente Dictamen examina las posibles interacciones de la propuesta con el RGPD.

En primer lugar, la amplitud de la definición de «datos personales» en el marco de la legislación sobre protección de datos puede tener como consecuencia que todos los tipos de datos que figuran en la propuesta de Directiva se consideren «datos personales» en el sentido del RGPD.

En segundo lugar, las estrictas condiciones en las que puede llevarse a cabo el tratamiento de datos ya están establecidas en el RGPD y no requieren modificación o enmienda en virtud de la propuesta de Directiva. Si bien la propuesta parece considerar legítimo el uso de datos como contraprestación, el RGPD presenta un nuevo conjunto de condiciones para evaluar la validez del consentimiento y determinar si este se ha concedido libremente en el contexto de las transacciones digitales.

Por último, los derechos propuestos que disfrutarían los consumidores para recuperar sus datos del proveedor a la terminación del contrato y la obligación de este de no hacer uso de dichos datos pueden solaparse con los derechos de acceso y de portabilidad, así como con el compromiso del proveedor a no utilizar los datos y con las obligaciones del responsable de su tratamiento en el marco del RGPD. Esto podría conducir involuntariamente a una confusión sobre el régimen aplicable.

1. INTRODUCCIÓN Y ANTECEDENTES

1.1. La consulta del Consejo al SEPD

El 9 de diciembre de 2015, la Comisión Europea presentó dos propuestas legislativas para nuevas normas contractuales relativas a la compraventa en línea. Las normas propuestas relativas a los contratos digitales incluyen dos proyectos de legislación:

—	una propuesta de Directiva relativa a determinados aspectos de los contratos de suministro de contenidos digitales (1),

—	una propuesta de Directiva relativa a determinados aspectos de los contratos de compraventa en línea de bienes (tangibles) (2).

Las dos propuestas deben considerarse como un paquete de objetivos comunes, en particular para eliminar los principales obstáculos al comercio electrónico transfronterizo en la UE (3). En lo que respecta particularmente a la propuesta de Directiva relativa a los contratos de suministro de contenidos digitales celebrados con consumidores (en lo sucesivo, «la propuesta»), su intención es disponer de un conjunto único de normas relativas a los contratos de compraventa y alquiler de contenidos digitales y a los contratos de servicios digitales (4). En el momento de la adopción de la propuesta, la Comisión no consultó al SEPD.

El 21 de noviembre de 2016, la Comisión de Libertades Civiles, Justicia y Asuntos de Interior (Comisión LIBE) emitió una opinión sobre la propuesta (5). La Comisión de Mercado Interior y Protección del Consumidor (IMCO) del Parlamento Europeo y la Comisión de Asuntos Jurídicos (JURI) emitieron un proyecto de informe conjunto sobre la propuesta el 7 de noviembre de 2016 (6).

El Consejo está examinando actualmente la propuesta en el seno del Grupo «Derecho civil» (derecho contractual). En este contexto, el 10 de enero de 2017, el Consejo decidió consultar al SEPD sobre la propuesta. El SEPD acoge con satisfacción la iniciativa del Consejo de consultar al SEPD sobre esta importante medida legislativa, que plantea muchas cuestiones en relación con el Derecho de la Unión en materia de protección de datos personales. El presente Dictamen es la respuesta del SEPD a la petición del Consejo.

1.2. La propuesta

En la actualidad, el suministro de contenido digital a nivel de la EU se encuentra parcialmente regulado por la Directiva sobre los derechos de los consumidores (7), la Directiva sobre las cláusulas abusivas (8) y la Directiva sobre el comercio electrónico (9). La Directiva sobre venta de bienes de consumo no es aplicable ya que la definición de «bienes de consumo» establecida en dicha Directiva comprende únicamente «artículos muebles tangibles».

Varios Estados miembros ya han adoptado normas específicas para el contenido digital, creando diferencias de ámbito y contenido entre las normas nacionales que regulan estos contratos (10). En consecuencia, la propuesta pretende ofrecer una protección armonizada a los consumidores en lo que se refiere al contenido digital. En este contexto, la propuesta prevé un nivel máximo de armonización.

En cuanto al alcance de la propuesta, abarcaría no solo los bienes digitales (como las películas o la música, los programas informáticos, las aplicaciones móviles, los libros electrónicos) sino también los servicios digitales (como las plataformas de redes sociales y los servicios de computación en la nube). Para que un contrato digital entre en el ámbito de aplicación de la Directiva propuesta debe prever un precio que debe pagar el consumidor o el consumidor debe «proporcionar voluntariamente datos personales o de otra índole como contraprestación» (11).

La propuesta introduce una «jerarquía de recursos» en caso de falta de conformidad con el contenido o servicio digital proporcionado por el vendedor, y prevé el derecho del consumidor a recuperar los datos a la terminación del contrato en un «formato de datos utilizado habitualmente» (12). La propuesta también impone a los proveedores la obligación de abstenerse de utilizar los datos proporcionados como contraprestación después de la terminación del contrato (13).

La propuesta hace referencia al concepto de datos personales en tres situaciones:

—	el uso de datos (incluidos datos personales) como «contraprestación diferente al dinero» (14),

—	una referencia a los datos que son «estrictamente necesarios para la ejecución del contrato» (15),

—	una referencia a «otros datos producidos o generados mediante el uso por el consumidor de los contenidos digitales» (16).

10.

La referencia al concepto de datos personales crea una posible interacción entre la propuesta y las normas de protección de datos establecidas, entre otras, en la Directiva 95/46/CE relativa a la protección de datos (17) y el RGPD (18). Además, como se indica en la propuesta, la Directiva pretende aplicarse sin perjuicio de la protección de los ciudadanos con respecto al tratamiento de datos personales (19). Por lo tanto, el presente Dictamen abordará la interacción entre la propuesta y el actual y futuro marco de protección de datos de la UE (20).

CONCLUSIÓN

79.

El SEPD acoge con satisfacción la iniciativa de la Comisión que tiene la intención de dar una protección amplia a los consumidores de la UE, extendiendo esta protección a los «productos digitales» e incluyendo los casos en que los consumidores no pagan un precio con dinero.

80.

El SEPD reconoce la importancia de disponer de normas claras y actualizadas que puedan complementar y fomentar el desarrollo de la economía digital. A este respecto, el SEPD continúa apoyando activamente las iniciativas de la Comisión relativas al Mercado Único Digital, ya que la importancia de los datos como fuente de crecimiento e innovación es el núcleo de estas iniciativas.

81.

En este contexto, celebramos la iniciativa del Consejo de consultar al SEPD. Esto supone para el SEPD la oportunidad de dirigir varias recomendaciones y mensajes a los legisladores, al examinar la propuesta presentada al SEPD.

82.

Sobre la interacción de la propuesta con la legislación sobre protección de datos:

—	la propuesta plantea una serie de problemáticas dado el carácter de derecho fundamental de estos datos y la protección específica concedida a estos datos en el marco de la protección de datos de la UE,

—	la propuesta debería evitar incluir disposiciones que puedan afectar al marco de protección de datos, ya que esta se basa en el artículo 114 del TFUE, que ya no es el marco adecuado para regular el tratamiento de datos,

—	la propuesta no modificará bajo ninguna circunstancia el equilibrio alcanzado por el RGPD en cuanto a las circunstancias en las que puede llevarse a cabo el tratamiento de datos personales en el mercado digital.

83.

Sobre el uso de datos como contraprestación:

—	el SEPD considera que debe evitarse el término «datos como contraprestación»,

—

a este efecto, el SEPD ofrece alternativas:

—	el uso de la noción de «servicios» en la legislación de la UE puede ser útil para considerar cómo incluir servicios en los que no se paga un precio,

—	el hecho de que el RGPD abarque la oferta de bienes y servicios, independientemente de que se requiera un pago, también puede ser una consideración útil.

84.

Sobre la interacción de la propuesta con el RGPD:

—	teniendo en cuenta la amplitud de la definición de datos personales, es probable que casi todos los datos proporcionados por el consumidor al proveedor de contenido digital se consideren datos personales,

—	el SEPD recomienda evitar hacer referencia a los datos proporcionados (voluntariamente) por el consumidor, ya que supondría una contradicción para las normas sobre protección de datos actuales y futuras,

—	la propuesta debe indicar explícitamente que los datos procesados por los proveedores solo se utilizarán en la medida en que ello esté en consonancia con el marco de protección de datos de la UE, incluidos el RGPD y la legislación sobre privacidad en la comunicaciones electrónicas,

—

el SEPD recomienda que los artículos 13 y 16 de la propuesta hagan referencia al RGPD en lo que se refiere a los derechos de acceso y eliminación de los datos personales, en la medida en que se trata de datos personales. En caso de tratarse de datos que no sean personales («otros datos»), el SEPD recomienda que las disposiciones de los artículos 13 y 16 se ajusten al régimen previsto en el RGPD en aras de la coherencia.

Bruselas, 14 de marzo de 2017.

Giovanni BUTTARELLI

Supervisor Europeo de Protección de Datos

(1) Propuesta de Directiva del Parlamento Europa y del Consejo relativa a determinados aspectos de los contratos de suministro de contenidos digitales, COM/2015/0634, que puede consultarse en http://eur-lex.europa.eu/legal-content/EN/TXT/?qid=1450431933547&uri=CELEX:52015PC0634.

(2) Propuesta de Directiva del Parlamento Europeo y del Consejo relativa a determinados aspectos de los contratos de suministro de contenidos digitales, COM/2015/0635 final.

(3) Para más información, véase http://ec.europa.eu/justice/contract/digital-contract-rules/index_en.htm.

(4) Sobre este particular la Comisión ya había realizado una tentativa: véase la Propuesta de reglamento del Parlamento Europeo y el Consejo sobre una legislación comercial europea común, COM/2011/0635 final; dicha propuesta fue abandonada por la Comisión.

(5) Puede verse en http://www.europarl.europa.eu/sides/getDoc.do?pubRef=-%2f%2fEP%2f%2fNONSGML%2bCOMPARL%2bPE-582.370%2b03%2bDOC%2bPDF%2bV0%2f%2fEN.

(6) Puede verse en http://www.europarl.europa.eu/sides/getDoc.do?pubRef=-%2f%2fEP%2f%2fNONSGML%2bCOMPARL%2bPE-592.444%2b01%2bDOC%2bPDF%2bV0%2f%2fEN.

(7) Directiva 2011/83/UE del Parlamento Europeo y del Consejo, de 25 de octubre de 2011, sobre los derechos de los consumidores, por la que se modifican la Directiva 93/13/CEE del Consejo y la Directiva 1999/44/CE del Parlamento Europeo y del Consejo y se derogan la Directiva 85/577/CEE del Consejo y la Directiva 97/7/CE del Parlamento Europeo y del Consejo (DO L 304 de 22.11.2011, p. 64).

(8) Directiva 93/13/CEE del Consejo, de 5 de abril de 1993, sobre las cláusulas abusivas en los contratos celebrados con consumidores.

(9) Directiva 2000/31/CE del Parlamento Europeo y del Consejo, de 8 de junio de 2000, relativa a determinados aspectos jurídicos de los servicios de la sociedad de la información, en particular el comercio electrónico en el mercado interior (Directiva sobre el comercio electrónico) (DO L 178 de 17.7.2000, p. 1-16).

(10) Véase la Exposición de motivos de la propuesta, p. 3.

(11) Véase el artículo 3, apartado 1, de la Propuesta.

(12) Véase el artículo 13, apartado 2, letra c) de la Propuesta.

(13) Véase el artículo 13, apartado 2, letra b) de la Propuesta.

(14) Véase el artículo 3, apartados 1 y 4, el artículo 13, apartado 2, letra b), el artículo 15, apartado 2, letra c), y el artículo 16, apartado 4, letra a), de la Propuesta.

(15) Véase el artículo 3, apartado 4, de la Propuesta.

(16) Artículo 13, apartado 2, letra b), y artículo 16, apartado 4, letra b), de la Propuesta.

(17) Directiva 95/46/CE del Parlamento Europeo y del Consejo, de 24 de octubre de 1995, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (DO L 281 de 23.11.1995, p. 31).

(18) Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos) (DO L 119 de 4.5.2016, p. 1).

(19) Artículo 3, apartado 8, de la Propuesta.

(20) En la actualidad, en el contexto del análisis de la Propuesta, los principales textos de aplicación son la Directiva 95/46/CE, que será retirada y sustituida por el Reglamento (UE) 2016/679, y la Directiva 2002/58/CE del Parlamento Europeo y el Consejo, de 12 de julio de 2002, relativa al procesamiento de los datos personales y la protección de la privacidad en el sector de las comunicaciones electrónicas (DO L 201 de 31.7.2002, p. 37) (también denominada «Directiva de privacidad electrónica»). La Directiva de privacidad electrónica deberá ser derogada en virtud de la reciente Propuesta de Reglamento del Parlamento Europeo y el Consejo relativa al respeto de la vida privada y la protección de los datos personales en las comunicaciones electrónicas, que deroga la Directiva 2002/58/CE, de 10 de enero de 2017, COM (2017) 10 final (Reglamento sobre la privacidad de las comunicaciones electrónicas).