Documentación y recursos de ejecución

Todo tratamiento de datos personales requiere una base legal válida. En contacto comercial B2B suele invocarse el interés legítimo, que no es automático: exige una valoración documentada del equilibrio entre tu interés y los derechos de la persona afectada. Esa valoración debe existir por escrito y poder mostrarse si se requiere.

Debes poder acreditar de dónde procede cada dato y en qué contexto era público. Las listas de procedencia desconocida o adquiridas sin garantías impiden cumplir este requisito, lo que constituye en sí mismo un incumplimiento con independencia de cómo se usen.

Cada mensaje comercial debe incluir un mecanismo de baja visible, sencillo y que funcione. Un enlace roto, un procedimiento que exige varios pasos o una vía que no se atiende equivalen a no ofrecerla.

El derecho de oposición al tratamiento con fines de marketing directo es absoluto: no admite valoración ni negociación. Necesitas un procedimiento que registre cada solicitud y garantice que esa persona no vuelve a recibir comunicaciones por ningún canal, no solo por aquel en que ejerció el derecho.

Cada comunicación debe identificar con claridad quién la envía: nombre de la empresa, medio de contacto y, cuando corresponda, datos identificativos adicionales. Ocultar o difuminar la identidad del remitente no es defendible en ningún marco.

Las personas cuyos datos tratas tienen derecho a saberlo aunque no te los hayan facilitado directamente. Tu política de privacidad debe reflejar este tratamiento: qué datos, con qué finalidad, con qué base legal, de qué origen y qué derechos asisten al afectado.

Que un dato sea accesible no determina que puedas usarlo. Lo relevante es si el uso que le das encaja con la finalidad para la que se hizo público. Un teléfono publicado por un negocio para ser contactado comercialmente admite contacto comercial; un dato personal aparecido en otro contexto, no.

Incluso con base legal válida, el uso debe ser proporcionado. Un número razonable de contactos espaciados en el tiempo es defendible; la insistencia repetida sobre quien no responde, ignorando la ausencia de interés, no lo es aunque el dato de partida fuera legítimo.

Según el volumen y la naturaleza de los datos que trates, puede corresponderte mantener un registro de actividades de tratamiento. Conviene verificar si tu caso entra dentro de esa obligación en función de tu tamaño y del tipo de datos.

El marco aplicable cambia sustancialmente según el destinatario sea un negocio o un consumidor. Las prácticas admisibles en contacto comercial entre empresas no se trasladan al contacto con particulares, donde las exigencias de consentimiento son considerablemente mayores.