Reclamar una indemnización por daños y perjuicios en virtud de la legislación sobre protección de datos

Por el ingeniero Mark Hawksworth, jefe del grupo de práctica de especialistas en tecnología global y perito ejecutivo de MCL

A medida que se aprueban nuevas leyes de protección de datos, surgen nuevos retos.

La «caza de reclamaciones» se produce cuando determinadas partes presentan reclamaciones con fines lucrativos contra personas que desconocen el uso indebido de sus datos, y está en aumento en el Reino Unido. Tras superar las dificultades relacionadas con la COVID-19 y el creciente número de ciberataques, las empresas del Reino Unido se enfrentan ahora a un riesgo adicional de «claim farming» envirtud del artículo 6del Reglamento de 2003sobre Privacidad y Comunicaciones Electrónicas(Directiva CE) (PECR). En las reclamaciones que hemos recibido hasta ahora, las empresas no eran conscientes de este riesgo, lo que hace que la sensibilización y la elaboración de un plan sean fundamentales para que los asegurados puedan protegerse.

Cuestiones relacionadas con el cumplimiento normativo

En algunos casos, las empresas pueden desconocer que son responsables del uso indebido de los datos personales. Si una persona visita su página web y se da cuenta de que se han descargado cookies de seguimiento, puede presentar una reclamación alegando que la página web no cumple con la normativa. La dificultad radica en determinar si la persona que presenta la reclamación buscó deliberadamente esa página web con el fin de obtener un beneficio económico.

Se están presentando de forma masiva reclamaciones de terceros relacionadas con la instalación de cookies de seguimiento persistentes en dispositivos personales sin el consentimiento del propietario. El argumento es que las cookies de seguimiento constituyen una intromisión contraria al RGPD y, dado que no se dio consentimiento para su instalación, el demandante puede solicitar una indemnización económica.

En la correspondencia de los demandantes habituales suele citarse el apartado 1 del artículo 2 del Reglamento n.º 6 del Reglamento sobre Privacidad y Comunicaciones Electrónicas (Directiva CE) de 2003 (PECR), que hace referencia a que«el consentimiento de un usuario o abonado equivale al consentimiento del interesado en el RGPD». El considerando 32 del RGPD establece:«el consentimiento debe manifestarse mediante un acto afirmativo claro que constituya una indicación de la aceptación del interesado, libre, específica, informada e inequívoca».

El proceso para los asegurados

Si se detecta una infracción según las directrices anteriores, se notifica al asegurado la instalación de cookies de rastreo y se le invita a presentar una reclamación en virtud de la cobertura de seguro correspondiente que tenga contratada. La reclamación se remite a las aseguradoras y, a continuación, a un gestor, al que se le facilitan pruebas tanto de la instalación como de la persistencia de las cookies de rastreo, normalmente en forma de un vídeo grabado desde el dispositivo del reclamante.

La reclamación puede referirse a:

• acusaciones/pruebas
• la supuesta página web que instala cookies de seguimiento
• prueba de la persistencia de las cookies de seguimiento
• cómo las cookies de seguimiento crean un identificador único que rastrea el comportamiento en Internet, infringiendo así el artículo 6, apartado 1, del Reglamento PECR
• el hecho de no haber facilitado al solicitante información clara y exhaustiva sobre la finalidad de estas cookies, lo que contraviene el artículo 6, apartado 2, letra a), del PECR
• la falta de obtención del consentimiento para el uso de las cookies, lo que contraviene el artículo 6, apartado 2, letra b), del Reglamento PECR;
• el incumplimiento de la obligación de tratar los datos personales de manera leal, lícita y transparente, en contravención del artículo 5 del RGPD

Durante las negociaciones sobre la reclamación, se amenaza con que, si el asunto no se resuelve a satisfacción del reclamante, se remitirán los datos a la Oficina del Comisionado de Información (ICO). La ICO puede ejercer sus funciones de ejecución en virtud del artículo 32 del PECR, según el cual existe responsabilidad personal por el incumplimiento del PECR en virtud del artículo 2(3) del Reglamento de Privacidad y Comunicaciones Electrónicas (Enmienda)de 2018. La correspondencia suele concluir con la solicitud de un pago en forma de compensación económica por la falta de consentimiento mencionada anteriormente; una vez recibido dicho pago, no se procederá a la notificación a la ICO.

Para las aseguradoras, los corredores y los asegurados, es fundamental comprender las consecuencias de no contar con el consentimiento para el uso de cookies en las páginas web. Independientemente de que la empresa sea consciente de ello o no, puede incurrir en responsabilidad y, por lo tanto, estar obligada a indemnizar económicamente al demandante. Sensibilizar sobre la práctica del «claim farming» y elaborar un plan puede proteger a las partes inocentes frente a reclamaciones de terceros como esta.