Una operación mercantil que implica una compraventa de cartera de clientes puede tener, como es razonable, muchas implicaciones a nivel de protección de datos personales. La cartera de clientes no es solo un activo económico, sino un conjunto de información de personas físicas, protegido por normativa estricta; especialmente, por el Reglamento General de Protección de Datos (RGPD).
En este artículo, analizamos la licitud de estas prácticas desde la perspectiva de la privacidad, qué pasos hay que seguir para realizar correctamente el intercambio de los datos y cuáles son los riesgos a tener en cuenta.
Qué implicaciones de protección de datos tiene una compraventa de cartera de clientes
Una compraventa de cartera de clientes es la operación por la cual una empresa transmite a otra datos personales de sus clientes (nombres, correos electrónicos, teléfonos, historiales de compra o cualquier otra información identificable), como parte de una operación mercantil. Es lo que ocurre cuando vendes tu negocio y, con esa venta, traspasas también toda la base de datos de clientes que has ido formando. Así, el negocio continúa, pero con un cambio de titularidad.
Este tipo de operación no es “libre” ni automática. Aunque haya un contrato de compraventa, los datos personales no deben transferirse como si fueran un simple activo contable. Aquí entra en juego la normativa de protección de datos y, en especial, el principio de licitud del tratamiento.
Regulación normativa y doctrinal: cómo actuar lícitamente
La normativa reguladora actual del derecho a la protección de datos en España ya prevé este tipo de acciones y, además, otorga presunción de licitud a los tratamientos derivados de ella, siempre que se den una serie de características.
En concreto, el artículo 21 de la LOPDgdd 3/2018, que regula los Tratamientos relacionados con la realización de determinadas operaciones mercantiles (como puede ser una compraventa de cartera de clientes) establece que:
“Salvo prueba en contrario, se presumirán lícitos los tratamientos de datos, incluida su comunicación con carácter previo, que pudieran derivarse del desarrollo de cualquier operación de modificación estructural de sociedades o la aportación o transmisión de negocio o de rama de actividad empresarial, siempre que los tratamientos fueran necesarios para el buen fin de la operación y garanticen, cuando proceda, la continuidad en la prestación de los servicios. En el caso de que la operación no llegara a concluirse, la entidad cesionaria deberá proceder con carácter inmediato a la supresión de los datos, sin que sea de aplicación la obligación de bloqueo prevista en esta ley orgánica.”
Es decir, que una acción como una compraventa de cartera de clientes puede presumirse lícita, con una serie de requisitos:
- Se prevé la comunicación previa de la operación
- Esta presunción de licitud puede aplicar a “cualquier operación de modificación estructural de sociedades”, así como a “la aportación o transmisión de negocio”. Es decir, que no es una presunción reservada solo a determinadas operaciones, sino que hablamos de generalidad.
- Que el tratamiento -por ejemplo, la comunicación de datos- sea necesario para el buen fin de la operación y debe quedar garantizado que la prestación de servicios a los interesados continuará produciéndose.
- Que, en caso de no concluirse la operación, la sociedad receptora de la información proceda a su supresión o borrado.
También se ha pronunciado sobre este tema el Gabinete Jurídico de la Agencia Española de Protección de Datos, en el Informe 194/2017, estableciendo que:
“Del mismo modo, tampoco cabe duda de que, en caso de llegar a prosperar la operación de reestructuración societaria existe un interés legítimo de la entidad adquirente o resultante en continuar llevando a cabo el tratamiento de los datos de carácter personal de la entidad transmitente o preexistente, siendo así que dicho interés en un gran número de supuestos no solo prevalecerá sobre el derecho del afectado […], sino que a veces se llevará a cabo en el propio interés de la persona a la que se refieran los datos, manteniendo la vigencia de la relación que le unía con la entidad precedente o cedente”.
Es decir, que la AEPD recalca que este tipo de operaciones pueden entenderse lícitas, y amparadas en un interés legítimo de la sociedad que adquiere la cartera de clientes. Y, además, se prevé que esta transmisión puede incluso favorecer a los interesados implicados, dado que se promueve que la relación que venían manteniendo se mantenga, y que continúe, en su caso, la prestación de los servicios, aunque haya habido cambios de titularidad.
Obligaciones de información al cliente
Un punto esencial de la protección de datos en la compraventa de cartera de clientes es la transparencia y el cumplimiento del deber de información.
Los clientes deben ser informados, de forma clara y entendible, de que sus datos van a ser comunicados a una nueva entidad, incluyéndose los datos identificativos y de contacto del nuevo titular, entre otros puntos a considerar. Si los clientes no han sido informados correctamente, la operación puede ser considerada contraria al RGPD.
Es decir: si vas a vender tu empresa, y con ella la base de datos o cartera de clientes, lo correcto es que, antes de que se haga efectiva la transmisión, comuniques a tus clientes que se va a producir la misma y les proporciones los datos de la nueva empresa titular de su información. Esta obligación es del vendedor, pues es quien ha sido responsable del tratamiento de los datos hasta este momento.
Garantías mínimas
En la protección de datos en la compraventa de cartera de clientes, el contrato entre las partes no debería ser solo económico. Deberían incluirse acuerdos y garantías específicas en materia de protección de datos personales.
Algunos elementos clave en este sentido son:
- Declaración de origen lícito de los datos.
- Garantía de que los datos han sido obtenidos conforme al RGPD.
- Distribución de responsabilidades entre vendedor y comprador.
- Compromiso de colaboración en caso de reclamaciones.
Estos requisitos se configuran como elementos de gran valor para el cumplimiento normativo de ambas partes involucradas.
Guía de pasos básicos a seguir en una compraventa de cartera de clientes
Si estás (o crees que estarás) inmerso en una operación mercantil que implique la compraventa de una cartera de clientes, es importante que respetes una serie de pasos o actuaciones:
1. Identifica los datos personales
Dentro de la información que vayas a ceder o vender, debes identificar qué es dato personal y qué no. La normativa de protección de datos solo aplica a los datos personales, no a otro tipo de informaciones; para lo que no entre en este ámbito, has de recurrir a la legislación mercantil o societaria.
2. Informa a los interesados
Una vez hayas confirmado que hay datos personales en juego, es necesario informar a los interesados. Esta obligación, como hemos indicado, es de la empresa que realiza la venta que, hasta el momento, es titular de los datos que se cederán. Por tanto, debe ser esa empresa la que comunique que se va a proceder a la compraventa, y proporcione la información necesaria (aunque pueden hacerlo ambas conjuntamente).
3. Obligaciones del nuevo responsable
Una vez concluida la operación, la sociedad que adquiere la cartera de clientes pasa a ser el nuevo responsable del tratamiento de los datos y, a partir de ahí, debe cumplir con todas las obligaciones que la normativa establece.
Riesgos de incumplir la normativa
No cumplir correctamente con la protección de datos en la compraventa de cartera de clientes puede derivar en:
- Sanciones por parte de la AEPD.
- Reclamaciones de los propios clientes.
- Daño reputacional para ambas empresas.
Por lo tanto…
El cumplimiento de la normativa de protección de datos en una compraventa de cartera de clientes no debe considerarse un trámite secundario ni algo que se pueda resolver solo con un contrato mercantil. Es un proceso que exige análisis jurídico, revisión documental y garantías claras.
Tanto la empresa que vende como la que compra deben asegurarse de que los datos se han obtenido y se van a tratar conforme al RGPD. Solo así se puede realizar la operación con seguridad y evitar problemas futuros.
Si algo queda claro es esto: en una compraventa de cartera de clientes, los datos no son solo un activo económico, son responsabilidad legal. Y, en Dataseg, somos expertos en analizar estas responsabilidades: si necesitas asesoramiento especializado, contacta con nosotros y buscaremos la mejor solución para tu empresa.