Caso Waylet: un contrato no es lo mismo que dar nuestro consentimiento

Son muchas las conclusiones que extraemos de una organización leyendo sus políticas de privacidad. Es por eso que leerlas es un ejercicio fatigoso pero recomendable, pues dependiendo de cuál sea la estructura de estas políticas de privacidad, de cómo estén redactadas y cuál sea su contenido, podemos saber si estamos ante una organización basada en principios éticos y transparentes, preocupada por la privacidad y seguridad de sus clientes y usuarios. O, por el contrario, saber si estamos ante una organización opaca con fines poco éticos. Este artículo trata de las políticas de privacidad de Waylet, la aplicación de pago de Repsol, cuyo valor reside en la obtención de descuentos y de incluso, bonificaciones económicas por usarla en los establecimientos adheridos a la misma.

Las conclusiones principales que podemos extraer son que las políticas de privacidad de Waylet son, en realidad, un contrato camuflado que contiene cláusulas que someten al usuario de esta aplicación a un tratamiento abusivo de sus datos personales por parte de tres empresas, incluso después de darse de baja de la aplicación, la imposibilidad de cambiar ninguna de las condiciones del mencionado contrato, la opacidad en la comunicación respecto a qué datos son tratados, y mal uso de las bases legítimas.

La propietaria de las bases de datos es Repsol, S. A., que utilizará la información de los usuarios para el control de acceso a los servicios online que ofrece el Grupo Repsol e identificar a los usuarios dentro de los mismos, conociendo a cuál de ellos estás adscrito (Registro Único Repsol). De esta manera, todos los datos que los usuarios proporcionen en los servicios pasarán a formar parte de la cuenta de usuario y serán accesibles para Repsol, S. A. Esto supone que las empresas del Grupo Repsol hacen una gestión integrada de la información del usuario comunicando todos los datos personales a Repsol, S. A., tanto aquellos datos personales que el usuario proporcione voluntariamente al acceder a un servicio bajo ‘Tu Cuenta’ (datos que se dan al rellenar el formulario de dada de alta), como aquellos datos personales que se derivan del uso de la aplicación (datos observados).

Vamos con el formato de las políticas de privacidad

El principio de transparencia, recogido en el Reglamento General de Protección de Datos, establece, entre otras cosas, que las políticas de privacidad deben estar escritas en un lenguaje plano, que los contenidos tengan fácil acceso, usando links o un menú desplegable, con un modelo de preguntas frecuentes (FAQ), y que tengan un formato fácil de manejar y leer. Lo primero que hice fue acceder a las políticas de privacidad en Google Play, para saber a qué atenerme antes de bajarme la aplicación. Acto seguido, bajé la aplicación y me encontré con unas políticas de privacidad distintas. Este fue el primer signo de opacidad que encontré. Siguiendo con el principio de transparencia, este recomienda que las políticas de privacidad sean lo más escuetas posibles. En el caso de Waylet, he copiado y pegado sus políticas de privacidad en un documento Word. Tienen un total de 6345 palabras en un texto plano que ocupan doce páginas, con fuente Calibrí, tamaño 12. Este es el segundo signo de opacidad: tiene por objetivo que sus políticas de privacidad causen fatiga al lector y no sean leídas. No está descrito en el RGPD cómo debe ser el formato de las políticas de privacidad, pero sí pide de forma clara, y es responsabilidad del responsable del tratamiento de los datos, tomar las medidas apropiadas para mejorar en todo lo posible la experiencia de usuario. El principio de responsabilidad proactiva obliga a documentar el formato elegido por la organización, y demostrar que es el más adecuado para transmitir la información. También exige que, si el lenguaje usado es complejo de entender, los responsables del tratamiento de los datos deben explicar por qué están usando este lenguaje y no se explican de manera más sencilla. Nada de esto se ha cumplido.