La contratación de productos o servicios a través de mandatarios o fuerza de ventas no habilita a las empresas a utilizar los datos del cliente con fines publicitarios sin comprobación previa.
La reciente Sentencia 957/2026 del Tribunal Supremo aclara los límites entre la representación civil y la responsabilidad proactiva en materia de protección de datos.
El problema práctico
En la operativa comercial de muchos sectores (desde telecomunicaciones y energía hasta banca o seguros), la captación y formalización de contratos a través de terceros o canales indirectos es una práctica habitual. Se recurre de forma cotidiana a representantes, apoderados, distribuidores o fuerzas de venta externas (atención telefónica, stands comerciales o visitas a domicilio).
El conflicto surge cuando, en el mismo acto de contratación del servicio principal, se recaba del intermediario o mandatario el consentimiento para tratamientos de datos adicionales. Entre ellos destacan el envío de ofertas publicitarias tras la finalización del contrato, la remisión de promociones sobre productos de empresas colaboradoras o la elaboración de perfiles comerciales mediante el cruce con bases de datos de terceros.
Hasta ahora, muchas organizaciones asumían de forma implícita que, si una persona contaba con representación para contratar un servicio, dicha representación comprendía también la facultad de autorizar el uso comercial de los datos personales del cliente. La reciente resolución del Tribunal Supremo desmonta esta presunción y pone el foco en el riesgo de tratamientos no legitimados y suplantación de identidad en los canales de venta indirecta.
El marco aplicable
Para comprender la trascendencia de esta Sentencia , es necesario analizar la interacción entre el Derecho Civil y la Normativa Europea y Constitucional sobre datos personales:
- Contrato de mandato civil (artículo 1709 del Código Civil): Regula la representación por la cual una persona presta un servicio o hace alguna cosa por cuenta de otra.
El mandato civil no exige formalidades solemnes de carácter general para su validez contractual.
- Ejecución del contrato como base legitimadora (artículo 6.1.b del RGPD): Habilita el tratamiento de datos personales en la medida en que sea estrictamente necesario para formalizar y ejecutar el contrato suscrito con el interesado
Por ejemplo, prestar el suministro y facturarlo.
- Consentimiento autónomo y específico (artículos 4.11 y 6.1.a del RGPD, y artículo 6 de la LOPDGDD): Todo tratamiento con fines ajenos a la ejecución contractual, como la prospección comercial, la mercadotecnia directa o el perfilado, exige una manifestación de voluntad libre, específica, informada e inequívoca del titular de los datos.
El titular debe saber lo que está firmándose en su nombre.
- Protección de datos desde el diseño y por defecto (artículo 25 del RGPD) y responsabilidad proactiva (artículo 5.2 del RGPD): Imponen al responsable del tratamiento la obligación legal de implementar medidas técnicas y organizativas adecuadas.
Esto debe de hacerse, desde el momento de diseñar el procedimiento de venta, para garantizar y poder demostrar que solo se tratan los datos necesarios para cada fin específico.
La doctrina fijada por el Tribunal Supremo establece de forma tajante que la normativa de protección de datos es de carácter transversal y protege un derecho fundamental (consagrado en el artículo 8 de la Carta de Derechos Fundamentales de la UE y en el artículo 18.4 de la Constitución Española). Por ello, el régimen civil de la representación no exime al responsable del tratamiento de verificar proactivamente que el interesado ha otorgado su consentimiento o que el representante tiene facultades expresas para ello en materia publicitaria.
Cómo se resuelve en la práctica, paso a paso
Para adaptar los procesos de contratación a la doctrina jurisprudencial y evitar sanciones administrativas o la nulidad del tratamiento, los departamentos de Cumplimiento, Protección de Datos y Comercial deben implementar un procedimiento estructurado:
- Desvincular la finalidad contractual de las finalidades publicitarias: Separar en los flujos de contratación (formularios, scripts telefónicos o aplicaciones móviles) la casilla o aceptación del contrato principal de las casillas relativas a la recepción de publicidad o elaboración de perfiles.
- Verificar la facultad del representante para consentir usos comerciales: Si la contratación la realiza un tercero en nombre del cliente titular, el sistema de venta no puede dar por sentado el consentimiento comercial. Debe solicitarse documentación acreditativa del apoderamiento explícito para cesión publicitaria o recabar la confirmación directa del titular.
- Auditar y blindar los canales de venta indirecta: En canales de telemarketing, distribuidores externos o venta a domicilio, es indispensable exigir la entrega de copia del contrato al titular y establecer controles de verificación a posteriori (como llamadas de confirmación o mensajes SMS de verificación de identidad/consentimiento directos al titular).
- Registrar las evidencias del consentimiento: La empresa debe ser capaz de demostrar en todo momento (principio de responsabilidad proactiva del artículo 5.2 del RGPD) qué canal se utilizó, quién prestó el consentimiento, con qué alcance específico y qué comprobaciones de legitimación se ejecutaron.
Errores frecuentes
A la luz de los antecedentes examinados en la sentencia (donde se confirmaron sanciones que sumaban cientos de miles de euros), las organizaciones cometen habitualmente los siguientes fallos en su operativa:
- Presumir que el poder para contratar incluye el poder para autorizar publicidad: Tratar el consentimiento comercial como un accesorio indivisible de la contratación del servicio principal.
- Falta de control en fuerzas de venta externas: Confiar ciegamente en la gestión de agentes comerciales o distribuidores sin implantar auditorías de calidad, ni exigir que se verifique la identidad y poder del representante.
- Aceptar consentimientos por voz o firma de terceros sin acreditación: Registrar el "sí" de un intermediario en una llamada telefónica para enriquecer perfiles con bases de datos de terceros, sin contar con prueba de que el titular autorizó esa gestión.
- No enviar la documentación informativa al representado: Entregar la copia del contrato únicamente al representante y responsabilizar a este de informar al cliente titular.
Cohaerentis integra la perspectiva jurídica, tecnológica y operativa para auditar y diseñar canales de contratación conformes con las exigencias del Tribunal Supremo y la AEPD. Si tu organización utiliza redes de venta indirecta, intermediarios o telemarketing y necesitas revisar tus flujos de legitimación comercial, nuestro equipo puede asesorarte.
Redactado por Julia, a fecha 15 de octubre de 2026.