Transferència de dades de clients entre franquiciats de la mateixa marca: quan és lícita i quan no

Una de les preguntes que més dubtes genera a les xarxes de franquícia és si les dades dels clients es poden moure entre franquiciats de la mateixa marca. La intuïció empresarial diu que sí: som la mateixa marca, compartim identitat, seria absurd no poder reaprofitar els clients. La intuïció jurídica del RGPD diu el contrari: cada franquiciat és una empresa independent, responsable del tractament de les dades dels seus clients, i compartir-les amb un altre franquiciat és una cessió a un tercer diferent que requereix base jurídica pròpia.

Aquest article aclareix quan la transferència de dades entre franquiciats és lícita i quan no, sobre la base del RGPD (Reglament UE 2016/679) i la LOPDGDD (Llei Orgànica 3/2018).

El punt de partida: cada franquiciat és un responsable diferent

El client que entra al local del franquiciat A celebra un contracte amb la societat del franquiciat A. Les seves dades les gestiona aquest franquiciat com a responsable independent. El franquiciat B, encara que operi sota la mateixa marca en una altra ciutat, és una empresa jurídicament diferent. La marca compartida és un actiu comercial; no és una base jurídica del RGPD per moure dades entre les dues empreses.

Pertànyer a la mateixa xarxa de franquícia, per tant, no genera per si sol una habilitació per transferir dades del client. La transferència es regeix per les mateixes regles que s'aplicarien si fossin dues empreses sense cap relació entre si: necessita base jurídica pròpia i complir el deure d'informació a l'interessat.

Les dues vies legítimes perquè les dades es moguin a la xarxa

Programa de fidelització únic de marca: el cas típic

El programa de fidelització únic és l'arquitectura més natural perquè les dades circulin legítimament en una xarxa de franquícia. La seva lògica és: el client es dóna d'alta una vegada, els seus punts s'acumulen a qualsevol establiment de la marca i la base és accessible per a campanyes centralitzades i per reconèixer el client a qualsevol punt. Els requisits perquè sigui correcte:

• Acord de l'art. 26 RGPD entre el franquiciador i els franquiciats adherits, que reparteixi obligacions d'informació, drets, bretxes, conservació i seguretat.
• Clàusula informativa específica a l'alta del programa: identifica el franquiciador i els franquiciats com a corresponsables, explica quines dades es tracten, amb quina finalitat i durant quant de temps, i aclareix que el client pot exercir drets davant de qualsevol dels corresponsables.
• Punt de contacte únic per als drets del client: el client acudeix on li sigui més còmode i el sistema intern de la xarxa gestiona la resposta.
• Separació de finalitats: les dades del programa s'utilitzen per a les finalitats del programa. Si un franquiciat les vol fer servir per a campanyes pròpies alienes al programa, necessita base jurídica addicional.

CRM compartit: arquitectura neta o cessió encoberta

És habitual que el franquiciador imposi al franquiciat un CRM comú de marca. Hi ha dues lectures possibles del mateix CRM, depenent de com s'hagi dissenyat:

• CRM com a eina del franquiciat, amb franquiciador com a proveïdor: cada franquiciat té el seu espai al CRM, només accedeix a les seves pròpies dades, i el franquiciador és encarregat del tractament per l'art. 28 RGPD prestant el servei tecnològic. No hi ha transferència entre franquiciats.
• CRM com a base comuna de marca: tots els franquiciats veuen les mateixes dades, alimenten la mateixa base, i la marca la utilitza centralment per a campanyes i analítica. Aquí estem en corresponsabilitat de l'art. 26 RGPD i el client ho ha d'haver sabut en donar-se d'alta.

El problema apareix quan el CRM s'ha venut al client com a eina local del franquiciat, però a la pràctica tots els franquiciats accedeixen a la base. Això és cessió encoberta no informada.

Comunicacions del franquiciador a clients del franquiciat

El franquiciador sovint vol comunicar-se directament amb els clients de tota la xarxa per a campanyes de marca, newsletter institucional, llançaments. La base jurídica d'aquesta comunicació depèn de l'origen de les dades:

• Si les dades són en un programa comú (fidelització, app, CRM compartit) on el franquiciador és corresponsable i la clàusula informativa ja incloïa aquesta finalitat, la comunicació és legítima dins dels termes informats.
• Si les dades són del franquiciat i el franquiciador les vol rebre per comunicar-se, cal consentiment exprés del client per a aquesta cessió i comunicació o haver articulat correctament la corresponsabilitat abans.
• L'art. 21.2 LSSICE només empara enviaments sobre productes o serveis similars quan existeixi relació contractual prèvia amb el mateix remitent. Si el client només ha contractat amb el franquiciat, aquest contracte previ no és amb el franquiciador.

Dades d'un franquiciat a un altre en cessar l'activitat

Quan un franquiciat cessa o canvia de marca, la destinació de les dades depèn de qui les va recollir i sota quina figura. Regles bàsiques:

• Les dades de clients contractats pel franquiciat sortint com a responsable independent són del franquiciat i romanen amb ell per a les seves pròpies obligacions legals (fiscal, mercantil, civil) i, si escau, per a continuïtat de l'activitat sota una altra forma.
• Les dades del programa de fidelització únic, del CRM corporatiu i de plataformes centralitzades de marca romanen en la corresponsabilitat i el franquiciat sortint perd l'accés en cessar la relació.
• Si el franquiciador assumeix el local amb un nou franquiciat entrant, les dades del client de l'antic franquiciat no se cedeixen automàticament al nou: cal base jurídica pròpia (consentiment del client per a aquesta transferència, normalment).
• Si el franquiciat entrant adquireix també l'empresa del sortint (operació mercantil), el règim és diferent (successió empresarial) i es regeix per regles pròpies.
• L'annex de protecció de dades del contracte de franquícia ha de preveure tots aquests escenaris abans que succeeixin.

Casos típics d'error en la transferència entre franquiciats

• Assumir que pertànyer a la mateixa marca habilita compartir la base de clients.
• Recol·lectar dades en un local de franquiciat i pujar-les al CRM de marca sense haver-ho informat al client.
• Enviar leads captats en una campanya nacional a franquiciats sense que el lead hagi estat informat d'aquesta distribució.
• Permetre al franquiciador accedir a la base local del franquiciat per a campanyes pròpies sense base jurídica ni clàusula que ho cobreixi.
• Heretar les dades del franquiciat sortint al franquiciat entrant sense consentiment ni continuïtat jurídica.
• Utilitzar les dades del programa de fidelització per a campanyes comercials del franquiciat individual alienes al programa, sense base jurídica addicional.

Checklist pràctic

• Identificar quines bases de dades existeixen a la xarxa i quina figura RGPD aplica a cadascuna (independent, corresponsabilitat, encàrrec).
• Si hi ha programa comú, redactar acord de l'art. 26 RGPD i la clàusula informativa específica del programa.
• Si el franquiciador presta servei tecnològic al franquiciat, signar contracte de l'art. 28 RGPD.
• Si hi ha cessió no emmarcada en programa comú, recollir consentiment exprés del client per a aquesta cessió.
• Preveure l'escenari de cessament i canvi de franquiciat al contracte de franquícia.
• Formar el personal del punt de venda sobre quina és la base que s'està alimentant amb cada dada del client.
• Revisar les clàusules informatives perquè reflecteixin fidelment el que passa a la xarxa.

Preguntes freqüents

Aquest contingut és merament orientatiu i divulgatiu; no constitueix en cap cas assessorament jurídic especialitzat. L'aplicació de la normativa a cada cas concret requereix anàlisi individualitzada. La normativa autonòmica i sectorial pot ampliar o modificar requisits.