Protecció de dades per a
agències de màrqueting i publicitat

L'art. 34 de la LOPDGDD estableix l'obligació de designar DPD per a les empreses la activitat principal de les quals sigui la publicitat o la prospecció comercial. Les agències de màrqueting digital que realitzen perfilat d'audiències, gestionen bases de dades o executen campanyes d'email màrqueting estan compreses en els supòsits previstos en aquest article. Encara que aquesta és la regla general del sector, l'exigència final dependrà de l'escala, volum i tipologia exacta dels tractaments de cada entitat. Cada cas requereix una anàlisi individualitzada.

Depèn del context de cada operació i de la relació contractual. Amb caràcter general, quan l'agència accedeix al CRM o a la base de contactes del client i actua estrictament per instrucció seva, la relació tendeix a ser d'encàrrec del tractament (art. 28 RGPD). No obstant això, la relació jurídica exacta pot variar: en alguns casos pot existir corresponsabilitat o una relació RT-RT (ambdues parts determinen fins i mitjans de forma independent). Cada cas ha d'analitzar-se individualment; aquesta informació és orientativa.

Per enviar comunicacions comercials per email a persones físiques es requereix el seu consentiment previ, llevat que ja siguin clients i el contingut de l'email estigui directament relacionat amb el producte o servei contractat (art. 21 LSSI). Les llistes de contactes comprades o cedides sense consentiment explícit per a aquesta finalitat no són vàlides per a email màrqueting.

Sí. Els píxels de Facebook/Meta, el píxel de Google Ads i les cookies de seguiment i publicitat requereixen el consentiment informat de l'usuari web abans d'activar-se. L'AEPD ha sancionat empreses per instal·lar aquestes tecnologies sense consentiment previ. El bàner de cookies ha d'obtenir un consentiment real, no predefinit.

Sí. L'enviament de dades d'usuaris a través de les APIs de Meta o Google suposa transferir dades a entitats als EUA. Aquestes transferències han d'emparar-se en un mecanisme vàlid: per a proveïdors adherits al Data Privacy Framework (DPF) UE-EUA, aquest és el mecanisme actualment aplicable; en altres casos es requereixen Clàusules Contractuals Tipus o altres mecanismes de l'art. 46 RGPD. L'agència ha de verificar quin mecanisme s'aplica a cada proveïdor i documentar-ho adequadament.

No. L'accés al CRM del client implica accedir a dades personals dels contactes, clients o leads de l'anunciant. Sense un contracte d'encàrrec del tractament formalitzat, aquest accés constitueix una infracció de l'art. 28 RGPD. L'agència ha d'exigir aquest contracte com a pas previ a l'accés a qualsevol sistema amb dades del client.