Respuesta
Sí, pero solo en algunos casos. Si han recopilado datos basándose en un interés legítimo, un contrato o intereses vitales, pueden utilizarlos para otros fines, pero solo después de comprobar que el nuevo fin sea compatible con el fin original.
Debe valorarse lo siguiente:
- la relación entre el fin inicial y el nuevo o futuro fin,
- el contexto en que se recopilaron los datos (¿cuál es la relación entre la empresa y la persona?),
- el tipo y la naturaleza de los datos (¿son sensibles?),
- las posibles consecuencias del tratamiento ulterior (¿cómo afectará a la persona?),
- la existencia de garantías adecuadas (como cifrado o seudonimización).
Si quieren utilizar los datos para fines estadísticos o científicos, no es necesario realizar ninguna prueba de compatibilidad.
Si han recogido los datos sobre la base del consentimiento o en cumplimiento de una exigencia de la legislación, no puede haber ningún tratamiento ulterior fuera de los ámbitos cubiertos por el consentimiento inicial o la disposición legal. Un tratamiento ulterior exigiría la obtención de un nuevo consentimiento o una nueva base jurídica.
Ejemplos
Es posible el tratamiento ulterior
Un banco tiene un contrato con un cliente para proporcionarle una cuenta bancaria y un préstamo personal. Al finalizar el primer año, el banco utiliza los datos personales del cliente para comprobar si tiene derecho a recibir un mejor tipo de préstamo y un plan de ahorro. Informa de ello al cliente. El banco puede volver a tratar los datos del cliente porque los nuevos fines son compatibles con el fin inicial.
No es posible el tratamiento ulterior
El mismo banco quiere compartir los datos del cliente con una compañía de seguros basándose en el mismo contrato de la cuenta bancaria y el préstamo personal. Este tratamiento no está permitido sin el consentimiento explícito del cliente porque el fin no es compatible con el fin original para el que se trataron los datos.
Referencias
Examples
Further processing is possible
A bank has a contract with a client to provide the client with a bank account and a personal loan. At the end of the first year the bank uses the client’s personal data to check whether they are eligible for a better type of loan and a savings scheme. It informs the client. The bank can process the data of the client again as the new purposes are compatible with the initial purposes.
Further processing isn’t possible
The same bank wants to share the client’s data with insurance firms, based on the same contract for a bank account and personal loan. That processing isn’t permitted without the explicit consent of the client as the purpose isn’t compatible with the original purpose for which the data was processed.