Entre frutas y datos personales para ligar
El asunto de la frutería Frutas Calisa, S.L., sancionado por la Agencia Española de Protección de Datos (en adelante, AEPD) en el expediente PS/00240/2024, pone de manifiesto una intersección singular entre lo cotidiano y lo ilícito: el uso indebido de datos personales obtenidos en un contexto comercial para fines personales con una clara intención de establecer contacto no profesional. La resolución de este procedimiento sancionador, fechada en 2024, revela cómo un empleado de la frutería, identificado como B.B.B., utilizó el número de teléfono de una clienta, A.A.A., proporcionado a través del sistema de la tarjeta Salamanca Tarjeta Activa, para enviarle mensajes de WhatsApp de carácter personal, vulnerando el Reglamento General de Protección de Datos (en adelante, RGPD). Este incidente, que podría parecer trivial a primera vista, refleja los riesgos de la gestión inadecuada de datos personales en entornos comerciales y plantea cuestiones más amplias sobre la privacidad, la ética en el manejo de información y las responsabilidades de los empleados en pequeñas empresas. Titulado "Entre frutas y datos personales para ligar", este texto analiza el caso, sus implicaciones legales y sociales, y la importancia de reforzar la protección de datos en contextos cotidianos.
Debe tenerse presente que el caso comenzó el 2 de diciembre de 2022, cuando A.A.A. presentó una reclamación ante la AEPD contra Frutas Calisa, S.L., alegando que un trabajador de la frutería, B.B.B., la contactó a través de WhatsApp sin su consentimiento, utilizando datos personales obtenidos a través de la tarjeta Salamanca Tarjeta Activa, un sistema de fidelización que permite descuentos en comercios locales. Los mensajes, enviados el 25 y 27 de noviembre de 2022 desde el número personal de B.B.B., tenían un tono claramente personal: "Una chica wapa vegana y simpática quien será jaajajaj" y "Te dejo adivinar quien soy", acompañados de un sticker de WhatsApp y una referencia directa al nombre de la reclamante.
A.A.A. afirmó que no había proporcionado su número directamente al empleado ni para fines personales, y que los mensajes no hacían referencia a ningún pedido comercial, como la frutería intentó argumentar. La reclamante aportó capturas de pantalla de los mensajes y de las transacciones realizadas con la tarjeta, así como una denuncia presentada ante la Policía Nacional el 30 de noviembre de 2022, identificando a B.B.B. como el remitente por su foto de perfil en WhatsApp.
La frutería, representada por su propietario C.C.C., defendió que los datos de A.A.A. fueron proporcionados voluntariamente por ella para gestionar pedidos de productos veganos perecederos o para participar en un sorteo navideño, y que los mensajes se enviaron para recordarle un pedido pendiente. Sin embargo, la AEPD constató que no se aportó prueba alguna de un consentimiento expreso o de un contrato que justificara el uso del número para fines comerciales, y que el contenido de los mensajes no respaldaba la versión de la frutería. La investigación confirmó que B.B.B., empleado de Frutas Calisa, accedió al número de teléfono de A.A.A. a través de los datos proporcionados a la empresa, ya fuera por el sistema de la tarjeta o por una supuesta interacción previa, y lo utilizó desde su número personal para enviar mensajes con una finalidad no profesional. Este acto constituyó un tratamiento ilícito de datos personales, en contravención del artículo 6.1 del RGPD, que exige una base de licitud para cualquier tratamiento de datos.
El artículo 6.1 del RGPD establece que el tratamiento de datos personales solo es lícito si se basa en el consentimiento del interesado, la ejecución de un contrato, el cumplimiento de una obligación legal, la protección de intereses vitales, una misión de interés público o un interés legítimo que no prevalezca sobre los derechos del interesado. En este caso, Frutas Calisa tenía una base de licitud para tratar los datos de A.A.A. en el marco de una relación contractual (artículo 6.1.b del RGPD), ya que la clienta utilizó la tarjeta Salamanca Tarjeta Activa para realizar compras los días 5, 18 y 22 de noviembre de 2022. Sin embargo, esta base de licitud no se extendía a B.B.B. como individuo, quien actuó a título personal al enviar los mensajes desde su número privado, sin seguir instrucciones de la empresa y con una finalidad ajena a la relación comercial. La AEPD determinó que B.B.B. era el responsable del tratamiento, según el artículo 4.7 del RGPD, al decidir los fines y medios del uso de los datos, y que su acción carecía de cualquier base de licitud, constituyendo una infracción grave tipificada en el artículo 83.5.a del RGPD.
La investigación de la AEPD, detallada en el informe de actuaciones previas del 22 de mayo de 2024, verificó que el número de teléfono desde el cual se enviaron los mensajes pertenecía a B.B.B., según la respuesta de Orange Espagne, S.A.U., y que este tenía acceso a los datos de A.A.A. por su condición de empleado. Las condiciones de uso de la tarjeta Salamanca Tarjeta Activa, consultadas en la web oficial, confirmaron que los datos de los titulares podían cederse a los comercios adheridos, como Frutas Calisa, pero únicamente para fines comerciales, como promociones o gestión de transacciones. Los mensajes de B.B.B., con un tono personal y sin referencia a pedidos, excedían claramente esta finalidad, evidenciando un uso indebido. La falta de pruebas por parte de la frutería para respaldar su versión sobre un supuesto pedido vegano, junto con la ausencia de un consentimiento expreso de A.A.A. para el contacto personal, reforzó la conclusión de la AEPD de que el tratamiento fue ilícito.
Este caso ilustra un problema recurrente en entornos comerciales de pequeña escala, donde los empleados tienen acceso directo a datos personales de los clientes, pero no siempre están adecuadamente formados o supervisados para garantizar su uso correcto. Aunque Frutas Calisa afirmó que B.B.B. había recibido formación en protección de datos, acreditada con un certificado de un curso de 60 horas, esto no eximió al empleado de responsabilidad, ya que actuó a título personal. La sanción impuesta a B.B.B., una multa de 300 euros, refleja la aplicación de los principios de efectividad, proporcionalidad y disuasión establecidos en el artículo 83 del RGPD. La AEPD consideró factores como la naturaleza de la infracción, la intencionalidad (o al menos negligencia) del empleado, la ausencia de medidas para mitigar el daño y el impacto limitado pero real en la privacidad de la reclamante. La sanción, aunque modesta, busca enviar un mensaje claro: el uso indebido de datos personales, incluso en contextos aparentemente triviales, tiene consecuencias legales.
Desde una perspectiva más amplia, este incidente pone de relieve los riesgos de la digitalización en las relaciones comerciales cotidianas. La tarjeta Salamanca Tarjeta Activa, diseñada para fomentar el comercio local, implica la cesión de datos personales a múltiples establecimientos, lo que aumenta la exposición de los clientes a posibles abusos. El caso también destaca la vulnerabilidad de los sistemas de fidelización, donde los datos, aunque cedidos con consentimiento para fines comerciales, pueden ser utilizados de manera indebida por empleados que actúan por motivos personales. La ausencia de controles internos estrictos en Frutas Calisa, como la supervisión del acceso a los datos o la limitación del uso de números personales para contactar a clientes, facilitó la infracción. Este tipo de situaciones subraya la necesidad de que las pequeñas empresas implementen medidas técnicas y organizativas robustas, como las exigidas por el artículo 32 del RGPD, para proteger los datos de sus clientes.
El impacto en la reclamante no debe subestimarse. Recibir mensajes no solicitados de un desconocido que utiliza datos obtenidos en un contexto comercial puede generar una sensación de intrusión y vulnerabilidad. A.A.A. reaccionó rápidamente al denunciar el caso ante la Policía Nacional y la AEPD, lo que demuestra una creciente conciencia ciudadana sobre los derechos de protección de datos. Sin embargo, la respuesta inicial de la AEPD, que archivó la reclamación el 14 de marzo de 2023, refleja los desafíos que enfrentan los organismos reguladores para investigar casos que involucran pequeñas empresas y empleados individuales. La estimación del recurso de reposición presentado por A.A.A., que llevó a la continuación del procedimiento, evidencia la importancia de la persistencia de los afectados para garantizar la aplicación de la normativa.
El caso también plantea preguntas éticas sobre el comportamiento en el entorno laboral. Los mensajes de B.B.B., con un tono que sugiere un intento de establecer una relación personal, cruzaron una línea clara entre lo profesional y lo personal, utilizando información obtenida en un contexto de confianza comercial. Este abuso de confianza no solo daña la reputación de Frutas Calisa, sino que también refuerza la percepción de que los datos personales están en riesgo en interacciones cotidianas, como comprar en una frutería. La formación en protección de datos, aunque necesaria, no sustituye la necesidad de una cultura organizacional que fomente el respeto por la privacidad de los clientes y sancione cualquier uso indebido de la información.
En términos jurídicos, la resolución de la AEPD es un recordatorio de la responsabilidad individual en el tratamiento de datos personales. Aunque Frutas Calisa no fue sancionada directamente, el caso destaca la importancia de que las empresas establezcan políticas claras para evitar que sus empleados utilicen datos para fines no autorizados. La falta de respuesta oportuna de la frutería a las notificaciones de la AEPD, que fueron rechazadas o ignoradas en varias ocasiones, también pone en evidencia las dificultades de las pequeñas empresas para cumplir con los procedimientos administrativos, lo que puede agravar las consecuencias de este tipo de incidentes.
En definitiva, el asunto de Frutas Calisa y B.B.B. constituye un ejemplo paradigmático de cómo un acto aparentemente menor, como enviar mensajes de WhatsApp con intenciones personales, puede derivar en una infracción significativa de la normativa de protección de datos. Entre frutas y datos personales, este incidente revela los riesgos de la gestión inadecuada de información en entornos comerciales y la necesidad de reforzar la formación, la supervisión y los controles internos en las empresas, especialmente las de pequeño tamaño.
La sanción de 300 euros a B.B.B. subraya que nadie está exento de responsabilidad, independientemente del contexto, y que la privacidad de los ciudadanos es un derecho que debe protegerse con rigor. Este caso nos sirve como una advertencia para empleados y empresas por igual: los datos personales no son un juguete, y su uso indebido, incluso con intenciones aparentemente inofensivas, puede tener consecuencias jurídicas y sociales significativas.