Vamos a continuar con más ejemplos reales de expedientes sancionadores.
1º) Inclusión del reclamante en un fichero de morosos siendo la deuda inexistente. Multa: 80.000 €.
Telefónica Móviles España incluyó indebidamente los datos personales del reclamante en un fichero de morosos (Asnef) por una deuda inexistente, ya que había sido anulada mediante un laudo arbitral en 2013.
A pesar de solicitudes de cancelación en 2014 y 2018, los datos permanecieron accesibles hasta al menos enero de 2018, vulnerando el principio de exactitud y limitación de la conservación (artículo 5.1.d y e del RGPD).
https://www.aepd.es/es/documento/ps-00091-2018.pdf
2º) Inclusión de la reclamante en un fichero de morosos, desconociendo que actuaba como avalista en una operación de microcrédito. Multa: 100.000 €.
Una persona, desconocida para la reclamante, la presentó —de forma fraudulenta— como avalista en una operación de microcrédito. Al incumplir el prestatario con la devolución, la entidad prestamista incluyó los datos personales de la reclamante en dos ficheros de morosos (Asnef y Badexcug) por una deuda total de 568 €. Como el prestatario consignó una dirección falsa de la reclamante en el contrato, esta no recibió el preceptivo requerimiento previo. Tuvo conocimiento de los hechos porque su banco le denegó un préstamo hipotecario.
https://www.aepd.es/es/documento/ps-00615-2016.pdf
3º) Publicidad comercial obteniendo datos personales del censo electoral. Multa: 100.000 €.
Todo Data Integral Services realizó una campaña publicitaria para la mercantil Sistemas Médicos Profesionales, utilizando datos personales obtenidos del Padrón Municipal.
El Padrón Municipal no se considera fuente accesible al público, por tanto, los datos personales contenidos en el mismo solo pueden utilizarse en el ámbito competencial de las Administraciones Públicas, no para fines comerciales.
Todo Data Integral Services fue sancionada con 100.000 € por la ausencia de consentimiento para el tratamiento de datos personales.
https://www.aepd.es/es/documento/ps-00052-2012.pdf
4º) Envío de mensajes publicitarios sin solicitud previa ni relación comercial. Multa: 26.000 €.
Caixabank Consumer Finance envío cuatro mensajes de texto a la línea móvil del denunciante con contenido comercial, tres correos electrónicos y dos comunicaciones postales también no consentidas. En el contrato de crédito firmado, el reclamante había marcado expresamente la casilla que no autorizaba el uso de sus datos personales para fines comerciales, autorizando el tratamiento solo para la ejecución del contrato.
https://www.aepd.es/es/documento/ps-00240-2018.pdf
Por hechos similares en Italia, la autoridad de control (Garante per la protezione dei dati personali) impuso a TIM SpA una multa de 27.802.946 € en enero de 2020 por llamadas publicitarias sin consentimiento, incluso a personas inscritas en las listas de oposición (como la Lista Robinson en España) o que habían ejercido su derecho de oposición. Dejo enlazada la resolución aquí .
5º) Solicitar el DNI y un selfie del huésped para realiza el «check-in» en un alojamiento turístico. Multa: 5.000 €.
Activos Inteligentes es una sociedad dedicada a la gestión de alojamientos turísticos. Sus propiedades se promocionan a través de una plataforma de reservas. El reclamante reservó un apartamento mediante dicha plataforma. Al formalizar la reserva, recibió la siguiente información: «Tu apartamento en *** está confirmado. Ponte en contacto con tu anfitrión para saber dónde recoger las llaves, a qué hora es el check-in…».
Posteriormente, la empresa le envió, a través de la plataforma, un mensaje solicitándole: «(…) por favor, realice la foto selfie correctamente». Ese mismo día, el reclamante contactó por WhatsApp con el número de teléfono asociado al alojamiento para solicitar la normativa específica que justifique la exigencia de una fotografía suya junto con su DNI para efectuar el registro de entrada. La empresa respondió que dicha verificación era necesaria para confirmar la identidad del huésped, cumplir con la normativa de la Comunidad de Madrid y prevenir estafas derivadas de reservas realizadas con documentación sustraída.
Finalmente, el reclamante facilitó la documentación solicitada y recibió un correo electrónico informándole de que su check-in había sido validado.
De la aplicación del principio de minimización de datos, la AEPD concluye que no puede justificarse la recogida de información como la imagen de los huéspedes y su DNI, al no ser datos preceptivos ni pertinentes para el tratamiento en cuestión.
https://www.aepd.es/documento/ps-00141-2024.pdf
