Unidad Reguladora y de Control de Datos Personales

Informe Nº 19/019, de 4 de febrero de 2019

Se resuelve una denuncia referida a la comunicación de datos personales sin consentimiento.

Informe Nº 19

Montevideo, 04 de febrero de 2019

 Exp. 2018-2-10-0000349

Ref. Denuncia Sr. AA contra escuela Brother por correo electrónico

I. Antecedentes

1. La presente viene a consideración de la Unidad Reguladora y de Control de Datos Personales (URCDP), en virtud de la denuncia formulada por el señor AA contra Escuela Brother, por presunto incumplimiento de la Ley N° 18.331 de 11 de agosto de 2008.
2. Expresa el denunciante que recibió un correo electrónico invitándole a completar un formulario de un Plan de Marketing de la Escuela, el cual se envió “en forma masiva y con todas las direcciones visibles para todos”.
3. Según consta a fojas 17 del expediente se dio vista a Mauricio Pablo Suarez Rassinetti (Escuela Brother), quien se presentó escrito a fojas 21 y siguientes.
4.  A fojas 44 y 45, las señoras María Fernanda Gómez y Valentina Andrea Clavero tomaron vista de las presentes actuaciones presentando escrito a fojas 49 y siguientes.

II. ANALISIS

1. De la actuación de Mauricio Pablo Suarez Rassinetti (Escuela Brother): Surge del escrito presentado por la denunciada que con fecha 29 de mayo de 2018 dos estudiantes de la Escuela Técnica Superior de Administración y Servicios de la Universidad del Trabajo del Uruguay, señoras María Fernanda Gómez y Valentina Andrea Clavero, “fueron autorizadas a acceder a información de Brother únicamente con fines EDUCATIVOS y a los solos efectos de aprendizaje (…)”. Indica además en el punto 5 del escrito que “las estudiantes no son alumnas de la ESCUELA BROTHER y no tienen relación alguna con la institución”.
2. Agregan en el punto 6 del escrito que, a los efectos de dar cumplimiento a los artículos 10, 11 y 12 de la Ley N° 18.331 de 11 de agosto de 2008, suscribieron con las estudiantes un acuerdo de confidencialidad “en el cual las estudiantes se obligaron a no difundir información”. Aportan copia del acuerdo (fs. 30).
3. Por otra parte manifiestan que “las estudiantes fueron quienes difundieron la información y enviaron el mail, incumpliendo el acuerdo de confidencialidad suscrito y violando la Ley 18.331(…)”
4. Corresponde señalar que la escuela Brother es la responsable de la base de datos o del tratamiento, pues es la propietaria de la base o decide sobre la finalidad, contenido y uso del tratamiento. Por tanto, son de aplicación al caso concreto los artículos 6°, 8°, 10, 11, 12 y 17 de la citada Ley.
5. El correo electrónico que recibió el denunciante identificaba a la Escuela Brother, único responsable desde el punto de vista de la protección de datos por aplicación del artículo 12. En este sentido, se verifica una vulneración del principio de finalidad (art. 8°) pues los datos objeto de tratamiento “no podrán ser utilizados para finalidades distintas o incompatibles con aquellas que motivaron su obtención”, lo que ocurrió en el caso concreto.
6. Además, en el accionar de Brother se verifica un incumplimiento del artículo 17 de la Ley dado que “los datos personales objeto de tratamiento sólo podrán ser comunicados para el cumplimiento de los fines directamente relacionados con el interés legítimo del emisor y del destinatario y con el previo consentimiento del titular de los datos, (subrayado dela informante) al que se le debe informar sobre la finalidad de la comunicación e identificar al destinatario o los elementos que permitan hacerlo”. Claramente dichos extremos no fueron respetados por la denunciada al efectuar la comunicación sin el consentimiento del titular del dato ni encuadra dentro de las excepciones previstas en los literales A, B y C del mismo artículo 3 siendo suficiente para deslindar de responsabilidades a la empresa Brother el acuerdo suscrito con las estudiantes.
7. Expresa Brother en el punto 9 de su escrito que “no solicitó el consentimiento informado porque el caso encuadraba como una excepción a los artículos 8 y 9 (…)” pues no se requiere el consentimiento cuando se trate de “listados cuyos datos se limiten (…)”. Respecto a este punto debe señalarse que la excepción prevista en el artículo 9 literal C), es de interpretación estricta, por lo que el consentimiento no se encuentra exceptuado para otros datos que no se encuentren en la enumeración taxativa, (en el caso el correo electrónico no forma parte del listado previsto por el artículo citado).
8.  Por último, corresponde señalar que no surge registro de base de datos a nombre de la empresa Brother (RUT 214803800013), o a nombre del Sr. Mauricio Pablo Suarez Rassinetti, existiendo por tanto además contravención de lo establecido en el artículo 6° de la Ley citada.
9. De la actuación de las señoras María Fernanda Gómez y Valentina Andrea Clavero: Surge del escrito presentado a fojas 49 y siguientes que se trata de dos estudiantes de la Tecnicatura de Analista en Marketing de la escuela Técnica Superior de Administración y Servicios de la Universidad del Trabajo del Uruguay. Indican que cometieron el error de enviar la encuesta “sin haber seleccionado la opción copia oculta” con todas las direcciones de correo electrónico a la vista.
   La conducta señalada encuadra en el incumplimiento del artículo 17 de la citada Ley, habiendo divulgado y comunicado los correos electrónicos sin el consentimiento del titular del dato.

III. Conclusiones

1. En virtud del análisis efectuado, corresponde señalar que la empresa Mauricio Pablo Suarez Rassinetti (Escuela Brother) ha incumplido con las disposiciones de la Ley N° 18.331 de 11 de agosto de 2008, en particular los artículos 6°, 8°, 10, 11, 12 y 17, en cuanto:

- no ha garantizado en forma suficiente la seguridad y confidencialidad de los datos personales comunicando los datos personales sin el consentimiento del titular del dato y fuera de las hipótesis previstas en los literales A, B y C del artículo 17.

- no ha inscripto sus bases de datos.

2. En cuanto a las señoras María Fernanda Gómez y Valentina Andrea Clavero se verifica un incumplimiento del artículo 17 de la Ley citada.
3. Por lo anterior, se sugiere la aplicación de las sanciones que el Consejo Ejecutivo de la URCDP estime convenientes a Mauricio Pablo Suarez Rassinetti (Escuela Brother) y las señoras María Fernanda Gómez y Valentina Andrea Clavero.
4. Se sugiere intimar a Mauricio Pablo Suarez Rassinetti (Escuela Brother) la inscripción de las bases de datos que correspondan en un plazo de 30 días corridos bajo apercibimiento de ulteriores sanciones.
5. Antes de la aplicación de la sanción, se sugiere previa vista conforme al artículo 76 del Decreto 500/91.

Dra. María Cecilia Montaña Charle

Derechos Ciudadanos