Unidad Reguladora y de Control de Datos Personales

Informe N° 105/019, de 2 de abril de 2019

Se resuelve una denuncia referida al recibo de mensajes por whatsapp de una empresa del rubro gastronómico.

Montevideo, 02 de abril de 2019

Exp. 2018-2-10-0000454

Ref. DENUNCIA SR. AA CONTRA D´ LA RIBERA

EMPANADAS POR MENSAJE DE TEXTO NO DESEADO

Informe Nº 105

I. Antecedentes

1. La presente viene a consideración de la Unidad Reguladora y de Control de  Datos Personales (URCDP), en virtud de la denuncia formulada por el señor AA contra D´la Ribera Prado, por presunto incumplimiento de la Ley N° 18.331 de 11 de agosto de 2008.
2. Expresa el Sr. AA que recibió en su teléfono personal (celular) un WhatsApp de la empresa de empanadas horneadas que se encuentra en la zona del Prado, un mensaje privado, con una promoción de la noche. Indica que le solicitó a la empresa le informe de dónde obtuvo su número telefónica. Agrega que la empresa respondió que “alguna vez habré comprado ahí”.
3. Continúa el denunciante indicando que “jamás me consultaron si deseaba recibir promociones y ofertas a mi teléfono personal, solo lo toman y lo hacen”. Aporta captura de pantalla de los mensajes intercambiados con la empresa (fs. 5 y siguientes).
4.  Según consta a fojas 15 del expediente se dio vista a D´la Ribera Prado, quien se presentó escrito a fojas 21 y siguientes.
5. A fojas 57 se dio vista a Aravo SA (Pedidos Ya), la que presenta escrito a fojas 65 y siguientes.

II. Análisis

1. Surge del escrito presentado por la denunciada que el sistema que utiliza el local de pedidos es el software DELYSOFT, el cual “realiza una carga automática de datos de los datos del cliente cuando se recibe una llamada telefónica, lo cual se logra a través del captor telefónico instalado con el software. Además los recepciona automáticamente vía web o vía sms.”
2. Indica que también utiliza aplicaciones como Pedidos Ya que intermedian entre el cliente y el comercio, “que carga en nuestra base de datos, automáticamente los datos de quien pide comida, ya sea nombre, dirección y correo electrónico.”
3. Agrega que la base de datos se va conformando desde el año 2012, con contactos de clientes, que tanto por teléfono fijo como por celular y/o por Pedidos Ya, han hecho alguna vez un pedido.
4. En el caso indican que el denunciante “aparece en nuestra base de datos como cliente que alguna vez hizo –al menos- un pedido, desde su celular, para la dirección (…) Si lo hizo a nuestro teléfono fijo, siempre se pide (a través de la conversación telefónica) las calles laterales (…) Si lo hizo por Pedidos Ya, las calles laterales las debe ingresar él, conjuntamente con los demás datos que le exige la aplicación (…) Pedidos Ya envía el pedido remotamente al software DELYSOFT y nuestra impresora imprime un talón”.
5. A fojas 65 de estos obrados Aravo SA (pedidos Ya) indica que “el Sr. AA realizó un único pedido a la empresa D´La Ribera Empanadas (Prado) con fecha 29 de enero de 2018, con número 42368886”, adjunta comprobante.
6. Pedidos Ya confirma que el procedimiento descripto por la denunciada es correcto, en lo relativo a las compras y operativa. Detalla además se trata de uno de los tres posibles mecanismos que existen para realizar compras a través de la plataforma. En el caso se trata de una integración, es decir, el restaurante “ya cuenta con un sistema operativo para gestionar los pedidos de su restaurante y éste se “integra” con el software de PEDIDOSYA para recibir allí mismo los pedidos realizados a través de la plataforma.”
7. Agrega Pedidos Ya que a través de los mecanismos descriptos “los datos que llegan a los restaurantes son únicamente nombre, dirección y teléfono, que son los datos imprescindibles para que el pedido se pueda entregar y por ende, que el servicio de intermediación de PEDIDOSYA pueda cumplirse correctamente”.
8. Indica Pedidos Ya que el restaurante asume (según la cláusula cuarta del contrato) la obligación “utilizar la información suministrada por PEDIDOSYA (…) a los únicos efectos de cumplir con su obligación frente al usuario, obligándose a no utilizar, reproducir, almacenar, enajenar, transferir, contactar directamente al usuario, compartir ni de ninguna otra forma disponer, de forma total o parcial de dicha información”. Anexa modelo de contrato (fs. 69).
9. Cabe precisar que de la captura de pantalla agregada por D´ La Ribera Empanadas (Prado) a fojas 25 del expediente, surge que además de los datos detallados por Pedidos Ya en el punto VII, se comunica el correo electrónico del Sr. AA.
10. De los elementos aportados por D´La Ribera Empanadas (Prado) y PEDIDOSYA surge que se comunicaron datos del Sr. Dos Santos para el estricto cumplimiento del pedido gastronómico efectuado, conforme a los términos y condiciones y política de privacidad de esta última. No obstante lo anterior, el envío de promociones efectuado al denunciante por parte D´ La Ribera Empanadas se realiza incumpliendo lo establecido en la cláusula cuatro del contrato (fs. 69).
11. Por tanto se considera que D´La Ribera Empanadas, ha incumplido lo establecido en el artículo 9° de la Ley N° 18.331, de 11 de agosto de 2008 (LPDP), así como también el artículo 7° de la mencionada ley, relativo al principio de finalidad.
12. Sin embargo, y de acuerdo a lo detallado por ambas empresas, debe tenerse presente que la integración entre el software DELYSOFT y la plataforma de PEDIDOSYA, no permite diferenciar con claridad qué pedidos ingresan directamente al restaurante y cuáles a través de la plataforma, por tanto, este extremo debe ser corregido a la brevedad para evitar en un futuro situaciones como la que se considera en estos autos.
13. Asimismo D´La Ribiera debe tener especial consideración de lo dispuesto en el artículo 21 de la Ley citada, en el sentido de que una vez recibida una solicitud de no envío de promociones, se instrumenten las soluciones técnicas que así lo efectivicen, esto tratándose de clientes propios del local y no respecto de los derivados desde PEDIDOSYA, sobre los cuales no puede ni debe tratar sus datos según el contrato que vincula a ambas empresas.
14. Del análisis de los Términos y Condiciones y de la Política de Privacidad de PEDIDOSYA, que luce a fojas 81 y siguientes del expediente no surge con claridad qué datos serán comunicados a los locales gastronómicos, quien es el responsable de la base de datos y ante quién se pueden ejercer los derechos consagrados en los artículos 14 y 15 de la Ley, cuál es la ubicación física de esta, si se realizan transferencias, etc., incumpliéndose así el deber de informar consagrado en el artículo 13 de la LPDP.
15. Por último, corresponde señalar que no surge registro de base de datos a nombre de la empresa D´La Ribiera (Prado) o Nora Loureiro, existiendo por tanto además contravención de lo establecido en el artículo 6° de la Ley citada.

III. Conclusiones

1. En virtud del análisis efectuado, corresponde señalar que la empresa D´ La Ribera (Nora Loureiro) ha incumplido con las disposiciones de la Ley N° 18.331, de 11 de agosto de 2008, en particular los artículos 6°, 7°, 9° y 21, en cuanto no ha inscripto sus bases de datos, no ha cumplido con el deber de informar al momento de colectar los datos, y lo más relevante ha utilizado éstos sin el consentimiento de su titular. Por lo anterior, se sugiere la aplicación de las sanciones que el Consejo Ejecutivo de la URCDP estime convenientes.
2. Asimismo, la empresa D´La Ribera (Nora Loureiro) deberá informar a sus clientes que sus datos serán incorporados en la base de datos (art. 13 de la Ley), los que podrán ser utilizados para el envío de promociones respetando lo dispuesto en el artículo 21 de la Ley citada.
3. Además se sugiere intimar a la empresa D´ La Ribera (Nora Loureiro) la inscripción de las bases de datos que correspondan en un plazo de 30 días corridos bajo apercibimiento de ulteriores sanciones.
4. Por otra parte, respecto a la empresa Aravo SA (PEDIDOSYA) se recomienda que: A) al implementar integraciones entre el software propio del restaurante y la plataforma de Pedidos Ya se distinga claramente el cliente propio de aquel que accede a la plataforma cuyos datos se comunican a los efectos de poder cumplir con el pedido. B) modifique su Política de Privacidad, ajustándola a las disposiciones de la Ley N° 18.331, dando cuenta a la Unidad
5. Antes de la aplicación de la sanción, se sugiere previa vista conforme al artículo 76 del Decreto 500/91.

Dra. María Cecilia Montaña Charle

Derechos Ciudadanos