Unidad Reguladora y de Control de Datos Personales

Resolución Nº 37/019, de 13 de agosto de 2019

Se resuelve una denuncia referida a la comunicación de datos personales sin consentimiento.

CONSEJO EJECUTIVO DE LA UNIDAD REGULADORA Y DE CONTROL DE DATOS PERSONALES

Montevideo, 13 de agosto de 2019

VISTO: La denuncia formulada por el señor AA contra Escuela Brother (Mauricio Pablo Suarez Rassinetti) por comunicación de datos personales sin consentimiento.

RESULTANDO:

1. Que la denuncia planteada en estos obrados versa sobre la recepción de un correo electrónico invitando a completar un formulario de un Plan de Marketing de la Escuela, el cual se envió “en forma masiva y con todas las direcciones visibles para todos”.
2. Que surge del escrito presentado por la denunciada que con fecha 29 de mayo de 2018 dos estudiantes de la Escuela Técnica Superior de Administración y Servicios de la Universidad del Trabajo del Uruguay, “fueron autorizadas a acceder a información de Brother únicamente con fines EDUCATIVOS y a los solos efectos de aprendizaje (…)”. Indica además que “las estudiantes no son alumnas de la ESCUELA BROTHER y no tienen relación alguna con la institución”.
3. Que Escuela Brother expresa que “no solicitó el consentimiento informado porque el caso encuadraba como una excepción a los artículos 8 y 9 (…)”.
4. Que agrega la denunciada que a los efectos de dar cumplimiento a los artículos 10, 11 y 12 de la Ley N° 18.331 de 11 de agosto de 2008, suscribieron con las estudiantes un acuerdo de confidencialidad “en el cual las estudiantes se obligaron a no difundir información”. Aportan copia del acuerdo (fs. 30) e indican que “las estudiantes fueron quienes difundieron la información y enviaron el mail, incumpliendo el acuerdo de confidencialidad suscrito y violando la Ley 18.331(…)”

CONSIDERANDO: 

1. Que el correo electrónico que recibió el denunciante identificaba a la Escuela Brother, único responsable desde el punto de vista de la protección de datos por aplicación del artículo 12. En este sentido, se verifica una vulneración del principio de finalidad (art. 8°) pues los datos objeto de tratamiento “no podrán ser utilizados para finalidades distintas o incompatibles con aquellas que motivaron su obtención”.
2. Que Escuela Brother incumplió además el artículo 17 por efectuarse una comunicación sin el consentimiento del titular del dato ni encuadra dentro de las excepciones previstas en los literales A, B y C del mismo artículo. No resulta suficiente para deslindar la responsabilidad de la denunciada, el acuerdo presentado.
3. Que con rrespecto a la excepción prevista en el artículo 9° literal C), es de interpretación estricta, por lo que el consentimiento no está exceptuado para otros datos que no se encuentren en la enumeración taxativa.
4. Que no surge registro de base de datos por la denunciada, por lo que existe contravención de lo establecido en el artículo 6°.
5. Que la conducta de las señoras María Fernanda Gómez y Valentina Andrea Clavero encuadra en el incumplimiento del artículo 17 de la citada Ley, habiendo divulgado y comunicado los correos electrónicos sin el consentimiento del titular del dato, al haber enviado los correos electrónicos con todas las direcciones de correo electrónico a la vista.

ATENTO: A lo expuesto e informado,

El Consejo Ejecutivo de la Unidad Reguladora y de Control de Datos

Personales

RESUELVE:

1. Apercibir a Escuela Brother (Mauricio Pablo Suarez Rassinetti) por haber incumplido con las disposiciones de la Ley N° 18.331 de 11 de agosto de 2008.
2. Apercibir a María Fernanda Gómez y Valentina Andrea Clavero por haber incumplido el artículo 17 de la Ley citada.
3. Intimar a Escuela Brother (Mauricio Pablo Suarez Rassinetti) la inscripción de las bases de datos que sea titular en un plazo de 30 días hábiles.
4. Notifíquese y publíquese.

MAG. FEDERICO MONTEVERDE

URCDP