Vodafone, BBVA, EDP y Mercadona reciben las mayores multas por vulnerar las normas de protección de datos

Vodafone, BBVA, EDP Energía y Mercadona son las cuatro empresas que en 2021 recibieron las mayores multas por incumplir las normas de protección de datos.

El Boletín Oficial del Estado (BOE) de este martes 22 de febrero recoge la resolución de la Agencia Española de Protección de Datos (AEPD) que hace público el listado de empresas que durante el año pasado recibieron sanciones que suman más de un millón de euros. Así, Vodafone fue multada con 8.150.000 millones de euros, BBVA con cinco millones, EDP con tres millones y Mercadona con 2.520.000 millones de euros.

La gran mayoría de las sanciones corresponden a vulneraciones del Reglamento General de Protección de Datos (RGPD), aunque también hay una multa por incumplir preceptos de la Ley de Servicios de la Sociedad de la Información (LSSI) y otra por infringir la Ley General de Telecomunicaciones (LGT).

La empresa con la mayor cuantía en multas es Vodafone, con ocho millones de euros, por incumplir los artículos 28 y 44 del RGPD, el 21.1 de la LSSI y el 48.1.b) de la LGT. En concreto, se refieren a prácticas como el envío de correos electrónicos publicitarios no solicitados, la transferencia de datos a países extracomunitarios sin cumplir los requisitos legales y el incumplimiento de contar con un encargado de tratamiento de datos.

En segundo lugar se encuentra BBVA, con multas por un total de cinco millones de euros, por tres incumplimientos del RGPD en los artículos 13, 14 y 6. La entidad bancaria ha sido sancionada por recopilar datos personales sin consentimiento o para fines no establecidos en la norma, así como por no informar a los afectados sobre los datos que estaban recopilando, ni su finalidad o el responsable de ellos.

EDP Energía, que ocupa la tercera posición con tres millones de euros, también cometió esta última infracción, además de otra por no diseñar sus bases de datos para que, por defecto, sólo traten los imprescindibles. Así, se trata de incumplimientos de los artículos 13 y 25 del RGPD.

Mercadona, con una multa conjunta de dos millones y medio de euros, es sin embargo la que acumula más sanciones. Un total de siete infracciones del Reglamento General de Protección de Datos -artículos 12, 13, 25, 35, 5.1.c), 6 y 9-, todas ellas relacionadas con su experiencia piloto de reconocimiento facial en sus establecimientos.

La AEPD ha considerado que la empresa no realizó una evaluación del impacto tal y como establece la normativa cuando se usan nuevas tecnologías para conocer cómo afecta al tratamiento de datos, recopiló más de los necesarios para el fin propuesto, el proyecto no se diseñó para tratar sólo lo imprescindible, no se informó a los afectados del fin de dichos datos, no hubo consentimiento ni fines reglado y no informó del procedimiento para reclamara su eliminación. Todo esto teniendo en cuenta, además, que se recopilaban datos biométricos de los usuarios, que se consideran datos especialmente protegidos según la normativa.