El derecho al olvido: sanción a Barbuti S.p.A. por fallos en el RGPD
- La autoridad de protección de datos italiana ha multado con 5.000 euros a la empresa de ropa Barbuti S.p.A.
- La sanción se debe a la falta de respuesta ante una solicitud de supresión de datos personales (derecho al olvido).
- Se confirma que las solicitudes enviadas a correos electrónicos generales son válidas, aunque la empresa prefiera otros canales.
- La empresa continuó enviando mensajes promocionales sin base legal tras la petición del usuario.
La gestión de los datos personales ha dejado de ser una mera formalidad administrativa para convertirse en un pilar crítico de la operatividad empresarial. Un caso reciente en Italia, protagonizado por la empresa de confección Barbuti S.p.A., pone de relieve que el incumplimiento de los derechos de los interesados no solo conlleva un riesgo reputacional, sino sanciones económicas directas y órdenes de cumplimiento estrictas.
El conflicto se originó cuando un ciudadano presentó una denuncia formal ante la Autoridad de Protección de Datos (DPA) de Italia. El motivo era la recepción persistente de mensajes de texto con fines promocionales, a pesar de que el usuario había solicitado explícitamente la supresión de sus datos personales. Este escenario revela una falla sistémica en la gestión de la privacidad de la compañía, que ignoró la voluntad del cliente y mantuvo una actividad de marketing sin base legal.
La validez de los canales de comunicación generales
Uno de los puntos más relevantes de esta resolución es la disputa sobre el medio utilizado para ejercer el derecho de supresión. El usuario, al no encontrar instrucciones claras en los mensajes promocionales sobre cómo darse de baja o solicitar el borrado de sus datos, decidió enviar su petición al correo electrónico de contacto general de la empresa. Barbuti S.p.A. emitió un acuse de recibo automático, pero posteriormente no dio respuesta ni ejecutó la acción solicitada.
La DPA italiana, apoyándose en las directrices 01/2022 del European Data Protection Board (EDPB), ha sido tajante: las solicitudes presentadas a través de cualquier canal de comunicación proporcionado por el responsable del tratamiento deben considerarse válidas. Esto ocurre incluso si el canal utilizado difiere de la ruta preferente indicada en la política de privacidad de la empresa.
Para el tejido empresarial, esto significa que no se puede rechazar una solicitud de derechos basándose en formalismos técnicos o en la insistencia de que el usuario utilice un formulario específico. Si la empresa ofrece un correo electrónico de contacto, este se convierte en una puerta abierta para que los ciudadanos ejerzan sus derechos bajo el Reglamento General de Protección de Datos (RGPD).
Infracciones normativas y el fallo de la autoridad
La autoridad italiana determinó que Barbuti S.p.A. no implementó medidas organizativas adecuadas para gestionar las solicitudes de los interesados. El análisis legal concluyó que la empresa vulneró varios artículos fundamentales del marco normativo europeo y nacional.
La empresa no solo falló en responder a la solicitud de supresión, sino que continuó el envío de comunicaciones comerciales sin una base legal válida, ignorando la voluntad del sujeto interesado.
Específicamente, la resolución señala la infracción de los siguientes puntos:
- Artículo 5(2) del RGPD: Relativo a los principios de responsabilidad proactiva.
- Artículo 12 del RGPD: Sobre la transparencia y las modalidades para el ejercicio de los derechos.
- Artículo 17 del RGPD: El derecho de supresión, comúnmente conocido como el derecho al olvido.
- Artículo 130 del Código de Protección de Datos de Italia: Referente a las comunicaciones comerciales.
El coste del incumplimiento: la sanción económica
Como resultado de estas negligencias, la DPA impuso una multa administrativa de 5.000 euros a Barbuti S.p.A. Aunque la cifra pueda parecer moderada en comparación con las multas millonarias que han recibido las grandes tecnológicas, el impacto real reside en la orden de cumplimiento adjunta. La empresa ha sido obligada a adoptar medidas inmediatas para asegurar que sus procesos de promoción se alineen con la normativa vigente.
Además, se ha exigido a la compañía que informe a la autoridad en un plazo de 30 días sobre las acciones emprendadas para corregir estas deficiencias. Este seguimiento asegura que la sanción no sea vista simplemente como un coste operativo, sino como un catalizador para un cambio estructural en la gobernanza de datos de la organización.
Marketing directo y transparencia obligatoria
El caso Barbuti S.p.A. también pone el foco en la calidad de las comunicaciones de marketing. La autoridad detectó que los mensajes de texto enviados a los clientes carecían de los datos de contacto adecuados que permitieran a los destinatarios ejercer sus derechos de forma sencilla y directa. Esta omisión es una falta grave de transparencia que dificulta el control del usuario sobre su propia información.
La normativa exige que cualquier comunicación comercial sea clara y proporcione una vía sencilla de exclusión. Cuando una empresa oculta o dificulta este proceso, está incurriendo en una práctica prohibida que puede derivar en denuncias masivas y sanciones acumulativas. La resolución subraya que la comodidad del marketing no puede prevalecer sobre el derecho fundamental a la privacidad.
Lecciones para la gestión de datos corporativos
La resolución detallada por SCLA deja una lección clara para los directivos: la automatización no es sustituto de la gestión. El hecho de que Barbuti S.p.A. tuviera un sistema de acuse de recibo automático, pero no un proceso interno para derivar esa solicitud al departamento de privacidad, demuestra que la tecnología sin procesos organizativos es inútil.
Las empresas deben auditar sus flujos de comunicación. No basta con tener una política de privacidad redactada por abogados en la web; es necesario que el personal que gestiona el correo general de la empresa sepa identificar una solicitud de derechos y sepa a quién redirigirla inmediatamente. La negligencia organizativa es, a efectos legales, tan grave como la intención de incumplir la ley.
Impacto y significado para las empresas en España
Aunque el caso se ha desarrollado en Italia, las implicaciones para el empresariado español son directas y profundas. España, con un tejido empresarial compuesto mayoritariamente por PYMES y un sector retail muy dinámico, se enfrenta a un escrutinio creciente por parte de la Agencia Española de Protección de Datos (AEPD), que sigue la misma línea doctrinal del EDPB.
En el contexto de la Agenda Digital Española, la digitalización de los procesos de venta y el uso de herramientas de IA para el marketing segmentado aumentan el volumen de datos tratados. La implementación del AI Act europeo obligará a las empresas a ser aún más transparentes sobre cómo se procesan los datos para alimentar algoritmos de recomendación o campañas automatizadas. Si una empresa española utiliza IA para enviar SMS promocionales pero no tiene un proceso humano o automatizado eficiente para gestionar el derecho al olvido, se expone a sanciones similares o superiores.
Para el empresario local, este precedente significa que el cumplimiento del RGPD debe integrarse en la estrategia de negocio. No se trata de evitar el marketing, sino de profesionalizar la gestión del consentimiento. En un mercado donde la confianza del consumidor es un activo competitivo, garantizar que un cliente puede desaparecer de una base de datos con un simple correo electrónico es, en última instancia, una medida de calidad y respeto al cliente que evita conflictos legales costosos.
Preguntas frecuentes
¿Es válido solicitar el borrado de datos a través de un correo general de la empresa?
Sí. Según las directrices del EDPB y la resolución del caso Barbuti S.p.A., cualquier canal de comunicación proporcionado por la empresa es válido para ejercer los derechos de protección de datos.
¿Qué artículos del RGPD se infringieron en este caso?
Se infringieron los artículos 5(2) sobre responsabilidad, el 12 sobre transparencia y comunicación, y el 17 relativo al derecho de supresión o derecho al olvido.
¿Cuál fue la sanción impuesta a Barbuti S.p.A.?
La empresa recibió una multa administrativa de 5.000 euros y la orden de adaptar sus prácticas de marketing a la normativa legal.
¿Por qué no fue suficiente el acuse de recibo automático de la empresa?
Porque el acuse de recibo es solo una confirmación de recepción; la ley exige que la empresa responda y actúe efectivamente sobre la solicitud de supresión de datos.
Fuentes: Edpb, Scla, Punicsystems ·
glacom · IA para despachos de abogados: los expedientes no salen del despacho →Scrivila qui: Susanna, l assistente AI di glacom, ti risponde via email con un approfondimento gratuito.
Nessuna consulenza personalizzata (finanziaria, legale o medica): solo informazione e fonti. Email usata solo per rispondere.
oppure scrivile su: WhatsApp · Telegram · SimpleX · Delta Chat · Email
