La Agencia ha desestimado el recurso que la empresa presentó contra la resolución que la sancionaba por haber tratado los datos de beneficiarios de un programa de ayudas de la administración sin su consentimiento.
Tras la denuncia de FACUA-Consumidores en Acción, la Agencia Española de Protección de Datos (AEPD) ha apercibido a la Xunta de Galicia y multado con 200.000 euros a la cadena de distribución Gadisa por haber tratado sin su consentimientos los datos de beneficiarios de un programa de ayudas de la administración gallega.
La asociación denunció en enero de 2025 a esta empresa, propietaria de los supermercados e hipermercados Gadis, Claudio e Ifa Cash, tras conocer que estaba mandando a los hogares de los beneficiarios del programa Carné familiar —con el que pueden obtener beneficios económicos— cheques regalo con un porcentaje de descuento calculado según las compras efectuadas.
Los datos de estos usuarios los habría obtenido mediante su cesión por parte de la Xunta de Galicia, y todo ello sin haber recabado previamente el consentimiento de los afectados para hacerlo. Además, Gadisa habría incorporado esos mismos datos a sus ficheros sin autorización para ello.
Ahora, la AEPD ha confirmado que Gadisa cometió una infracción del artículo 26 del Reglamento General de Protección de Datos (RGPD), que obliga a que, cuando exista una corresponsabilidad en el tratamiento de datos personales —como en este caso entre la empresa y la Xunta de Galicia, deben determinarse «de modo transparente y de mutuo acuerdo» sus responsabilidades respectivas. Acuerdo que, según señala la Agencia, no había quedado acreditado en este caso.
Así, el organismo desmonta todos y cada uno de los argumentos que Gadisa utilizó en su recurso de reposición a la resolución sancionadora, desestimando dicho recurso y confirmando la multa de 200.000 euros.
Entre estos argumentos, que no existía corresponsabilidad en el tratamiento de los datos y que, en cualquier caso, se trataba de una infracción «estrictamente formal y documental […] sin ningún impacto directo sobre los derechos fundamentales de los interesados», por lo que la multa impuesta era «desproporcionada».
Anteriormente, la AEPD ya había resuelto otro procedimiento sancionador contra la Xunta de Galicia en la que confirmaba la misma vulneración del RGPD, aunque en este casó se zanjó sin multa económica.
