Diego Fierro Rodríguez
I. La tentación de la réplica
Cualquier empresario que haya sufrido una valoración injusta en las plataformas digitales conoce la frustración que produce ver reducido su trabajo a una puntuación mínima sin explicación alguna. En el caso que nos ocupa, un establecimiento comercial de Barcelona dedicado a la venta de tazones de açaí decidió no permanecer en el silencio ante dos reseñas de una estrella depositadas en su ficha de Google Maps. La respuesta, lejos de contener una mera defensa comercial o una invitación al diálogo para aclarar el presunto malentendido, se convirtió en un ejercicio de exhibición personal que ha costado a la empresa 4.000 euros de sanción impuestos por la Agencia Española de Protección de Datos.
El responsable del negocio no solo identificó públicamente a uno de los clientes mediante su nombre completo, la universidad en la que estudiaba y el nombre de su pareja, sino que reveló su orientación sexual y los nombres de las personas que le acompañaban aquel día. Al segundo usuario, simplemente lo retó a mostrar su fotografía de perfil y sus datos identificativos reales. Lo anterior me sugiere que estamos ante un error frecuente y creciente en la cultura digital empresarial: la confusión entre el derecho legítimo a la reputación comercial y el desproporcionado contrataque que vulnera la esfera íntima del consumidor. La facilidad con la que internet permite rastrear información personal ha generado una falsa sensación de licitud en la utilización de esos datos para fines defensivos.
II. La ilusión de la disponibilidad pública
El argumento esgrimido por el establecimiento para justificar su conducta resulta revelador de una incomprensión extendida sobre el alcance de la protección de datos en el entorno digital. Según alegó la empresa, toda la información difundida había sido extraída de la página de Facebook del afectado, red social en la que el interesado puede delimitar la privacidad que desea otorgar a sus datos personales y a los de sus amigos. Además, objetó que la respuesta no se enmarcaba dentro del tratamiento de datos personales, sino en el ámbito de una relación personal entre particulares que quedaba al margen de la normativa de protección.
Considero que esta distinción entre esfera pública y privada resulta artificial y contraria al espíritu del Reglamento General de Protección de Datos. Debe tenerse presente que el hecho de que un ciudadano decida compartir determinados aspectos de su vida en una red social no convierte automáticamente esos datos en bienes de libre disposición para cualquier tercero con acceso a internet. La Agencia Española de Protección de Datos dejó claro en su resolución que la publicación en plataformas sociales no implica que cualquiera pueda recopilar información ajena y difundirla sin que medie una base legitimadora que autorice expresamente ese tratamiento. El ámbito de lo personal no se diluye por el mero hecho de la digitalización.
III. La base legal que nunca existió
El núcleo duro de la infracción reside en la ausencia total de legitimación para el tratamiento realizado. El Reglamento General de Protección de Datos establece en su artículo 6 un catálogo cerrado de supuestos que habilitan el uso lícito de datos personales: el consentimiento del afectado, la ejecución de un contrato, el cumplimiento de una obligación legal, la protección de intereses vitales, el cumplimiento de una misión en interés público o la satisfacción de intereses legítimos perseguidos por el responsable. Entiendo que ninguno de estos presupuestos concurre en el caso examinado.
El cliente no autorizó expresamente que sus datos académicos, familiares o afectivos fueran expuestos en respuesta a una crítica comercial; no existía relación contractual alguna que justificara esa revelación; tampoco obligación legal que impusiera al empresario identificar a su cliente para defender su honor, y mucho menos intereses vitales que proteger. Asumo que el argumento del interés legítimo en la defensa de la reputación empresarial podría esgrimirse en abstracto, pero resulta evidente que exponer la orientación sexual de un cliente o los nombres de sus acompañantes no resulta necesario ni proporcionado para rebatir una mala valoración sobre un desayuno. La falta de encaje en cualquiera de estas hipótesis convierte al tratamiento en ilícito por definición.
IV. La protección de lo íntimo
Hay que reseñar que la gravedad de la infracción no radica únicamente en la ausencia de base jurídica general, sino en la naturaleza especial de los datos revelados. La orientación sexual de una persona constituye un dato sensible, incluido en la categoría especial protegida por el artículo 9 del Reglamento General de Protección de Datos, cuyo tratamiento se encuentra expresamente prohibido salvo que concurra alguna de las circunstancias excepcionales previstas en el propio precepto. Ello me obliga a deducir que la revelación de este tipo de información en un canal público como Google Maps, de alta visibilidad y sin control alguno sobre la difusión posterior, representa una agravante cualitativa respecto a la mera identificación nominal.
La Agencia Española de Protección de Datos cuantificó la vulneración del artículo 6 en 1.500 euros y la del artículo 9 en 2.500 euros, estableciendo una graduación sancionadora que refleja la mayor entropía social que produce exponer aspectos de la intimidad personal frente a la mera difusión de datos identificativos básicos. La información sobre la pareja del cliente y sus acompañantes, aunque no constara directamente en su perfil de Facebook, completaba un puzzle de exposición innecesaria que transformaba una disputa comercial en un escarnio público. La sanción así reconoce que no todos los datos personales merecen igual tutela, y que la protección de la esfera íntima alcanza su máxima intensidad cuando se trata de datos sensibles.
V. La lección para el comercio digital
El expediente sancionador debería servir como advertencia para el tejido empresarial que opera en el entorno de las plataformas de reseñas. El derecho a responder a las valoraciones de los consumidores existe y está reconocido, pero sus límites están delimitados por el respeto a la dignidad y la privacidad de los clientes. Utilizar datos obtenidos de redes sociales para contextualizar una defensa comercial no constituye un escudo frente a la vulneración de la normativa de protección de datos, sino todo lo contrario: agrava la situación al demostrar una búsqueda deliberada de información personal ajena a la transacción comercial.
En definitiva, la respuesta empresarial a las críticas debe circunscribirse a los aspectos objetivos del servicio prestado, sin adentrarse en la vida privada del consumidor. Cuando el deseo de réplica supera el umbral de la proporcionalidad, la sanción administrativa se convierte en el correctivo inevitable de una conducta que confunde la libertad de expresión empresarial con la exposición arbitraria de la intimidad ajena. La reputación digital se defiende con la calidad demostrada, no con la vulneración de derechos fundamentales.