- Una persona creó una cuenta apócrifa en la plataforma de Mercado Libre, con el propósito de evadir el pago de comisiones por los servicios que ofrece la empresa, valiéndose de un Documento de Identidad perteneciente a otra persona, formalizando la venta de un bien. Mercado Libre advirtió la maniobra fraudulenta a causa de la discrepancia de la información personal aportada y procedió a su inmediata suspensión, aplicando, además, una restricción para impedir que el dinero producto de la venta fuese retirado. Se le comunicó al infractor la imposibilidad de realizar cualquier operación bajo su usuario, ya que se había detectado que el DNI utilizado para crear la cuenta pertenece a otra persona, informándole su nombre y apellido.
- El titular del DNI formuló una denuncia ante la AAIP contra Mercado Libre por haber compartido sus datos personales sin su consentimiento.
- La DNPDP labró un acta mediante la cual constató la comisión de dos infracciones graves de conformidad con el punto 2) incisos j) y k) del Anexo I de la a Disposición DNPDP N°7/2005 y modificatorias.
- Mercado Libre argumentó:
- Que las normas de seguridad previstas por la Resolución 47/2018 de la AAIP no son obligatorias;
- Que la empresa tomó las medidas necesarias para mitigar cualquier tipo de daño al titular del dato, como consecuencia de lo sucedido.
- Que no hubo daño concreto al denunciante ya que nunca se vulneró la confidencialidad, debido a que los datos eran públicos y se pueden encontrar libremente en Internet, por lo que, según el artículo 5, inciso 2 de la Ley Nº 25.326, no es necesario contar con el consentimiento del titular del dato para el tratamiento de datos que se obtengan de fuentes de acceso público irrestricto y se trate de listados cuyos datos se limiten, entre otros, al nombre y documento nacional de identidad.
- La DNDP se manifestó en desacuerdo con el argumento de la empresa imputada acerca de que esos datos se encontraban públicos y surgían a través de una búsqueda en Internet, puesto que allí sólo se encuentran publicados datos relativos al nombre y DNI del denunciante, no así su vinculación como verdadero titular de una cuenta en Mercado Libre.
- Más allá de ello, la DNPDP aceptó al planteo de la demandada respecto a la inaplicabilidad del artículo 10 al presente caso, por lo que concluyó que el deber de confidencialidad corresponde únicamente asociado al deber de seguridad.
- En cuanto al deber de seguridad, la DNPDP entendió que Mercado Libre:
- (i) ha reconocido en su primer descargo el error involuntario por parte del personal de Atención al Cliente y ha procedido a su inmediata capacitación;
- (ii) que rápidamente ha rectificado la información reportada;
- (iii) que se ha disculpado con el denunciante y se puso a su disposición;
- (iv) que implementó medidas correctivas de manera proactiva;
- (v) que ha complementado el proceso de alta de usuarios con las medidas técnicas y organizativas adicionales para la validación de identidad para prevenir futuros incidentes;
- (vi) que ha actualizado su Declaración de Privacidad y Confidencialidad; y que
- (vii) ha iniciado un plan de capacitación de las áreas de atención al cliente para el uso confidencial, seguro y responsable de la información.
- Además, la Dirección Nacional tuvo en consideración que:
- (i) la empresa no posee sanciones anteriores, por lo que no resulta reincidente;
- (ii) que el alcance de la irregularidad detectada y el volumen de los tratamientos efectuados no ha tenido un alcance masivo, sino que se trató únicamente de una situación puntual;
- (iii) que la irregularidad no generó ningún perjuicio económico al denunciante y fue rápidamente reportada y solucionada;
- (iv) el accionar diligente y proactivo de Mercado Libre al implementar medidas correctivas de mitigación; y
- (v) que ha reportado proactivamente el incidente de seguridad, brindado los detalles asociados al mismo de acuerdo con la Resolución AAIP Nº47/2018 y colaborado con la presente autoridad de control.
En conclusión, la Dirección Nacional de Protección de Datos Personales resolvió dejar sin efecto el acta labrada y no sancionar a Mercado Libre, sin perjuicio de la imposición de implementar diversas medidas técnicas y organizativas que resulten necesarias para prevenir futuros incidentes similares al presente.
