En febrero de 2025, la Agencia de Acceso a la Información Pública (la “AAIP”) impuso una multa a un laboratorio mediante la Resolución 28/2025, al determinar que había procesado datos personales sin contar con el consentimiento expreso e inequívoco del titular, en contravención de la Ley N° 25.326, el Decreto Reglamentario 1558/01 y su normativa complementaria (en adelante, la “LPDP”).
El caso se originó a raíz de una denuncia presentada por un titular de datos, quien alegó haber recibido llamadas telefónicas de un número desconocido, identificado como un laboratorio, en las que se le informó que formaba parte de un programa de pacientes del laboratorio. Durante la conversación, se le aseguró que existía un documento firmado en el que había otorgado su consentimiento para participar en dicho programa y a través del cual se le solicitó proporcionar datos personales adicionales para acceder a los beneficios de este.
Ante esta situación, el denunciante envió un correo electrónico a la empresa, ejerciendo su derecho de acceso, en el que solicitó información sobre los datos que el laboratorio tenía sobre él. Además, pidió que se le enviara una copia del supuesto consentimiento firmado y que se le aclararan las condiciones del programa, incluyendo si la entrega de información personal era un requisito indispensable para acceder a los beneficios. La empresa no respondió a la solicitud.
Como resultado, el titular de los datos presentó una queja ante la AAIP. En su descargo, el laboratorio afirmó que la adhesión al programa se había formalizado en 2011 a través del médico tratante del denunciante. La empresa aseguró que el médico completó un formulario con los datos del paciente, el cual fue enviado al laboratorio, y que, posteriormente, el paciente fue contactado telefónicamente.
El laboratorio también alegó que el denunciante había mantenido una interacción continua con una empresa tercerizada encargada de la gestión del programa de pacientes, y que existían registros de llamadas tanto del paciente como de la empresa para realizar canjes de medicamentos y realizar seguimientos. Además, el laboratorio sostuvo que el hecho de que el paciente hubiera recibido medicamentos durante un largo período evidenciaba que había otorgado su consentimiento de manera libre y vigente durante los 10 años previos, por lo que consideraba que no había incumplido la LPDP.
Tras analizar el caso, la AAIP concluyó que la empresa había incurrido en dos infracciones graves y una muy grave por: (i), tratar datos sensibles sin el consentimiento debido del titular, (ii) ceder estos datos sin su autorización correspondiente, y (iii) no contestar el pedido de acceso en el plazo estipulado por ley.
La AAIP destacó que el laboratorio no había acreditado adecuadamente la obtención del consentimiento expreso e inequívoco para el tratamiento de los datos personales del denunciante, ni para su posterior cesión, lo que constituyó una violación de los artículos 5 y 11 de la LPDP.
En este punto, la AAIP subrayó que el consentimiento no puede ser presumido ni inferido de actos posteriores, como la recepción de medicamentos o la interacción con una empresa tercerizada. El consentimiento debe ser previo, expreso, informado e inequívoco.
Asimismo, a pesar de que la denunciada había ofrecido como prueba el testimonio de una empleada del laboratorio, la AAIP enfatizó en que la única forma válida de demostrar el consentimiento de un titular del dato es mediante su otorgamiento por escrito o por otro medio equivalente, siendo inconducente otras formas de prueba (artículo 31, inciso 3.e del Decreto Reglamentario N° 1558/01).
Finalmente, la AAIP también sancionó a la empresa por vulnerar el artículo 14 de la LPDP que garantiza el derecho de acceso del titular de los datos a sus datos personales, ya que no respondió al requerimiento del denunciante.
Este caso resalta la importancia de que las empresas que manejan datos personales mantengan registros claros y fehacientes del consentimiento otorgado así como procedimientos para la atención de las solicitudes de los titulares de datos en ejercicio de sus derechos, a fin de poder demostrar el cumplimiento de la LPDP.