La Agencia Española de Protección de Datos (AEPD) apercibe a la Xunta y multa con 200.000 euros a la cadena de distribución Gadisa por el tratamiento de datos de usuarios sin su consentimiento, según informa Facua-Consumidores en Acción que presentó denuncia por este caso.

En un comunicado, Facua indica que la Agencia de Protección de Datos ha desestimado el recurso que la empresa presentó contra la resolución que la sancionaba por haber tratado los datos de beneficiarios de un programa de ayudas de la administración sin su consentimiento.

La asociación denunció en enero de 2025 a esta empresa, propietaria de los supermercados e hipermercados Gadis, Claudio e Ifa Cash, tras conocer que estaba mandando a los hogares de los beneficiarios del programa Carné familiar –con el que pueden obtener beneficios económicos– cheques regalo con un porcentaje de descuento calculado según las compras efectuadas.

«Los datos de estos usuarios los habría obtenido mediante su cesión por parte de la Xunta de Galicia, y todo ello sin haber recabado previamente el consentimiento de los afectados para hacerlo. Además, Gadisa habría incorporado esos mismos datos a sus ficheros sin autorización para ello», censura Facua.

Ahora, la AEPD ha confirmado que Gadisa cometió una infracción del artículo 26 del Reglamento General de Protección de Datos (RGPD), que obliga a que, cuando exista una corresponsabilidad en el tratamiento de datos personales –como en este caso entre la empresa y la Xunta de Galicia–, deben determinarse «de modo transparente y de mutuo acuerdo» sus responsabilidades respectivas. Acuerdo que, según señala la Agencia, no quedó acreditado en este caso.

Gadisa defendía un uso de datos «sin ningún impacto directo sobre los derechos fundamentales de los interesados», por lo que considera que la multa impuesta era «desproporcionada». Sin embargo, Facua señala que el organismo «desmonta todos y cada uno de los argumentos que Gadisa utilizó en su recurso de reposición».

La Agencia ya había resuelto otro procedimiento sancionador contra la Xunta de Galicia en el que confirmaba la misma vulneración del Reglamento General de Protección de Datos, aunque en ese casó se zanjó sin multa económica.