Fundamento destacado: 78. Entonces, ambos puntos tratados demuestran que la administrada no habría ejercido adecuadamente el control sobre el tratamiento de datos personales efectuado por la encargada, al carecer de procedimientos con los que se evite la recopilación excesiva de datos personales y de comunicación oportuna de reclamaciones cuya atención requiera la eliminación de los datos personales recopilados de forma ilícita, hecho que no fue referido en la respuesta dirigida a la denunciante en noviembre de 2020.
Resolución Directoral N° 169-2022-JUS/DGTAIPD-DPDP
Expediente N° 002-2021-JUS/DGTAIPD-PAS
Lima, 15 de febrero de 2022
VISTOS:
El informa N° 049-2021-2021-JUS/DGTAIPD-DFI del 26 de abril de 2021, emitido por la DIrección de Fiscalización e Instrucción de la Dirección General de Transparencia, Acceso a la Información Pública y Protección de Datos Personales (en adelante, la DFI), y demñas documentos que obran en el respectivo expediente, y;
CONSIDERANDO:
I. Antecedentes
1. Mediante el Formulario de Denuncia por actos contrarios a la Ley N° 29733, Ley de Protección de Datos Personales (en adelante, LPDP) y su reglamento aprobado por Decreto Supremo N° 003-2013-JUS (en adelante, el señor *****) y correo electrónico del 3 de septiembre de 2020, la señora ****** (en adelante, la denunciante) puso en conocimiento que el 27 de agosto de 2020, personal de los servicios de mensajería del Banco BBVA Perú (en adelante, la administrada), captó imágenes del DNI de su padre, el señor ***** en el momento en que se le hizo entrega de un producto al que había accedido por una promoción, de acuerdo con lo que había coordinado con dicho personal por vía telefónica.
2. Por medio del Oficio N° 1022-2020-JUS/DGTAIPD-DFI del 19 de octubre de 2020, se solicitó a la administrada proporcionar lo siguiente:
- Especifique el procedimiento establecido para la entrega de productos a domicilio de sus clientes, adjuntando evidencia.
- Detallar los datos personales solicitados al cliente para la entrega de los productos, precisando si la fotografía del DNI del cliente y/o familiar es de carácter obligatorio, y para qué finalidad la solicita.
- Indicar si encarga el tratamiento de los datos personales recopilados en la entrega de productos a domicilio, precisando, de ser el caso, cuáles son las empresas que les brindan dicho servicio y adjuntando los contratos respectivos.
- Adjuntar la respuesta brindada a la denunciante en virtud a la hoja de reclamación Nº 02092000006 del 2 de setiembre de 2020.
3. Asimismo, mediante el Oficio N° 1056-2020-JUS/DGTAIPD-DFI del 20 de octubre de 2020, se solicitó a la administrada lo siguiente:
- Indicar el procedimiento que tienen para realizar la entrega de algún bien ofertado en una campaña, especificando sus métodos de validación de la identidad del cliente, adjuntando evidencia.
- Si el teléfono móvil N° ****** les pertenece o es de alguno de sus trabajadores.
4. Por medio del escrito ingresado con el Registro N° 61836 del 6 de noviembre de 2020, la administrada dio respuesta al Oficio N° 1056-2020-JUS/DGTAIPD-DFI, informando lo siguiente:
- El cliente interesado en participar se debe inscribir en la misma, debiendo suscribir el documento denominado «Condiciones de la Promoción» en alguna agencia del Banco, como hizo la denunciante.
- Luego de ello, se encomienda al proveedor del servicio de entrega de productos comunicarse con la destinataria para efectuar las coordinaciones (fecha, hora de entrega y quién recibirá el producto).
- Una vez hecha la coordinación, dicho proveedor efectúa la entrega y solicita el DNI del receptor para validar su identidad, para luego hacer firmar la guía de remisión correspondiente, no siendo parte del procedimiento la toma de imágenes del DNI.
- Se les informó que, por iniciativa propia del mencionado proveedor, recabó la imagen del documento de identidad del padre de la denunciante con la finalidad de tener una constancia o evidencia de la entrega del premio, y evitar reclamos o cuestionamientos posteriores.
- Una vez se tomó conocimiento de la reclamación de la denunciante, se adoptaron las medidas para que el proveedor, Scharff Logística Integrada S.A. (en adelante, la encargada) se ciña al protocolo establecido.
5. Complementariamente, con el escrito ingresado con el Registro N° 550510 del 11 de noviembre de 20205, la administrada dio respuesta al Oficio N° 1022-2020-JUS/DGTAIPD-DFI, informando lo siguiente:
- Desde octubre de 2020, tienen establecido un procedimiento para la entrega de productos, en el que se encomienda al proveedor del servicio de entrega las coordinaciones telefónicas con los destinatarios (fecha, hora y quién recibirá el producto).
- Una vez hecha la coordinación, dicho proveedor efectúa la entrega y solicita el DNI del receptor para validar su identidad, para luego hacer firmar la guía de remisión correspondiente, no siendo parte del procedimiento la toma de imágenes del DNI.
- Tienen contrato con la encargada desde diciembre de 2017.
6. Mediante el escrito ingresado con el Registro N° 627646 del 2 de diciembre de 20206, la administrada remitió la Adenda N° 01 del contrato suscrito con la encargada, vigente desde el 1 de julio de 2020 (pese a haber sido firmada el 11 de noviembre de 2020), que contiene estipulaciones referidas a lo siguiente:
- Obligación de usar datos personales para los fines del contrato y siguiendo las instrucciones impartidas por la administrada, a través de cualquier medio.
- Facultad de la administrada de realizar auditorías e inspecciones sobre el tratamiento de datos personales objeto de encargo.
- Control del debido tratamiento de datos personales en la organización de la encargada, restringiéndolo a los trabajadores para cuyas funciones sea necesario.
7. Por medio del Informe de Fiscalización N° 021-2021-JUS/DGTAIPD-DFI-EHCC del 14 de enero de 20217, se remitió a la Directora de la DFI el resultado de la fiscalización a la administrada, determinándose preliminarmente las circunstancias que justifican el inicio de un procedimiento administrativo sancionador contra ella, relativas al supuesto incumplimiento de lo establecido en la LPDP y su reglamento. Dicho informe fue notificado a la administrada a través de la Cédula de Notificación N° 012-2021-JUS/DGTAIPD-DFI.
8. Por medio de la Resolución Directoral N° 027-2021-JUS/DGTAIPD-DFI del 16 de febrero de 20218, la DFI resolvió iniciar procedimiento administrativo sancionador a la administrada por haberse realizado la toma fotográfica de un DNI y de los datos que este contiene (nombres y apellidos, imagen fotográfica, código único de identificación – CUI, estado civil, sexo, fecha de nacimiento, número de ubigeo, fecha de inscripción, fecha de emisión y fecha de caducidad), que no serían necesarios ni pertinentes para la finalidad vinculada a la entrega del producto a la denunciante, incumpliendo la obligación del numeral 3 del artículo 28 de la LPDP, con lo que se configuraría la infracción leve tipificada en el literal b) del numeral 1 del artículo 132 del Reglamento de la LPDP: “Recopilar datos personales que no sean necesarios, pertinentes ni adecuados con relación a las finalidades
determinadas, explícitas y lícitas para las que requieren ser obtenidos”.
9. Dicha resolución directoral fue notificada a través de la Cédula de Notificación N° 123-2021-JUS/DGTAIPD-DFI, el 17 de febrero de 2021.
[Continúa…]
