L'Agència Espanyola de Protecció de Dades ha sancionat amb 4.000 euros a Pinkgreen Barcelona, S. L. per revelar dades personals de dos clients en respondre a les seves ressenyes negatives a Google. La resolució ordena a més a l'empresa eliminar la informació publicada i cessar-ne el tractament en un termini de deu dies.
El conflicte va començar el 7 de maig de 2024, quan es van presentar dues reclamacions contra el restaurant pel contingut de les seves contestacions a valoracions publicades a internet. En un dels casos, un usuari havia deixat una ressenya negativa. En l'altre, una valoració d'una estrella sense comentari.
Dades personals exposades en respostes públiques
Un dels denunciants va sostenir que el seu perfil a la plataforma només mostrava el seu nom, sense cognoms ni fotografia identificativa. Malgrat això, la resposta de l'establiment va incloure el seu nom complet, la universitat en què estudiava, la seva orientació sexual i el nom de la seva parella. En aquell mateix missatge també apareixien dades de dues persones que l'acompanyaven.
La segona reclamació denunciava una contestació descrita com totalment desproporcionada, en la qual també s'exposaven dades identificatives. L'AEPD va comprovar el març i el setembre de 2025 que les dues ressenyes continuaven publicades, de manera que les respostes amb dades personals continuaven visibles mesos després.
L'Agència rebutja les al·legacions de l'empresa
Durant el procediment, Pinkgreen Barcelona va al·legar indefensió en mantenir que no havia rebut comunicacions prèvies. L'Agència va descartar aquest argument i va concloure que no va existir tal situació, en constar intents de notificació electrònica i postal fallits per causes imputables a la pròpia entitat. Després, a més, es va notificar el procediment sancionador amb termini per formular al·legacions.
L'empresa també va defensar que les dades difoses procedien de perfils públics en xarxes socials. L'AEPD va rebutjar aquesta justificació i va recordar que la presència d'informació a internet no autoritza a recopilar-la i tornar a publicar-la sense una base legitimadora vàlida.
"El fet que aquestes dades figurin a les xarxes socials no implica que qualsevol pugui recopilar-les i publicar-les sense base legitimadora" - Agència Espanyola de Protecció de Dades
Especial gravetat per difondre l'orientació sexual
La resolució considera que l'actuació del restaurant constitueix un tractament de dades personals, en difondre's aquesta informació en una plataforma oberta. L'Agència conclou que aquest tractament no comptava amb base de legitimació conforme al Reglament General de Protecció de Dades.
L'expedient subratlla la especial gravetat d'haver publicat dades relatives a l'orientació sexual d'un dels afectats. La mateixa resolució recorda que estan prohibits els tractaments de dades personals que revelen aspectes de la vida sexual o l'orientació sexual, i afegeix que en aquest cas no concorre cap de les excepcions previstes per permetre l'ús d'aquesta categoria especial de dades.
"Es dedueix clarament la intencionalitat de publicar aquestes dades a la part reclamant que li havia fet, a parer seu, una mala ressenya" - Agència Espanyola de Protecció de Dades
La sanció es desglossa en 2.500 euros per vulnerar l'article 9 del RGPD, relatiu a categories especials de dades, i 1.500 euros per infringir l'article 6, sobre la licitud del tractament. La resolució incideix en el fet que la difusió de dades a internet permet l'accés per part de tercers sense cap restricció, un abast que ha pesat en la decisió final de l'organisme.