La multa de 4.000 euros que expuso los límites de una reseña

Dos reseñas de una estrella en Google Maps terminaron con una sanción de 4.000 euros para Pinkgreen Barcelona, S. L., un restaurante de açaí de Barcelona. La Agencia Española de Protección de Datos (AEPD) consideró que el negocio vulneró la normativa al responder a las valoraciones difundiendo datos personales de los clientes, entre ellos información sobre la orientación sexual de uno de ellos.

La resolución no sanciona al establecimiento por contestar una crítica, sino por la forma en que lo hizo. La empresa publicó información que no era necesaria para responder sobre la experiencia en el local y que, en parte, pertenecía también a personas que acompañaban a uno de los reclamantes. La multa se divide en 2.500 euros por tratar datos especialmente protegidos y 1.500 por hacerlo sin una base jurídica válida; además, la Agencia ordenó retirar los datos y cesar en su tratamiento en un plazo de diez días.

Dos reseñas breves y una respuesta que salió del terreno comercial

El conflicto se inició el 7 de mayo de 2024, cuando se presentaron dos reclamaciones contra la sociedad responsable del restaurante. Los usuarios habían dejado valoraciones negativas en Google. En uno de los casos, la reseña consistía únicamente en una estrella, sin texto que explicara el motivo de la puntuación. No había, por tanto, una conversación extensa en la que el establecimiento necesitara aportar detalles para responder a una acusación concreta.

La contestación del negocio cambió el foco: en vez de ceñirse al servicio, a la visita o a la valoración, hizo visibles datos personales de los autores. Según lo recogido en las reclamaciones, la respuesta dirigida a uno de ellos incluyó su nombre completo, la universidad en la que había estudiado, información sobre su orientación sexual y el nombre de su pareja. También aparecieron datos de dos personas que le acompañaban. Esos terceros no habían publicado la reseña, un detalle que amplía el alcance del episodio más allá de la disputa entre el restaurante y quien dejó la puntuación.

La segunda reclamación describía una respuesta igualmente desproporcionada, con datos identificativos del usuario. El establecimiento alegó después que parte de la información procedía de perfiles públicos de redes sociales y sostuvo que no había recibido las comunicaciones iniciales del procedimiento. La AEPD examinó esas explicaciones, pero no las consideró suficientes para justificar la publicación ni para invalidar la tramitación del expediente.

Por qué la información visible en internet no queda libre para cualquier uso

Uno de los argumentos de la empresa fue que había obtenido información de perfiles en redes sociales. La Agencia rechazó que ese origen, por sí solo, legitimara su reutilización. Que un dato pueda consultarse en internet no significa que cualquier negocio esté autorizado a recogerlo, vincularlo con una persona y difundirlo en otro espacio público. La accesibilidad de un dato no equivale a permiso para utilizarlo, especialmente cuando se publica en un contexto distinto y con una finalidad que puede exponer o señalar al afectado.

La diferencia importa porque los datos digitales no pierden su carácter personal al aparecer en una página abierta. Un nombre, la universidad de una persona o la identidad de su pareja pueden permitir reconocerla, sobre todo cuando se reúnen y se presentan junto a una reseña concreta. La respuesta del restaurante no se limitó a repetir algo que el propio cliente hubiera escrito en Google: trasladó información de otras fuentes a una conversación pública vinculada al local.

La AEPD entendió que esa difusión constituía un tratamiento de datos personales. En el marco del Reglamento General de Protección de Datos (RGPD), tratar información no se limita a almacenarla en una base de datos: también puede incluir su consulta, combinación y publicación. Por eso no bastaba con afirmar que la información ya estaba disponible. El uso concreto y el contexto de la difusión también cuentan, y una respuesta empresarial visible para otros usuarios no es equiparable a una conversación privada entre particulares.

El artículo 6 del RGPD y la falta de una base que justificara la publicación

El artículo 6 del RGPD exige que exista una base de legitimación para tratar datos personales. La norma contempla distintas circunstancias, como el consentimiento, la necesidad de cumplir un contrato o una obligación legal, la protección de intereses vitales, una misión de interés público o un interés legítimo que pueda sostenerse en el caso concreto. La resolución concluyó que ninguna de ellas justificaba la difusión de la información en las respuestas del restaurante.

La existencia de una relación comercial con el cliente tampoco convertía cualquier dato suyo en necesario para gestionar una reseña. El negocio podía responder a la valoración, explicar su versión o dejar constancia de que no compartía la puntuación; el problema fue incorporar información personal ajena a esa finalidad. Una crítica negativa no crea por sí misma una autorización para exponer a quien la publica, aunque la empresa considere injusta la valoración o quiera defender su reputación.

Ese matiz separa el derecho a contestar de la posibilidad de usar datos personales como argumento. Una respuesta puede ser firme y, al mismo tiempo, mantenerse dentro del asunto que se discute. Si para refutar una opinión se recurre a información sobre la vida privada del cliente, la contestación deja de aclarar la experiencia de consumo y pasa a afectar a la identidad de quien la expresó. En este expediente, la Agencia consideró que los datos publicados no eran imprescindibles para contextualizar la respuesta ni para defender los intereses del establecimiento.

La orientación sexual tiene una protección reforzada

La publicación de información relativa a la orientación sexual elevó la gravedad del caso. El artículo 9 del RGPD incluye este tipo de información entre las categorías especiales de datos, cuyo tratamiento está prohibido con carácter general salvo que concurra alguna de las excepciones previstas por la normativa. La AEPD concluyó que no se acreditó ninguna circunstancia que permitiera aplicar una de esas excepciones. No bastaba con que el dato pudiera encontrarse en otro lugar: seguía siendo información especialmente protegida.

La protección reforzada responde a que ciertos datos pueden revelar aspectos íntimos y exponer a las personas a daños que van más allá de una molestia pasajera. Su difusión en una plataforma abierta puede facilitar que terceros los encuentren, los copien o los relacionen con otras informaciones. En este caso, el dato apareció dentro de la respuesta de un negocio a una valoración pública, lo que lo conectaba directamente con la identidad de quien había dejado la reseña.

La resolución también tuvo en cuenta que la respuesta alcanzó a personas que acompañaban al reclamante. Esa información no era necesaria para abordar una crítica sobre el restaurante y afectaba a individuos que no habían participado en la publicación original. El alcance de una respuesta digital puede extenderse a quienes nunca entraron en la discusión: basta con identificarles o vincularles con el cliente en un espacio que otros usuarios pueden consultar.

La multa se reparte entre dos infracciones distintas

La sanción total asciende a 4.000 euros, pero la AEPD la desglosó en dos infracciones. Impuso 1.500 euros por vulnerar el artículo 6 del RGPD, referido a la licitud del tratamiento, y 2.500 euros por infringir el artículo 9, que protege las categorías especiales de datos. No se trata de dos multas por el mismo aspecto: la resolución distinguió entre la falta de una base válida para difundir datos personales y la publicación de información sensible sin una excepción que lo permitiera.

La Agencia también valoró la intencionalidad que desprendían las respuestas. Según su análisis, la información se publicó dirigida a la persona que había dejado la valoración que el establecimiento consideraba negativa. Ese contexto ayudó a descartar que se tratara de una mención accidental o de una referencia necesaria para explicar un hecho relacionado con el servicio. La conexión entre la crítica y la exposición de datos fue central para entender la conducta como una represalia y no como una respuesta comercial ordinaria.

Además de la sanción económica, la resolución ordenó a la empresa eliminar los datos publicados y dejar de tratarlos en un plazo de diez días. La medida refleja que el problema no terminaba con la imposición de una cantidad: mientras las respuestas siguieran visibles, la información podía continuar al alcance de usuarios que buscaran el restaurante o consultaran sus reseñas.

Las notificaciones y la alegación de indefensión

Durante el procedimiento, Pinkgreen sostuvo que no había recibido comunicaciones previas y alegó indefensión. La Agencia revisó esa objeción y señaló que se habían intentado notificaciones por vía electrónica y postal, sin éxito por causas imputables a la propia entidad. También indicó que el procedimiento sancionador fue notificado posteriormente y que la empresa tuvo un plazo para presentar alegaciones. Por esos motivos, rechazó que hubiera existido indefensión.

Este punto es distinto del debate sobre la privacidad de los clientes. La discusión procesal se refería a si el establecimiento había tenido oportunidad de conocer el expediente y defenderse; la infracción sustantiva, en cambio, examinaba qué datos publicó y si podía hacerlo. La Agencia rechazó la queja sobre la tramitación y mantuvo su valoración sobre el tratamiento de los datos, dos conclusiones que se apoyan en cuestiones diferentes.

La resolución también comprobó que las respuestas seguían publicadas tiempo después de las reclamaciones. En marzo y septiembre de 2025, la AEPD verificó que las dos reseñas objeto del procedimiento continuaban visibles. Esa persistencia prolongaba la exposición y muestra una característica propia de las plataformas digitales: una respuesta no desaparece necesariamente cuando se enfría el conflicto que la originó. Puede quedar accesible para futuros clientes y ser reproducida fuera del canal donde se publicó.

Qué cambia cuando una réplica queda en una plataforma pública

Una respuesta en Google Maps forma parte de un espacio público, no de una conversación reservada entre el cliente y el establecimiento. La pueden consultar personas que todavía no han visitado el local y que buscan información para decidir dónde comer. También puede aparecer en capturas o circular en otros canales. La resolución destacó la alta visibilidad del medio y la falta de control sobre la difusión, factores que ayudan a entender por qué el uso de datos innecesarios no queda circunscrito a la disputa original.

Las reseñas han convertido la reputación de los negocios en una conversación permanente y visible. Eso puede ser útil para que una empresa explique un retraso, aclare una política o responda a una queja, pero también hace que un mensaje escrito en caliente sobreviva mucho más que la irritación del momento. Lo que se publica como réplica puede transformarse en una pieza duradera del historial público de un negocio, junto con la valoración a la que pretendía contestar.

En este caso se produjo una inversión llamativa: la reseña era breve y la respuesta amplió la discusión hasta la vida privada de los clientes y de personas de su entorno. El intento de controlar el relato podía terminar dándole más visibilidad al episodio y multiplicando sus consecuencias reputacionales. Para una empresa, defenderse de una crítica puede ser legítimo; convertir al cliente en objeto de exposición añade un riesgo legal y erosiona la confianza de quienes observan cómo gestiona el desacuerdo.

Qué margen existe para quien ve expuestos sus datos

El caso no significa que cualquier contestación desafortunada a una reseña vaya a acabar automáticamente en una sanción. La AEPD analizó hechos concretos: la publicación de datos identificativos y de información especialmente protegida, la falta de una base jurídica para ese uso y la visibilidad del canal. La diferencia entre una respuesta áspera y una vulneración de la normativa depende de lo que se comunica, de por qué se utiliza esa información y de cómo afecta a las personas identificadas.

En España, el marco de protección de datos reconoce derechos relacionados con el acceso, la rectificación, la supresión y la oposición al tratamiento. La vía y las circunstancias dependen del caso; la autoridad supervisora puede intervenir cuando considera que una entidad ha tratado datos de forma contraria a la normativa. La existencia de una reclamación posible no garantiza por sí sola un resultado concreto, y la valoración de una situación particular corresponde a los cauces oficiales y, cuando proceda, a profesionales especializados.

Lo que sí deja claro este expediente es el límite que atravesó el restaurante: no se sancionó una opinión negativa ni la decisión de contestar, sino la difusión de información personal que no era necesaria y que incluía un dato especialmente protegido. El derecho a responder no convierte la vida privada de un cliente en material disponible para defender una puntuación. Tampoco la publicación previa de un dato en redes sociales elimina las obligaciones que acompañan a su tratamiento posterior.

La respuesta a una crítica también habla del negocio

Una valoración de una estrella puede parecer injusta, incompleta o difícil de aceptar para quien regenta un restaurante. Sin embargo, responder con datos privados desplaza el debate: ya no se discute el servicio, sino la forma en que la empresa usa la información de las personas que acuden al local. La sanción de 4.000 euros pone cifras a esa diferencia y recuerda que la reputación de un negocio no justifica vulnerar la privacidad de sus clientes.

El episodio de Pinkgreen Barcelona muestra, además, que la frontera legal no depende de que la información se haya obtenido con facilidad. Importan la finalidad, la necesidad y la base que permite tratarla; cuando se publica en un foro abierto, también importa el alcance que puede adquirir. Una empresa puede explicar su versión de los hechos sin transformar una reseña en una ocasión para revelar aspectos de la vida de quien la escribió.

La crítica queda a la vista, pero también la manera de gestionarla. En una economía donde las opiniones de los clientes acompañan a cada negocio en la pantalla del móvil, la respuesta más reveladora puede ser la de la propia empresa: no solo por lo que aclara del servicio, sino por el respeto que muestra hacia la privacidad. El caso recuerda que defenderse de una valoración no exige exponer a la persona que la publicó.