Multa de 6.000 euros a una empresa por facilitar a terceros el teléfono personal de una empleada sin su consentimiento

La exigencia del consentimiento informado en el ámbito laboral para que la empleadora pueda hacer un tratamiento lícito de los datos personales de sus trabajadores cobra especial relevancia. Así lo recuerda la Agencia Española de Protección de Datos (AEPD) en una reciente resolución (disponible en el botón ‘descargar resolución’) en la cual ha sancionado a una empresa con 6.000 euros por ceder ilícitamente a terceros los datos personales de una empleada.

La sanción llega a raíz de que la trabajadora interpusiera una reclamación ante la AEPD contra la empleadora —una empresa que fue adjudicataria de un contrato público del Ayuntamiento de Valencia, de ‘Servicios de información, sensibilización, prevención, atención y formación sobre las violencias sexuales en la ciudad de Valencia’, para cuya ejecución contrató a la parte reclamante, que debía encargarse de la coordinación de determinados recursos del proyecto—.

En dicha reclamación la mujer exponía que la empresa había facilitado sus datos personales, teléfono móvil incluido, a 18 personas sin haber solicitado previamente su consentimiento.  La empleada tuvo conocimiento de ello cuando un día, poco después de iniciar la relación laboral, su teléfono móvil colapsó de mensajes y llamadas telefónicas, y la única llamada que alcanzó a responder era de una persona que le indicó que la empresa le había facilitado sus datos.

(Imagen: E&J)

Los datos fueron cedidos “por error”

Disconforme con la decisión de la empresa de facilitar su número personal a diversas personas sin haber dado consentimiento para ello, la mujer escribió un correo electrónico a la mercantil.

La empresa respondió a dicho correo reconociendo haber facilitado sus datos y argumentando que entendía que ese número de teléfono era el que iba a usar para sus tareas laborales. Asimismo, la empleadora se disculpó por ello e indicó que esa no era la forma de proceder que solía tener, sin embargo, como no lograba contactar con ella por correo electrónico, había facilitado el número de teléfono a las personas que necesitaban comunicarse con la trabajadora.

La AEPD dio traslado de dicha reclamación a la empresa. La mercantil, por su parte, respondió a la Agencia que cuando contrata a una persona le envía un documento estandarizado en relación con el tratamiento de sus datos como trabajadora, que incluye unas casillas para indicar si consiente que sus datos personales sean cedidos a terceros. Y en los casos en los que la persona contratada no expresa su consentimiento, la empresa le facilita correo electrónico, teléfono o los medios que el proyecto que coordina requiera para las comunicaciones que tenga que realizar como parte de su relación.

No obstante, la empresa manifestaba que el presente caso se habría utilizado por error el teléfono móvil de la reclamante sin haber expresado ésta su consentimiento para ello, al no constar cumplimentado por la misma el formulario mencionado. Asimismo, la mercantil indicaba que a raíz de ese incidente la empresa había revisado su política de seguridad e introducido una doble comprobación en relación con el consentimiento.

La Agencia Española de Protección de Datos decidió admitir a trámite la reclamación presentada y, con posterioridad, la directora de la Agencia acordó iniciar procedimiento sancionador contra dicha empresa.

(Imagen: E&J)

El empleador debe contar con el consentimiento informado del empleado

En la resolución emitida, la AEPD recuerda que el consentimiento se ha de entender como “un acto afirmativo claro que refleje una manifestación de voluntad libre, específica, informada e inequívoca del interesado de aceptar el tratamiento de datos de carácter personal que le conciernan, prestada con garantías suficientes”. A este respeto, “la licitud del tratamiento exige que el interesado sea informado sobre los fines a los que están destinados los datos (consentimiento informado)”.

En esa línea, la Agencia ha destacado que en el ámbito laboral, dicho requisito “cobra especial relevancia por la diferente posición que ocupan el empleador y el empleado, siendo necesario que se acredite que la no prestación del consentimiento por el trabajador no implicará ninguna consecuencia negativa para el mismo, de tal forma que quede garantizada su libre prestación”.

Pues, sin estas condiciones, la prestación del consentimiento no ofrecería al interesado un verdadero control sobre sus datos personales y el destino de los mismos, y por ende, el tratamiento de datos efectuado por la empresa sería ilícito.

(Imagen: E&J)

6.000 euros de multa por infringir el art. 6.1 del RGPD

Centrándose en el supuesto denunciado, la AEPD ha determinado que la empresa realizó un tratamiento ilícito de los datos personales de la reclamante, por cuanto no contaba con el consentimiento de la misma para dicho tratamiento.

La Agencia afirma que en el presente caso, aunque la trabajadora hubiese prestado el consentimiento que la empresa recaba de sus trabajadores mediante el formulario habilitado por ello, aun así dicho consentimiento no podría considerarse válido para el tratamiento de datos objeto de la reclamación.

Y ello porque la empresa “ni siquiera informa debidamente sobre este tratamiento de datos, sobre su finalidad y base jurídica o el derecho a retirar el consentimiento, en su caso, de conformidad con lo establecido en el artículo 13 del RGPD; ni ha establecido ningún mecanismo para que los interesados puedan prestar un consentimiento explícito”, recoge la resolución.

En consecuencia, se considera probado que la mercantil ha incumplido el artículo 6.1 del Reglamento General de Protección de Datos (RGPD) al haber realizado un tratamiento ilícito de los datos personales de la reclamante por no contar con su consentimiento, “ni con otra base jurídica que lo ampare”.

Teniendo en cuenta las circunstancias del caso y la gravedad de la infracción en la medida en que la cesión del número de teléfono sin consentimiento hace perder a la trabajadora el poder de disposición sobre dicho dato personal, la AEPD ha sancionado a la empresa con una multa de 6.000 euros.