5.000 euros de multa para un despacho de abogados por publicar en su ‘web’ una foto de un trabajador sin su consentimiento

La Agencia Española de Protección de Datos (AEPD) ha sancionado con 5.000 euros a un despacho de abogados por tomar y publicar en su web una fotografía de un trabajador sin su consentimiento expreso. 

De esta forma ha resuelto una reclamación presentada por un profesional de la abogacía contra la firma Roca & Asociados, de Madrid, para la que trabajó entre marzo y julio de 2023, y denunció que este despacho publicaba «el nombre y apellidos y fotografías de sus trabajadores sin el consentimiento, incluida la suya». 

La sanción ha sido impuesta por una infracción del artículo 6.1 del Reglamento General de Protección de Datos (RGPD), tipificada en el artículo 83.5.

«En este caso, el consentimiento debe solicitarse previamente y por escrito y con la información prevista en el artículo 13 del Reglamento 2016/679, que regula la información que deberá facilitarse cuando los datos personales se obtengan del interesado», declara a Economist & Jurist el abogado Ramón Arnó Torrades, especialista en aspectos jurídicos de la sociedad de la información y transformación digital y CEO de La Familia Digital, quien este martes ha dado a conocer la resolución en redes sociales y este diario le ha preguntado su valoración. Está disponible en el Botón ‘Descargar resolución’.

Además, indica que «debe guardarse por el responsable del tratamiento el documento en papel o el soporte digital para acreditarlo, sin olvidar que el trabajador puede aceptar o no la captación de su imagen y en caso positivo, puede posteriormente revocar el consentimiento en cualquier momento».

El abogado Ramón Arnó Torrades. (Imagen: Archivo)

El consentimiento debe ser expreso

Según los hechos probados, en marzo de 2023, el reclamante recibió un correo electrónico corporativo indicando que al día siguiente se sacarían fotos «a los nuevos que lo deseen». 

La AEPD explica en la resolución que el Reglamento General de Protección de Datos «no prescribe una forma concreta de registrar el consentimiento prestado y, por lo tanto, corresponderá al responsable determinar aquella, en línea con el principio de responsabilidad proactiva establecido por el artículo 4.2 del RGPD, de tal manera que pueda probar que el interesado ha prestado de manera válida el citado consentimiento, es decir, que este es informado, libre, específico, y prestado de manera inequívoca». 

La AEPD concluye que en este caso, la firma Roca & Asociados llevó a cabo «un tratamiento de datos consistente en la toma de fotografía a la parte reclamante para su posterior difusión a través de la web de la empresa basándose en el consentimiento, que no es conforme con la normativa de protección de datos». 

Y ello, porque «en aquellos supuestos en los que las fotografías captadas afectan a personas identificables, quienes no han prestado su voluntad de forma libre, específica, informada e inequívoca en el momento en que esas fotografías están siendo tomadas, no puede considerarse que el consentimiento recabado sea válido».

La AEPD argumenta que «no es posible acreditar que la parte denunciante ha sido debidamente informada, ya que pese a la documentación que se le requirió al despacho, ningún documento se ha aportado respecto a la información facilitada a la parte denunciante de la utilización de su imagen una vez tomada la fotografía para todas y cada una de las finalidades (en este caso, la captación de la imagen y su posterior difusión a través de la web)».

«No puede considerarse que la parte denunciante haya consentido indubitadamente la toma de una fotografía de su imagen física, ante un correo en el que lo único que se advierte es ‘sacaremos fotos a los nuevos que lo deseen'», indica.

Este organismo público encargado de velar por el cumplimiento de la Ley Orgánica de Protección de Datos Personales y garantía de los derechos digitales en España, subraya que «el consentimiento presunto ha dejado de tener validez en el marco de la normativa de protección de datos surgida a partir de la aprobación del RGPD, debiendo ser expreso». 

(Imagen: E&J)

Que el afectado haya publicado en LinkedIn dicha foto «no supone un consentimiento a expreso», advierte 

Apunta que del mismo modo, el hecho de que la parte reclamante hubiera publicado en su perfil de la red social LinkedIn esta fotografía con su imagen, «no supone un consentimiento a expreso a que pueda ser publicada por la empresa». Circunstancia que tampoco ha sido probada por la firma.

La AEPD hace hincapié en que en estos casos, deben cumplirse todos estos requisitos «como necesarios para la prestación de un consentimiento válido, lo que implica, por tanto, la necesidad de que el consentimiento sea, además, informado y expreso, que sea libre, debiendo estar el responsable en condiciones de acreditar que estos extremos se han cumplido en todos los casos».

Dictamina que «teniendo en cuenta lo anterior, no pueden acogerse, por tanto, las alegaciones de este despacho, ya que estas se asientan sobre la base del consentimiento presunto de la reclamante, ante el correo que comunicó la toma de las fotografías (‘a los nuevos que lo deseen’)».

«El marco que configura el RGPD para los tratamientos de datos personales cuya base legitimadora sea el consentimiento de los interesados, exige una clara acción afirmativa en la prestación de dicho consentimiento, que deberá cumplir todas y cada una de las condiciones a que se ha hecho referencia más arriba, eliminando de esta forma el denominado consentimiento tácito o presunto», concluye.

«Por ende, para cumplir con la normativa de protección de datos, cuando la base legitimadora del tratamiento la constituya el consentimiento del interesado, la puesta a disposición de la información relativa al tratamiento se configura como un presupuesto necesario para la válida prestación del consentimiento», puntualiza.

Mar España, directora de la Agencia Española de Protección de Datos. (Imagen: AEPD)