¡Pide presupuesto en 2 min! ✓
Laboral

Consentimiento para publicar los datos de los trabajadores

10 Mins read

 

sanciones datos personales empleados

Son muchas las preguntas que recibimos sobre datos de trabajadores publicados en tablones de anuncios de la empresa, a través de su página web o de las redes sociales, sobre cuando es necesario el consentimiento y sus excepciones.

Por ello os vamos a explicar las obligaciones de las empresas en materia de Protección de Datos de sus trabajadores.

¿Cuándo es necesario obtener el consentimiento del afectado para tratar sus datos personales?

Es necesario contar con el consentimiento del afectado siempre que se vayan a recoger, tratar o ceder datos de carácter personal que le conciernen, salvo excepciones legalmente previstas. En los casos en que sea necesario este consentimiento, el responsable del fichero debe establecer las cláusulas y procedimientos necesarios para obtenerlo válidamente del titular de los datos y poder demostrar posteriormente que ha cumplido con esa obligación.

Respecto de la forma de solicitar el consentimiento, la LOPDGDD habla de necesidad de consentimiento expreso y por escrito en el artículo 6 para tratar todo tipo de datos personales.

¿En qué casos se pueden publicar datos personales sin permiso?

La Ley de Protección de Datos y Garantía de los Derechos Digitales establece varios supuestos en los que se pueden publicar datos personales sin permiso. En concreto, en caso de interés vital para el interesado, para el ejercicio de funciones públicas por parte de las administraciones, por contrato o cuando los datos son de interés general y acceso público.

Sin embargo, y en relación a la pandemia del COVID-19 o coronavirus, hay quien se pregunta si han cambiado las bases jurídicas para el tratamiento de información privada, principalmente en lo relativo a los datos sanitarios.

Interés vital

Se puede tratar datos personales sin consentimiento cuando tenga por objeto proteger un interés vital del afectado en los términos del artículo 8 de la nueva LOPD.

La situación actual ha provocado que aparezcan dudas sobre la legalidad de tratar o publicar datos sanitarios sin permiso en caso de emergencias sanitarias. Por un lado, son datos especialmente protegidos; por otro, no solo se trata del interés vital del propio afectado, sino de la cuestión de la protección de datos de interés público.

Actualmente no se ha tomado ninguna medida especial sobre la posibilidad de publicar datos personales sin permiso. Sin embargo, ya existe una postura clara en la normativa vigente en casos de situaciones de emergencia como pandemias o catástrofes naturales. Así lo refleja el artículo 46 del Reglamento General de Protección de Datos (RGPD):

  • El tratamiento de datos personales debe considerarse lícito cuando sea necesario para proteger un interés esencial para la vida del interesado o de otra persona física (…) Ciertos tipos de tratamiento pueden responder tanto a motivos importantes de interés público como a los intereses vitales del interesado, como por ejemplo cuando el tratamiento es necesario para fines humanitarios, incluido el control de epidemias y su propagación, o en situaciones de emergencia humanitaria, sobre todo en caso de catástrofes naturales o de origen humano.

Por tanto, se puede deducir que la ley ampara la publicación de datos personales sin consentimiento en casos como este, que aúnan el interés vital del afectado y el interés público general.

Administraciones Públicas

Cuando los datos se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ejercicio de sus competencias.

Contrato laboral

Cuando conciernen a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento.

Acceso público

Cuando los datos figuren en fuentes accesibles al público y el tratamiento sea preciso para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el tercero al que se cedan esos datos siempre que no se vulneren los derechos y libertades fundamentales del interesado.

Tipos de consentimiento admitidos por la LOPD

La LOPD antigua admitía tres tipos de consentimiento: Presunto, Tácito y Expreso.

Presunto

Es aquel que se desprende del comportamiento del interesado. Sería el caso en que un entrevistado cumplimenta un formulario con sus datos personales, sin aceptar expresamente el almacenamiento de los mismos, pero siendo informado de las circunstancias relativas a su tratamiento. Este tipo de consentimiento presenta una inseguridad jurídica lo que conlleva importantes riesgos.

Tácito

Este tipo de consentimiento no se deriva de un comportamiento sino de la falta de actuación, del silencio del afectado. Este consentimiento es admitido tanto por la LOPD como por la AEPD siendo por tanto válido siempre que no se trate de datos especialmente protegidos.

Expreso

Este tipo de consentimiento exige que se manifieste clara e inequívocamente por parte del interesado que aprueba o consiente el tratamiento o la cesión de los que se le informa. Debe hacerlo mediante la expresión de su voluntad, que podrá ser de forma escrita, verbal, mediante notificación telemática o por cualquier otro medio. Sólo debe exigirse en los casos en los que la ley lo establezca expresamente.

Por tanto, podemos concluir que:

  • Para datos de nivel básico y medio, la ley no exige ninguna especialidad en el consentimiento, por lo que sería válido el consentimiento tácito.
  • En cuanto a datos de nivel alto (salvo los relativos a ideología, afiliación sindical, religión y creencias) es necesario el consentimiento expreso.
  • Si se trata de datos de ideología, afiliación sindical, religión y creencias, es obligatorio que el consentimiento no sólo sea expreso sino que también debe manifestarse por escrito.

Diferencias entre consentimiento tácito y expreso

El consentimiento tácito, sería, cuando después de dada una información, el usuario no dice que no está de acuerdo, un ejemplo de ello sería: “Si no contestas en 10 días, se te enviará la información”

El consentimiento expreso, sería, cuando se exige que se manifieste claramente su aceptación o negación, es decir la realización de una acción, un ejemplo de ello sería: “Marca la casilla para recibir información comercial”

¿Qué dice el RGPD?

El Reglamento europeo de Protección de Datos exige que el consentimiento para el tratamiento de datos personales sea siempre expreso. Por tanto, ya no sería válido un consentimiento tácito o por omisión para respaldar el tratamiento de los datos personales de trabajadores ni de clientes.

Revocación del consentimiento

Una vez que hemos prestado nuestro consentimiento para el tratamiento de nuestros datos personales podemos revocarlo cuando exista causa justificada para ello y siempre sin efectos retroactivos. Esto supone que la revocación impedirá que se sigan tratando esos datos de carácter personal pero no evitará los efectos que el tratamiento haya tenido hasta entonces.

¿Cómo podemos realizar la revocación del consentimiento?

La revocación puede hacerse a través de un medio sencillo, gratuito y que no conlleve ingreso alguno para el responsable del fichero. Por ejemplo, mediante un envío prefranqueado al responsable del tratamiento. O llamando a un teléfono gratuito o a los servicios de atención al cliente que éste hubiera establecido.

¿Qué debe hacer el responsable del fichero si un afectado revoca el consentimiento inicialmente prestado?

En el momento en el que se revoca el consentimiento:

  1. El responsable debe cesar en el tratamiento en el plazo de 10 días desde que hubiera recibido la revocación.
  2. Debe bloquear los datos, manteniéndoles únicamente a disposición de las Administraciones Públicas y Jueces y Tribunales, para atender las posibles responsabilidades nacidas del tratamiento, durante el plazo de prescripción de éstas.
  3. Existe la posibilidad de que el interesado solicite al responsable del tratamiento la confirmación del cese en el tratamiento de los datos por lo que, en este caso, el responsable debe responder por escrito a la solicitud.
  4. Si los datos han sido cedidos a terceros, el responsable debe comunicar a estos la solicitud de revocación. Y los terceros deben cesar en el tratamiento de esos datos en un plazo de diez días desde que reciban esa comunicación.

Diferencia con el Derecho de Cancelación y de Oposición

Este derecho hace referencia a la posibilidad de cancelar datos de carácter personal cuando su tratamiento no se ajuste a lo establecido en la ley o cuando esos datos sean inexactos o incompletos.

El derecho de cancelación se encuentra vinculado al incumplimiento por parte del responsable del fichero los principios de actualización, exactitud y conservación de los datos mientras que la revocación no implica un incumplimiento por parte del responsable.

Por otro lado está el derecho de oposición, que puede ejercerse en tres supuestos:

  • se efectúa un tratamiento de los datos sin consentimiento del interesado (por ejemplo, proceden de fuentes accesibles al público)
  • los datos se destinan a fines publicitarios
  • el tratamiento tenga como objetivo la toma de una decisión referida al afectado y fundamentada únicamente en un tratamiento automatizado de sus datos de carácter personal

Tratamiento de datos personales sin consentimiento

Tratar datos personales sin obtener el consentimiento del interesado en los casos en que sea necesario puede suponer una infracción grave o muy grave, según el caso de que se trate, sancionada con hasta 20 millones de euros por la AEPD.

Publicación de Datos de empleados en el Tablón de anuncios de la empresa

En el tablón de anuncios de la empresa se publican normalmente los turnos de trabajo de los empleados, el calendario de vacaciones, días de permisos, etc. pero nos surge una pregunta y es ¿podemos hacerlo?

Estas publicaciones incluyen nombres y otras informaciones que permiten identificar a las personas por lo que no pueden hacerse públicas sin el expreso consentimiento de los trabajadores.

La empresa tiene  derecho a recoger y tratar cierta información personal de los trabajadores por el simple hecho de que tienen una relación laboral con esa empresa (por ejemplo, para la elaboración de nóminas, retenerles IRPF, etc.).

Pero entre esos derechos no está incorporado el poder exhibir sus datos en el tablón de anuncios. Por eso, se exige que todos los trabajadores firmen una cláusula de información y consentimiento. Ésta quedaría incorporada a sus contratos, en la que se les advierte y permiten que se publique en el tablón la información que les concierne.

Además, la ley protege de manera especial los datos referidos a la salud y afiliación sindical, por lo que su empresa precisará un consentimiento conforme al nivel alto de esta clase de datos para poder publicarlos. Los trabajadores pueden ejercer en cualquier momento sus derechos ARCO.

Requisitos para poder publicarlos

La publicación de los datos debe ser proporcional al objetivo perseguido por la empresa por lo que no deben publicarse más datos que los que los trabajadores precisen saber para estructurar mejor su trabajo.

Por último, también es importante dónde está ubicado el tablón de anuncios. Si un tercero puede acceder a él y ver los datos, se estarían comunicando datos  personales a terceros, para lo que la empresa no habrá obtenido consentimiento específico. Sería, por tanto, una infracción de la Ley de Protección de Datos.

Lo más seguro sería comunicar los datos a cada trabajador de forma individual a través de email, comunicados personalizados, etc.

La empresa debe informar a los empleados sobre la existencia de un fichero en el que se almacenan los datos personales necesarios para sustentar la relación laboral. Y será necesario que los trabajadores otorguen su consentimiento si pretendemos que estos datos se expongan en el tablón de anuncios de la empresa.

En este tablón se podrían publicar los nombres de las personas que han firmado la cláusula de consentimiento, con  las fechas en las que tendrán sus vacaciones. No tiene por qué indicarse más información, pues con estos dos datos se cumple el objetivo de información sobre la disponibilidad de los profesionales.

Por último, la información no deberá ser accesible por terceros ajenos a la empresa. Salvo que en el consentimiento se indicara expresamente que los datos podrían ser comunicados a terceros. En todo caso, el tablón debe estar en una zona de tránsito privado por nuestro propio interés.

Publicación de Datos personales en Internet

En la web de la empresa

Debemos de tener el cuenta en este caso que:

  • El tratamiento de la imagen de los trabajadores con fines de publicitar la empresa, sus funciones, o los miembros que la componen, no está enmarcado dentro de la gestión laboral del personal (que sí es, en cambio, realizar las nóminas, seguros sociales, etc.).
  • La divulgación de la imagen de los trabajadores en la página web de la empresa implica una cesión de datos que debe ser consentida por dichos trabajadores.
  • El trabajador es libre de prestar dicho consentimiento, no pudiendo ser obligado al mismo.

Debemos, por tanto, disponer del consentimiento de todos los trabajadores cuyos datos vamos a publicar en la web teniendo en cuenta que ese consentimiento pueden revocarlo en cualquier momento. En ese caso, la empresa está obligada  a retirar la imagen o dato publicado en ese momento.

El interesado tiene derecho a cancelar el consentimiento a través de un medio sencillo, gratuito y que no suponga ingreso alguno para el responsable del tratamiento de los datos. La forma más habitual para ello es el correo electrónico. O proporcionar al interesado un número de teléfono gratuito para gestionar esa revocación.

Si publicamos datos personales de nuestros trabajadores en nuestra página web sin su consentimiento nos podemos enfrentar a importantes sanciones.

En las redes sociales

Otro de los supuestos controvertidos es la publicación de fotografías de trabajadores en las redes sociales en eventos realizados por la empresa. Debemos tener en cuenta que, para poder hacerlo, necesitamos el consentimiento de nuestros empleados.

El consentimiento es una manifestación libre por la que el interesado accede al tratamiento de sus datos para la finalidad perseguida. Este consentimiento puede ser revocado en cualquier momento, aunque esta anulación no tendrá efectos retroactivos. El responsable del tratamiento de la información dispondrá, en todo momento, un medio de prueba que justifique la existencia de ese consentimiento.

Para conseguir ese consentimiento, el responsable deberá contactar con el afectado comunicándole el proceso de tratamiento de sus datos que se va a efectuar. El interesado dispondrá de un plazo de treinta días para expresar su negativa a dicho tratamiento. En caso de no manifestarse en contra, se deducirá que consiente ese proceso.

Resumiendo

Atendiendo a la categoría especial que puede tener cada clase de información específica que se vaya a exponer en el tablón de anuncios de la empresa u otro soporte, el consentimiento puede ser distinto. Puede que baste con disponer de un consentimiento general. O que sea preciso uno específico que se refiera a la especial protección que necesite la información que se va a publicar, como en el caso de los datos de salud o de afiliación sindical.

Si no se obtiene un consentimiento para exponer la información personal a terceros, esta no debe ser accesible desde el exterior. Y razonándolo claramente, no es ni aconsejable ni necesario a efectos prácticos. Los datos deben mantenerse en el ámbito de la organización y deben ser proporcionales, mostrando solamente los estrictamente necesarios. En todo caso, los consentimientos facilitados pueden ser cancelados o rectificados por los trabajadores en cualquier momento. Y las empresas tienen la obligación de especificarlo en las cláusulas a firmar, instaurando procedimientos que posibiliten el ejercicio de este derecho.

Espero que esta información os haya resultado interesante, ya sabéis que estamos a vuestra disposición en Grupo Ático34 (tlfno. 91 489 64 19) para cualquier consulta que queráis realizarnos.

Related posts
Laboral

Cómo diseñar una política de regalos en la empresa

10 Mins read
¿Has oído hablar alguna vez de la política de regalos en las empresas? Es importante estrechar vínculos con los empleados y obsequiarles…
EmpresaLaboralSanidad

¿Qué debe hacer una empresa cuando detecta casos positivos de Covid-19 entre sus empleados?

6 Mins read
Con muchos centros de trabajo reincorporando a parte de su plantilla, es importante saber qué debemos hacer si detectamos un caso positivo…
Laboral

La segregación vertical y su influencia en el mercado laboral

8 Mins read
En muchas partes del mundo, las mujeres han experimentado avances en sus derechos laborales. A pesar de estos avances, las mujeres de…

2 Comments

  • Avatar
    • Avatar

Deja una respuesta

Tu dirección de correo electrónico no será publicada. Los campos obligatorios están marcados con *

Las siguientes reglas del RGPD deben leerse y aceptarse:
Este formulario recopila tu nombre, correo electrónico y e contenido para que podamos realizar un seguimiento de los comentarios dejados en la web. Para más información revisa nuestra política de privacidad, donde encontrarás más información sobre dónde, cómo y por qué almacenamos tus datos.