La AEPD ha impuesto a un despacho de abogados una sanción de 5.000 euros por infringir el artículo 6.1) del RGPD (licitud del tratamiento). La reclamación se interpuso por una trabajadora debido a que el despacho publicó en su página web la fotografía, así como el nombre y apellidos, de sus empleados sin su consentimiento expreso.
Admitida a trámite la reclamación se alegó por el despacho que la trabajadora sí había consentido este tratamiento, “habiendo posado para la toma de la foto” y había facilitado sus datos del CV para la inclusión en el perfil del despacho. En este sentido, se hacía constar en el escrito de respuesta que, con anterioridad a la realización de las fotografías, se había remitido un correo electrónico a los trabajadores en el que se informaba de que “mañana sacaremos fotos a los nuevos que lo deseen”. Con posterioridad, se envió un nuevo correo en el que se indicaba que se podían revisar las fotografías efectuadas.
A efectos de acreditar todo lo anterior, la autoridad de control requirió al despacho para que aportase la información que se había facilitado a la empleada sobre esta publicación, la información del artículo 13 del RGPD, así como el registro de actividades del tratamiento, sin que el despacho haya aportado dicha documentación, ni haya presentado escrito nuevo de alegaciones.
La AEPD ha declarado en su resolución sancionadora que, en este supuesto, el tratamiento de los datos (publicación en la web de la imagen y datos de identificación de la reclamante) se ha basado en el consentimiento de la empleada, llevándose a cabo en dicha resolución un análisis en profundidad respecto de los requisitos que debe cumplir el consentimiento expreso para que pueda ser considerado válido.
En este sentido, se expone que ya no es válido el consentimiento presunto, sino que debe efectuarse un acto afirmativo que refleje una manifestación de voluntad libre (ha de existir una opción real para no otorgarlo de la que no se derive consecuencia negativa alguna), específica, inequívoca (de forma indubitada) e informada (facilitando la información que exige el artículo 13 del RGPD) vinculada a las finalidades concretas, debiendo ser capaz el responsable de acreditar el mismo.
A la vista de lo anterior, la AEPD declara que el consentimiento que afirma otorgado el despacho no es conforme con la normativa por los siguiente motivos:
- No ha sido posible acreditar que se informó adecuadamente de este tratamiento, por cuanto “ningún documento se ha aportado respecto a la información facilitada a la parte reclamante de la utilización de su imagen una vez tomada la fotografía para todas y cada una de las finalidades (en este caso, la captación de la imagen y su posterior difusión a través de la web)”.
- El hecho de que exista un correo en el que se indique que “sacaremos fotos a los nuevos que lo deseen”, no puede equipararse a que la reclamante haya consentido indubitadamente la captación y difusión de su imagen.
- No se han acreditado el resto de los extremos.
En conclusión, afirma la AEPD que en aquellos supuestos en los que el tratamiento de los datos se fundamente en el consentimiento, este debe ser expreso a través de una acción afirmativa, cumpliéndose el resto de los requisitos del mismo.
Puede acceder a la resolución sancionadora aquí.