La autoridad de control ha impuesto a una compañía una sanción de 6.000 euros por la infracción del artículo 6.1 (licitud del tratamiento) del RGPD. No obstante, dicha sanción se ha reducido a 3.600 euros por cuanto la entidad ha hecho uso de las dos reducciones previstas, reconociendo, en consecuencia, su responsabilidad.
Con posterioridad a su contratación, la empresa envió un correo a 18 personas con las que tendría que colaborar la reclamante durante la prestación de sus servicios en el que facilitaba sus datos personales (incluyendo su número de teléfono) sin que esta tuviera conocimiento de que se iba a producir ese envío y sin que, por lo tanto, hubiera prestado su consentimiento para ello.
La afectada tuvo conocimiento de esta cesión de datos debido a que recibió numerosas llamadas a su teléfono personal, indicándole en una de esas llamadas que la empresa era quien les había facilitado sus datos de contacto.
Habida cuenta de ello, la empleada envió un correo a la compañía solicitando información sobre esta cuestión, reconociendo la entidad que se habían cedido sus datos a terceros, informando que ello se había realizado debido a que “es el teléfono que va a utilizar para sus tareas laborales de la empresa”, ya que no había facilitado otro. Posteriormente, la empresa pidió disculpas alegando que, si bien no era la forma habitual de proceder, “no habían podido contactar con ella por correo electrónico y necesitaban que se comunicara con las personas a las que han facilitado su teléfono”.
Una vez admitida a trámite la reclamación y habiéndose dado traslado de la misma a la compañía, esta presentó escrito de alegaciones en el que manifestaba, entre otras cuestiones, que cuando contrata a un nuevo empleado, se le facilita un formulario que regula el tratamiento de sus datos incluyéndose una casilla en la que se recaba el consentimiento expreso para la cesión de sus datos a terceros. En este sentido se facilita la citada casilla:
- “( ) Consiento que mis datos personales figuren incorporados en el fichero que mantiene con finalidades de gestión y cesión a Organismos Públicos en cumplimiento de la normativa laboral, de Seguridad Social y Tributaria”.
- ( ) Consiento que mis datos personales sean cedidos por SARARTE a las entidades que prestan servicios a la misma”
De este modo, si no se otorga el consentimiento, es la compañía la que le facilita un correo o teléfono profesionales para las comunicaciones derivadas de su relación laboral. No obstante, en el presente caso, afirma la entidad que se cedió por error el número de teléfono personal de la afectada, sin recabar su consentimiento, puesto que no cumplimentó el formulario.
Con base en las citadas alegaciones, la autoridad de control declara que la compañía ha asumido que la base jurídica que legitima el tratamiento y cesión de los datos de la empleada para tareas propias de su puesto es el consentimiento expreso recabado en el formulario. No obstante, se indica que, aunque se hubiera cumplimentado el mismo y otorgado los consentimientos que en dicho documento se recogen, ello no ampararía el tratamiento de dichos datos para fines propios de la relación laboral, por cuanto los consentimientos transcritos “solo hacen referencia a la cesión de datos a organismos públicos, de conformidad con la normativa laboral, de Seguridad Social y tributaria, o a entidades que prestan servicio a SARARTE”. En este sentido, afirma la AEPD que ni siquiera se informa sobre el tratamiento de los datos, su finalidad o los derechos que tienen los afectados.
Puede acceder a la resolución sancionadora de la autoridad de control aquí.
