La solución para expertos en gestión de personas
La empresa no puede utilizar los datos personales de sus empleados fuera de los supuestos amparados legalmente, aunque existan circunstancias organizativas que puedan justificarlo a nivel interno, si no existe consentimiento ni otra base legítima para el tratamiento.
Una exempleada denuncia ante la Agencia Española de Protección de Datos (AEPD) la utilización de su número de teléfono móvil personal, por exigencia de la empresa, para cuestiones laborales, en espera de un terminal corporativo que la empresa nunca le llegó a entregar. Además, al inicio de sus vacaciones se salió de varios grupos de W WhatsApp corporativo, previo aviso verbal y por correo electrónico a todos los responsables del centro de trabajo. A pesar de ello, 5 días después, en su día de descanso, fue incluida en un grupo de WhatsApp, sin previo aviso y sin su consentimiento, incluso después de expresar reiteradamente su deseo de no usar su móvil personal para temas laborales. No fue eliminada del citado grupo hasta su despido.
A requerimiento de la AEPD, la empresa justifica este proceder en la operatividad y excepcionalidad de la medida debido a la entrega extemporánea de los terminales a parte de la plantilla. Indica que ya ha prohibido usar móviles personales para estos fines, pero no acredita el consentimiento de la extrabajadora ni la existencia de una base jurídica alternativa.
La AEPD recuerda que el tratamiento de datos de carácter personal es lícito si concurre alguna de las circunstancias previstas en la normativa (RGPD art.6.1).
El hecho de que haya prohibido la participación de sus empleados en los grupos de WhatsApp de empresa sin el terminal móvil ICON proporcionado por la empresa refleja una buena práctica, pero no tiene en cuenta que la trabajadora no había dado su consentimiento para comunicaciones vía WhatsApp.
Considera evidente la falta de diligencia por la parte de la empresa, pues si los terminales móviles proporcionados no están disponibles (ya sea por robo, extravío, avería o problemas de suministro) la única opción es agregar el teléfono móvil personal del trabajador a un grupo de WhatsApp puesto que, de otra forma, no podría cumplir con sus obligaciones laborales. En tal caso, para que exista un cumplimiento diligente del principio de licitud en el tratamiento de datos de terceros (principio de responsabilidad proactiva), ha de poder acreditar que el trabajador ha prestado su consentimiento o que cuenta con otra base legitimadora del tratamiento, cosa que no ha acreditado.
En consecuencia, califica la infracción como muy grave y propone una sanción de 70.000 euros (LOPDGDD art.72.1.b), que queda reducida a 42.000 euros por reconocimiento de responsabilidad y pago voluntario.
Además, en el plazo de un mes desde la firmeza de la resolución, ha de acreditar la adopción de medidas necesarias para garantizar el cumplimiento correcto del tratamiento de datos personales.