¿Es legal en el ámbito de la protección de datos la publicación en una página web de datos personales de empleados, así como de la evaluación que emitan los clientes sobre la prestación del servicio realizada por aquéllos y su difusión por estos clientes en redes sociales?

Esta es la consulta que recibió la Agencia de Protección de Datos (AEPD) y a la que responde en el Informe 0039/2010 de su Gabinete Jurídico.

Según la consultante, la comunicación comprendería datos de identificación, fotografía, perfil profesional y datos sobre sus aficiones lo que, en conjunto, determinaría un perfil personal de los empleados.

La AEPD aclara en primer lugar que la empresa viene legitimada a efectuar el tratamiento de datos de sus empleados al amparo de lo dispuesto por el artículo 6.2 de la LOPD que dice que “No será necesario el consentimiento cuando los datos de carácter personal se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento.” De modo que la legitimación para el tratamiento de los datos citados la tiene el empresario cuando el mismo se realiza dentro del ámbito laboral y para el desenvolvimiento de la relación laboral.

Sin embargo en el presente supuesto parece que la empresa está tratando datos referidos a las aficiones, gustos o preferencias de los empleados, lo que, a tenor de los señalado, parecen datos innecesarios o no proporcionados para el fin de mantenimiento y gestión de la relación laboral, por cuanto, el conjunto de derechos y obligaciones dimanantes de la misma para ambas partes, no necesita tal intromisión en la esfera privada del trabajador.

Además se indica que la pretensión de difundir los datos de los empleados a través de su página web en Internet constituye una cesión de datos definida en el artículo 3 i) de la LOPD como “toda revelación de datos realizada a persona distinta del interesado.”

El régimen de comunicación de los datos de carácter personal, salvo para los datos sensibles, está regulado en el artículo 11. 1 de la LOPD que establece: “1. Los datos de carácter personal objeto de tratamiento sólo podrán ser comunicados a un tercero para el cumplimiento de fines directamente relacionados con las funciones legítimas del cedente y del cesionario con el previo consentimiento del interesado”, salvo que nos encontremos ante alguno de los supuestos excepcionados del número 2 de dicho artículo, otorgado con carácter previo a la cesión y suficientemente informado de la finalidad a que se destinarán los datos cuya comunicación se autoriza o el tipo de actividad de aquél a quien se pretenden comunicar (artículo 11.3), y que debe recabar el cedente como responsable del fichero que contiene los datos que se pretenden ceder.

De modo que para que no sea nulo, el consentimiento que se solicita a los empleados de la consultante responsable del fichero, se deberá facilitar a éstos la información que les permita conocer la finalidad a la que se destinarán los datos cuya comunicación se autoriza o el tipo de actividad del cesionario. Dicho consentimiento tiene también el carácter de revocable (artículo 11.4).

Además, este consentimiento deberá ser, conforme a lo dispuesto en el artículo 3 h) de la Ley “libre, inequívoco, específico e informado”, debiendo, en consecuencia, aparecer vinculado a las finalidades determinadas, específicas y legítimas que justifican el tratamiento de los datos, de manera que los datos únicamente podrían ser tratados en el ámbito de las mencionadas finalidades, tal y como dispone el artículo 4.1 de la misma norma, no pudiendo ser tratados para fines incompatibles con aquéllas (artículo 4.2 de la LOPD).

Del concepto de consentimiento se desprende la necesaria concurrencia para que el mismo pueda ser considerado conforme a derecho de los cuatro requisitos enumerados en dicho precepto.

Si disfrutaste nuestro artículo, siéntete libre de suscribirte a nuestro feed rss