La Agencia Española de Protección de Datos (en adelante, “AEPD”) ha sancionado a una empresa por el tratamiento de datos personales de una persona trabajadora en el contexto de la relación laboral, en relación con el uso de su número de teléfono personal para la recepción de códigos de verificación necesarios para acceder a sistemas de un tercero.
El procedimiento se inició a raíz de una reclamación presentada por la persona afectada, que puso de manifiesto que su número de teléfono personal había sido facilitado a una entidad distinta sin haber recibido información previa suficiente sobre dicho tratamiento ni haberse acreditado una base jurídica que lo legitimara.
En el análisis del expediente, la AEPD constata que el número de teléfono personal constituye un dato personal y que su utilización en el marco de la relación laboral para fines profesionales implica un tratamiento sujeto a las exigencias del Reglamento General de Protección de Datos (en adelante, “RGPD”). La AEPD aprecia que la empresa no acreditó de forma suficiente la existencia de una base jurídica válida conforme al artículo 6 del RGPD ni el cumplimiento de las obligaciones de información previstas en los artículos 13 y 14 del RGPD.
La resolución rechaza que el consentimiento pueda servir como base legitimadora en este caso, recordando que, en el ámbito laboral, no puede considerarse prestado de forma libre. Asimismo, la AEPD señala que el hecho de que el sistema de autenticación fuera exigido por un tercero no exime a la empresa de su condición de responsable del tratamiento ni de sus obligaciones en materia de protección de datos.
La AEPD fundamenta la sanción en los siguientes extremos:
- Existencia de un tratamiento de datos personales en el ámbito de la relación laboral.
- Falta de acreditación de una base jurídica válida para el tratamiento (art. 6 RGPD).
- Incumplimiento de las obligaciones de información a la persona trabajadora (arts. 13 y 14 RGPD).
- Inaplicabilidad del consentimiento como base legitimadora en el contexto laboral.
Con esta resolución, la AEPD reitera que los tratamientos de datos personales de las personas trabajadoras deben ajustarse a las exigencias del RGPD y que las necesidades organizativas o contractuales con terceros no pueden justificar, por sí solas, el uso de datos personales sin una base jurídica adecuada ni sin la debida transparencia.
