Anàlisi de la resolució de l'AEPD per incloure un treballador en un grup de WhatsApp sense consentiment
La resolució per part de l'AEPD d'arxiu d'actuacions AI-00050-2022 ha provocat un enorme interès i tot tipus de publicacions, afirmant-se en algunes que aquesta implica un canvi de criteri respecte a la legitimació que cal per a la inclusió de números de telèfon particulars de persones treballadores en grups de WhatsApp (d'ara endavant GMI -grups de missatgeria instantània-) corporatius, indicant-se en alguns casos que des d'ara les empreses podran incloure les persones treballadores en aquests grups sense la necessitat de demanar el seu consentiment.
Anàlisi de la resolució
A la resolució l'AEPD resol la reclamació d'un treballador que afirmava haver estat inclòs sense el seu consentiment en dos GMI per part de la seva empresa, dedicada al repartiment de paqueteria, per tal de facilitar-li informació necessària i imprescindible per al desenvolupament de les seves funcions ( rutes, persones que les fan, horaris, ubicació de furgonetes, i informació de caràcter laboral en general).
L'empresa, per contra, a més de raonar perquè aquesta forma de comunicar-se amb les persones treballadores és imprescindible, afirma que, per tal d'evitar conflictes, sí que recull l'autorització d'aquestes per a la inclusió en aquests grups (final de l'últim paràgraf de la descripció dels fets, pàgina 2).
En cap punt de la resolució no s'afirma expressament la base jurídica de l'art. 6.1 que legitima aquest tractament concret, que suposa la inclusió del treballador als GMI, el que l'AEPD indica és que, en l'àmbit laboral, el tractament de les dades personals es legitima, principalment, en ser necessaris per a l'execució del contracte de treball, art. 6.1.b) RGPD. (2n paràgraf de la conclusió a la pàgina 4).
Tampoc no s'especifica en la resolució si la línia telefònica i el dispositiu utilitzat pel treballador són propis (particulars) o corporatius, qüestió aquesta essencial ja que, si es tracta de dispositiu i línia corporatius, com a mitjans de treball, no caldria el consentiment, i sí que podia legitimar-se sobre la base de la relació contractual.
L'AEPD conclou que les dades personals objecte de tractament són les mínimes necessàries per a l'organització del treball particular i que l'empresa ha informat les persones treballadores de la finalitat del tractament. Per tant, entenent que hi ha legitimació i s'ha complert amb el deure d'informar, arxiva el procediment perquè no considera que s'hagi infringit cap precepte.
Per tant:
- L'empresa sí que demana el consentiment de les seves persones treballadores per a la inclusió en aquests grups.
- En cap punt de la resolució no s'afirma expressament quina base jurídica de l'art. 6.1 legitima aquest tractament concret, encara que s'indiqui que en l'àmbit laboral els tractaments de dades personals es legitimin, principalment, si són necessaris per a l'execució del contracte de treball, art. 6.1.b) RGPD.
Resolucions recents similars i diferents recursos proporcionats per l'AEPD
1. Resolucions: en recents resolucions de procediments sancionadors de casos similars a aquest, l'AEPD adverteix (per tractar-se d'una AP) un Ajuntament i sanciona una empresa respectivament:
- PS-00480-2021: per demanar als agents de la Policia Municipal la instal·lació als seus dispositius personals d'un sistema de doble autenticació per a l'accés al seu correu electrònic, sense tenir aquest tractament legitimació a cap de les bases jurídiques de l'article 6.1 RGPD.
- PS-00270-2022: per haver inclòs una persona treballadora en un GMI sense legitimació per fer-ho.
2. En guies i material disponible a la seva web: el tractament de la dada del correu electrònic i telèfon particulars d'una persona treballadora pot ser ignorat per l'entitat, atès que cap norma exigeix que la persona treballadora, per a la perfecció adequada de la seva relació contractual , hagi de facilitar aquestes dades a l'organització on presta els seus serveis. Aquest tractament excediria el que permet la normativa de protecció de dades, i més concretament, de la legitimació de l'article 6 del RGPD en base a l'execució d'un contracte. Això no obstant, si les circumstàncies de la prestació de serveis per a l'entitat comportessin una disponibilitat personal de la persona treballadora fora del seu centre o horari de treball, una mesura més moderada i igual d'eficaç per aconseguir la comunicació de l'entitat amb la persona treballadora seria la posada a disposició d'un instrument de treball com seria un telèfon corporatiu.
En tot cas, seria possible que els afectats facilitessin les dades referents al seu e-mail i número telefònic particulars, si bé la recollida d'aquestes dades hauria de ser d'emplenament voluntari, prèvia l'obtenció del consentiment de la persona treballadora, que es podrà oposar posteriorment al tractament exercint els drets d'oposició o supressió.
- A la seva guia sobre la protecció de dades en les relacions laborals.
- Al seu catàleg de preguntes freqüents.
Per tant, de les resolucions recents i dels recursos de l'AEPD, podem concloure que el criteri de l'AEPD és la prohibició de l'ús del telèfon particular per a l'exercici de les funcions pròpies de la relació laboral, i que en seria possible l'ús, però de forma voluntària, prèvia l'obtenció del consentiment de la persona treballadora.
Sentències del Tribunal Suprem
En diferents sentències es posa de manifest el seu criteri pel que fa a que les persones treballadores no estan obligades a facilitar a l'entitat on treballen el seu número de telèfon o compte de correu electrònic personal, ja que cap norma ho exigeix per a l'adequada realització de la feina. En cas que sigui necessari que la persona treballadora disposi d'un compte de correu electrònic o telèfon, és l'ocupador el que està obligat a proporcionar-lo, sense que sigui excusa amb aquesta finalitat el cost del mateix, ja que recau a l'empresari l'obligació de assumir els riscos de la seva activitat empresarial proporcionant a la plantilla els mitjans necessaris per al desenvolupament[1].
El Tribunal reconeix la possibilitat d'establir mitjançant pacte les condicions que l'empresa i la persona treballadora considerin oportunes, incloent-hi les que afecten les eines necessàries per al desenvolupament de l'activitat, i en aquest cas s'ha de donar compensació justa del cost del dispositiu i la línia.
Per tant, caldria donar dues condicions perquè l'aportació del telèfon personal (nombre de telèfon i dispositiu) resulti d'acord amb la normativa laboral i de protecció de dades: l'existència d'un pacte veritable i una compensació econòmica adequada[2].
El consentiment com a base jurídica a l'àmbit laboral
A tenir en compte pel que fa al consentiment que en aquest àmbit no és una base jurídica adequada:
- El Considerant 43 i l'article 7.4 del RGPD no consideren vàlid el consentiment prestat quan hi ha un desequilibri clar entre les parts o l'execució d'un contracte es pot veure alterada en cas de no consentir.
- La guia de l'AEPD de la protecció de dades en les relacions laborals indica que, a l'àmbit laboral, la base jurídica principal és l'execució del contracte de treball, perquè el consentiment de l'afectat no és vàlid quan es proporciona en un context de desequilibri clar entre l'interessat i el responsable del tractament.
- L'EDPB, en les seues “Directrius 5/2020 sobre el consentiment en el sentit del RGPD”, afirma que amb l'article 7.4, serà més difícil que el responsable del tractament demostri que l'interessat ha donat el consentiment lliurement, esmentant expressament les relacions laborals com a àmbit propici de produir consentiments viciats.
- STS 4086/2015, Rec. 259/2014, indica que en l'àmbit laboral es pot entendre que el consentiment no és del tot lliure i voluntari.
CONCLUSIONS
De les resolucions i els recursos de l'AEPD i de les sentències del Tribunal suprem, podem concloure que perquè la inclusió d'un número de telèfon personal a GMI corporatius sigui lícita, s'han de donar aquestes tres condicions:
- Ha de ser veritablement necessari per a la relació laboral.
- Cal comptar amb el consentiment de la persona treballadora (pacte amb l'empresa), i que es consideri prestat lliurement.
- L'empresa ha d'assumir-ne els costos.