El delegado de protección de datos, en el punto de mira

A partir de mayo, ciertas empresas están obligadas a nombrar un delegado de protección de datos. Hay bastantes comentarios hechos ya por internet con sus funciones, el problema de su independencia, formación y un largo etcétera. Pero no he visto ningún comentario relativo a la exposición pública a la que se van a ver sometidos los individuos que ocupen esta posición.

Tanto los responsables como los encargados tienen que publicar los datos de contacto de este sujeto, tal y como se dice en el artículo 37.7 del Reglamento:

El responsable o el encargado del tratamiento publicarán los datos de contacto del delegado de protección de datos y los comunicarán a la autoridad de control

Además hay que comunicárselos a la autoridad de control. En nuestro caso, a la Agencia Española de Protección de Datos.

El proyecto de Ley Orgánica de protección de datos dice en el apartado IV de su exposición de motivos que “La designación del delegado de protección de datos ha de comunicarse a la autoridad de protección de datos competente. La Agencia Española de Protección de Datos mantendrá una relación pública y actualizada de los delegados de protección de datos, accesible por cualquier persona. Y así lo establece en el punto 4 de su artículo 34:

La Agencia Española de Protección de Datos y las autoridades autonómicas de protección de datos mantendrán, en el ámbito de sus respectivas competencias, una lista actualizada de delegados de protección de datos que será accesible por medios electrónicos.

No cabe duda de que es un buen ejercicio de transparencia, a primera vista suena muy bien esto de conocer al sujeto que es el responsable del sistema de protección de datos que tiene en marcha una empresa.

Ahora enlacemos esta bondad del nuevo sistema con la también transparente publicación de las resoluciones sancionadoras por parte de la Agencia Española de Protección de Datos. Como resultado, nuestro afortunado delegado se verá expuesta su competencia o incompetencia profesional ante la opinión pública cuando la empresa en la que desempeña sus funciones sea sancionada.

Cuando este sistema lleve funcionando un tiempo, cualquier departamento de recursos humanos tendrá un elemento más de juicio sobre la eficacia profesional de estos individuos solo con mirar en una página web.

Sí, ya sé que soy muy retorcido; ya sé que hay sanciones que no serán atribuibles directamente al mal ejercicio de la profesión, y que juegan muchas circunstancias… Pero es una situación que se va a presentar,  y creo que debiéramos reflexionar sobre ella.

Por cierto, ¿dónde se dice en el Reglamento que la autoridad de control tenga que publicar los datos del delegado de protección de datos? Porque solo menciona los datos de contacto, que no tienen por qué ser los datos personales del delegado… ¿No está yendo el legislador más allá de lo que toca?

Perfiles y valoración de trabajadores en Internet

Trabajador en InternetAhora que están tan de moda las Redes Sociales y el compartir en Internet hasta el momento en que uno se toca la nariz y en qué lugar del mundo, me sorprende lo desapercibido que haya pasado el Informe Jurídico 0039/2010 de la Agencia Española de Protección de Datos, sobre la comunicación en Internet de datos de empleados. Sólo he visto este comentario de Jesús, donde describe el informe.

Para situaros, os voy a invitar a visitar el siguiente enlace. Pertenece a la web de una conocida empresa, GeekSquad, que se dedica a dar servicio técnico remoto y presencial a empresas y particulares de prácticamente cualquier cosa que se pueda estropear, o para ayudarte a configurar hardware y software (¡hasta cuentas de Facebook!). En su página existe el apartado “Agentes”, donde podemos ver un listado con los técnicos que GeekSquad pone a disposición de los clientes. De cada uno existe una ficha con los servicios que ofrece y su precio, identificación (nombre, fotografía, ciudad), un apartado con las anotaciones de las valoraciones de los clientes (experto, amistoso, eficiente, comunicativo) y el típico botón de “compartir” (ver ejemplo).

En el Informe citado, una empresa ha planteado esto mismo a la Agencia para que se pronuncie:

La consulta plantea si es posible la publicación en la página web de la consultante de datos personales de sus empleados, así como de la evaluación que emitan los clientes sobre la prestación del servicio realizada por aquéllos, así como su difusión por estos clientes en redes sociales, en relación con lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Dadtos de Carácter Personal, y a su Reglamento de desarrollo, aprobado por el Real Decreto 1720/2007, de 21 de diciembre. Plantea también si el consentimiento de sus empleados podría efectuarse sin cumplir todos los requisitos exigidos por dichas normas.

Subrayo el final, porque me consta que la consulta no planteaba si el consentimiento se podría efectuar “sin cumplir” los requisitos exigidos por las normas, faltaba más, sino si el consentimiento para esos fines podría entenderse incluido en el dado para llevar a cabo la relación laboral.

Pues bien, si leemos el Informe con detenimiento, tenemos lo siguiente:

1. La fotografía, perfil profesional y datos sobre las aficiones de los empleados, constituiría un perfil personal de los empleados. Está claro que la empresa está legitimada para tratar los datos del empleado, pero para el desarrollo de la relación laboral, conforme al artículo 6.2 LOPD. El tratamiento de los datos referido a las aficiones lógicamente lo considera innecesario y no proporcionado para el mantenimiento y gestión de la relación laboral.

2. La publicación de los datos mencionados en la página web de la empresa constituye una cesión de datos.

3. Se incluyen en la publicación en Internet las evaluaciones que los clientes han consignado. El Informe hace un recorrido por lo que es una evaluación del trabajador, citando varios documentos de organismos internacionales, pero sin dar una opinión clara sobre si la empresa puede o no, y en qué condiciones, proceder a la publicación. Sin solucionar nada, vamos. He aquí su conclusión:

… cabe concluir que el consentimiento para la comunicación masiva por Internet de los datos de sus empleados, incluidas las evaluaciones de los mismos, no podría entenderse válidamente prestado en el contexto de la relación laboral si su negativa a darlo, llevase aparejada algún tipo de consecuencia adversa o discriminatoria, no pudiendo hablarse de consentimiento libre. Por ello, entendemos que la comunicación de los datos de empleados en Internet, no puede ampararse en el consentimiento del trabajador en el ámbito de la relación laboral.

Si la empresa no puede ampararse en el consentimiento prestado por el trabajador para el desenvolvimiento de la relación laboral, habrá de informar al trabajador y recabar su consentimiento para poder publicar esos perfiles… y el trabajador podrá negarse a darlo, sin que ello tenga consecuencias.

4. Al dar la posibilidad al cliente de “compartir” tanto el perfil del trabajador como sus evaluaciones en diferentes redes sociales (facebook. linkedin, twitter, etc.), el trabajador habría de consentirlo, ya que de lo contrario interpreta la Agencia que se trataría una cesión no consentida.

A ver qué empresa española es la primera que se atreve al poner en marcha un mecanismo así, cosa que ya es normal fuera de nuestras fronteras. De hecho, lapágina web española de GeekSquad no ofrece las funcionalidades que hemos visto con los perfiles de sus trabajadores.

Merece consideración aparte que el trabajador que se preste a estas publicaciones ha de tener claro que Internet no olvida. Pongamos un ejemplo: trabajador de GeekSquad que tenga alguna que otra evaluación negativa de su desempeño por parte de ciertos clientes insatisfechos. Además, éstas son compartidas en diversas redes sociales… Abandona el trabajo en GeekSquad, y ¿hasta dónde será perseguido por su propio historial? Mejor ni pensarlo.

Este es uno de los casos más claros en los que se puede comprobar el abismo que nos separa de otros países en cuanto a la regulación de la protección de datos, con un claro reflejo en el ámbito de la competitividad empresarial. Ellos pueden hacerlo, nosotros a duras penas.

100.000€ por fallo de seguridad a Vodafone

dineroLa semana pasada leí en la web de la Unión de Consumidores y Usuarios que la Agencia Española de Protección de Datos ha sancionado a Vodafone con 100.000€ por tener un fallo de seguridad en su página web y dejar al descubierto los datos de clientes de móviles con tarjeta prepago. En enero de 2009 lo comenté aquí, porque el incidente pudo seguirse prácticamente en tiempo real en los foros de la página web GSMSpain, y la empresa no reaccionó como hubiera debido. Todavía está abierto el post “Error en Mi Vodafone accedo a datos de otros clientes” para quien quiera leer el intercambio de impresiones de los usuarios.