Actualmente, la mayoría de las empresas, con la finalidad de mostrar su actividad de cara al público, suben fotografías de sus empleados a su página web y redes sociales. Sin embargo, a la hora de subir dichas imágenes, ¿se cuenta con el consentimiento del trabajador?
Eventualmente, algunas entidades llevan a cabo esta acción sin el consentimiento del empleado y puede ocasionar sanciones pecuniarias muy elevadas. Pero no solo hay que tener en cuenta esta obligación, sino que el responsable del tratamiento debe proporcionar al interesado los mecanismos exigidos por la normativa en materia de protección de datos para que este tenga la posibilidad de revocar dicho consentimiento y ejercer los derechos que le son propios. En esta ocasión, hablamos de facilitar al empleado el ejercicio de los derechos ARSOPOL, que son aquellos a través de los cuales una persona física puede ejercer el control sobre sus datos personales, concretamente, el derecho de supresión de una imagen.
Según la resolución de procedimiento sancionador PS/00119/2021, publicada hace algunos días por la Agencia Española de Protección de Datos (en adelante, AEPD) esto es lo que le ha sucedido a una empresa del sector educativo respecto de varias imágenes de una de sus profesoras. La empresa resulta sancionada por dos motivos:
- No contar con su consentimiento, como base jurídica de legitimación, para colgar esa foto en web y redes sociales de la entidad.
- No eliminar la instantánea de los mencionados sites, no permitiendo de esta forma al interesado el ejercicio de su derecho de supresión como manifestación de la autodeterminación informativa sobre el control de sus datos.
En la resolución, la AEPD manifiesta que la denunciante, quien fue empleada del reclamado, le solicita a este último en varias ocasiones, a través de correo electrónico, la eliminación de fotografías en las que aparece tanto en la página web como en las redes sociales Facebook e Instagram. Además de pedir la supresión de las fotos, le indica que, para publicarlas, no ha contado con su consentimiento.
Así las cosas, ¿cómo actúa la Agencia ante la comisión de estos hechos?:
En primer lugar, al no haberse demostrado que la publicación de las fotografías objeto de la reclamación en diversas redes sociales y en la propia web contara con alguna de las bases legitimadoras que señala el artículo 6 del Reglamento General en Protección de Datos (en adelante RGPD), queda acreditada la ausencia de solicitud de consentimiento previo a la reclamante para exponer dichas imágenes y, en consecuencia, se acredita de esta forma la comisión de la infracción imputada.
Este hecho constituye una infracción tipificada en el artículo 72 de la Ley Orgánica de Protección de Datos Personales y Garantía de Derechos Digitales (en adelante LOPDGDD).
Y no solo eso, sino que la autoridad de control considera que dicha acción conlleva también la imposición de una serie de factores agravantes de la sanción, los cuales evidencian, en palabras de la AEPD, una mayor antijuricidad y/o culpabilidad en la conducta del reclamado y que se debe atender a las previsiones de los artículos 83.1 y 2 del RGPD:
Artículo 83.2.a) RGPD “Naturaleza, gravedad y duración de la infracción teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate, así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido”.
La Agencia considera que al tratarse de imágenes que han permanecido al menos tres años publicadas sin el consentimiento de la interesada, que su alcance ha sido considerable, ya que las fotos han estado a la vista de los usuarios tanto en redes sociales como en la pagina web de la escuela y que el número de fotografías no es escaso, acuerdan que el valor que debe tener la cuantía de la sanción es de seis mil euros.
Por otro lado, respecto de no eliminación de las fotografías, la AEPD entiende que el hecho de no atender el derecho de supresión de las fotografías expuestas por el reclamado en su página web y redes sociales supone la infracción del artículo 17 del RGPD.
Al igual que en la infracción anteriormente descrita, la presente falta de atención al derecho de supresión de la reclamante se encuentra tipificada en el articulo 72 de la LOPDGDD y se prevén asimismo la circunstancia agravante que se estipula en la siguiente disposición:
Artículo 83.2.b) “La intencionalidad o negligencia en la infracción”.
La autoridad de control en este caso entiende que, aunque no se trata de una acción intencionada, existe una falta de diligencia en el cumplimiento del deber del responsable del tratamiento, ya que la solicitud de supresión se realiza hasta en dos ocasiones por la reclamante sin que la misma obtuviera respuesta alguna. Por ello, la AEPD considera que el valor de la cuantía de la presente infracción asciende a tres mil euros.
De todo lo expuesto, es necesario hacer relevancia a la elevada cuantía de la sanción que asciende a un total de 9.000 euros.
La Agencia ha interpretado que existían hallazgos lo suficientemente graves, teniendo en cuenta la naturaleza, el alcance y la cantidad de los tratamientos de datos personales sobre los que el responsable de tratamiento ha cometido infracción, que han hecho incrementar la valoración de la sanción notablemente.
Como conclusión, debemos hacer hincapié en la importancia que tiene cumplir con las dos exigencias que incumple la entidad reclamada respecto a la normativa en materia de protección de datos. Recuerda que, siempre que quieras publicar imágenes de tus trabajadores en tus Redes Sociales y página web cuentes con su consentimiento previo y en caso de que soliciten la supresión de las mismas atender diligentemente el mismo, es un deber que tienes como responsable del tratamiento de los datos.
