Privacidad – protección de datos

A raíz de una consulta empresarial, hacemos este post para aclarar conceptos sobre la relación entre las FanPages y el RGPD. La respuesta corta es que sí, las empresas que las usan tienen que cumplir con la normativa de protección de datos.

Empezaremos para explicar, para quien no lo sepa, qué es una FanPage. Las fanpages son una funcionalidad que Facebook introdujo ya hace años. Es una página creada especialmente para ser un canal de comunicación con fans dentro de la red social.

A diferencia de los perfiles, son espacios que reúnen a personas interesadas sobre un asunto, empresa, causa o algún rasgo en común sin la necesidad de la aprobación de la solicitud de amistad. Es el fan el que elige si seguirá o no las actualizaciones de una determinada página.

Son canales de comunicación muy apreciados por las empresas porque es una forma económica, rápida, sencilla y cuantificable de comunicar en tiempo real con clientes potenciales. Una especie de televisión o radio pero con unos costes infinitamente más económicos.

La consulta que nos hacía el empresario era básicamente sobre dos puntos ¿Estamos obligados a cumplir con el RGPD? y, si es así, ¿Qué tenemos que hacer?

A efectos de la normativa de protección de datos, estas páginas funcionan como una página web. Recogen datos personales de los usuarios y, por lo tanto, se tiene que aplicar la misma normativa, es decir, proporcionar acceso al Aviso legal, a la Política de Privacidad y a la Política de Cookies de la empresa. Y naturalmente que toda la documentación cumpla la normativa vigente. Si además, como es frecuente, la empresa instala el píxel de seguimiento de Facebook, con más motivo. Pero del píxel ya hablaremos otro día.

Dicho esto y entienden que es una página situada en una plataforma en la que la empresa tiene muy poco margen de maniobra, conviene establecer quién es realmente el responsable de los datos personales, la empresa o Facebook. Pues bien, lo son los dos.

Una sentencia de junio de 2018 del Tribunal de Justicia de la Unión Europea resolvió que el concepto de responsable del tratamiento comprendía también al administrador de un página web alojada en una red social. Según la sentencia, a pesar de que Facebook trata los datos personales mediante cookies sin informar a la empresa, no es menos cierto que FB pone a disposición de la empresa estadísticas (anónimas) de los visitantes y que la empresa puede definir criterios a partir de los cuales se tienen que elaborar las estadísticas e, incluso, designar las categorías de personas los datos de las cuales serán objeto de explotación por parte de FB. La sentencia concluye que el administrador de la página tiene que ser calificado como responsable del tratamiento conjuntamente con FB.

Por lo tanto tenemos que cumplir con lo siguiente: informar de los datos y su finalidad, recoger el consentimiento explícito para el tratamiento, pedir solo los datos necesarios, no usar los datos con una finalidad diferente a la pedida, no conservar los datos más tiempos del necesario, implementar medidas organizativas adecuadas, atender las solicitudes de ejercicio de los derechos de los usuario y crear la correspondiente actividad en el Registro.

Como siempre, atentos a todos los detalles de cumplimiento. Y si tenéis dudas, consultadnos.

Y lo más importante, cuidaos!

En una reciente sentencia, el Tribunal Supremo ha admitido que un despido se pruebe con un video que vulnera la protección de datos. El Supremo afirma que la grabación puede ser admisible en un procedimiento laboral aunque en otro procedimiento se establezca que atenta contra la normativa de privacidad. Esta diferenciación tiene importantes consecuencias, como veremos a continuación.

El caso se dio cuando una empresa de seguridad despidió a un guardia de seguridad por transgresión de la buena fe contractual, fraude, abuso de confianza y deslealtad al no llevar a cabo las tareas encomendadas (revisión de vehículos en la entrada del recinto) por la empresa y firmar y librar los registros diarios como que efectivamente se habían hecho.

Según la resolución conocida días atrás, lo relevante es que el trabajador conocía la existencia del sistema de videovigilancia y que la grabación es válida como prueba, sin perjuicio que la empresa pueda tener otras responsabilidades en el ámbito de la normativa de protección de datos. En consecuencia, el Supremo obliga a repetir el juicio en el que las imágenes no fueron admitidas como prueba.

La Sala de lo Social del Supremo recuerda que el artículo 89.1 de la Ley Orgánica 3/2018, de 5 de diciembre de Protección de Datos y Garantía de los Derechos Digitales (LOPDGDD) establece que, en el supuesto de comisión flagrante de un acto ilícito por parte del trabajador, y siguiendo la sentencia del TEDH conocida cómo López Ribalda II, se entenderá cumplido el deber de informar cuando exista un dispositivo informativo con datos pertinentes y claramente visible. No es obligado especificar “la finalidad exacta que se ha asignado al control en cuestión”.

Al empresario, pero, es a quien le corresponde aportar las pruebas necesarias para demostrar la veracidad de los hechos imputados a la carta de despido. En esta línea, el Supremo añade que, de acuerdo con el artículo 24.2 de la Constitución, el empresario tiene derecho a utilizar “los medios de prueba pertinentes para su defensa”.

Dice también la sentencia que el hecho de que las cámaras fueran de Ifema y no de Securitas puede ser relevante desde el punto de vista de la protección de datos pero no tiene que llevar a impedir que Securitas aporte en un juicio laboral unas grabaciones que pueden ser necesarias para satisfacer la carga de la prueba que sobre ella recae.

En este caso, el Supremo entiende que la prueba era “una medida justificada, idónea, necesaria y proporcionada al fin perseguido” satisfaciendo así las exigencias de proporcionalidad que imponen la jurisprudencia del constitucional y el TEDH.

Por todo el expuesto, el Supremo admite el recurso de casación planteado por la empresa y devuelve el asunto al juzgado de lo Social que resolvió en primera instancia, mandando que celebre un nuevo juicio admitiendo las grabaciones como prueba.

Esta resolución abre una puerta interesante cuando asegura que “nuestro examen se ha de ceñir a si la prueba debió o no admitirse, sin que deba extenderse a si se cumplieron todos los requerimientos de la legislación de protección de datos, tanto desde la perspectiva de la relación de la empresa con el trabajador despedido, como de la relación entre Securitas e Ifema”.

Como siempre, cuidaos!