Precaución con la difusión pública de imágenes de empleados en la web de la empresa sin una base de legitimación: multa de 5000 euros.

La parte reclamante dio su consentimiento a la publicación de su foto en la web de ROCA & ASOCIADOS, habiendo posado y aportando los datos de su currículum para su inclusión en el perfil del despacho, previa comunicación del informático de la empresa mediante correo electrónico en el que se decía: «Mañana sacaremos fotos a los nuevos que lo deseen», y donde se adjuntaban dos mensajes enviados al correo electrónico de la parte reclamante en los que se le avisaba de la oportunidad de revisar las fotografías. Además, la parte reclamante publicó previamente en su perfil de Linkedin los mismos datos que constaban en la web de ROCA & ASOCIADOS. Estas fueron las alegaciones aducidas por ROCA & ASOCIADOS a la AEPD en febrero de 2024.

En la captura de la página web de ROCA & ASOCIADOS, de fecha 11 de septiembre de 2023 aportada por la parte reclamante, puede observarse la publicación de una fotografía con la imagen de la parte reclamante, en cuyo pie de foto aparece su nombre y su primer apellido.

Frente a todos los argumentos, cabe señalar que el RGPD regula las bases legítimas del tratamiento de datos personales en su artículo 6.1, y sobre la cuestión de la licitud del tratamiento incide el Considerando 40 del RGPD cuando dispone que «Para que el tratamiento sea lícito, los datos personales deben ser tratados con el consentimiento del interesado o sobre alguna otra base legítima establecida conforme a Derecho, ya sea en el presente Reglamento o en virtud de otro Derecho de la Unión o de los Estados miembros a que se refiera el presente Reglamento, incluida la necesidad de cumplir la obligación legal aplicable al responsable del tratamiento o a la necesidad de ejecutar un contrato con el que sea parte el interesado o con objeto de tomar medidas a instancia del interesado con anterioridad a la conclusión de un contrato».

El órgano instructor del procedimiento requirió a ROCA & ASOCIADOS para que presentara la información proporcionada a la parte reclamante sobre la publicación de su foto en la web; el registro de sus actividades de tratamiento y, en concreto, lo relativo al tratamiento de la imagen de sus empleados; y la información a que se refiere el artículo 13 del RGPD facilitada a los empleados cuya foto iba a ser publicada:

— identidad y datos de contacto del responsable del tratamiento;

— datos de contacto del delegado de protección de datos;

— fines del tratamiento a que se destinan los datos personales;

— intereses legítimos del responsable o de un tercero;

— destinatarios o categorías de destinatarios de los datos personales;

— intención del responsable de transferir datos personales a un tercer país u organización internacional;

— plazo durante el cual se conservarán los datos personales o los criterios para determinar ese plazo;

— existencia del derecho a solicitar al responsable el acceso a los datos personales del interesado, su rectificación, supresión o limitación de su tratamiento;

— existencia del derecho a retirar el consentimiento en cualquier momento;

— derecho a presentar una reclamación ante una autoridad de control;

— si la comunicación de los datos personales es o no un requisito legal o contractual; y

— existencia de decisiones automatizadas, incluida la elaboración de perfiles.

Pese a las alegaciones de ROCA & ASOCIADOS, en julio de 2024, el órgano instructor del procedimiento propone que la AEPD sancione a ROCA & ASOCIADOS ABOGADOS Y ECONOMISTAS, S. L. P., por una infracción del Artículo 6.1 del RGPD, tipificada en el Artículo 83.5 del RGPD, con una multa de 5000 €.

░ Foto de Tranmautritam en Pexels