Artículo de Bufete Casadeley publicado en Diario Jurídico
Recientemente, la Agencia Española de Protección de Datos (AEPD) ha publicado la Resolución 00401/2018, en la que impone una multa de 12.000 euros a un restaurante por haber utilizado las imágenes grabadas por un empleado con su móvil particular para sancionar a otro trabajador. Un trabajador, cansado de la conducta de su compañero, graba a éste durante la jornada laboral, en el interior y en el exterior del restaurante y, posteriormente, entrega estos videos al empleador para que tome medidas disciplinarias en relación con el trabajador grabado. La empresa que dispone de un sistema de vigilancia que no está operativo decide hacer uso de las imágenes facilitadas por el empleado y basándose en ellas ejerce su potestad sancionadora, suspendiendo de empleo y sueldo al trabajador durante 45 días. El trabajador denuncia ante la AEPD por no haber sido informado del funcionamiento en su centro de trabajo del sistema de videovigilancia. Finalmente, la AEPD sanciona al restaurante.
¿Estamos ante un tratamiento de datos personales? ¿El responsable del tratamiento es la empresa o el trabajador que grabó los vídeos? ¿Por qué ha sido realmente sancionada esta empresa?
En el presente artículo vamos, en primer lugar, a hacer un breve recorrido sobre los fundamentos de la protección de datos en relación con los sistemas de videovigilancia en el ámbito del control laboral para, posteriormente, aplicarlos a esta resolución de la AEPD.
Todos de acuerdo: la imagen es un dato personal.
Que la imagen de una persona es un dato personal es algo fuera de toda discusión. La definición de datos personales del artículo 4.1 del Reglamento General de Protección de Datos (RGPD)[1] es amplia. Simplificando y quedándonos en lo esencial, dato personal es toda información sobre una persona física identificada o identificable directa o indirectamente. Si la información permite determinar la identidad, estamos ante un dato personal.
Que la tecnología lo invade todo y ha cambiado nuestras vidas es un hecho. Su impacto en el mundo laboral es incuestionable, no sólo en la forma de desempeñar nuestro trabajo, también en la forma en la que nuestro trabajo es controlado y supervisado. La videovigilancia, en la actualidad, es un método de control muy presente y habitual en los centros de trabajo, si bien, reconozcámoslo, tiene un mayor grado de aceptación -y menor de conflicto- cuando la asociamos a la seguridad de las personas y los edificios, que cuando su objetivo es puramente de control.
La tensión entre el poder de vigilancia y control del empresario mediante el uso de videovigilancia y el derecho de los trabajadores a la intimidad, a la propia imagen y, por supuesto, a la protección de sus datos personales origina innumerables controversias con diferentes respuestas por los tribunales. No obstante, existen ciertos criterios comunes que nos pueden ayudar a conciliar los intereses de la empresa con los derechos y la dignidad de los trabajadores.
¿Puedo poner cámaras en mi empresa para el control laboral? Sí, pero…
La implantación de sistemas de videovigilancia con finalidad de control del cumplimiento de las obligaciones laborales es posible, lícita y no requiere el consentimiento de los empleados. El consentimiento, aunque se disponga de él, no será la base jurídica legítima de este tratamiento. ¿Por qué? El motivo es que la relación laboral, en términos generales, es una situación de desequilibrio de poder y son escasas las ocasiones en las que los trabajadores verdaderamente están dando su consentimiento de forma libre (tal y como exige el RGPD). Para legitimar el tratamiento de captación y grabación de imágenes por sistemas de videovigilancia tenemos el artículo 20.3 del Estatuto de los Trabajadores que dispone que “el empresario podrá adoptar las medidas que estime más oportunas de vigilancia y control para verificar el cumplimiento por el trabajador de sus obligaciones y deberes laborales, guardando en su adopción y aplicación la consideración debida a su dignidad humana y teniendo en cuenta la capacidad real de los trabajadores disminuidos”.
Por lo tanto, dentro del poder de dirección y control, el empresario puede utilizar la videovigilancia sin solicitar el consentimiento de los trabajadores, sin embargo, hay unos límites que no puede sobrepasar porque, como hemos dicho, entran en juego los derechos de los empleados que deberán ser correctamente ponderados para evitar que la medida de control sea considerada arbitraria o abusiva. Así, la implantación de este sistema debe atender a tres criterios para que la medida sea:
- Idónea. Hemos de preguntarnos si, verdaderamente, sirve para conseguir el objetivo propuesto.
- Necesaria. La videovigilancia es una medida muy invasiva, si existe una medida más moderada y con menos impacto en los trabajadores que consigue el mismo objetivo con la misma eficacia, la necesidad de la videovigilancia estará en tela de juicio.
- La medida deber guardar proporcionalidad entre la finalidad perseguida y el modo en que se efectúe el tratamiento de las imágenes, se debe evitar la posibilidad de generar situaciones de abuso.
Consentimiento, no. Información previa, siempre.
Supongamos que la implantación de la medida es idónea, necesaria y proporcional. ¿Cuál es el siguiente paso? Informar a los trabajadores.
El hecho de no ser necesario el consentimiento para llevar a cabo el tratamiento hace, precisamente, que el deber de información a los trabajadores cobre una importancia especial.
El empresario debe informar con carácter previo a la puesta en funcionamiento del sistema sobre la finalidad de control empresarial de la captación de imágenes a los trabajadores y a la representación sindical, por cualquier medio que garantice la recepción de la información. Nunca deberá informar a través de direcciones particulares de los trabajadores, ni a través de llamadas o mensajes a sus móviles particulares.
Asimismo, pondrá a su disposición toda la información del artículo 13 del RGPD[2] y, finalmente, se habrá de colocar un cartel suficientemente visible en los accesos a las zonas vigiladas que indicará de forma clara la identidad del responsable de la instalación, ante quién y dónde dirigirse para ejercer los derechos de protección de datos y dónde obtener más información sobre el tratamiento de los datos personales.
Respecto al deber de información, nuestra Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales, al regular el derecho a la intimidad frente al uso de dispositivos de videovigilancia y de grabación de sonidos en el lugar de trabajo, en su artículo 89.1 dispone que en el supuesto de que se capte la comisión flagrante de un acto ilícito por los trabajadores se entenderá cumplido el deber de informar cuando existiese al menos el cartel informativo en lugar suficientemente visible identificando, al menos, la existencia del tratamiento, la identidad del responsable y la posibilidad de ejercitar los derechos. Si hay acto ilícito, no sólo la simple sospecha o indicios, si hemos grabado la comisión de ese acto, la obligación de información previa se reduce.
Finalmente, el responsable deberá adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos y eviten su alteración, pérdida, tratamiento o acceso no autorizado. Asimismo, deberá garantizar el secreto de los datos y, por tanto, informar de este deber a las personas de su organización que cuando deban acceder a los datos por razón de su puesto de trabajo lo harán observando la debida reserva, confidencialidad y sigilo.
El empresario no debe olvidar incluir el tratamiento de videovigilancia en su Registro de Actividades antes de la puesta en funcionamiento.
Cumpliendo con lo anterior, el sistema de videovigilancia será conforme a la normativa de Protección de Datos y, más importante aún, respetará la libertad, dignidad y derechos de sus trabajadores.
¿Qué dice la AEPD sobre videovigilancia?
Establecidos los fundamentos básicos de la protección de datos en relación con los sistemas de videovigilancia para el control laboral, pasamos a analizar brevemente la resolución de la AEPD con la que iniciábamos este artículo.
En el supuesto de hecho vemos que la empresa, dedicada a la restauración, cuenta con dos centros de trabajo en los que ha instalado sendos sistemas de grabación de imágenes para el control laboral que no están en funcionamiento. Informa a sus trabajadores sobre la instalación pero, inoperabilidad del sistema. Sólo coloca el cartel de videovigilancia en uno de los restaurantes.
La empresa recibe un vídeo con las imágenes de un trabajador que en su jornada laboral se dedica a otros menesteres. Las imágenes han sido tomadas por otro empleado que, cansado de que su compañero no cumpla con sus obligaciones laborales, le graba con su móvil particular, en el interior y en el exterior del restaurante, durante varios días y a horas diferentes. Un seguimiento en toda regla. Tras la visualización del video y ante el incumplimiento flagrante de sus obligaciones laborales, la empresa decide sancionar disciplinariamente al trabajador grabado con 45 días de suspensión de empleo y sueldo. El trabajador sancionado denuncia ante la AEPD por no haber sido informado de la puesta en funcionamiento en su centro de trabajo del sistema de videovigilancia y, finalmente, la AEPD, entiende que la conducta de la empresa es sancionable e impone una multa de 12.000 euros –reducida a 9.600 por aceptación de la sanción–.
¿Estamos ante un tratamiento de datos personales?
La Instrucción 1/2006, de 8 de noviembre, de la Agencia Española de Protección de Datos, sobre el tratamiento de datos personales con fines de vigilancia a través de sistemas de cámaras o videocámaras en su artículo 1 relativo a su ámbito objetivo de aplicación establece que “las referencias contenidas en esta Instrucción a videocámaras y cámaras se entenderán hechas también a cualquier medio técnico análogo y, en general, a cualquier sistema que permita los tratamientos previstos en la misma”.
Aunque las imágenes no hayan sido obtenidas a través de un sistema de videovigilancia instalado, han sido recogidas con un sistema técnico análogo (teléfono móvil), en ellas se identifica al trabajador y la grabación surte efectos en la relación laboral entre el restaurante y el empleado sancionado. El uso que hace la empresa de la grabación es un tratamiento de imágenes sometido a la normativa de protección de datos.
¿Quién es el responsable?
El empleado graba las imágenes, pero es el restaurante quien las utiliza y decide la finalidad y uso de las imágenes. Las imágenes son utilizadas por el empleador y producen efectos jurídicos en el seno del control laboral, con sanción disciplinaria incluida. El restaurante, en el momento en que las utiliza para el ejercicio de la potestad sancionadora, se convierte en el responsable de este tratamiento.
¿Por qué ha sido sancionada esta empresa?
La empresa ha sido sancionada porque al utilizar las grabaciones se convierte en responsable de un tratamiento de imágenes cuya finalidad es el control laboral y ejercicio de la potestad sancionadora, ha incumplido, en primer lugar, su deber de información previa al trabajador.
En segundo lugar, la grabación efectuada por un empleado en su móvil particular carece de justificación y supone un seguimiento individualizado, personalizado y diario de un trabajador concreto, cuyo uso por parte de la empresa es una medida desproporcionada y arbitraria, puesto que un empleado no puede decidir a qué trabajadores se graba y a quienes no.
Por otra parte, no es un medio idóneo, ni necesario para el control empresarial, más si tenemos en cuenta que en la empresa existe un sistema de videovigilancia que habría grabado a todos los trabajadores por igual.
El restaurante al utilizar el vídeo no tiene base legítima para este tratamiento de datos.
En definitiva, la videovigilancia es una herramienta cuya finalidad principal es la de garantizar la seguridad de los bienes y personas, si bien puede ser utilizada para el control laboral siempre y cuando se cumplan los requisitos de idoneidad, necesidad y proporcionalidad, dado su fuerte carácter invasivo de la intimidad, imagen y derecho a la protección de datos de los trabajadores. Respecto a los vídeos grabados por trabajadores o terceros, no son la herramienta idónea para ejercer el poder de control laboral y, mucho menos, la potestad sancionadora. No es recomendable en ningún caso utilizar imágenes grabadas por un particular para ejercer el poder empresarial, recuerde que usted será responsable de un tratamiento de datos personales y que, difícilmente, podrá cumplir con los requisitos y obligaciones en materia de protección de datos para evitar una sanción.
[1] REGLAMENTO (UE) 2016/679 DEL PARLAMENTO EUROPEO Y DEL CONSEJO de 27 de abril de 2016 relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos)
[2] A grandes rasgos: identidad del responsable, fines del tratamiento, destinatarios o categorías de destinatarios, intención o no de realizar transferencias internacionales, plazo de conservación, derechos del interesado, existencia o no de decisiones automatizadas e información sobre tratamientos ulteriores si estuvieran previstos.
Imagen de Peggy und Marco Lachmann-Anke en Pixabay
