Source: http://www.legistel.es/es-suficiente-el-consentimiento-del-trabajador-para-legitimar-una-transferencia-internacional-de-sus-datos-a-un-pais-sin-nivel-adecuado-de-proteccion/?replytocom=19
Timestamp: 2020-06-03 08:47:37
Document Index: 247750465

Matched Legal Cases: ['artículo 34', 'artículo 33', 'artículo 66', 'artículo 49', 'Artículo 29', 'artículo 8', 'artículo 7', 'artículo 7', 'artículo 7', 'artículo 7', 'artículo 8', 'artículo 8', 'Artículo 29', 'artículo 29', 'artículo 4', 'artículo 5', 'artículo 49', 'Artículo 29', 'artículo 4', 'artículo 46', 'artículo 25', 'artículo 88']

Legistel | ¿Es suficiente el consentimiento del trabajador para legitimar una transferencia internacional de sus datos a un país sin nivel adecuado de protección?
Home Blog ¿Es suficiente el consentimiento del trabajador para legitimar una transferencia internacional de sus datos a un país sin nivel adecuado de protección?
3 noviembre, 2016	by Legistel	in Blog
I. Planteamiento inicial
Es bastante habitual que en el actual tráfico mercantil, las empresas (y sus respectivos asesores) opinen que basta el mero consentimiento de los trabajadores para, al margen de otros posibles cauces legales, se pueda justificar y, en su caso, legitimar la transferencia internacional de sus datos a otros países que no hayan sido incluidos entre aquéllos que ofrecen un nivel adecuado de protección, ya sea por la autoridad de control nacional que corresponda, ya sea a través de la pertinente Decisión de la Comisión Europea en este ámbito.[1]
Y es que, como bien se conoce, el apartado e) del artículo 34 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal. (en adelante, la “LOPD”), por relación al artículo 33 de la misma Ley, permite la exportación de datos personales cuando el afectado, -en este caso, el trabajador-, hubiera dado su consentimiento previo e inequívoco a la misma.
En el mismo sentido, se manifiesta el artículo 66.1 b) del Reglamento que desarrolla la LOPD aprobado por el Real Decreto 1720/2007, de 21 de diciembre (en lo que sigue, el “RLOPD”), así como el artículo 49 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016 relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (en adelante, el “Reglamento General de Protección de Datos” o “RGPD”)[2] por relación a las excepciones para situaciones específicas en ausencia de una decisión de adecuación o de garantías adecuadas.
II. Caracteres del consentimiento desde la perspectiva de la normativa protectora de datos personales
Lo primero que debe destacarse en este ámbito es que para que el consentimiento resulte válido éste ha de ser libre, específico, informado e inequívoco.[3]
II.1. Consentimiento libre:
Al respecto, en atención a la doctrina del Grupo de Trabajo del Artículo 29 (en adelante, el WP29), debe considerarse que, en el marco de las relaciones laborales, el consentimiento podría calificarse de necesario, forzado, influenciado u obligatorio, dicho en otras palabras, un consentimiento que podría calificarse como no libre. Si ello fuera así, se correría el riesgo legal de que el consentimiento otorgado no fuera válido y, por tanto, nulo de pleno derecho.
Basta echar un rápido vistazo al contenido del WP29 en su Dictamen 15/2011[4] sobre la definición de consentimiento para percatarse de lo manifestado:
“(…) El concepto de consentimiento también se utiliza en otros ámbitos del Derecho, especialmente en el Derecho contractual. En este contexto, para garantizar la validez de un contrato se tendrán en cuenta otros criterios distintos de los especificados en la Directiva, tales como (…) la influencia indebida. (…)”
“(…) El consentimiento únicamente puede ser válido si el interesado puede elegir una opción real y no hay ningún riesgo de engaño, intimidación, coerción o consecuencias negativas significativas en caso de que no consienta. Si las consecuencias del consentimiento socavan la libertad de elección de la persona, el consentimiento no es libre. La propia Directiva prevé en su artículo 8, apartado 2, letra a), que, en algunos casos, a determinar por los Estados miembros, la prohibición del tratamiento de categorías especiales de datos personales no puede ser suprimida por el consentimiento del interesado. Un ejemplo de lo anterior es el caso del interesado que está bajo la influencia del responsable del tratamiento, como sucede en la relación laboral. En este ejemplo, aunque no necesariamente en todos los casos, el interesado puede estar en una situación de dependencia del responsable del tratamiento debido a la naturaleza de la relación o a circunstancias particulares, y puede temer recibir un trato diferente si no da su consentimiento para el tratamiento de los datos. En varios dictámenes, el Grupo de trabajo ha estudiado los límites del consentimiento en situaciones en las que no puede manifestarse libremente (…)”.
“(…) El contexto laboral exige un debate específico: los aspectos sociales y culturales de la relación laboral han de tenerse en cuenta, al igual que la interacción de los principios de protección de datos con otras normativas. En el contexto laboral, los datos de carácter personal pueden ser tratados para fines diversos: o datos necesarios para el desempeño de las funciones del empleado: aplicación del artículo 7, letra b) – tratamiento necesario para la ejecución de un contrato; o para determinar el derecho de los empleados a suscribir opciones sobre acciones: bien sobre la base del consentimiento, – artículo 7, letra a), o por su consideración de inherente a los aspectos administrativos de la relación laboral – artículo 7, letra b); o tratamiento del número de afiliación a la seguridad social para fines de la seguridad social: artículo 7, letra c) – cumplimiento de una obligación jurídica o, en su caso, el artículo 8, letra b), – obligaciones en materia de Derecho laboral; o tratamiento de datos étnicos: en algunos países, esto podría ser también una obligación de Derecho laboral – artículo 8, letra b), mientras que en otros países estaría estrictamente prohibido. Aunque hay motivos de peso para suponer que el consentimiento es débil en estos contextos, su utilización no se excluye completamente en los casos en que existan garantías suficientes de que es realmente libre. Con frecuencia, la relación de subordinación es la razón principal que impide que el consentimiento sea libre, pero otros elementos del contexto pueden influir también en la decisión del interesado. Puede tratarse, por ejemplo, de cuestiones financieras, emocionales o prácticas. (…) . Pero es difícil trazar la línea entre un simple estímulo y algo que ejerce una influencia real en la libertad de elección del interesado.. (…)[5]
De forma adicional, el Dictamen del Grupo de Trabajo del Artículo 29 sobre el tratamiento de datos personales en el contexto laboral[6], prevé lo que sigue:
“(…) CONSENTIMIENTO. El grupo de trabajo del artículo 29 considera que si un empresario debe tratar datos personales como consecuencia inevitable y necesaria de la relación laboral, actuará de forma engañosa si intenta legitimar este tratamiento a través del consentimiento. El recurso al consentimiento deberá limitarse a los casos en los que el trabajador pueda expresarse de forma totalmente libre y tenga la posibilidad de rectificar posteriormente sin verse perjudicado por ello[7].(…)”
En virtud de lo anterior, y aunque el valor del consentimiento en el ámbito de las relaciones laborales puede ser débil, al poder estar influenciado, no ser libre y, por ende, correr el riesgo de no ser válido, lo cierto es que tampoco se excluye de forma directa debiendo probarse, en cada caso, la capacidad real del empleado para consentir libremente sin que exista tal influencia real en la adopción de sus decisiones.
II.2. Consentimiento específico:
Implica que el consentimiento debe venir referido a una determinada/s operación/es de tratamiento y para una finalidad/es determinada/s, explícita/s y legítima/s del responsable del tratamiento (la empresa contratante), tal y como establece el principio de calidad de datos contenido artículo 4 de la LOPD.
II.3 Consentimiento informado:
Como ya se ha indicado con anterioridad, debe mediar información previa suficiente y clara al trabajador acerca de los tratamientos y transferencias internacionales de datos que pretenden realizarse en atención al principio del deber de información regulado en el artículo 5 de la LOPD.
En este ámbito, se debe traer a colación lo previsto en el artículo 49.1 a) del RGPD exigiendo de forma particular, en torno al consentimiento del interesado como una de las excepciones que habilitarían a la transferencia internacional de datos proyectada, que éste haya sido informado de los posibles riesgos para él de dichas transferencias debido a la ausencia de una decisión de adecuación y de garantías adecuadas. Todo ello sin perjuicio de la información posterior que debe ofrecer la empresa en estos supuestos al trabajador conforme lo descrito en el antedicho Dictamen del Grupo de Trabajo del Artículo 29 sobre el tratamiento de datos personales en el contexto laboral y que abordará en el siguiente apartado III.
II.4. Consentimiento inequívoco:
Este requisito supone que no resultaría admisible deducir el consentimiento de meros actos realizados por el trabajador afectado por la transferencia internacional de sus datos personales (consentimiento presunto o tácito), siendo preciso que exista expresamente una acción u omisión que implique la existencia del consentimiento.
Sin lugar a dudas, este último requisito se refuerza de forma especial con el RGPD, cuyo Considerando 32 dispone que: “(…) El consentimiento debe darse mediante un acto afirmativo claro que refleje una manifestación de voluntad libre, específica, informada, e inequívoca del interesado de aceptar el tratamiento de datos de carácter personal que le conciernen, como una declaración por escrito, inclusive por medios electrónicos, o una declaración verbal. Esto podría incluir marcar una casilla de un sitio web en internet, escoger parámetros técnicos para la utilización de servicios de la sociedad de la información, o cualquier otra declaración o conducta que indique claramente en este contexto que el interesado acepta la propuesta de tratamiento de sus datos personales. Por tanto, el silencio, las casillas ya marcadas o la inacción no deben constituir consentimiento. El consentimiento debe darse para todas las actividades de tratamiento realizadas con el mismo o los mismos fines. Cuando el tratamiento tenga varios fines, debe darse el consentimiento para todos ellos. Si el consentimiento del interesado se ha de dar a raíz de una solicitud por medios electrónicos, la solicitud ha de ser clara, concisa y no perturbar innecesariamente el uso del servicio para el que se presta. (…)”. En el mismo sentido se manifiesta la definición legal de consentimiento prevista en el artículo 4 apartado 11) del RGPD.
III. Legitimidad del consentimiento del trabajador para realizar transferencias internacionales de datos personales
En virtud de lo indicado con anterioridad, resultaría posible realizar transferencias internacionales sobre la base de la válida concurrencia del consentimiento del trabajador, en particular, en defecto de una decisión que no declare el nivel adecuado de protección respecto al país de destino de los datos personales, o de garantías adecuadas a las que alude el artículo 46.2 del RGPD (p.ej. normas corporativas vinculantes (BCR), las cláusulas tipo de protección de datos adoptadas bien por la Comisión, bien por la autoridad de control (posteriormente han de ser aprobadas por la Comisión), entre otras).
Ahora bien, coincidiendo de forma plena como el criterio manifestado por el Grupo de Trabajo, parece que no resulta ni razonable, ni prudente, ni seguro para la empresa hacer pivotar de forma exclusiva la base jurídica legitimadora de la transferencia internacional de datos proyectada en estos casos, sobre el mero consentimiento del trabajador, precisamente, ante el alto riesgo asociado a la posible declaración de invalidez del consentimiento otorgado por éste que, con carácter básico, puede no considerarse libre sobre la base de los argumentos esgrimidos con anterioridad.
Al margen de lo expuesto, debe considerarse también el Dictamen sobre el tratamiento de datos personales en el contexto laboral, que respecto a las transferencias internacionales de datos dice lo que sigue:
“(…) TRANSFERENCIA DE DATOS DE TRABAJADORES A TERCEROS PAÍSES. El artículo 25 de la Directiva establece que las transferencias de datos personales a un tercer país, fuera de la Unión Europea, sólo podrán efectuarse si este país garantiza un nivel de protección adecuado. Cabe recordar que, cualquiera que sea la base de la transferencia en el marco de los artículos 25 y 26, el tratamiento que se efectúe en la transferencia deberá satisfacer siempre lo dispuesto en los artículos 6 a 8 y en las demás disposiciones de la Directiva. Todos los interesados tienen derecho a obtener del responsable del tratamiento:
a) sin coacción, a intervalos regulares y sin retrasos o gastos excesivos:
Confirmación sobre si los datos que afectan al trabajador están siendo tratados o no, así como información relativa como mínimo a la finalidad del tratamiento, las categorías de datos a que se refiere y el destinatario o categorías de destinatarios a los que se comunican los datos.
Comunicación de forma inteligible de los datos sometidos a tratamiento y de cualquier información disponible sobre el origen de los datos.
Conocimiento de la lógica de cualquier tratamiento automático de datos que le afecten, como mínimo en caso de decisiones automatizadas.
b) En su caso, la rectificación, supresión o bloqueo de datos cuyo tratamiento no sea conforme con lo dispuesto en la legislación sobre protección de datos, en particular porque se trate de datos incompletos o inexactos.
c) La notificación a terceros a los que se han comunicado los datos de cualquier rectificación, supresión o bloqueo efectuado de conformidad con la obligación anterior, a menos que resulte imposible o implique un esfuerzo desproporcionado. (…)”.
Con ello se pretende dotar de un mayor control de los trabajadores acerca de los tratamientos que realicen las empresas en estos casos, quienes no sólo deberán ser informados con carácter previo al tratamiento, sino también con posterioridad como consecuencia del ejercicio de sus derechos personales de acceso, rectificación, cancelación y oposición.
Tampoco debe olvidarse el contenido del artículo 88 del RGPD en el que se posibilita a los Estados Miembros que, a través de disposiciones legislativas o de convenios colectivos, establezcan normas más específicas para garantizar la protección de los derechos y libertades en relación con el tratamiento de datos personales de los trabajadores en el ámbito laboral, prestando especial atención, entre otras temáticas de interés, a las transferencias internacionales de sus datos personales.
[1]Remítase a los artículos 67 y 68 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal.
[2] Se puede consultar este texto normativo a través del siguiente enlace: https://www.boe.es/doue/2016/119/L00001-00088.pdf
[3] Véase el Informe Jurídico de la AEPD del año 2000 relativo a los caracteres del consentimiento definido por la LOPD: https://www.agpd.es/portalwebAGPD/canaldocumentacion/informes_juridicos/consentimiento/common/pdfs/2000-0000_Caracteres-del-consentimiento-definido-por-la-LOPD.pdf
[4] Accesible desde la siguiente dirección web: http://ec.europa.eu/justice/data-protection/article-29/documentation/opinion-recommendation/files/2011/wp187_es.pdf
[5] El subrayado lo realiza la autora.
[6] Puede accederse a este Dictamen a través de la siguiente URL: http://ec.europa.eu/justice/policies/privacy/docs/wpdocs/2001/wp48es_sum.pdf
[7] El subrayado lo realiza la autora.
noviembre 03, 2016, 10:15 pm
Muy bueno y bien estructurado
noviembre 04, 2016, 2:43 pm
Muchas gracias, Julio. Saludos
Leave a Reply to Julio Santiago