E-05386-2020

1/20  Procedimiento Nº: E/05386/2020 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 07/12/2018, tuvo entrada en esta Agencia una reclamación presentada por la entidad ALTERNATIVA SINDICAL DE TRABAJADORES (en lo sucesivo AST o la reclamante), contra las entidades Telefónica de España, S.A.U. (en lo sucesivo TdE), Telefónica Móviles España, S.A.U. (en lo sucesivo TME) y Telefónica Soluciones de Informática y Comunicaciones España, S.A.U (en lo sucesivo TSICE). La reclamación se formula en relación con las siguientes operaciones de tratamiento de datos personales de los empleados y de terceros (familiares de los empleados) que llevan a cabo las entidades reclamadas, algunas de las cuales se mencionan en el documento denominado “Anexo de protección de datos al contrato laboral/nombramiento” (en lo sucesivo el “Anexo”), que fue remitido por el Departamento de RRHH de TdE a sus trabajadores mediante correo electrónico de 17/07/2018, en el que figura como asunto el texto “Incorporación del nuevo RGPD a tu relación laboral con Telefónica de España”. Aunque la reclamación se dirige contras las tres entidades antes indicadas, en este documento se señala a TdE como responsable del tratamiento. Los tratamientos de datos personales que son objeto de la reclamación son los siguientes: 1. Incorporación de los datos personales de los trabajadores a plataformas informáticas externas, accesibles desde el extranjero. (…) Las finalidades que se refieren en este párrafo se describen como “fines relacionados con el desarrollo, formación y promoción de los empleados, la administración, organización y gestión global de la relación laboral”. 2. Recogida de información en Internet sobre la vida privada y personal de los trabajadores, que se utiliza sin justificación. (…) 3. Cesión de los datos de los trabajadores a otras empresas y países. (…) 4. Por parte de la reclamante se cuestiona la actuación de TdE en relación con las bajas por Incapacidad Temporal (IT) de trabajadores y permisos retribuidos por enfermedad de familiares, que detalla como sigue:

1. a)Baja médica por IT: TdE ha elaborado un “Procedimiento para comunicar ausencias al trabajo por causas médicas” en el que dispone la obligación del trabajador de realizar una llamada telefónica y facilitar sus datos personales relativos a DNI, fecha de la baja, tipo de proceso y teléfono privado de contacto, sin que haya opción a no facilitar dicho número de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/20 teléfono y sin facilitar información sobre la finalidad del uso de estos datos, su cesión a terceros, responsable del fichero o ejercicio de derechos. Posteriormente, el Servicio Médico de la empresa contacta con el trabajador a través del número de línea telefónica facilitado para recoger datos sobre el motivo de la baja. La reclamante indica que el trabajador no tiene la opción de no facilitar el diagnóstico médico y que tampoco en este caso recibe la información en materia de protección de datos personales.
2. b)Permisos retribuidos: para la concesión de los permisos, el trabajador debe completar un formulario disponible en la Intranet de la entidad (...) y enviar un correo electrónico con datos e informes médicos de familiares. Según la reclamante, TdE se ampara en el artículo 102.b del Convenio Colectivo de Empresas Vinculadas 2015-2017, en el que se dispone la duración de estos permisos en función de la gravedad del caso, según la valoración que realice el Servicio Médico de Prevención de Riesgos Laborales (2 a 5 días), (…) Sobre esta última cuestión, AST advierte que esta Agencia se ha pronunciado en contra de este tipo de actuación en los informes 0428/2013 y 0002/2012; y que la SAN 174-2011 realiza la misma valoración (aporta copia de estos documentos). En relación con el tratamiento de datos de salud relativos a trabajadores y terceros, el referido “Anexo” informa como sigue: “En el caso de categorías especiales de datos, se tratarán sus datos únicamente cuando el tratamiento sea necesario para el cumplimiento de obligaciones y el ejercicio de derechos específicos de Telefónica en el ámbito del derecho laboral y de la seguridad y protección social”. Además de las cuatro cuestiones reseñadas en los puntos anteriores, la reclamada pone de manifiesto que la información incluida en el “Anexo de protección de datos al contrato laboral/nombramiento” sobre el derecho de oposición es confusa en su redacción; y que se limita el ejercicio de los derechos en materia de protección de datos personales al no proporcionar ningún correo electrónico al que puedan dirigirse los trabajadores para el ejercicio de tales derechos. Sobre estas cuestiones, el repetido “Anexo” señala, respectivamente, lo siguiente: “En determinadas circunstancias y por motivos relacionados con su situación particular, el empleado podrá oponerse al tratamiento de algunos de sus datos. Telefónica dejará de tratar los datos salvo por motivos legítimos imperiosos, o el ejercicio o la defensa de posibles reclamaciones. En concreto, podrá oponerse a ser objeto de algunas decisiones basada únicamente en el tratamiento automatizado, incluida la elaboración de perfiles”. “Ud. puede ejercer los referidos derechos dirigiendo un e-mail a la dirección electrónica: Responderemos a sus peticiones a la mayor brevedad posible y, en todo caso, en el plazo de un mes. Dicho plazo podrá prorrogarse por dos meses en caso necesario, teniendo en cuenta la complejidad y el número de solicitudes. En cualquier caso, estará a su disposición el Delegado de Protección de Datos de Telefónica, S.A. en la dirección de contacto DPO_Movistar@telefonica.com”. Con su reclamación, además del “Anexo” y el correo electrónico remitido por TdE a sus trabajadores, de fecha 17/07/2018, la entidad AST aporta la documentación siguiente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/20 A. (…) B. Artículo 102 del Convenio Colectivo de Empresas Vinculadas 2015-2017 (BOE de 21/01/2016), que regula los permisos retribuidos. En relación con las enfermedades de familiares se establece: “
3. b)Accidente o enfermedad grave, con o sin hospitalización, o intervención quirúrgica sin hospitalización, que precise reposo domiciliario del cónyuge o de ascendientes o descendientes por consanguinidad en cualquier grado; resto de parientes por consanguinidad y afinidad en los términos legalmente establecidos, así como de los cónyuges de hermanos/as: La duración del permiso será de 2 a 5 días naturales, dependiendo de la gravedad del caso, cuya valoración corresponde al Servicio Médico de Prevención de Riesgos Laborales”. El artículo 103 del mismo Convenio se refiere a la obligación de justificar documentalmente las causas que motivaron el despido “si se considera necesario”. (…) SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales (en lo sucesivo LOPDGDD), que ha previsto un mecanismo previo a la admisión a trámite de las reclamaciones que se formulen ante la AEPD, consistente en trasladarlas a los Delegados de Protección de Datos designados por los responsables o encargados del tratamiento, a los efectos previstos en el artículo 37 de la citada norma, o a éstos cuando no los hubieren designado, se dio traslado de la reclamación a la entidad reclamada para que procediese a su análisis y diera respuesta a la parte reclamante y a esta Agencia en el plazo de un mes. En respuesta a dicho traslado, TdE remitió a esta Agencia un informe interno elaborado sobre las circunstancias puestas de manifiesto, en el que señala que AST no ha tenido en cuenta otras comunicaciones o avisos de privacidad que facilita a los trabajadores (…), que dan contestación a algunas de las cuestiones reclamadas. Añade que, no obstante, ha realizado una comunicación con información adicional sobre la forma en que comparte los datos como parte de la gestión de su función de Recursos Humanos, el ejercicio de derechos, la gestión de los datos aportados para justificar las bajas médicas y permisos, así como en relación con la consulta de redes sociales de ámbito profesional. Por otra parte, advierte que ha actualizado el sistema de toma de información para la justificación de bajas médicas y permisos, como parte de la operativa de revisión continua y mejora de los procesos de tratamientos de datos personales, para garantizar que los interesados son conscientes de la necesidad de la recogida de datos y que su tratamiento tiene lugar únicamente para el cumplimiento de obligaciones legales. (…) Se acompaña, igualmente, copia de la respuesta remitida por TdE a la entidad AST con motivo de su reclamación, cuyo contenido coincide con el extractado al referirnos al informe interno elaborado por la entidad reclamada. TERCERO: Con fecha 06/03/2019, la entidad AST presentó en esta Agencia un escrito en el que formula una serie de consideraciones en relación con la respuesta ofrecida por TdE: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/20 . No tiene constancia de las supuestas notificaciones sobre protección de datos que alega la reclamada. . (…) . En cuanto a los datos recabados de redes sociales, señala AST que la responsable debería eliminar esa referencia en su información o acotarla a la red profesional que menciona. . No tienen conocimiento sobre notificaciones correspondientes a cesiones de datos a otras empresas y países. . La información relativa al derecho de oposición no es concisa, transparente, inteligible y de fácil acceso, con un lenguaje claro y sencillo. Y sobre el supuesto error consistente en no facilitar una dirección electrónica, advierte que no ha sido subsanado. . TdE no detalla las opciones que dispone el trabajador para obtener la información en la materia a la que se refiere la reclamación. . En relación con el procedimiento dispuesto para comunicar las bajas médicas, insiste en señalar que la reclamada recaba el número de teléfono privado y utiliza dicho dato para contactar con el trabajador con el fin de averiguar el diagnóstico médico de su incapacidad laboral. Además, usa el DNI para controlar el acceso al número a través del que deben comunicar la situación de baja, a pesar de que dicho dato no se facilitó con tal finalidad ni cuenta con el consentimiento de los trabajadores. Considera que puede hacerse el mismo control con la matrícula que tienen todos los trabajadores de la empresa. (…) . En relación con la información exigida con ocasión de los permisos de los trabajadores, manifiesta que el Estatuto de los Trabajadores no faculta a TdE para exigir informes médicos de los familiares ni su tratamiento posterior y el Convenio Colectivo no puede conculcar el derecho a la intimidad de esos familiares, los cuales desconocen que la empresa dispone de esa información y no han tenido oportunidad de ejercer sus derechos. Añade que, en relación con esta información no recabada directamente de los afectados, TdE incumple lo exigido en el artículo 14 del RGPD. AST no adjunta ninguna documentación al escrito antes reseñado. CUARTO: El resultado del traslado de la reclamación a la entidad responsable no permitió entender satisfechas las pretensiones de la parte reclamante. En consecuencia, con fecha 02/04/2019, a los efectos previstos en su artículo 64.2 de la LOPDGDD, la Directora de la Agencia Española de Protección de Datos acordó admitir a trámite la reclamación presentada. QUINTO: A la vista de los hechos denunciados en la reclamación y de los documentos aportados por el reclamante 1, la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/20 en cuestión, en virtud de los poderes de investigación otorgados a las autoridades de control en el artículo 57.1 del RGPD, y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD. En el marco de estas actuaciones, señaladas con el número E/07271/2019, los Servicios de Inspección de esta Agencia remitieron un requerimiento de información a las entidades reclamadas, que fue respondido mediante un escrito conjunto en el que se pone de manifiesto lo siguiente: 1. (…) 2. La información en materia de protección de datos personales se facilita a los empleados a través del documento denominado “Anexo de protección de datos al contrato laboral/nombramiento”, si bien existen cláusulas adicionales que se muestran cuando los empleados acceden a las plataformas (…) 4. La documentación justificativa de las ausencias por enfermedad está integrada por los justificantes de baja/confirmación/alta médica, que son enviados en Madrid por el responsable del empleado al Servicio Mancomunado de Prevención de Riesgos Laborales de TdE, al que están adheridas TME Y TSICE, y al área de Recursos Humanos que corresponda en el resto de provincias; y los justificantes de ausencias médica, para períodos inferiores a tres días, que el empleado entrega a su responsable. Las solicitudes de baja deben notificarse mediante llamada telefónica, facilitando DNI, fecha de la baja, tipo de proceso y un teléfono de contacto. Posteriormente, el SMPRL, formado por personal sanitario cualificado, contacta con el empleado para recabar más datos de tipo médico, de tal forma que las reclamadas puedan tener más información para tramitar la baja formalmente, en cumplimiento de sus responsabilidades legales y contractuales como empleador. El acceso a la información más sensible está restringida al personal del SMPRL y no es compartida con ningún tercero. 5. Respecto de los permisos retribuidos por motivos de salud de familiares, se manifiesta que, en la actualidad, y desde enero de 2020, (…), requiriéndose al interesado su identificación, fecha del permiso, grado de parentesco, fecha del hecho causante, Km. que separan el centro de trabajo del lugar del hecho causante y documentación accesoria a criterio del empleado. Hasta la entrada en vigor del nuevo CEV (BOE de 13/11/2019), el empleado debía remitir al Servicio Mancomunado de Prevención de Riesgos Laborales un informe médico que permitiese a los profesionales de este Servicio valorar el número de días que el empleado tenía derecho a disfrutar de conformidad con el anterior Convenio Colectivo. Únicamente este personal accedía a los datos incluidos en el informe médico referenciado. Además, el empleado debía acreditar ante el departamento de Recursos Humanos la relación de parentesco con el familiar y aportar un justificante de ingreso y hospitalización del familiar, sin incluir datos médicos concretos. Con la entrada en vigor del nuevo CEV ya no existe un número variable de días que un empleado puede disfrutar, salvo por el parentesco. Por ello la valoración que realizaba el SMPRL ha devenido innecesaria, con lo que ya no se solicitan informes médicos relativos a los familiares. (…) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/20 Aporta captura de pantalla del sistema para comunicar estos permisos con sueldo. SEXTO: Mediante resolución de fecha 12/06/2020, de la Directora de la Agencia Española de Protección de Datos, se declaró la caducidad de las actuaciones previas reseñadas en el Antecedente Quinto, seguidas con el número E/07271/2019, por el transcurso del plazo de doce meses contados desde la admisión a trámite de la reclamación, conforme a lo establecido en el artículo 67 de la LOPDGDD. En dicha resolución se acordó el inicio de nuevas actuaciones previas de investigación y la incorporación a las mismas de la documentación que integra las actuaciones previas que se declaran caducadas. En el marco de estas actuaciones, seguidas con el número E/05386/2020, se cursaron sendos requerimientos de información a las entidades reclamadas, que fueron respondidos conjuntamente. De la respuesta facilitada a la AEPD, cabe destacar lo siguiente: 1. Como cuestión previa y a título recordatorio, reitera lo ya expuesto en las actuaciones precedentes: - Las previsiones sobre cesión de datos de los empleados dentro del Grupo Telefónica se producen en el marco de las actividades de administración, organización y gestión global de la relación laboral, habiendo sido informados los trabajadores de las bases legitimadoras que amparan estos tratamientos. A título de ejemplo se citan el acceso al directorio de empleados para el desempeño del trabajo; provisión de ofertas de empleo a las cuales puede acceder cualquier empleado del Grupo; proyectos de formación global, etc. - El tratamiento de los datos de los empleados por entidades del Grupo Telefónica situadas fuera del Espacio Económico Europeo es necesario para poder gestionar los procesos de selección a los cuales el empleado se inscribe, así como para el cumplimiento del contrato laboral de aquellos empleados que se trasladan (gestiones con Administraciones Públicas de otros países, búsqueda de Colegios, etc.). Como ya se ha informado, las bases legitimadoras del tratamiento de datos de estos supuestos son el consentimiento y la ejecución del contrato, dependiendo del caso concreto, si bien, en ambos supuestos, es posible que se produzca una transferencia internacional. - La mención al tratamiento de datos obtenidos de redes sociales se incardinaba siempre en relación “… con las finalidades a las que se refieren los párrafos anteriores” que no son otras que las relacionadas con la ejecución del contrato laboral para fines relacionados con el desarrollo, formación y promoción de los empleados, previo análisis de que concurren las condiciones necesarias para determinar la licitud y pertinencia de dicho tratamiento. En este sentido, dada la sensibilidad que pudiera suscitar en el empleado la creencia de una intromisión innecesaria en su vida privada y en refuerzo de la base legitimadora del interés legítimo, se solicita el consentimiento expreso del trabajador en los supuestos en los que éste se inscriba en un proceso de selección. Conviene aclarar que la posible consulta que se pudiera hacer de RRSS como fuente externa, se centraría en aquéllas RRSS cuya finalidad es estrictamente laboral, como sucede con Linkedin, (…). 2. El documento denominado “Anexo de Protección de Datos Laboral/Nombramiento” estuvo vigente del 17/07/2018 al 17/11/2020. C/ Jorge Juan, 6 28001 – Madrid al Contrato www.aepd.es sedeagpd.gob.es 7/20 En esta última fecha se adoptó una nueva Política de Privacidad (adjunta copia), que fue comunicada a los Comités Intercentros, remitida a todos los empleados mediante correo electrónico de 18/11/2020 y publicada en la intranet un día antes (actualmente se incluye como anexo al contrato laboral). (…) 3. Como ya se ha puesto de manifiesto, los tratamientos incluidos en el “Anexo”, así como en la actual Política de Privacidad, no requieren de la base legitimadora del consentimiento. En relación con aquellos tratamientos que requieren de consentimiento, antes de realizarse se informa al empleado o interesado y se incluye una casilla de aceptación para que proceda a marcar un “check”, tal y como ha quedado acreditado en los textos aportados a la Agencia en sus respuestas anteriores. En estos casos, muy reducidos, el diseño del proceso de la petición del empleado no permite avanzar en su ejecución si no otorga el consentimiento. 4. Los accesos a datos personales de empleados por entidades del grupo establecidas en un tercer país están relacionados con la gestión global de la administración y procesos de selección y formación a nivel de Grupo, en los que las reclamadas no actúan en todos los casos como responsables del tratamiento, informándose en ese sentido a los empleados cuando la base legitimadora para la cesión a otro responsable así lo requiere, u obteniéndose el correspondiente consentimiento, según el proceso detallado en el punto 2 del Antecedente Quinto. (…) En segundo lugar y, en la medida de que se trata de un Grupo de Empresas multinacional, el directorio corporativo con los datos básicos de contacto (Nombre, Apellidos, Ubicación -dirección del edificio donde trabaja el empleado-, teléfono y email de empresa) de todos los empleados está a disposición de todas los integrantes del Grupo, toda vez que el desenvolvimiento de las funciones propias de los empleados (negociaciones con otras empresas del grupo, acuerdos con terceros a nivel global, petición de información de otras filiales, etc.) hacen necesario poder acceder a esa información básica. (…) Se informa que Telefónica ha hecho extensivas a estos tratamientos todas las garantías que aplica con carácter general a cualquier tipo de tratamiento de datos de carácter personal, entre las que destaca la información que facilita a los empleados, la obtención de su consentimiento cuando el tratamiento así lo requiere, análisis de seguridad de los tratamientos y el establecimiento de mecanismos para el ejercicio de derechos. Añade que, adicionalmente, se está ejecutando un proyecto corporativo de Normas Corporativas Vinculantes (BCR) para reforzar las garantías relativas a las transferencias internacionales de datos intragrupo. 5. En relación con las ausencias del trabajo por causas médicas, cuando el empleado llama al número ***TELEFONO.1 o ***TELEFONO.2 para comunicar una ausencia de trabajo por enfermedad, se le solicita DNI, con el fin de saber a qué empresa de las del CEV pertenece, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/20 fecha de baja, tipo de proceso (ausencia de trabajo) y un teléfono de contacto para poder enviarle la notificación de la recepción de la comunicación. Asimismo, el DNI sirve para poder remitirle una comunicación con la confirmación de la gestión al mail corporativo. Cuando el empleado se incorpora a su puesto de trabajo, debe volver a llamar para comunicar el fin de ausencia por enfermedad, y deberá aportar copia del justificante de ausencia por enfermedad a su responsable. Este documento no contiene datos de salud. 6. En relación con el procedimiento de comunicación relacionado con las ausencias por bajas médicas, el medio de comunicación a la Empresa es igualmente el teléfono habilitado, diferenciándose en que, en este caso, el facultativo emite un parte médico de baja/alta por Incapacidad Temporal, que tampoco contiene ningún dato de salud sobre la causa que ha originado la baja del empleado. Como se ha informado, las unidades receptoras de la información sobre partes de baja y alta por Incapacidad Temporal son las áreas de RRHH de cada Dirección Territorial de Telefónica España, cuando los empleados están fuera de la Comunidad Autónoma de Madrid, y el Servicio Médico de Prevención de Riesgos Laborales (…). 7. En relación con estos permisos retribuidos, las reclamadas informan sobre la información, datos y documentación requeridas al empleado: - Identificación del empleado, (…) - Fecha del permiso - Grado de afinidad con respecto al afectado - Fecha del hecho causante - Kilómetros que separan el centro de trabajo del lugar del hecho causante. - Documentación que origina el hecho que da origen al permiso, la cual, como se informó en el escrito de contestación al requerimiento E/07271/2019, en su apartado 9.2, no tiene carácter obligatorio. Por lo que respecta a los procedimientos informados, se traslada a continuación un desglose cronológico de la vigencia de cada uno de ellos:
4. a)Desde el 25 de mayo de 2018 hasta el 13 de noviembre de 2019: La normativa aplicable en relación con los permisos retribuidos por enfermedad grave o intervención de familiar, era la establecida en los artículos 102 y 103 de I CEV, (…)
5. b)Desde enero 2020, en coherencia con lo establecido en el CEV con vigencia 2019 a 2021, (…). A partir de esa fecha, el permiso tiene una duración en función del grado de parentesco, por lo que únicamente se requiere al trabajador documentación sobre el ingreso hospitalario o intervención quirúrgica y documento oficial que acredite el parentesco.
6. c)Desde el mes de abril de 2021, el procedimiento ha experimentado un pequeño ajuste, sin que hayan variado los datos, información o documentación requerida respecto del ya implantado en enero de 2020, a excepción de que el empleado no tiene que incorporar en el proceso de solicitud ningún documento, sino que queda a discreción de la empresa, si lo considerara necesario, solicitar al empleado en un momento posterior. (…) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/20 B. Copia de los Convenios Colectivos de Empresas Vinculadas: . I CEV, aprobado mediante resolución de 28/12/2015, publicado el 21/01/2016, con vigencia desde 01/01/2015 a 31/12/2018 (prórroga). . II CEV, aprobado mediante resolución de 23/10/2019, publicado el 13/11/2019, con vigencia desde 01/01/2019 a 31/12/2021. C. Instrucciones impartidas a los trabajadores, vigentes a 25/05/2018, sobre el procedimiento aplicado para la comunicación de las bajas por Incapacidad Temporal (IT), así como las modificaciones posteriores. D. Aporta copia de las instrucciones vigentes a 25/05/2018 sobre el procedimiento aplicado para la solicitud de permisos retribuidos por enfermedad de familiares, en sus diferentes versiones. FUNDAMENTOS DE DERECHO I De acuerdo con los poderes de investigación y correctivos que el artículo 58 del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) otorga a cada autoridad de control, y según lo dispuesto en el artículo 47 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. II Las entidades reclamadas, todas ellas pertenecientes al Grupo Telefónica, realizan tratamientos de los datos personales de sus empleados con “fines relacionados con el desarrollo, formación y promoción de los empleados, la administración, organización y gestión global de la relación laboral”. De estos tratamientos de datos, por parte de la entidad AST han sido objeto de reclamación la comunicación de datos de los trabajadores a entidades del Grupo Telefónica, la incorporación de esos datos a plataformas informáticas externas accesibles por otros empleados del Grupo y la recogida de datos de redes sociales; todos ellos realizados con los mismos fines, es decir, con fines de administración, organización y gestión de la relación laboral. Las comunicaciones de datos tienen como base legitimadora el interés legítimo de las entidades implicadas, siendo la principal destinataria Telefónica S.A., empresa matriz del Grupo, que actúa como responsable del tratamiento a nivel Grupo para determinados procesos, como pueden ser los relacionados con la movilidad internacional, la gestión del talento global o el desarrollo de redes sociales corporativas que permitan ofrecer plataformas de interacción entre los empleados del Grupo Telefónica. Algunas de esas comunicaciones de datos se realizan a entidades del Grupo establecidas C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/20 en un tercer país en base a la ejecución del contrato laboral. Del mismo modo, el acceso a la información contenida en las plataformas informáticas dispuestas por el Grupo se produce también por empleados situados fuera del Espacio Económico Europeo. Telefónica advierte a sus empleados que estas transferencias internacionales, de producirse, se realizarán siempre conforme a la legislación española, para el cumplimiento de la relación laboral o en base al consentimiento del interesado. En cuanto al acceso a la información relativa al trabajador por parte de entidades del Grupo Telefónica situados fuera del EEE, se produce (…) en el marco de los procesos de movilidad internacional gestionados por Telefónica, S.A., para la valoración de la candidatura presentada por el trabajador interesado en participar en dicho proceso (los puestos vacantes del Grupo se ofertan a todos los empleados), y en base al consentimiento que éste presta con tal propósito (la citada plataforma dispone de una casilla que el trabajador puede marcar para consentir dicho acceso). Este acceso se realiza por la entidad que oferta la plaza. Lo mismo ocurre en procesos de formación, que también se gestionan a nivel global. (…), los empleados del Grupo pueden acceder al directorio corporativo, al perfil público de los usuarios/trabajadores, para el desenvolvimiento de las funciones propias de los empleados, envío de comunicaciones, redes sociales y herramientas colaborativas de empleados. Por otra parte, según consta en las actuaciones, la consulta a fuentes externas se realiza por la empresa matriz respecto de los datos personales de trabajadores incorporados por éstos a redes sociales de ámbito profesional, en el marco de procesos de movilidad; previo consentimiento del interesado (…) Las citadas operaciones de tratamiento objeto de la reclamación se ajustan a lo establecido en el RGPD. En cuanto a la licitud del tratamiento, el artículo 6 de este Reglamento admite los tratamientos de datos cuando concurra una base jurídica que los legitime, como son, entre otras, la ejecución de un contrato en el que el interesado sea parte, el cumplimiento de una obligación legal, la satisfacción de un interés legítimo perseguido por el responsable o por un tercero o el consentimiento del interesado. El citado artículo 6 del RGPD establece lo siguiente: “Artículo 6. Licitud del tratamiento 1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
7. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
8. b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
9. c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
10. d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
11. e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
12. f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
13. f)del párrafo primero no será de aplicación al tratamiento realizado por las C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/20 autoridades públicas en el ejercicio de sus funciones. 2. Los Estados miembros podrán mantener o introducir disposiciones más específicas a fin de adaptar la aplicación de las normas del presente Reglamento con respecto al tratamiento en cumplimiento del apartado 1, letras
14. c)y e), fijando de manera más precisa requisitos específicos de tratamiento y otras medidas que garanticen un tratamiento lícito y equitativo, con inclusión de otras situaciones específicas de tratamiento a tenor del capítulo IX. 3. La base del tratamiento indicado en el apartado 1, letras
15. c)y e), deberá ser establecida por:
16. a)el Derecho de la Unión, o
17. b)el Derecho de los Estados miembros que se aplique al responsable del tratamiento. La finalidad del tratamiento deberá quedar determinada en dicha base jurídica o, en lo relativo al tratamiento a que se refiere el apartado 1, letra e), será necesaria para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento. Dicha base jurídica podrá contener disposiciones específicas para adaptar la aplicación de normas del presente Reglamento, entre otras: las condiciones generales que rigen la licitud del tratamiento por parte del responsable; los tipos de datos objeto de tratamiento; los interesados afectados; las entidades a las que se pueden comunicar datos personales y los fines de tal comunicación; la limitación de la finalidad; los plazos de conservación de los datos, así como las operaciones y los procedimientos del tratamiento, incluidas las medidas para garantizar un tratamiento lícito y equitativo, como las relativas a otras situaciones específicas de tratamiento a tenor del capítulo IX. El Derecho de la Unión o de los Estados miembros cumplirá un objetivo de interés público y será proporcional al fin legítimo perseguido. 4. Cuando el tratamiento para otro fin distinto de aquel para el que se recogieron los datos personales no esté basado en el consentimiento del interesado o en el Derecho de la Unión o de los Estados miembros que constituya una medida necesaria y proporcional en una sociedad democrática para salvaguardar los objetivos indicados en el artículo 23, apartado 1, el responsable del tratamiento, con objeto de determinar si el tratamiento con otro fin es compatible con el fin para el cual se recogieron inicialmente los datos personales, tendrá en cuenta, entre otras cosas:
18. a)cualquier relación entre los fines para los cuales se hayan recogido los datos personales y los fines del tratamiento ulterior previsto;
19. b)el contexto en que se hayan recogido los datos personales, en particular por lo que respecta a la relación entre los interesados y el responsable del tratamiento;
20. c)la naturaleza de los datos personales, en concreto cuando se traten categorías especiales de datos personales, de conformidad con el artículo 9, o datos personales relativos a condenas e infracciones penales, de conformidad con el artículo 10;
21. d)las posibles consecuencias para los interesados del tratamiento ulterior previsto;
22. e)la existencia de garantías adecuadas, que podrán incluir el cifrado o la seudonimización”. En este caso, los tratamientos a los que se refiere la reclamación son lícitos, en la medida en que son necesarios en el contexto de un contrato o relación laboral, o se realizan para la satisfacción de intereses legítimos del responsable y para fines legítimos, sirviéndose de tecnología proporcionada y necesaria para permitir al empleado el contacto con sus compañeros. En relación con las comunicaciones de datos personales a empresas del Grupo Telefónica, procede considerar el concepto de “Grupo Empresarial”, que se define en el punto 19 del artículo 4 del RGPD: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/20 <<“Grupo empresarial”: grupo constituido por una empresa que ejerce el control y sus empresas controladas>>. Sobre el alcance que debe atribuirse a este concepto desde el punto de vista del RGPD, es necesario considerar lo señalado en los Considerandos 37 y 48 de dicho Reglamento: “