¿Se puede dar el teléfono de un trabajador a clientes sin su consentimiento?

La AEPD ha multado con 6.000 € a una empresa por dar el teléfono de un trabajador a 18 personas sin haber recabado previamente su consentimiento

El paciente de una clínica le pide a la persona que está en la recepción el número de teléfono personal de su médico porque necesita consultarle una cuestión urgentemente, pero se encuentra de vacaciones. Un cargo de una administración pública le solicita a un estudio de ingeniería con el que trabajan el teléfono del ingeniero a cargo de un proyecto. Un cliente de un despacho de abogados llama a la oficina buscando a un letrado y, como no está, le pide a la persona que lo atiende que le dé su número personal…

Dar el teléfono de un trabajador a clientes es una práctica que se ha llevado a cabo en las empresas durante años. Sin embargo, en una era en la que la protección de datos y el derecho a la desconexión digital están fuertemente protegidos, dar el teléfono de un trabajador a terceros puede vulnerar la normativa y acarrear sanciones.

Hace unos días, se hizo público que la Agencia Española de Protección de Datos (AEPD) había impuesto una multa de 6.000 € a una empresa por dar el teléfono de un trabajador a 18 personas ligadas a un cliente.

El profesional denunció el bombardeo de llamadas que recibió, sin haber aceptado que se facilitase su número de teléfono y sin que, tan siquiera, la empresa le hubiese informado de que se lo había entregado a esas 18 personas.

A continuación, vamos a desgranar las claves de esta sanción para determinar qué tienen que hacer las empresas para poder dar el teléfono de un trabajador a sus clientes sin incurrir en una vulneración de la protección de datos.

Dar el teléfono de un trabajador sin su permiso vulnera el artículo 6.1. del RGPD

El Reglamento General de Protección de Datos (RGPD) es la principal norma que deben tener en cuenta las empresas en lo relativo a esta materia. Este reglamento europeo ha transformado la forma en que los negocios gestionan los datos de clientes, potenciales, trabajadores y proveedores.

Así, al igual que un negocio no puede meter a clientes en un grupo de WhatsApp sin haber recabado previamente su consentimiento para hacerlo, tampoco tiene derecho a dar el teléfono de un trabajador sin que este haya prestado su permiso a tal acción. ¿Por qué? Este tipo de actuaciones incumplen el artículo 6.1. del RGPD. Dicho precepto establece que el tratamiento de datos solo será lícito si se da, por lo menos, alguna de estas seis condiciones:

1. El interesado dio su consentimiento para que sus datos fuesen tratados para un fin específico.
2. El tratamiento de datos es imprescindible para la ejecución de un contrato del que el interesado es parte o para la aplicación de medidas precontractuales.
3. El tratamiento es necesario para que la empresa cumpla con una obligación legal.
4. El tratamiento se debe llevar a cabo para proteger intereses vitales del interesado o de otro ciudadano.
5. El tratamiento es imprescindible para realizar una misión de interés público.
6. El tratamiento es necesario para que la empresa pueda satisfacer intereses legítimos, salvo que los derechos del interesado prevalezcan sobre ellos.

A la luz de lo que dice este artículo del RGPD, para que una empresa pueda dar el teléfono de un trabajador a un cliente o a un socio comercial debe haber recabado el consentimiento expreso del profesional para ese fin específico.

Las empresas deben demostrar que han recabado el consentimiento libre y específico para dar el teléfono de un trabajador a terceros

Además, los negocios deben ser capaces de demostrar que, efectivamente, recabaron el pertinente consentimiento para dar el teléfono de un trabajador a terceros.

Así lo establece el artículo 7 del RGPD al indicar que «cuando el tratamiento se base en el consentimiento del interesado, el responsable deberá ser capaz de demostrar que aquel consintió el tratamiento de sus datos personales».

¿Cómo debe ser el consentimiento? El artículo 4 del RGPD indica que ha de ser:

• Libre.
• Específico.
• Informado.
• Inequívoco.

Además, el consentimiento puede manifestarse «mediante una declaración o una clara acción afirmativa».

Esto implica que para dar el teléfono de un trabajador a un cliente es imprescindible haber informado al profesional de que se puede facilitar tu número de teléfono personal para este fin específico. Y el trabajador debe dar su consentimiento de manera libre e inequívoca.

La importancia de tener un protocolo de protección de datos de los trabajadores bien diseñado e implementado

Lo que venimos de explicar en torno al consentimiento de los interesados debe tenerse en cuenta a la hora de diseñar e implementar los protocolos de protección de datos de los trabajadores de un negocio.

En el caso analizado por la AEPD, la empresa multada contaba con un protocolo para recabar el consentimiento informado de sus trabajadores.

Sin embargo, la AEPD detectó dos fallos con respecto al mismo:

1. De implementación. La compañía cuenta con un protocolo de protección de datos, que consiste en un formulario que se facilita a los empleados en el proceso de contratación. Sin embargo, el profesional no llegó a firmar dicho formulario.
2. De diseño. El formulario en cuestión incluye dos casillas que el trabajador debe marcar si consiente que sus datos personales sean cedidos a terceros:
   • Con finalidades de cesión a organismos públicos por cuestiones relacionadas con la normativa laboral, de la Seguridad Social y fiscal.
   • Para facilitárselos a entidades que prestan servicios a la compañía.

Como resulta evidente, dentro de las finalidades del tratamiento de datos no se incluye la posibilidad de facilitárselos a clientes. Por lo que dar el teléfono de un trabajador a terceros no habría sido lícito ni aunque el profesional hubiese hecho check en estas casillas del formulario.

Además, la AEPD también puso el foco sobre el hecho de que recabar el consentimiento de los trabajadores sea una práctica vinculada al proceso de contratación. Ya que esto podría afectar a la libertad del profesional exigida por el RGPD para prestar su consentimiento.

En este sentido, la AEPD establece que las empresas deben ser capaces de acreditar que el rechazo del trabajador a prestar su consentimiento para facilitar datos a terceros no tiene «ninguna consecuencia negativa para el mismo».

Multa y obligación de corregir los protocolos internos para evitar que vuelva a suceder

¿Cuál fue la consecuencia para la empresa de dar el teléfono de un trabajador a sus clientes sin haber recabado su consentimiento?

1. La AEPD le impulso una multa de 6.000 € por incumplir el RGPD.
2. La obligación de implementar medidas para corregir los problemas en el protocolo de protección de datos:
   • Acreditar en un plazo de 3 meses que se revisó el protocolo en lo relativo al uso del teléfono personal de los trabajadores. Para que dar el teléfono de un trabajador sea una actuación vinculada solo a las tareas del profesional y solo se pueda hacer después de que este haya prestado su consentimiento.
   • Si no se puede acreditar esta revisión, la empresa puede optar por renunciar a usar los datos de sus trabajadores de esta manera.

Usar un software de gestión reduce la posibilidad de incumplir la normativa de protección de datos

Resulta evidente que, en muchos casos, los negocios necesitan poder dar el teléfono de un trabajador a clientes o proveedores. Por eso, es fundamental para las empresas diseñar su protocolo de protección de datos de manera adecuada y, sobre todo, implementarlo con la máxima eficacia.

En este sentido, las empresas pueden usar un software de gestión para:

• Crear un formulario de protección de datos acorde a la normativa y a los dictámenes de la AEPD.
• Automatizar la incorporación de los datos de los trabajadores a dichos formularios.
• Enviar el formulario a un trabajador por email o WhatsApp en tan solo un clic.
• Permitir a los trabajadores cubrir y firmar el formulario desde su móvil u ordenador con suma facilidad.
• Controlar todos los trabajadores que no han aceptado aún la política de tratamiento de sus datos personales.
• Comprobar en la ficha de cada trabajador que ha aceptado que se le facilite a terceros su teléfono o email personales antes de llevar a cabo dicha acción.
• Almacenar de forma segura y accesible los documentos donde los trabajadores consienten el tratamiento de sus datos personales.

Más allá de la sanción por dar el teléfono de un trabajador: ¿Qué pasa con la desconexión digital?

Lógicamente, la AEPD se limitó a analizar la posibilidad de dar el teléfono de un trabajador a clientes o proveedores desde la óptica de la protección de datos. Sin embargo, como apuntamos al inicio, en esta cuestión también es importante tener en cuenta el derecho de todos los profesionales a la desconexión digital.

Así, el Estatuto de los Trabajadores establece en su artículo 20 bis que los profesionales tienen derecho «a la desconexión digital». En el caso analizado por la AEPD, el trabajador se vio bombardeado por llamadas de personas desconocidas que pudieron llegar a afectar a este derecho.

Por eso, es importante que los negocios cuenten con protocolos de desconexión digital en los que se regulen el uso de medios informáticos para comunicarse con los trabajadores fuera de su horario laboral.

En definitiva, dar el teléfono de un trabajador a un cliente no es una actuación prohibida. Sin embargo, si no se dispone de su consentimiento previo y libre para hacerlo, se puede estar vulnerando la normativa de protección de datos. Las consecuencias de esta violación incluyen la posibilidad de recibir cuantiosas sanciones económicas, además de generar un conflicto con los profesionales afectados.