La Agencia Española de Protección de Datos sanciona a un despacho de abogados con 5.000 euros por publicar en su página web la foto de un trabajador sin su consentimiento.
El despacho se limitó a enviar un correo corporativo en el que indicaba como asunto "Fotos en la web actualizadas" e informaba de que se podían revisar las fotografías en la web.
El empleado había posado para la toma de la foto, y aportó los datos de su currículum para su inclusión en el perfil del despacho, y según el despacho, no había mostrado oposición a la publicación; se alega también que la parte reclamante publicó previamente en su perfil de LinkedIn los mismos datos que constaban en la web del despacho.
Es indudable que la imagen física de una persona es un dato personal, por lo que su inclusión en publicaciones que identifica o hace identificable a una persona, supone un tratamiento de datos personales.
Y lo relevante es analizar si realmente existió consentimiento. El consentimiento debe ser informado, referirse de manera específica a finalidades concretas, prestarse de manera libre y ser inequívoco.
Las Directrices 5/2020, adoptadas por el Comité Europeo de Protección de Datos, ofrecen unos mecanismos para ayudar a la interpretación de estos criterios y a su cumplimiento por los responsables de los tratamientos. Los elementos que conforman la información a proporcionar en el supuesto de que el consentimiento se erija en la base legitimadora del tratamiento han de alcanzar a: la identidad del responsable, los fines del tratamiento o tratamientos, qué tipo de datos se recaban, la existencia del derecho a retirar el consentimiento, información de si los datos serán objeto de decisiones automatizadas y de los posibles riesgos en el supuesto de que esté prevista una transferencia internacional de datos en ausencia de una decisión de adecuación y de las correspondientes salvaguardas.
Un consentimiento prestado libremente significa que el interesado ha de tener una opción real para no otorgarlo, por lo que no puede considerarse otorgado el consentimiento libremente cuando el sujeto no puede negar su otorgamiento sin sufrir algún tipo de consecuencia negativa, extremo que deberá probar el responsable del tratamiento.
Y en cuanto a la no equivocidad, este requisito se manifestaría en que el interesado acepta de un modo indubitado el tratamiento de sus datos a través de una acción deliberadamente afirmativa y con carácter previo al comienzo del tratamiento de los datos.
Por todo ello, en el caso, considera la Agencia que la mera toma de una fotografía a la parte reclamante para su posterior difusión a través de la web de la empresa carece de consentimiento conforme con la normativa de protección de datos. No fue debidamente informada, no consintió indubitadamente la toma de una fotografía de su imagen física, ante un correo en el que lo único que se advierte es "sacaremos fotos a los nuevos que lo deseen"; y sin que el hecho de haber publicado en su perfil de la red social LinkedIn esta fotografía con su imagen, no supone un consentimiento expreso a que pueda ser publicada por la empresa.