El RGPD y la denuncia de malas conductas: por qué no hay que fiarse del consentimiento

Cuando una persona envía un mensaje mediante una plataforma de denuncia de malas conductas, es posible que incluya datos personales en él. Por eso, las organizaciones que desean implantar un sistema de este tipo para sus empleados, proveedores u otras partes deben tener en cuenta los aspectos relacionados con la privacidad que entran en juego. ¿Cómo se pueden combinar el RGPD y la denuncia de malas conductas de forma pragmática?

El artículo 6 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos RGPD) requiere la “licitud del tratamiento”. El consentimiento parece una buena opción, pero no lo es. Al menos, no para la denuncia de malas conductas.

¿Por qué no?

El consentimiento tiene que “darse libremente”, pero existe una relación de dependencia entre el empresario y el empleado. Si el jefe pide el consentimiento, la mayoría de los empleados se lo darán sin más. En el Dictamen 2/2017 (WP 249), el Grupo de Trabajo sobre Protección de Datos del artículo 29 afirma lo siguiente: “Salvo en situaciones excepcionales, los empresarios tendrán que basarse en otro fundamento jurídico distinto del consentimiento”.

Desde un punto de vista más práctico: el consentimiento es una base inestable. Puede revocarse en cualquier momento. Imagine que está llevando a cabo una investigación importante y, de repente, un empleado decide revocar su consentimiento, ¿qué hace entonces?

Dejando a un lado los aspectos legales y prácticos, supongamos que un empleado ha sido acosado sexualmente. En la plataforma de denuncia de malas conductas hay una casilla de consentimiento que debe marcarse para poder denunciar un caso. Su empleado se ha decidido finalmente a hablar de manera anónima y la primera pregunta es: “¿nos das tu consentimiento para tratar tus datos personales?” Existe un riesgo elevado de que esto asuste a las personas que van a denunciar, y que incluso decidan hacerlo públicamente. Seguro que no quiere perderse casos importantes…

Así pues, nada de consentimiento. ¿Cómo cumplir entonces los requisitos del RGPD en la denuncia de malas conductas?

Debe basar el tratamiento en el interés legítimo que tiene para detectar conductas inapropiadas que, de otra forma, puede que no se detectaran en una fase anterior. Al fin y al cabo, todo se resume en que la protección de datos y los derechos de privacidad son muy importantes, pero el objetivo final consiste en establecer un método de denuncia de malas conductas efectivo. Las personas deben sentirse libres para expresar sus inquietudes con el fin de que su organización pueda detectar verdaderamente las conductas inapropiadas graves y gestionarlas.

Hable con nuestros expertos

¿Quieres saber más, debatir ideas o compartir opiniones?

Contactar

Share this page