Cualquier empresa que desee felicitar el cumpleaños a sus trabajadores debe saber de antemano que para poder llevar a cabo dicha actuación, es necesario obtener el consentimiento de cada uno de los trabajadores titulares de los datos personales.

Este consentimiento debe traducirse en una manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el trabajador consienta el tratamiento por parte de la empresa de los datos personales que le conciernen para felicitarle su cumpleaños. Es decir, que una vez informado por la empresa de que sus datos personales van a ser utilizados para felicitarle el cumpleaños, debe concederse al trabajador la posibilidad de oponerse al tratamiento de sus datos con la finalidad indicada.

Y es que por muy exagerado que parezca, es preciso diferenciar el tratamiento que realiza la empresa de los datos personales de sus trabajadores con la finalidad de mantener, desarrollar y gestionar la relación laboral, que no necesita del consentimiento del trabajador pues éste se presume prestado toda vez que la misma contratación exige llevar a cabo un tratamiento de datos, del tratamiento de datos para felicitar el cumpleaños, ya que dicho tratamiento no guarda relación directa con el mantenimiento, desarrollo o control de la relación laboral que vincula al trabajador con la empresa.

Este es el criterio mantenido por la Agencia Española de Protección de Datos no sólo en las Resoluciones dictadas poniendo fin a los procedimientos sancionadores, sino también en uno de sus Informes jurídicos (0301/2008) publicado en la página web de dicho Órgano en dónde se establece que: “El artículo 4.2 de la Ley Orgánica 15/1999 dispone que “los datos de carácter personal objeto de tratamiento no podrán usarse para finalidades incompatibles con aquellas para las que los datos hubieran sido recogidos”, debiéndose interpretar el término “incompatibles” en sentido restrictivo, tal y como señala la Sentencia del Tribunal Constitucional 292/2000, de 30 de noviembre, que asimila los términos “incompatible” y “distinta”. (…) La finalidad que justifica la utilización del dato de la fecha de nacimiento existente en los ficheros de personal para felicitar a los afectados con ocasión de su cumpleaños no puede considerarse comprendida entre las relacionadas con la ejecución y cumplimiento de la relación laboral o funcionaria, por lo que no podría considerarse en este caso el tratamiento del dato amparado en el artículo 6.2 de la Ley Orgánica, siendo necesario recabar el consentimiento de los afectados”.

Por tanto, con el objeto de dar cumplimiento a los principios de información y consentimiento regulados en la normativa vigente en protección de datos, y más concretamente en la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (LOPD) y en el Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (RDLOPD), es preciso recordar que para poder llevar a cabo el tratamiento de datos personales relativos a los trabajadores con el fin de felicitarles su cumpleaños, la empresa debe establecer un procedimiento destinado a informar y obtener el consentimiento de cada trabajador, facilitándoles asimismo su derecho a oponerse a dicho tratamiento manifestando su negativa al mismo.

Para ello, y como responsable del tratamiento, la empresa debe comunicar a cada trabajador el tratamiento de sus datos personales para felicitarle el cumpleaños, debiendo la empresa no sólo conservar el medio a través del cual ha informado al trabajador –la comunicación-, sino también la prueba de la existencia del consentimiento del trabajador, siendo válido cualquier medio admisible en derecho.

En cuanto al tipo de consentimiento, basta en mi opinión con obtener un consentimiento tácito del trabajador, al no ser la fecha de nacimiento un dato considerado por la LOPD de naturaleza sensible y no precisar un consentimiento expreso, o expreso y por escrito por no referirse al origen racial, a la salud y a la vida sexual, y/o revelar la ideología, afiliación sindical, religión, creencias, origen racial o étnico y vida sexual del trabajador.

Sí hace falta sin embargo permitir al trabajador negarse al tratamiento de sus datos personales para recibir una felicitación de cumpleaños, y para ello la empresa puede utilizar el mecanismo consistente en la marcación por el trabajador de una casilla claramente visible y que no se encuentre ya marcada en la comunicación que se le remita por la empresa, y/o cualquier otro procedimiento equivalente que le permita manifestar su negativa al tratamiento de datos con esta finalidad.

Además, cabe interpretar que todo lo anterior resulta extensible al tratamiento de datos del trabajador realizado por algunas empresas para otras finalidades que si bien son distintas a la felicitación del cumpleaños, sí guardan estrecha relación con la misma. Tal es el caso, por ejemplo, de las felicitaciones por maternidad/paternidad, por matrimonio, mensajes navideños y/o felicitaciones por despedida del trabajador que se jubila. También en estos supuestos, y por equiparación al criterio mantenido por la Agencia Española de Protección de Datos en torno al tratamiento de datos para felicitar el cumpleaños, considero necesario informar y obtener el consentimiento del trabajador para realizarle otras felicitaciones.

En este mismo sentido, el tratamiento de datos personales para el envío de felicitaciones a los clientes también exige el cumplimiento de la normativa en protección de datos ya que, como sucede con los trabajadores, la utilización de los datos para esta finalidad es una actividades que si bien deriva de la relación negocial que vincula al cliente con la empresa, por otra parte, tiene carácter accesorio a la misma, no pudiendo en mi opinión subsumirse este tratamiento de datos en cualquiera de los supuestos exceptuados por la LOPD a la necesidad de obtención del consentimiento para el tratamiento de datos personales.

En definitiva, resulta primordial revisar el tipo de tratamientos de datos que la empresa realiza tanto de sus trabajadores como de sus clientes, con el fin de regular dichos tratamientos de datos conforme a la LOPD y el RDLOPD, ya que cualquier denuncia de un trabajador y/o cliente frente a la empresa ante la Agencia Española de Protección de Datos por tratamiento de sus datos sin consentimiento, puede acarrear serias consecuencias para la empresa quién en caso de apertura de un procedimiento sancionador por el citado Órgano, puede resultar sancionada con una multa cuya cuantía oscila entre las 60.000 y los 300.000 euros.

Iciar Marzo Portera