La difusión del audio de una reunión privada, ¿infringe la Protección de Datos?

En primer lugar es preciso analizar el ámbito de aplicación de la normativa de Protección de Datos. Debemos partir de la base de que cualquier operación realizada sobre datos personales, como la recogida, registro, comunicación por transmisión o difusión, supone un tratamiento de datos a efectos de la normativa  de Protección de Datos, de acuerdo con previsto tanto a nivel europeo (RGPD), como a nivel nacional (LOPDGDD).

A efectos de la Protección de Datos, son datos personales “toda información sobre una persona física identificada o identificable”, y ello incluye tanto datos que permiten la identificación directa (p.ej nombre y apellidos) cómo aquéllos que permiten la identificación indirecta (p.ej la dirección IP, la matrícula de un vehículo, etc.).

Sin embargo, no todos los datos personales tienen el mismo grado de sensibilidad. La sensibilidad de un dato viene marcada por el grado de afectación o incidencia sobre la intimidad de un individuo. De acuerdo con la normativa, son considerados sensibles, entre otros, los datos de salud o convicciones religiosas, pero también los datos biométricos (art. 9 RGPD).

Atendiendo al caso que nos ocupa, una grabación de una reunión privada, conlleva necesariamente la captación y el registro de la voz de los integrantes de la misma. Así las cosas, y como ha considerado en reiteradas ocasiones la Agencia Española de Protección de Datos, la voz de una persona, además de ser un dato biométrico, es un dato personal, ya que permite identificarla identidad de una persona concreta. Y la grabación del sonido de voz en un soporte electrónico o no electrónicoconstituye, por tanto, un almacenamiento de datos personales (y, por tanto, un tratamiento de los mismos).

El consentimiento: debe prestarse tanto para la grabación, como para la difusión

 

El Reglamento General de Protección de Datos (RGPD) exige en el tratamiento de datos el cumplimiento de una serie de principios básicos, y el incumplimiento de cualquiera de ellos supone inexcusablemente una infracción de la norma.

A tenor de estos principios básicos, los datos personales deben ser tratados de manera lícita, leal y transparente. Así, debe quedar totalmente claro que se están recogiendo datos personales, que se van a tratar de forma adecuada, y la medida en que serán tratados (esto es, la difusión).

Atendiendo a la licitud del tratamiento, para tratar cualquier dato personal es necesario que exista una base jurídica que lo legitime (art.6 RGPD) y ello puede ser en algunos casos, el consentimiento. Para que el tratamiento se considere lícito, se exige que el interesado de su consentimiento para un fin específico, o bien, como hemos comentado, que exista una base jurídica suficiente que lo ampare tal como (i) que  sea necesario para la ejecución de un contrato, (ii) una obligación legal, (iii) proteger intereses vitales, para (iv) una misión realizada en interés público o (v) para la satisfacción de intereses legítimos, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales.

En el presente caso, la autorización para grabar una reunión debería ser entendida como un consentimiento y por ende existiría legitimación suficiente para registrar las voces de los asistentes, siempre que todos los integrantes hubieran otorgado su consentimiento, mediante un acto afirmativo, antes de efectuar la grabación.

El consentimiento, si bien ha dejado de ser la piedra angular de la protección de datos tras el RGPD, es un mecanismo importante que permite el tratamiento de datos de carácter personal y que ofrece importante seguridad jurídica. Ahora bien, el consentimiento, para ser válido, debe ser libre, informado, específico e inequívoco (considerando 32 RGPD). En esta línea, tal y como ha expresado reiteradamente la jurisprudencia, el consentimiento ha de ser necesariamente "inequívoco". De modo que ha de aparecer como evidente, o, lo que es lo mismo, que no admite duda o equivocación (Sentencia de la AN núm. 4240/2017, de 30 de octubre).

En cuanto a la especificidad del consentimiento, éste debe ser limitado a una finalidad o varias (art. 6.1.a RDPD). Los fines específicos del tratamiento de los datos deben ser explícitos y legítimos,  y así deben ser informados, no pudiendo ser tratados de manera incompatible con dichos fines. Además de ello, los datos personales deben tratarse de un modo que garantice una seguridad y confidencialidad adecuadas, inclusive para impedir el uso no autorizado de dichos datos.

En el mismo sentido, el consentimiento así debe darse mediante un acto afirmativo claro, específico para aceptar el tratamiento de datos que se pretende llevar a cabo, y debe otorgarse para todos lostratamiento. Así las cosas, cuando el tratamiento tenga varios fines, debe darse de manera específica e inequívoca el consentimiento para todos ellos (art. 6.2 LOPDGDD). Por tanto, en el caso que se prevean varios tratamientos, y estos no sean incompatibles entre ellos, deberá buscarse el modo de obtener el consentimiento de todos ellos

En el caso de la reunión privada, para grabarla y difundirla  correctamente, los integrantes deberían, en primer lugar, ser informados en los términos que establece la normativa (art. 13 RGPD) y posteriormente recabarse el consentimiento, tanto para la grabación, como para la difusión (concretando, siempre que sea posible, el alcance de la propia difusión para que el interesado conozca la repercusión de dicho tratamiento), siempre que la difusión fuera frente a terceros. Lo que no acarrearía implicaciones con la normativa de Protección de Datos, es si la grabación se hubiera puesto en manos de un juez (y no de los medios), en cuyo caso no habría implicaciones porque se asume el interés legítimo (además del amparo de la legislación procesal) para realizar esta cesión concreta, si fuera necesaria para el caso.

Así pues, para poder realizar una difusión del contenido de una reunión, no sólo se necesita el consentimiento para grabar, sino que se necesita un consentimiento que cubra ambos tratamientos (tanto la grabación, como la difusión). El consentimiento para la grabación, por sí solo, no cubre en ningún caso la expectativa de la difusión. Por tanto, si no se hubiera recabado debidamente el consentimiento para todos los tratamientos que ocupan, podría infringirse la normativa de Protección de Datos.

Por tanto, la difusión no consentida del audio de una reunión privada supondría la vulneración de los principios básicos para el tratamiento del artículo 5 RGPD, que puede constituir una infracción muy grave y que llevan aparejadas multas administrativas de hasta 20.000.000 euros (art. 83.5 RGPD). En cualquier caso, la cuantificación de la sanción correspondería a la AEPD en función de determinados criterios de graduación contemplados en la ley (art. 76 LOPDGDD).

----------------------

Sobre los autores

Eduard Blasi

Eduard Blasi es abogado y profesor de la UOC.

Irene Aguiar

Irene Aguiar es asesora jurídica de clubes deportivos y deportistas y adjunta a la dirección de IUSPORT.