El Informe 0561/2008 de la Agencia Española de Protección de Datos (AEPD) aborda la consulta sobre la conformidad de la comunicación de datos personales de los trabajadores de una estación de servicio a otra empresa, con el fin de incluirles en un programa de regalos, sin un contrato de prestación de servicios entre ambas empresas.
En primer lugar, la AEPD señala que la estación de servicio está realizando un tratamiento de datos personales de sus empleados conforme a la Ley Orgánica 15/1999. Esta ley establece que el tratamiento de datos personales requiere el consentimiento inequívoco del afectado, salvo en casos específicos como el mantenimiento de una relación laboral. La estación de servicio, como responsable del fichero, ha recabado los datos de sus trabajadores para el correcto desarrollo de la relación laboral.
El informe destaca el principio de calidad de los datos, que exige que los datos sean adecuados, pertinentes y no excesivos en relación con las finalidades para las que fueron obtenidos. Además, los datos no pueden usarse para finalidades incompatibles con aquellas para las que fueron recogidos. La AEPD interpreta que una finalidad incompatible es aquella que no está directamente relacionada con la finalidad original de recolección de los datos.
En cuanto a la cesión de datos, la AEPD define esta como la revelación de datos a una persona distinta del interesado. La cesión debe sujetarse al régimen general establecido en el artículo 11 de la Ley Orgánica, que exige el consentimiento previo del afectado, salvo en casos excepcionales. En este caso, la cesión de datos a Repsol Compañía de Productos Petrolíferos no parece ampararse en ninguna de las excepciones del artículo 11.2, ya que no se justifica la necesidad de la cesión para el correcto desenvolvimiento y control de la relación laboral.
Por lo tanto, la AEPD concluye que la comunicación de datos personales de los trabajadores a Repsol requerirá el consentimiento de los interesados, a menos que se pueda demostrar que la cesión es necesaria para una finalidad específica y legítima relacionada con la relación laboral. En ausencia de tal justificación, la cesión de datos sería contraria a la Ley Orgánica de Protección de Datos.