El Informe 0190/2009 del Gabinete Jurídico de la Agencia Española de Protección de Datos (AEPD) aborda la conformidad de ciertas prácticas de una empresa de call center (empresa X) y su cliente (empresa Z) con la Ley Orgánica 15/1999 de Protección de Datos de Carácter Personal (LOPD) y su reglamento de desarrollo, el Real Decreto 1720/2007.
El informe se centra en dos aspectos principales: la comunicación del nombre y apellidos de una trabajadora del call center a la empresa cliente, y la grabación de las llamadas telefónicas realizadas por esta última.
En primer lugar, respecto a la comunicación de datos, el informe señala que el tratamiento de datos personales de la trabajadora por parte de la empresa X está legitimado por el artículo 6.2 de la LOPD, ya que se realiza en el ámbito de una relación laboral y es necesario para el cumplimiento de la misma. La comunicación de los datos a la empresa Z se considera una cesión de datos, que según el artículo 11.1 de la LOPD requiere el consentimiento previo del afectado, salvo en casos excepcionales. En este caso, la cesión se justifica por la necesidad de desarrollar y controlar la relación laboral, por lo que no se requiere el consentimiento de la trabajadora, siempre que la cesión se limite a la finalidad que la justifica.
En segundo lugar, en cuanto a la grabación de las conversaciones telefónicas, el informe determina que estas grabaciones están sujetas a la LOPD si contienen datos personales de los interlocutores. La grabación implica un tratamiento de datos, definido en el artículo 3.c) de la LOPD, y por tanto, debe cumplir con las disposiciones de la ley. Es necesario informar a los afectados de que la conversación será grabada y obtener su consentimiento, salvo que se opongan. Además, si las grabaciones se organizan de manera que permitan la búsqueda de datos personales, se consideran ficheros sujetos a la LOPD y deben ser notificados a la AEPD.
El informe también subraya que el número de teléfono, aunque por sí solo no es un dato personal, lo es cuando se asocia a una persona concreta. En este sentido, la AEPD considera que cualquier conjunto de datos personales estructurados está sujeto a la LOPD y su reglamento.
Finalmente, el informe concluye que, para proceder al tratamiento de datos, es necesario el consentimiento de los afectados, que debe ser libre, inequívoco, específico e informado. Además, los ficheros que contengan datos personales deben ser notificados a la AEPD, indicando el responsable del fichero, la finalidad del mismo, los datos que contiene, las medidas de seguridad y las cesiones previstas.