Читать книгу Análisis práctico de sanciones en materia de protección de datos -divididas por conceptos y sectores - Elena Davara Fernández de Marcos - Страница 9

Uno de los primeros tratamientos de datos que pueden producirse en una organización es en el momento en el que un solicitante de empleo se conforma como candidato a un puesto de trabajo y remite a la entidad su curriculum (CV). En casos de fórmulas de colaboración empresarial, debería, además, de informarse del contenido del artículo 13 RGPD, advertirse que la comunicación o cesión del CV, que evidentemente incluye datos personales, debe contar con el previo consentimiento del candidato, o basarse en otra causa legitimadora del artículo 6 RGPD. En el caso específico de grupos de empresas20 el RGPD reconoce la existencia de interés legítimo (del artículo 6.1.f) por parte del grupo empresarial en comunicar datos al resto de empresas que lo conforman, con fines administrativos o de recursos humanos. Es decir, sería lícito la cesión de datos curriculares a otras empresas del grupo.

En esta línea, si bien, previamente al RGPD, en el Procedimiento Sancionador PS/00110/2010 21, la AEPD acordó sancionar a dos empresas por la comunicación, de una a otra, de datos sin consentimiento previo del denunciante, al facilitar un currículo que, previamente, le había remitido el afectado, a una de ellas por correo electrónico en solicitud de un puesto de trabajo. En este caso, se trató´ de una cesión puntual y singular en el marco de actuación como grupo empresarial, realizándose un tratamiento de datos única y exclusivamente como medio probatorio en el proceso judicial entablado entre las partes implicadas. Es por ello, que, dada la naturaleza de los hechos analizados, la AEPD apreció una atenuación cualificada de la culpabilidad, así´ como de la antijuricidad, y procedió graduar por ello las oportunas sanciones a imponer, que fueron de 60.101,21 € y de 6.000 €, respectivamente, a las empresas implicadas22.