Detectives privados y la Protección de Datos
Detectives privados y protección de datos
Contratar a un detective privado puede ser necesario para comprobar hechos relevantes para una empresa, una aseguradora o un particular. Sin embargo, la investigación debe respetar los derechos de las personas afectadas y contar con una justificación concreta.
Además de la Ley 5/2014 de Seguridad Privada, deben cumplirse con la Normativa de Protección de Datos. La habilitación profesional del detective no autoriza cualquier recogida o utilización de información.
Investigar a una persona trabajadora
El artículo 20.3 del Estatuto de los Trabajadores permite adoptar medidas de vigilancia y control para verificar el cumplimiento de las obligaciones laborales, respetando la dignidad de la persona trabajadora.
Según la Guía sobre relaciones laborales de la AEPD, estas medidas pueden incluir la contratación de un detective. En ese contexto, el tratamiento puede apoyarse en la relación laboral
y en las facultades de control empresarial, sin necesidad del consentimiento del trabajador.
Antes de iniciar la investigación, debe comprobarse y documentarse su proporcionalidad: si resulta adecuada para esclarecer los hechos, si existen alternativas igualmente eficaces y menos invasivas y si la injerencia está justificada. Una baja médica no demuestra por sí sola un incumplimiento.
Límites de la investigación
El cliente debe acreditar el interés legítimo que justifica el servicio y este debe quedar documentado en el expediente.
El artículo 48.3 de la Ley de Seguridad Privada prohíbe investigar la vida íntima que transcurra en domicilios u otros lugares reservados y utilizar medios que vulneren el honor, la intimidad, la propia imagen, el secreto de las comunicaciones o la protección de datos.
El objeto del encargo debe estar delimitado. Una autorización contractual genérica no permite acceder a información que legalmente no pueda obtenerse.
El detective puede actuar como responsable o como encargado
No existe una respuesta automática aplicable a todos los servicios. Debe analizarse quién determina los fines y los medios esenciales del tratamiento.
Actuará como responsable cuando el tratamiento corresponda a una actividad profesional autónoma en la que determine esos elementos. En una investigación con esa configuración, las comunicaciones de datos con el cliente deberán regularse como comunicaciones entre responsables independientes.
Actuará como encargado cuando trate los datos por cuenta del cliente, conforme a sus instrucciones sobre los fines y medios esenciales. En ese supuesto será necesario formalizar el contrato del artículo 28 del RGPD.
La condición de profesional regulado y la elección de herramientas o técnicas no bastan para resolverlo: un encargado también puede disponer de autonomía técnica.
Una misma entidad puede tener diferentes roles para distintas operaciones. Si ambas partes determinan conjuntamente los fines y medios esenciales, debe valorarse la corresponsabilidad. La calificación debe reflejar el funcionamiento real del servicio, siguiendo los criterios del Comité Europeo de Protección de Datos.
Qué debe regular el contrato
El contrato y su documentación de protección de datos deben abarcar tanto los datos facilitados por el cliente como los obtenidos durante la investigación y la entrega de los resultados.
Como contenido práctico, conviene concretar:
El objeto, la finalidad y los límites del servicio.
Los roles de las partes y las categorías de datos afectados.
Las condiciones de intervención de colaboradores.
Los destinatarios del informe y los usos previstos.
La seguridad, la conservación y la coordinación ante incidentes o solicitudes de derechos.
Si existe un encargo, deberán incorporarse las obligaciones exigidas por el artículo 28 RGPD. Una cláusula genérica de confidencialidad no sustituye ese contrato.
Datos de salud y control médico
La investigación de conductas debe distinguirse de la verificación médica de una ausencia. El artículo 20.4 del Estatuto de los Trabajadores contempla esta última mediante reconocimiento a cargo de personal médico. El detective no sustituye al médico ni determina la aptitud laboral.
Si la investigación implica datos de salud u otras categorías especiales, será necesario justificar, además de la base jurídica del tratamiento, una excepción del artículo 9 RGPD. La necesidad de formular, ejercer o defender reclamaciones puede resultar aplicable, pero debe comprobarse en el caso concreto.
Información a las personas afectadas y seguridad
Investigar sin consentimiento no significa quedar exento de informar. Cuando los datos no se obtienen del interesado, debe analizarse el artículo 14 RGPD.
Si informar pudiera imposibilitar u obstaculizar gravemente los objetivos del tratamiento, podría resultar aplicable la excepción del artículo 14.5.b. Debe justificarse y acompañarse de medidas adecuadas para proteger a las personas afectadas, incluida la publicación de la información correspondiente.
También deben establecerse accesos restringidos, entrega segura de las pruebas y medidas técnicas y organizativas ajustadas al riesgo.
El informe y la conservación de las pruebas
El informe debe limitarse a información necesaria y directamente relacionada con el objeto y finalidad del encargo.
El artículo 49 de la Ley de Seguridad Privada establece que los informes deben conservarse durante al menos tres años. Las imágenes y sonidos se destruirán a los tres años de finalizar la investigación, salvo que estén relacionados con un procedimiento judicial, una investigación policial o un procedimiento sancionador.
Las investigaciones son reservadas y sus resultados solo pueden comunicarse a los destinatarios legalmente previstos. El cliente debe justificar también su propio plazo de conservación y los usos posteriores del informe, sin mantenerlo indefinidamente por defecto.
Business Adapter® a tu servicio
En Business Adapter te ayudamos a revisar la legitimación de la investigación, determinar el papel de cada parte y adaptar el contrato y la documentación de protección de datos al servicio concreto.
Si necesitas contratar a un detective o adecuar tu despacho profesional al RGPD y la LOPDGDD, contacta con nosotros en info@businessadapter.es, también puedes llamar al 96 131 88 04, o deja tu mensaje en este formulario: