El deber de confidencialidad en el ámbito de la protección de datos personales se recoge en el artículo 5 de la LOPDGDD que dice:
- Los responsables y encargados del tratamiento de datos así como todas las personas que intervengan en cualquier fase de este estarán sujetas al deber de confidencialidad al que se refiere el artículo 5.1.f) del Reglamento (UE) 2016/679.
- La obligación general señalada en el apartado anterior será complementaria de los deberes de secreto profesional de conformidad con su normativa aplicable.
- Las obligaciones establecidas en los apartados anteriores se mantendrán aun cuando hubiese finalizado la relación del obligado con el responsable o encargado del tratamiento.
No es el único precepto de la LOPDGDD en el que se menciona, así encontramos referencias al deber de confidencialidad en los siguientes artículos:
- Categorías especiales de datos (artículo 9.2).
- Tratamiento de datos en el ámbito de la función estadística pública (artículo 25.3)
- Obligaciones generales del responsable y encargado del tratamiento (artículo 28.2.a).
- Posición del delegado de protección de datos (artículo 36.3).
- Potestades de investigación y planes de auditoría preventiva (artículo 51.4).
- Infracciones consideradas muy graves (artículo 72.1.i).
- Disposición adicional decimoséptima.
- Disposición final novena.
Asimismo, el RGPD hace referencia a la confidencialidad en varios artículos:
- Información que deberá facilitarse cuando los datos personales no se hayan obtenido del interesado (artículo 14.5.d).
- Encargado de tratamiento (artículo 28.3.b).
- Seguridad del tratamiento (artículo 32.1.b).
- Posición del delegado de protección de datos (artículo 38.5).
- Normas relativas al establecimiento de la autoridad de control (artículo 54.2).
- Confidencialidad (artículo 76).
- Obligaciones de secreto (artículo 90.1).
En virtud de las normas citadas, los responsables, encargados y subencargados del tratamiento, así como todas las personas que intervengan en cualquier fase de este –incluidos los trabajadores– están obligados por ley a cumplir el deber de confidencialidad para garantizar la seguridad, integridad y disponibilidad de la información, protegiéndola contra tratamientos ilícitos o no autorizados mediante la aplicación de medidas técnicas u organizativas adecuadas, que se adoptarán en atención al estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como los riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas.
Para regular el deber de confidencialidad, se recomienda formalizar acuerdos específicos con las personas obligadas, en los que se estipulen las consecuencias del incumplimiento y se delimite claramente el alcance de la información confidencial, ya que no toda la información de una organización tiene esta naturaleza.
En los contratos de trabajo, es común incluir cláusulas de confidencialidad para asegurar que los empleados no divulguen información sensible de la empresa, tanto durante la vigencia de la relación laboral como una vez finalizada. No obstante, dichas cláusulas deben especificar un plazo razonable y proporcionado para su aplicación postcontractual, evitando indefiniciones que podrían invalidarlas.
El incumplimiento del deber de confidencialidad por parte del trabajador implica una violación de la buena fe y diligencia que rigen las relaciones laborales, conforme al artículo 5 del Estatuto de los Trabajadores. En estos casos, el empleador puede adoptar medidas disciplinarias, incluyendo el despido disciplinario sin derecho a indemnización, siempre que dicha sanción esté prevista en la cláusula correspondiente y se ajuste a la normativa laboral.
Además, las cláusulas de confidencialidad deben incluir una reserva expresa de acciones legales por parte del responsable del tratamiento para reclamar el resarcimiento de daños y perjuicios en caso de incumplimiento, lo que podría involucrar responsabilidades civiles.
En ciertos supuestos, el incumplimiento del deber de confidencialidad puede conllevar responsabilidades penales si se configura como delito de revelación de secretos, tipificado en el artículo 199 del Código Penal. Este artículo protege el derecho a la intimidad del interesado y sanciona conductas como acceder, apoderarse, utilizar, modificar o divulgar información sin consentimiento, especialmente cuando el conocimiento deriva de relaciones laborales o profesionales.
La vulneración de la confidencialidad de los datos personales se califica como infracción muy grave en el artículo 72.1.i) de la LOPDGDD, pudiendo derivar en sanciones administrativas significativas impuestas por la AEPD, con multas que pueden alcanzar hasta 20 millones de euros o el 4 % de la facturación global, según el RGPD.
Conclusión
Mantener la confidencialidad de la información debe ser una prioridad para toda la organización, integrándose en sus políticas de gobernanza y cumplimiento normativo.
Si algún miembro de su organización no cumple escrupulosamente con el deber de confidencialidad, no le tiemble la mano a la hora de exigir responsabilidades, porque está en juego la reputación de toda la organización.
