El deber de confidencialidad en el ámbito de la protección de datos se recoge en el artículo 5 de la LOPDGDD que dispone lo siguiente:
- Los responsables y encargados del tratamiento de datos así como todas las personas que intervengan en cualquier fase de este estarán sujetas al deber de confidencialidad al que se refiere el artículo 5.1.f) del Reglamento (UE) 2016/679.
- La obligación general señalada en el apartado anterior será complementaria de los deberes de secreto profesional de conformidad con su normativa aplicable.
- Las obligaciones establecidas en los apartados anteriores se mantendrán aun cuando hubiese finalizado la relación del obligado con el responsable o encargado del tratamiento.
No es el único precepto de la LOPDGDD en el que se menciona el deber de confidencialidad, así encontramos referencias al mismo en los siguientes artículos:
- Categorías especiales de datos (artículo 9.2).
- Tratamiento de datos en el ámbito de la función estadística pública (artículo 25.3)
- Obligaciones generales del responsable y encargado del tratamiento (artículo 28.2.a).
- Posición del delegado de protección de datos (artículo 36.3).
- Potestades de investigación y planes de auditoría preventiva (artículo 51.4).
- Infracciones consideradas muy graves (artículo 72.1.i).
- Disposición adicional decimoséptima.
- Disposición final novena.
Igualmente, se refiere la confidencialidad en varios artículos del RGPD:
- Información que deberá facilitarse cuando los datos personales no se hayan obtenido del interesado (artículo 14.5.d).
- Encargado de tratamiento (artículo 28.3.b).
- Seguridad del tratamiento (artículo 32.1.b).
- Posición del delegado de protección de datos (artículo 38.5).
- Normas relativas al establecimiento de la autoridad de control (artículo 54.2).
- Confidencialidad (artículo 76).
- Obligaciones de secreto (artículo 90.1).
En virtud de las normas citadas, los responsables y encargados y subencargados del tratamiento, así como todas las personas que intervengan en cualquier fase de este, como los trabajadores de unos y otros, están obligados –por ley– a cumplir el deber de confidencialidad para garantizar la seguridad, la integridad y la disponibilidad de la información, protegiendo la misma frente al tratamiento ilícito o no autorizado, mediante la aplicación de medidas técnicas u organizativas apropiadas, que se adoptarán en atención al estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como los riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas.
A fin de regular el deber de confidencialidad es recomendable firmar un acuerdo con las personas obligadas, para estipular las consecuencias en el caso de incumplimiento y para determinar el alcance, pues no toda la información de una empresa es confidencial o secreta.
En los contratos de trabajo es habitual la inclusión de cláusulas de confidencialidad para asegurar que los trabajadores no divulguen información de la empresa, tanto durante la relación laboral como una vez finalizada esta, si bien la cláusula debe especificar un plazo concreto.
El incumplimiento del deber de confidencialidad por parte del trabajador supone una quiebra de la regla de buena fe y diligencia, que rige las relaciones laborales, de acuerdo al artículo 5 del Estatuto de los Trabajadores. En tales casos, se pueden adoptar medidas disciplinarias contra el trabajador, incluido el despido disciplinario, sin derecho a la percepción de indemnización alguna, si se incluye dicha medida en la cláusula de confidencialidad.
Asimismo, se incluirá en las cláusulas de confidencialidad que, en el caso de incumplimiento del deber impuesto, el responsable del tratamiento se reserva las acciones que en derecho le correspondan para reclamar el resarcimiento de los daños y perjuicios causados.
En determinados casos, incumplir el deber de confidencialidad puede conllevar responsabilidades penales cuando se incurre en un delito de revelación de secretos tipificado en el artículo 199 del Código Penal. El bien jurídico protegido es derecho a la intimidad del interesado y las conductas sancionables se concretan en acceder, apoderarse, utilizar, modificar y divulgar la información, sin consentimiento del interesado.
Vulnerar la confidencialidad de los datos personales se tipifica como infracción muy grave en el artículo 72.i) de la LOPDGDD.
Conclusión
Mantener la confidencialidad de la información debe ser una prioridad para toda la organización.
Si algún miembro de la organización no cumple escrupulosamente el deber de confidencialidad, que no le tiemble la mano para exigir responsabilidades, porque está en juego la reputación de toda la organización.
