Una funeraria madrileña ha sido multada con 120.000 euros por desvelar la identidad de varios trabajadores que denunciaron de forma anónima acoso laboral. La Agencia Española de Protección de Datos (AEPD) consideró que la empresa vulneró su deber de confidencialidad al enviar un correo colectivo a toda la plantilla con los nombres y apellidos de los propios denunciantes.
Esta sanción es un aviso claro para cualquier autónomo o pequeño negocio: un error interno en el tratamiento de datos puede suponer una infracción grave y una multa difícil de asumir para un pequeño negocio. No en vano, en los últimos años, buena parte de las multas de la AEPD se han dirigido a pymes. En concreto, en 2024, el 72% de las sanciones recayeron sobre pequeños negocios.
La empresa había puesto en marcha un protocolo interno tras recibir denuncias por acoso. Al cerrar el expediente, envió una comunicación interna que incluía los nombres y resoluciones individuales de los implicados.
La AEPD culpa a la empresa de que los implicados quedasen identificados dentro de la organización
Ese correo se compartió con el comité de empresa, los denunciados y los propios denunciantes. La consecuencia fue que todos ellos quedaron identificados públicamente dentro de la organización.
Uno de los trabajadores sufrió un ataque de ansiedad y pidió la baja médica tras la filtración. Algunos compañeros comenzaron a hacer comentarios despectivos sobre los denunciantes a través de los grupos de WhatsApp laborales.
La funeraria alegó que la identidad de los denunciantes ya era conocida, y añadió que no se había solicitado expresamente el anonimato. La Agencia no aceptó ese argumento y consideró que existía obligación de proteger la confidencialidad.
La resolución administrativa subraya que la empresa actuó con un alto grado de negligencia. Los datos revelados tenían carácter sensible por tratarse de un caso de acoso laboral. La multa inicial fue de 200.000 euros, pero se redujo a 120.000 por reconocimiento de responsabilidad y pago voluntario. La empresa aceptó los hechos y pidió disculpas por escrito a los afectados.
Sin embargo, según ha podido saber este diario, no era la primera vez que esa funeraria cometía una infracción de este tipo. Ya había sido sancionada en el pasado por desvelar a la prensa la identidad de una trabajadora que denunció prácticas machistas.
Cuidar los datos de puertas afuera, pero también adentro
El caso refleja un problema habitual en los pequeños negocios: se presta atención al tratamiento externo de datos, pero se descuida el uso que se hace de la información dentro del negocio.
La Ley 2/2023 obliga a preservar la identidad de los denunciantes en los canales internos. Aunque no todas las pymes están obligadas a implantar un canal de denuncias (empresas con 50 o más trabajadores), sí lo están a respetar la confidencialidad si reciben una queja por cualquier vía.
El Reglamento General de Protección de Datos también impone el principio de integridad y confidencialidad. Esto incluye limitar el acceso a los datos solo al personal autorizado. La mayoría de pequeños negocios no tiene departamento jurídico, ni personal especializado. Pero eso no les exime de cumplir la ley ni les protege frente a sanciones administrativas si cometen errores.
Un correo mal redactado o un documento mal compartido puede constituir una infracción. En el caso de esta funeraria, fue suficiente con que la información llegara a personas no autorizadas dentro de la empresa.
Y el hecho de que los datos no salieran de la organización no fue suficiente para evitar la sanción. La AEPD entiende que la mera exposición interna de los datos vulneró los derechos de los denunciantes.
Multas por cámaras de vídeovigilancia mal señalizadas o por envíos de publicidad sin consentimiento
En los últimos años, buena parte de las multas de la AEPD se han dirigido a pequeñas empresas. Los motivos van desde cámaras de vídeovigilancia mal señalizadas hasta envíos de publicidad sin consentimiento de los clientes.
También hay múltiples sanciones por divulgar datos de clientes en redes sociales o grupos internos sin autorización. La mayoría se deben a errores cometidos por desconocimiento o falta de protocolos.
El caso de esta funeraria es especialmente relevante porque se refiere a un problema muy concreto: la gestión de denuncias internas. Incluso en negocios pequeños, pueden producirse conflictos laborales que den lugar a procesos confidenciales.
Es recomendable firmar cláusulas de confidencialidad con los empleados que accedan a datos delicados. También conviene establecer instrucciones internas sobre cómo manejar las denuncias y la información asociada.
La Agencia no exige sistemas caros ni tecnología compleja para las pymes. Basta con aplicar el sentido común, limitar accesos y evitar compartir datos si no es estrictamente necesario. Y, como ha contado este diario hace escasa fechas, la propia AEPD ofrece herramientas gratuitas para ayudar a las pymes a cumplir con el RGPD.
Básicamente, mediante guías específicas sobre protección de datos en el ámbito laboral. En ellas se explica cómo actuar ante conflictos internos y qué hacer para proteger la información sensible.
Las autoridades recuerdan: la gestión de datos personales no es sólo una obligación hacia los clientes
Para la AEPD son se trata sólo de la correcta gestión de datos personales como una obligación hacia los clientes, sino que las pymes deben cuidar cómo se gestionan los datos dentro del propio negocio.
Y como sucedió en este caso, un mero correo electrónico puede abrir la puerta a un expediente sancionador. La privacidad no se protege solamente con contraseñas, sino también con decisiones cuidadosas en el día a día. Porque cuidar la confidencialidad es proteger también la reputación y la viabilidad del negocio.
