La inclusión de nombre, apellidos o incluso la imagen de personas trabajadoras en las tarjetas identificativas que deban llevar, por estar de cara al público, supone que dichos datos personales estarán a la vista de terceros ajenos al estricto ámbito laboral, y para que este tratamiento sea lícito, se deben cumplir, como para cualquier otro tratamiento, todos los principios establecidos en el artículo 5.1 RGPD:
- Licitud, lealtad y transparencia (art. 5.1.a RGPD)
Si la finalidad que justifica la inclusión de los datos de identidad de las personas trabajadoras en sus tarjetas es precisamente garantizar su identificabilidad en el desempeño de sus funciones, el tratamiento de los datos es lícito y se encontraría amparado en el marco de la ejecución de un contrato, en este caso el contrato laboral (art. 6.1.b RGPD), esto sin perjuicio del cumplimiento del deber de información (art. 13 RGPD).
- Limitación de la finalidad (art. 5.1.b RGPD)
Se puede incluir la imagen en la tarjeta identificativa, siempre que no se utilice posteriormente de manera incompatible con los fines iniciales, esto es garantizar la identificabilidad de la persona trabajadora en el desempeño de sus funciones de cara al público o por razones de seguridad.
- Minimización de datos (art. 5.1.c RGPD)
Los datos incluidos en las tarjetas deben ser adecuados, pertinentes y limitados a lo necesario para los fines que se pretenden. En este caso, la organización debe justificar por qué es imprescindible incluir tanto el nombre y apellidos como la fotografía en la tarjeta identificativa para garantizar la identificabilidad de la persona trabajadora y no utilizar, por ejemplo:
- Solo el nombre y apellido, por no ser esencial la identificación con fotografía.
- Solo un número de identificación interno.
- Etc.
- Exactitud y conservación (arts. 5.1.d y e RGPD)
Los datos incluidos en las tarjetas se deben mantener exactos y actualizados, conservados solo durante el tiempo necesario para los fines para los que se han recabado.
Integridad y confidencialidad (art. 5.1.f RGPD)
Se debe llevar a cabo un análisis y evaluación del riesgo que el tratamiento supone para las personas trabajadoras, del que se determinen las medidas de seguridad, tanto técnicas como organizativas a adoptar, para garantizar una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental.
Ejemplo: Estaría justificado y sería proporcional que en un centro sanitario constara el nombre y apellidos de un profesional sanitario en una tarjeta identificativa claramente visible para el paciente, ya que puede ser necesario para este último conocer la identidad de la persona que le está prestando la asistencia sanitaria y de este modo cerciorarse de que no ha habido confusiones.