La Agencia Española de Protección de Datos (AEPD) ha publicado el 18 de mayo de 2021 un guía de ‘Protección de datos y relaciones laborales’ con el objetivo de ofrecer una herramienta práctica de ayuda a las organizaciones públicas y privadas para un adecuado cumplimiento de la legislación. Esta guía, de 80 páginas, ha sido elaborada por la Agencia con la participación tanto del Ministerio del Trabajo y Economía Social como de la patronal y organizaciones sindicales.
A continuación, ofrecemos un resumen de lo que se indica en el documento:
1.- Legitimidad de tratamiento de datos del Trabajador:
- El tratamiento de los datos personales es legítimo, en primer lugar, por la ejecución del contrato de trabajo. El consentimiento no es prioritario, puesto que existe una relación de desequilibrio entre empleado y empleador.
- También viene legitimado por una obligación legal que tiene la empresa para cumplir las exigencias impuestas por la ley (por ejemplo, cotización a la Seguridad Social, obligaciones tributarias, registro de jornada, información y consulta con los representantes de las personas trabajadoras, etc.) o por un convenio colectivo.
- Determinados datos podrán tratarse adicionalmente atendiendo a un interés legítimo de la empresa.
2.- Cómo proporcionar la información al trabajador:
- El responsable del tratamiento, normalmente el empleador, debe informar a las personas trabajadoras, de forma concisa, transparente, inteligible y de fácil acceso, con un lenguaje claro y sencillo, sobre el tratamiento de datos que está llevando a cabo. Deberán detallarse los distintos tratamientos, la finalidad y la base jurídica que la legitima.
- El contrato de trabajo, o en un anexo al mismo, es un medio adecuado para cumplir con el derecho de información de las personas trabajadoras.
3.- Principio de minimización:
- El empleador tiene derecho a conocer los datos personales necesarios para el normal desarrollo de la relación laboral, entre ellos, y a titulo meramente ejemplificativo y no limitativo, los siguientes:
- Nombre y apellidos de la persona trabajadora
- Sexo
- Número de DNI, número de identificación de extranjero y número de afiliación a la Seguridad Social
- Nacionalidad
- Discapacidad
- Fecha de nacimiento
- Sin embargo, otros datos personales no resultan imprescindibles para la ejecución del contrato de trabajo, como, por ejemplo, los datos de contacto particulares del empleado. El tratamiento de estos datos por parte del empleador exige la concurrencia de una base jurídica diferente a la ejecución del contrato, como puede ser el interés legitimo, que habrá́ de demostrarse debidamente atendiendo a los principios de ponderación y proporcionalidad.
- Tampoco es licita la cesión genérica por contrato de los derechos de imagen, salvo que esa cesión sea necesaria para la ejecución del contrato. (Per ejemplo, la prestación laboral de carácter comercial que exija video llamadas, habiéndose establecido expresamente en el contrato de trabajo que es con el fin de desarrollar una actividad propia de telemarketing).
4.- Deber de garantizar las medidas de seguridad en relación con la información de empleados:
- Las medidas de seguridad deben garantizar la confidencialidad de los datos, la disponibilidad, y con ella su recuperación ante cualquier evento, y su integridad, protegiéndolos frente a cualquier manipulación no autorizada. La empresa debe disponer de políticas de cumplimiento de estos dos principios, pues con ellas no sólo se garantiza un derecho fundamental, sino que además se ofrece confianza y seguridad a los afectados.
- Por todo ello es muy recomendable diseñar las funciones y responsabilidades de la plantilla, formar adecuadamente a las personas trabajadoras garantizando que conozcan sus deberes de seguridad y secreto y designar a un delegado de protección de datos que pueda asesorar al en el cumplimiento de la normativa y el principio de responsabilidad proactiva de los empleados.
5.- Selección y contratación:
- El tratamiento de datos personales durante el proceso de selección no exige el consentimiento de la persona candidata. El tratamiento «debe ser lícito cuando sea necesario en el contexto de un contrato o de la intención de concluir un contrato» (considerando 44 RGPD).
- Es conveniente disponer de impresos tipo ya que ello permite informar adecuadamente y de dispondrá de la prueba de que se informado de todo lo necesario.
- Únicamente cabe pedir datos relevantes para el puesto y no información indiscriminada. Nunca se pedirá información especialmente protegida si no está amparado en una Ley (por ejemplo, antecedentes penales). La impresiones o valoraciones del que hace la selección se consideran datos personales
- Consulta de Redes Sociales por parte de la empresa: La indagación en los perfiles de redes sociales de las personas candidatas a un empleo sólo será́ posible cuando se demuestre que dicho tratamiento es necesario y pertinente para desempeñar el trabajo. Y la persona trabajadora tiene derecho a ser informada sobre ese tratamiento.
- La empresa no está legitimada para solicitar «amistad» a personas candidatas para que estas, por otros medios, proporcionen acceso a los contenidos de sus perfiles
- En el caso de las agencias de colocación y empresas de selección, éstas actuarán como encargadas del tratamiento cuando hayan celebrado previamente un contrato con la empresa que busca personas trabajadoras, que será́ la que determinará los fines y medios de dicho tratamiento.
- Será́ necesario el consentimiento de la persona candidata para que la empresa donde solicita trabajo ceda sus datos (por ejemplo, el currículum a otra), aunque las dos empresas formen parte de un mismo grupo empresarial.
- Salvo que la empresa justifique un interés legítimo, debe destruirse el currículum cuando finaliza el proceso de selección y la persona no es contratada.
6.- Identificación de personas empleadas ante clientes:
- Las tarjetas identificativas podrán ser obligatorias para los empleados, siempre y cuando se trate de actividades cara al público o por razones de seguridad. Esto puede incluir fotografías, siempre y cuando esté justificado, sin necesidad de tener el consentimiento del interesado.
7.- Categorías especiales de datos:
- Reconocimientos médicos: El reconocimiento médico es voluntario salvo que por ley se establezca como obligatorio (por ejemplo, actividades con riesgo de enfermedad profesional). Sin embargo, el tratamiento de datos no requiere el consentimiento, puesto que el art. 9.2.h) del RGPD admite la recogida y tratamiento de datos con fines de «medicina preventiva o laboral» y «evaluación de la capacidad laboral del trabajador».
- Pruebas psicotécnicas o psicológicas: Las pruebas psicotécnicas, de personalidad o las pruebas psicológicas son frecuentes en las entrevistas de trabajo y el tratamiento de datos obtenidos exige el consentimiento de la persona afectada. Antes de recabar este tipo de datos es necesario analizar la proporcionalidad del tratamiento.
- Ya en ejecución de la relación laboral, el tratamiento de categorías especiales de datos personales está prohibido con carácter general. Sin embargo, es lícito su tratamiento en las siguientes circunstancias
- Con el consentimiento del afectado salvo que lo prohíba una norma: La LOPDGDD prohíbe tratar datos para identificar ideología, afiliación sindical, religión, orientación sexual, creencias u origen racial.
- Cuando sea obligatorio en el ámbito del Derecho Laboral y de la seguridad y protección social.
- Cuando el tratamiento sea necesario para proteger intereses vitales del trabajador (por ejemplo, salud).
- Cuando se refiere a datos personales que el interesado ha hecho manifiestamente públicos.
- Cuando sea necesario para fines de medicina preventiva o laboral, incluida la evaluación de la capacidad laboral de la persona.
En cualquier caso, el tratamiento de estos datos implica extremar las cautelas que permiten su acceso y su publicación debe hacerse de forma anónima.
- Los datos biométricos: los datos biométricos únicamente tienen la consideración de categoría especial de datos en los supuestos en que se sometan a tratamiento técnico dirigido a la identificación biométrica (uno-a-varios) y no en el caso de verificación/autenticación biométrica (uno-a-uno). Será posible el tratamiento en la ejecución del contrato, pero el trabajador siempre debe ser informado, deben establecerse las medidas de seguridad necesarias (como el cifrado de los datos, entre otras medidas).
Si se opta por un sistema de identificación biométrica, será́ necesario llevar a cabo una evaluación de impacto. En el caso de implementación de un sistema biométrico para controlar el acceso a una zona restringida, los datos biométricos de los trabajadores que ya no están autorizados a acceder a esa zona (por ejemplo, por cambio de puesto de trabajo) deben suprimirse.
8.- Sistemas internos de denuncia o “Whistleblowing”
- La Ley permite estos sistemas, aunque en todo caso deben respetarse los principios básicos de la protección de datos. La base jurídica para el tratamiento de datos es el interés público.
- Los empleados (denunciantes o potenciales denunciados) deberán haber sido informados previamente de la existencia de estos sistemas y del tratamiento de los datos que conlleva la formulación de una denuncia.
- Los sistemas deberían estar debidamente descritos en códigos internos de conducta para garantizar el principio de proporcionalidad y el principio de limitación de la finalidad.
- En caso de que el sistema de denuncias sea anónimo, la identidad del denunciante debe quedar realmente a salvo.
- Únicamente será́ lícito el acceso de otras personas, o incluso su comunicación a terceros, cuando resulte necesario para la adopción de medidas disciplinarias o para la tramitación de los procedimientos judiciales que, en su caso, procedan.
9.- Registro de Jornada:
- El registro de jornada con el que deben contar todas las empresas de conformidad con lo dispuesto en el art. 34.9 del ET tiene su base jurídica en una obligación legal de incluir el horario concreto de inicio y finalización de la jornada de cada persona trabajadora.
- El derecho a la protección de datos no limita las opciones de una empresa en relación con el sistema de registro horario, aunque es recomendable que se adopte el sistema menos invasivo posible.
- No se requiere consentimiento porque deriva de una obligación legal, pero el trabajador debe ser informado.
- Debe cumplirse con el principio de minimización, y no debe ser de acceso público ni estar situado (en caso de ser manual) en un lugar visible.
- Debe respetarse la finalidad que impone la Ley. Como ejemplo, una persona trabajadora itinerante cuyo registro de jornada se realiza por geolocalización. La finalidad del registro de jornada es comprobar cuando la persona trabajadora comienza y finaliza el tiempo de trabajo, pero no verificar donde se encuentra en cada momento. Es un instrumento de comprobación del tiempo de trabajo y no del lugar donde se desarrolla la actividad.
- Es importante maximizar las medidas de seguridad, garantizar la confidencialidad y el DPD debería estar presente en todo el ciclo de vida de la documentación vinculada con el registro horario.
10.- Registro de salarios:
- El registro de salario regulado en el art. 28.2 ET no tiene porqué implicar el tratamiento de datos, no obstante, el dato disociado podría convertirse en dato personal respecto de aquellas categorías o grupos profesionales con un reducido número de personas trabajadoras. Si esto sucede, deberán aplicarse las normas comunes de protección de datos.
11.- Cesión de datos a otras empresas (Grupos, contratas y transmisión):
- Grupos de empresa: Con carácter general, la comunicación de los datos entre empresas del mismo grupo exigirá́ acreditar un interés legítimo bien del responsable del tratamiento, o bien del tercero al que se comunican los datos. Ese interés legítimo puede consistir en la centralización de las actividades de carácter administrativo. Habrá́ que tomar en consideración factores como la estructura del grupo de empresas (horizontal o jerarquizado), la finalidad del tratamiento de datos o la movilidad de la persona trabajadora por distintas empresas del grupo.
- Transmisión: Es posible la cesión de datos por la obligación establecida en el artículo 44 ET, el CC o el pliego de cláusulas, según los casos. Los trabajadores deben ser informados, y la cesión no es lícita si el empleado rechaza la subrogación.
- Subcontratación: El art. 42 del ET establece diversas obligaciones y responsabilidades en supuestos de contratas y subcontratas relativas a la «propia actividad» de la empresa principal. Esto puede exigir la comunicación de datos personales de las personas trabajadoras entre el empleador principal y otras empresas de la cadena de contratas, pues la responsabilidad solidaria alcanza a la empresa principal. La obligación legal legitima esta cesión, pero deberemos ser cautos garantizando el principio de minimización.
12.- Protección de la información de víctimas de acoso en el trabajo o violencia de género:
- Los datos personales relativos a las victimas de acoso en el trabajo y a las mujeres supervivientes a la violencia de género, y en particular su identidad, tienen, con carácter general, la consideración de categorías especiales de datos personales y, en todo caso, son datos sensibles que exigen una protección reforzada.
13.- Extinción de la relación laboral:
- Deberán tomarse las medidas oportunas y procederse al bloqueo de datos (salvo casos de interés legítimo, como la recepción de una demanda). Se conservarán atendiendo a los plazos de prescripción establecidos en la normativa laboral.
14.- Control de la actividad laboral:
- El control empresarial con la implantación de nuevas tecnologías incrementa el riesgo de afectación a los derechos de las personas trabajadoras, por su gran potencial invasivo: controles biométricos como la huella dactilar, videovigilancia, geolocalización, etc.
- Por ello, la implantación de medidas de control exige realizar una prueba de proporcionalidad en el que debe valorarse si la medida de control: Es susceptible de conseguir el objetivo propuesto (juicio de idoneidad); Es necesaria, en el sentido de que no exista otra medida más moderada para la consecución de tal propósito con igual eficacia (juicio de necesidad); Es ponderada o equilibrada, por derivarse de ella más beneficios o ventajas para el interés general que perjuicios sobre otros bienes o valores en conflicto (juicio de proporcionalidad en sentido estricto).
- Superado el test, el empleador podrá́ adoptar la medida de control, pero deberá respetar el derecho a la protección de datos si se produce un tratamiento de datos personales: informando al empleado y recabando los datos estrictamente necesarios.
15.- Videovigilancia:
- La base jurídica para el control de las personas trabajadoras mediante videovigilancia es el contrato de trabajo y las facultades legales de control concedidas al empleador (art. 20.3 del ET), por lo que no se requiere el consentimiento.
- Debe cumplirse con el principio de minimización, en número de cámaras, ubicaciones, etc.
- La empresa debe informar a las personas trabajadoras y, en su caso, a sus representantes, con carácter previo, y de forma expresa, clara y concisa, acerca de esta medida.
- Está prohibida la instalación de sistemas de grabación de imagen y/o sonido en lugares destinados al descanso o esparcimiento de las personas trabajadoras, tales como vestuarios, aseos, comedores y análogos.
16.- Geolocalización:
- El art. 90 de la LOPDGDD permite el uso de sistemas de geolocalización para el control de las personas trabajadoras. La base que legitima el tratamiento no es el consentimiento, sino el contrato de trabajo y las facultades de control de las personas trabajadoras atribuidas legalmente a los empleadores.
- Las personas trabajadoras y, en su caso, sus representantes deben ser informados de forma expresa, clara e inequívoca acerca de la existencia y características de estos dispositivos. Los principios de minimización y limitación de la finalidad son plenamente operativos. Por consiguiente, si la finalidad de la geolocalización es el registro horario, los datos no podrán ser utilizados para verificar la ubicación de la persona trabajadora en cada momento.
- La geolocalización puede no tener como objeto a la persona trabajadora, sino el de ser herramientas propiedad del empleador, como vehículos o dispositivos móviles. Los empleadores deben asegurarse de que los datos recogidos a través de esta vía se traten con un fin especifico y no cuenten con un propósito más amplio que permita la observación continua de las personas trabajadoras.
17.- Control por falta de asistencia por enfermedad o accidente:
- El empresario puede verificar el estado de enfermedad o accidente del trabajador mediante reconocimiento a cargo de personal medico. La negativa del trabajador a dichos reconocimientos podrá́ determinar la suspensión de los derechos económicos que pudieran existir a cargo del empresario por dichas situaciones (art. 20.4 del ET).
- La empresa no está legitimada para conocer los detalles concretos del reconocimiento médico, sino únicamente la conclusión, esto es, si la persona trabajadora está o no en condiciones psicofísicas de reincorporarse a su puesto de trabajo.
18.- Uso de detectives privados.
- Si bien están permitidos bajo las facultades que habilita al empresario el ET, está prohibido investigar la vida íntima que transcurra en el domicilio o otros lugares reservados, y en el informe únicamente se hará́ constar información directamente relacionada con el objeto y finalidad de la investigación contratada, sin incluir en él referencias, informaciones o datos que hayan podido averiguarse relativos al cliente o al sujeto investigado, en particular los de carácter personal especialmente protegidos, que no resulten necesarios o que no guarden directa relación con dicho objeto y finalidad ni con el interés legítimo alegado para la contratación.
19.- Representación Sindical de las personas trabajadoras:
- El tratamiento de datos por parte de los representantes de los trabajadores sólo será posible cuando se traten los datos necesarios para las funciones de representación. No es admisible el tratamiento de datos privados de la persona trabajadora, como el número de teléfono personal. Sí lo sería, en cambio, la identificación de las personas trabajadoras que ocupan cada puesto de trabajo con nombre y apellidos, por ejemplo.
- El empleador no debe ceder a los representantes más datos de los imprescindibles para realizar sus funciones (minimización de datos).
- El tratamiento de datos requiere cumplir la obligación de informar a las personas trabajadoras.
- La publicación de notas informativas, anuncios, convocatorias, declaraciones e incluso sentencias en este tipo de tablones constituye una práctica habitual. La evolución tecnológica ha dado lugar a tablones online. Cuando esas notas, anuncios o documentos contienen datos personales, la simple publicación constituye un tratamiento que puede comportar el acceso a datos por terceros carentes de legitimación. Sólo los usuarios legitimados deben tener acceso al tablón de anuncios. Un tablón del que se pueda obtener información sindical no puede ubicarse en una zona de acceso libre para clientes o proveedores.
- Los representantes o el comité de empresa únicamente podrán comunicarse datos cuando resulte estrictamente necesario para el cumplimiento de los deberes que el ET establece para la empresa. En este marco, no hace falta el consentimiento de la persona trabajadora para entregar la copia básica del contrato.
- La legislación española exige en todo caso el consentimiento de la persona trabajadora a efectos del descuento de la cuota sindical.
20.- Vigilancia en la Salud:
- La vigilancia en la salud es una obligación que no implica un deber correlativo para las personas trabajadoras, pues los reconocimientos médicos a cargo del empleador son, con carácter general, voluntarios para aquellas, que deben prestar su consentimiento.
- Esta vigilancia de la salud puede ser obligatoria conforme al artículo 22.1 de la LPRL, previo informe de los representantes de las personas trabajadoras, en los siguientes supuestos:
- Reconocimientos imprescindibles para evaluar los efectos de las condiciones de trabajo sobre la salud de las personas trabajadoras
- Verificación de si el estado de salud de la persona trabajadora puede constituir un peligro para ella misma, para las demás personas trabajadoras, o para otras relacionadas con la empresa.
- Obligación legal en relación con la protección de riesgos específicos y actividades de especial peligrosidad.
- Tanto si el reconocimiento médico es voluntario como si es obligatorio, la base jurídica para el tratamiento de datos personales derivados de esa vigilancia de la salud no seria el consentimiento, sino la ejecución del contrato.
- El cumplimiento del deber de información es esencial.
- Hay que prestar particular atención al principio de proporcionalidad, de modo que sólo cabe recabar y utilizar los datos estrictamente necesarios para la finalidad de prevención.
- El empleador no está legitimado para conocer el concreto diagnóstico médico, de modo que sólo podrá́ acceder a las conclusiones de dicha vigilancia de la salud referidas al concepto de «apto» o «no apto», o al desglose de las tareas que es posible realizar, con las recomendaciones pertinentes sobre la adaptación o el cambio de puesto.
- La empresa no tiene derecho a conocer datos de salud más específicos incluso cuando se refieran a una persona trabajadora especialmente sensible a los riesgos derivados del trabajo (por ejemplo, trabajadoras embarazadas, o personas con capacidades diferentes).
- La relación entre la empresa y el servicio de prevención requerirá́ un tratamiento de datos, en concreto comunicaciones de datos relativos a las personas trabajadoras, que no exigen el consentimiento de éstas porque la base jurídica es una obligación legal, la prevención de riesgos laborales.
Xavi Saula
xavi@aurisadvocats.com
Especialidades:
Área procesal civil y mercantil
Concursal
Nuevas tecnologías
Gestión de impagos y morosidad