La Agencia Española de Protección de Datos ha elaborado una guía que pretende facilitar el cumplimiento de la normativa de protección de datos en materia de relaciones laborales.
La Agencia Española de Protección de Datos (AEPD) ha publicado recientemente la guía “La protección de datos en las relaciones laborales”. Este documento pretende facilitar el cumplimiento de la normativa de protección de datos a las empresas y a los responsables del tratamiento de datos personales en las relaciones de la compañía con sus trabajadores.
El propósito de la guía no consiste, exclusivamente, en resumir o estructurar el contenido de la normativa de protección de datos, sino en proporcionar una orientación de carácter práctico, que facilite a los responsables del tratamiento de datos personales y a las personas o entidades encargadas del tratamiento (en terminología del RGPD y en adelante, “encargados del tratamiento”) el cumplimiento de la legislación, con el apoyo de la experiencia de la AEPD.
En este artículo se recogen algunos de los puntos más relevantes comentados en la guía. Para ello se seguirá la misma estructura proporcionada por la guía, quedando esta dividida en seis grandes apartados laborales:
Respecto de este apartado, expondremos a modo de resumen y brevemente por no ser ningún aspecto novedoso, que el empleador debe informar a las personas trabajadoras con un lenguaje claro y sencillo, sobre el tratamiento de datos que está llevando a cabo. Por su parte, las personas trabajadoras pueden ejercer los siguientes derechos:
Derecho de acceso. La persona trabajadora tiene derecho a la confirmación de que se está produciendo un tratamiento de datos y a conocer cómo se está produciendo ese tratamiento.
Derecho de rectificación. Las personas trabajadoras pueden exigir la rectificación de los datos inexactos que estén siendo objeto de tratamiento, así como que se completen aquellos que sean incompletos.
Derecho de supresión. Las personas trabajadoras pueden exigir la supresión de los datos personales objeto de tratamiento.
La indagación en los perfiles de redes sociales de las personas candidatas a un empleo, solo se justifica si están relacionados con fines profesionales. Para eso, se debe demostrar que dicho tratamiento es necesario y pertinente para desempeñar el trabajo. En todo caso, la persona trabajadora tiene derecho a ser informada sobre ese tratamiento.
Sin embargo, la empresa no está legitimada a solicitar «amistad» a personas candidatas para que estas, proporcionen acceso a los contenidos de sus perfiles (Dictamen 2/2017 sobre el tratamiento de datos en el trabajo del Grupo de Trabajo del Artículo 29).
La empresa tampoco está legitimada para solicitar a una persona trabajadora o candidata a un empleo, la información que este comparta con otras personas a través de las redes sociales.
Las respuestas del candidato en una entrevista de trabajo no equivalen a un consentimiento para el tratamiento como si fueran datos personales.
Por tanto, los datos obtenidos mediante deducciones en una entrevista sobre las creencias religiosas o afiliación sindical o política, de una persona candidata, no pueden ser objeto de tratamiento salvo que sean datos necesarios para la ejecución del contrato, haya un interés legítimo o haya un consentimiento.
Pero el empleador debe tener en cuenta que se considera una infracción administrativa muy grave «solicitar datos de carácter personal en los procesos de selección o establecer condiciones, mediante la publicidad, difusión o por cualquier otro medio, que constituyan discriminaciones para el acceso al empleo por motivos de sexo, origen, incluido el racial o étnico, edad, estado civil, discapacidad, religión o convicciones, opinión política, orientación sexual, afiliación sindical, condición social y lengua dentro del Estado» (art. 16.1.c) TRLISOS).
Según establece la Recomendación 2015 (2) del Consejo de Europa en su apartado. 9.2), una persona solicitante de empleo solo puede ser interrogada sobre su estado de salud y/o ser examinado médicamente para indicar su idoneidad para el empleo futuro y/o cumplir los requisitos de la medicina preventiva.
Los reconocimientos médicos son voluntarios para la persona trabajadora, salvo que por ley se establezca como obligatorio en aquellas actividades con riesgo de enfermedad profesional.
La guía explica que, si el currículum se remitió por correo postal o electrónico y se cuenta con una dirección electrónica facilitada por el propio afectado, puede remitírsele información por ese medio, solicitando confirmación de la recepción y condicionando el tratamiento de los datos al acuse de recibo. Si se presentó en un mostrador u oficina de atención, debería ser informado allí por cualquier medio que acredite el cumplimiento de este deber, como por ejemplo carteles o documentos de acuse de recibo.
Por otro lado, si la persona candidata no es contratada, sería necesario su consentimiento para un futuro tratamiento, como por ejemplo en una bolsa de trabajo de la empresa. Pero, si no se da este caso o no existe el consentimiento, debe destruir el currículum y proceder a la supresión y bloqueo de los datos personales.
En las nóminas no debe figurar información superflua o adicional, diferente a la relación de ingresos y deducciones derivadas del contrato de trabajo. En particular, no debería incluirse la mención a la afiliación sindical en el recibo de salarios, siendo recomendable que el eventual descuento de la cuota sindical se identificase de manera que no permitiera a terceros conocer esa información, por cuanto la nómina es exigida habitualmente por entidades públicas y privadas para realizar determinados trámites.
En las nóminas, junto con la información referida a sus retribuciones, podrían aparecer otros datos, como el domicilio fiscal, la cuenta corriente en que se produzca los pagos e incluso datos especialmente protegidos referentes a salud o ideología, así como el descuento, en su caso, de la cuota sindical de los afiliados a un sindicato.
Esos datos no deben ser conocidos por terceros, ni tampoco por determinadas personas cuando la finalidad no lo justifique, si no media consentimiento del afectado. La eventual transparencia sobre las retribuciones y el desglose de los conceptos retributivos, que en determinados ámbitos puede ser incluso una exigencia legal, no se extiende a otros datos personales, aunque figuren en la nómina.
Los datos del registro no pueden ser utilizados con finalidades distintas al control de la jornada de trabajo (principio de limitación de la finalidad). El registro horario es un instrumento para verificar la jornada laboral diaria realizada por cada persona trabajadora y su finalidad es crear un marco de seguridad jurídica en las recíprocas relaciones de personas trabajadoras y empresas, así como posibilitar el control por parte de la Inspección de Trabajo y Seguridad Social. Además, la empresa, tras analizar los datos de registro de jornada, podrá conocer si alguna de las personas trabajadoras ha incumplido su horario y, por este motivo, no es necesario que la persona trabajadora haya sido informada específicamente sobre los resultados de dicho control. Sin embargo, el registro horario no podría ser utilizado para fines diferentes, como por ejemplo comprobar la ubicación de una persona trabajadora.
Los geolocalizadores son un instrumento de comprobación del tiempo de trabajo y no del lugar donde se desarrolla la actividad, en aquellos casos en los que una persona trabajadora itinerante tiene establecido que el registro de su jornada se realice por geolocalización.
Por lo tanto, la finalidad del registro de jornada es comprobar cuándo la persona trabajadora comienza y finaliza el tiempo de trabajo, pero no controlar dónde se encuentra en cada momento.
Los principios de minimización y limitación de la finalidad son plenamente operativos. Por consiguiente, si la finalidad de la geolocalización es el registro horario, los datos no podrán ser utilizados para verificar la ubicación de la persona trabajadora en cada momento, sino las horas de inicio y fin de la actividad, que es lo que permite la base jurídica del registro horario (art. 34.9 del ET).
En la carta de despido no podrán constar datos personales que el empleador no está legitimado para conocer, por ejemplo, aquellas categorías especiales de datos personales, como el diagnóstico médico que motiva un despido por ineptitud (STS 5138/2005, de 22 de julio, Sala de lo Social).
Según Dictamen 2/2017 del Grupo de Trabajo del Artículo 29, se admite esta posibilidad siempre que el empresario pueda demostrar que dicho control es necesario para proteger sus intereses legítimos, que no existen otros medios menos invasivos y que las personas extrabajadoras han sido adecuadamente informadas del alcance del control periódico de sus comunicaciones públicas.
Según el art. 89 de la LOPDGDD, estas imágenes pueden tratarse para el ejercicio de las funciones de control de las personas trabajadoras, con los siguientes requisitos:
La base jurídica para el control de las personas trabajadoras mediante videovigilancia es el contrato de trabajo y las facultades legales de control concedidas al empleador (art. 20.3 del ET), por lo que no se requiere el consentimiento.
La videovigilancia solo debe utilizarse cuando no sea posible acudir a otros medios que causen menos impacto en la privacidad. En este sentido, los sistemas de videovigilancia para control empresarial solo se adoptarán cuando exista una relación de proporcionalidad entre la finalidad perseguida y el modo en que se traten las imágenes y no haya otra medida más idónea. El control audiovisual ha de respetar los derechos fundamentales de la persona trabajadora, especialmente el derecho a la intimidad personal (STC 98/2000, de 10 abril y 186/2000, de 10 julio).
Se produce un tratamiento de datos tanto si las cámaras graban imágenes como si las reproducen en tiempo real. En cambio, no se aplica la normativa de protección de datos a las cámaras simuladas, pues, al no captar imágenes de personas físicas identificadas o identificables, no tiene lugar un tratamiento de datos personales. En cambio, deberán aplicarse los principios vigentes en materia de protección de datos personales y la normativa sectorial que resulte de aplicación a las cámaras que simplemente estén desactivadas y que pueden ser activadas sin esfuerzos excesivos.
En la sentencia del Tribunal Europeo de los Derechos Humanos (STEDH López Ribalda II de 17-10-2019) se admite, que la no advertencia a la persona trabajadora sobre el emplazamiento de la cámara, en un supuesto en el que sí ha existido información sobre la instalación de cámaras de videovigilancia y concurre una sospecha fehaciente de incumplimiento grave de las obligaciones laborales (sustracción de productos de la empresa de forma continuada con alto valor económico) no conduce a la nulidad de las pruebas obtenidas para imponer una sanción a la persona trabajadora, pero la empresa puede ser considerada responsable en el ámbito de la protección de datos, por infracción de la obligación de informar, debiendo hacer frente a las responsabilidades civiles y administrativas que se puedan derivar de ese incumplimiento.
Las personas trabajadoras que utilicen herramientas de geolocalización deben ser plenamente informados sobre el seguimiento llevado a cabo y la finalidad de su utilización por parte del empleador.
El empleador debe informar claramente a las personas trabajadoras de que se ha instalado un dispositivo de seguimiento en el vehículo de la empresa y que sus movimientos están siendo registrados mientras lo utilizan (y que, en función de la tecnología utilizada, también puede registrarse su comportamiento al volante). Se aconseja que esta información aparezca en un lugar destacado de cada vehículo, a la vista del conductor.
El dispositivo de geolocalización sí podría justificarse en el transporte de mercancías, cuando resulte relevante conocer dónde se encuentra el vehículo y en qué momento podrá realizar una determinada entrega.
No es lícito imponer a la persona trabajadora la obligación de proporcionar medios personales para facilitar la geolocalización (por ejemplo, teléfono móvil). La Sentencia de la Audiencia Nacional, SAN 136/2019, de 6 de febrero, Sala de lo Social, declaró que es contrario al derecho a la protección de datos imponer una cláusula en el contrato que exija a la persona trabajadora comunicar al empresario una dirección de correo electrónico y disponer de un teléfono móvil con conexión a internet para instalar una aplicación de geolocalización que permita a los clientes realizar un seguimiento de los pedidos durante el reparto.
Según recoge el art. 20.4 del ET, el empresario podrá verificar el estado de enfermedad o accidente del trabajador que sea alegado por este para justificar sus faltas de asistencia al trabajo, mediante reconocimiento a cargo de personal médico.
La negativa del trabajador a dichos reconocimientos podrá determinar la suspensión de los derechos económicos que pudieran existir a cargo del empresario por dichas situaciones.
Es totalmente válido que la empresa utilice los servicios médicos de una sociedad externa subcontratada para reconocer a los trabajadores que se ausentan por motivos de salud, siempre que se realice dentro de los límites de la buena fe y sea proporcional con los objetivos buscados. (STS 481/2018, de 25 de enero, Sala de lo Social)
El art. 20.3 del ET habilita al empleador para adoptar medidas de control y vigilancia de muy distinta intensidad, y entre ellas podría recurrir a un detective privado, con las siguientes cautelas:
Esta medida, como cualquier otra de control, exige la superación del test de proporcionalidad, por lo que no se justifica si existen otras igualmente idóneas, pero menos invasivas.
El tratamiento de datos no requiere el consentimiento de las personas trabajadoras, pues la base jurídica es el contrato de trabajo, en relación con el art. 20.3 del ET.
Está prohibido investigar «la vida íntima de las personas que transcurra en sus domicilios u otros lugares reservados», así como utilizar «en este tipo de servicios medios personales, materiales o técnicos de tal forma que atenten contra el derecho al honor, a la intimidad personal o familiar o a la propia imagen o al secreto de las comunicaciones o a la protección de datos» (art. 49.4 de la Ley 5/2014, de 4 de abril, de seguridad privada).
Cuando una empresa tiene representantes de los trabajadores y en ocasiones debe facilitarles información relativa a otros trabajadores hay algunos límites en materia de protección de datos que tanto la empresa como los representantes deben respetar.
Cuando una empresa necesita tramitar un ERTE o alguna otra medida de carácter colectivo (despidos, traslados, suspensiones o modificaciones sustanciales), se debe tramitar un período de consultas con los representantes de los trabajadores. En estos periodos de consultas se incluyen negociaciones en las que se debe facilitar información a los representantes. En este sentido, hay que tener en cuenta que:
Esa información puede incluir datos personales de los trabajadores, como nombre y apellidos o el puesto que ocupan. Además, en algunos casos se debe informar sobre los criterios que se pretenden utilizar para seleccionar a los trabajadores afectados por la medida, como pueden ser la edad, la antigüedad o la productividad. En estos casos, la empresa deberá respetar el “principio de minimización” y aportar únicamente los datos necesarios para las negociaciones, no proporcionando datos que no sean necesarios, como los domicilios de los trabajadores o el número de DNI.
Los representantes de los trabajadores no pueden utilizar los datos con una finalidad distinta a la de negociar con la empresa para intentar alcanzar un acuerdo. A estos efectos, dichos representantes tienen un deber de sigilo respecto a la información que la empresa les haya facilitado con carácter reservado, como pueden ser los datos económicos de la compañía, y respecto a los datos de carácter confidencial a los que hayan accedido.
Los representantes de los trabajadores pueden enviar correos electrónicos a los empleados de una empresa. En este sentido, el envío de información sindical a través del correo electrónico constituye un derecho de los representantes amparado por el derecho fundamental de libertad sindical. Ahora bien, este derecho tiene algunas limitaciones:
La empresa no puede ceder a los representantes la dirección de correo electrónico privada de los trabajadores.
Los representantes deben respetar el derecho de oposición de los trabajadores, de modo que estos pueden oponerse a seguir recibiendo e-mails de carácter sindical.
Las empresas deben poner a disposición de los representantes un tablón de anuncios en el centro de trabajo y respetar las siguientes condiciones:
Debe impedir el acceso a la información publicada en el tablón a terceros no autorizados, como clientes o proveedores. Por tanto, no podrá estar situado en sitios de acceso libre para terceras personas.
Si debido al teletrabajo la empresa ha habilitado una parte de la intranet para que los representantes cuelguen información sindical, se deberá asegurar que no puedan acceder personas externas a la empresa.
Si los representantes cuelgan sentencias de casos que han ganado, deben estar anonimizadas (no deben contener datos personales).
La monitorización de datos a través de dispositivos inteligentes, como pulseras o relojes, está, por lo general, prohibida. Además, dada la relación desigual entre empresas y personas trabajadoras y la naturaleza sensible de los datos de salud, las personas trabajadoras no son verdaderamente «libres» para consentir.
Incluso si el empleador utiliza a un tercero para recopilar los datos de salud, el tratamiento seguiría siendo ilícito salvo que se acreditase un interés legítimo, una finalidad específica, una monitorización proporcional, o bien que se garantizase la anonimización completa de los datos.
Un ejemplo de lo comentado sería cuando una organización ofrece a sus trabajadores/as dispositivos de seguimiento del estado físico como regalo. Los dispositivos cuentan el número de pasos que los trabajadores/as dan y registra sus latidos y patrones de sueño a lo largo del tiempo. Los datos de salud resultantes solo deberían ser accesibles para el trabajador y no para el empresario. Cualquier dato transferido entre la persona trabajadora (como afectado) y el proveedor del dispositivo/servicio (como responsable del tratamiento) es una cuestión que compete a ambas partes.
Habida cuenta de que los datos de salud también podrían ser objeto de tratamiento por la parte comercial que haya fabricado los dispositivos u ofrezca un servicio a los empresarios, el empresario, a la hora de elegir el dispositivo o servicio, debe evaluar la política de privacidad del fabricante y/o proveedor de servicios, con el fin de asegurarse de que no se produzca un tratamiento ilícito de los datos de salud de las personas trabajadoras (Dictamen 2/2017 sobre el tratamiento de datos en el trabajo del Grupo de Trabajo del Artículo 29).
Desde el departamento de Gestión Laboral de AddVANTE quedamos a su disposición para ampliar esta información o resolver cualquier duda que pudiera surgir relacionada con este artículo.
