Nueva Guía sobre Protección de Datos y Relaciones Laborales de la AEPD
El 18 de mayo de 2021 la AEPD publicó la Guía sobre protección de datos y relaciones laborales. La Agencia ha cristalizado en ella muchos de los criterios que habitualmente fundamentan sus resoluciones que tienen impacto en el tratamiento de datos en el ámbito laboral.
La guía busca dotar de seguridad jurídica a los múltiples tratamientos de datos que se dan en el ámbito laboral y, para ello, ha contado con la participación del Ministerio del Trabajo, organizaciones empresariales (CEOE y CEPYME) y organizaciones sindicales (CCOO y UGT).
Son numerosos los datos personales que se utilizan en el marco de las relaciones laborales: nombre y apellidos, fecha de nacimiento, sexo, nacionalidad, discapacidad, DNI, afiliación a la SS, domicilio, email, cuenta bancaria, imagen o localización.
Desde un punto de vista empresarial, es natural intentar sacar el máximo partido de la información disponible para mejorar el funcionamiento y la eficiencia de su organización, lo que redundaría en un mejor servicio. Sin embargo, la ley impone ciertas obligaciones para evitar abusos en el uso de los datos personales de los trabajadores. Así nos lo muestra la guía al afirmar: «el tratamiento de datos personales no puede realizarse por una razón de oportunidad, por la fácil obtención de estos o por si acaso en el futuro pudieran ser de utilidad, sino que exige que el responsable del tratamiento cuente con una «base jurídica» que le legitime para ello».
Obligaciones claras, empleados protegidos.
Todo tratamiento de datos personales deberá ampararse en una de las bases jurídicas contenidas en el artículo 6 del RGPD. Las principales bases jurídicas que tienen cabida en este sector son: la ejecución del contrato laboral, obligación legal e interés legítimo. El consentimiento inequívoco, en este caso, queda relegado a un papel secundario, ya que no es considerado válido cuando existe un «desequilibrio claro entre el interesado y el responsable del tratamiento», algo habitual en las relaciones laborales.
Asimismo, la empresa, es decir, el responsable del tratamiento, tiene la obligación de informar sobre el tratamiento de datos. Deberá informar a los trabajadores del modo en que se están utilizando sus datos personales tanto si
son enviados por ellos mismos (por ejemplo, enviando el currículum), como si los ha obtenido de un tercero (por ejemplo, de una agencia de colocación).
Pongamos que una empresa desea obtener información de las redes sociales de un candidato a un puesto de trabajo. Pues bien, sólo podrá hacerlo con fines profesionales y si es necesario para evaluarle en atención a una función de su posible futuro puesto, más en todo caso deberá informar al candidato, e.g. en el texto del anuncio.
Las decisiones automatizadas en los procesos de selección se podrán realizar de manera excepcional. Es admisible un algoritmo que cribe a los candidatos que no cumplan un requisito esencial, como la ausencia de titulación, pero deberá evitarse a toda costa que se produzcan situaciones discriminatorias, como que a causa del algoritmo se contrate a más hombres que a mujeres.
De igual modo, el empresario deberá tener precaución en las medidas de control laboral que utilicen datos personales de los trabajadores. Nos referimos a medidas como la instalación de cámaras de videovigilancia o la geolocalización, ya persigan aumentar la seguridad, monitorizar un dispositivo o controlar a los empleados.
Todos estos sistemas deberán respetar los principios de legalidad, minimización e información y deberá acreditarse que la medida (1) es susceptible de conseguir el objetivo propuesto, (2) que no hay otra menos lesiva para alcanzar tal propósito y (3) que de ella se derivan más beneficios para el interés general que perjuicios sobre otros intereses.
Desde itsm4privacidad celebramos esta publicación ya que a será muy útil para todos los operadores económicos, primero, por sistematizar gran parte de los problemas que acucian a todas las empresas, y, segundo, por su carácter práctico, al estar repleta de ejemplos. Recomendamos a cualquier interesado
su consulta.
José Lanzas Romero
Miembro del Grupo de Expertos ITSM4Privacidad
Team Leader Grupo de Expertos ITSM4Privacidad
Comité de Estándares de itSMF España