Preguntas y respuestas sobre la protección de datos en las relaciones laborales

En el ámbito de la protección de datos en las relaciones laborales, existe una posición de desequilibrio entre la empresa y la persona trabajadora, por esto, se debe extremar las cautelas respeto a los principios de proporcionalidad y de limitación de la finalidad para la que se solicitan los datos personales.

Para facilitar el entendimiento de la protección de datos en las relaciones laborales, te ofrecemos en un formato de preguntas y respuestas, aquellas cuestiones más relevantes.

¿Cuáles son los derechos que tienen las personas trabajadoras respecto a la gestión de datos por parte de la empresa?

En primer lugar el empleador debe informar a las personas trabajadoras con un lenguaje claro y sencillo, sobre el tratamiento de datos que está llevando a cabo. Por su parte, las personas trabajadoras pueden ejercer los siguientes derechos:

Derecho de acceso . La persona trabajadora tiene derecho a la confirmación de que se está produciendo un tratamiento de datos y a conocer cómo se está produciendo ese tratamiento.

Derecho de rectificación. Las personas trabajadoras pueden exigir la rectificación de los datos inexactos que estén siendo objeto de tratamiento, así como que se completen aquellos que sean incompletos.

Derecho de supresión. Las personas trabajadoras pueden exigir la supresión de los datos personales objeto de tratamiento.

Como empresario ¿Cuáles son los datos que puedo solicitar a una persona trabajadora?

El empleador no puede conocer cualquier tipo de dato personal de las personas trabajadoras, solo aquellos que sean adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados como se establece en el art. 5 del RGPD.

Estos datos, son los siguientes:

• Nombre y apellidos de la persona trabajadora
• Sexo
• Número de DNI, número de identificación de extranjero y número de afiliación a la Seguridad Social
• Nacionalidad
• Discapacidad
• Fecha de nacimiento

¿Puedo pedir al trabajador su nombre de usuario de redes sociales o su WhatsApp?

El contrato de trabajo no legitima a la empresa para solicitar a la persona trabajadora este tipo de datos, como ha dejado claro el Tribunal Supremo respecto a la dirección de correo electrónico o el número de teléfono personal (STS 4086/2015, de 21 de septiembre, Sala de lo Social). Es decir, la necesidad del tratamiento habrá de ponderarse caso a caso, y no podrán pedirse al trabajador si no resultan imprescindibles para la ejecución del contrato de trabajo.

¿Puede la empresa indagar en las redes sociales de un candidato antes de una entrevista de trabajo?

La indagación en los perfiles de redes sociales de las personas candidatas a un empleo, sólo se justifica si están relacionados con fines profesionales. Para eso, se debe demostrar que dicho tratamiento es necesario y pertinente para desempeñar el trabajo. En todo caso, la persona trabajadora tiene derecho a ser informada sobre ese tratamiento.

Sin embargo, la empresa no está legitimada a solicitar «amistad» a personas candidatas para que éstas, proporcionen acceso a los contenidos de sus perfiles (Dictamen 2/2017 sobre el tratamiento de datos en el trabajo del Grupo de Trabajo del Artículo 29).

La empresa tampoco está legitimada para solicitar a una persona trabajadora o candidata a un empleo, la información que éste comparta con otras personas a través de las redes sociales.

¿Se puede preguntar a una persona candidata por sus creencias en una entrevista de trabajo?

Las respuestas del candidato en una entrevista de trabajo no equivalen a un consentimiento para el tratamiento como si fueran datos personales.

Por tanto, los datos obtenidos mediante deducciones en una entrevista sobre las creencias religiosas o afiliación sindical o política, de una persona candidata, no pueden ser objeto de tratamiento salvo que sean datos necesarios para la ejecución del contrato, haya un interés legítimo o haya un consentimiento.

Pero el empleador debe tener en cuenta que se considera una infracción administrativa muy grave «solicitar datos de carácter personal en los procesos de selección o establecer condiciones, mediante la publicidad, difusión o por cualquier otro medio, que constituyan discriminaciones para el acceso al empleo por motivos de sexo, origen, incluido el racial o étnico, edad, estado civil, discapacidad, religión o convicciones, opinión política, orientación sexual, afiliación sindical, condición social y lengua dentro del Estado» (art. 16.1.c) TRLISOS).

¿Una empresa de colocación puede ceder los datos de una persona candidata a otras empresas diferentes a la que solicita el trabajo?

En este caso, será necesario el consentimiento de la persona candidata para que la empresa donde solicita trabajo ceda sus datos a otra, aunque las dos empresas formen parte de un mismo grupo empresarial.

¿Puedo interrogar a una persona candidata por su estado de salud en una entrevista de trabajo?

Según establece la Recomendación 2015 (2) del Consejo de Europa en su apartado. 9.2), una persona solicitante de empleo sólo puede ser interrogada sobre su estado de salud y/o ser examinado médicamente para:
- Indicar su idoneidad para el empleo futuro;
- Cumplir los requisitos de la medicina preventiva.

Los reconocimientos médico son voluntarios para la persona trabajadora, salvo que por ley se establezca como obligatorio en aquellas actividades con riesgo de enfermedad profesional.

¿Puedo hacerle al candidato un test psicotécnico?

Los test psicotécnicos, de personalidad o las pruebas psicológicas son frecuentes en las entrevistas de trabajo y el tratamiento de datos obtenidos exige el consentimiento de la persona afectada .

Para recabar este tipo de datos es necesario analizar la proporcionalidad del tratamiento y la base jurídica para el mismo. De esta manera, la persona candidata, además de ser informada, tiene derecho a:
-Acceder a los resultados de esas pruebas psicotécnicas o psicológicas.
-Conocer los criterios de selección utilizados por la empresa.
-Una persona candidata no tiene derecho a acceder a los resultados de las demás candidatas.

¿Qué tiene que hacer la empresa con los curriculums una vez terminado el proceso de selección?

Si la persona candidata no es contratada, sería necesario su consentimiento para un futuro tratamiento, como por ejemplo en una bolsa de trabajo de la empresa. Pero, si no se da este caso o no existe el consentimiento, debe destruir el currículum y proceder a la supresión y bloqueo de los datos personales.

¿Una empresa puede usar los datos personales de los trabajadores para ofrecerles productos o servicios como planes de salud, o planes de pensiones?

No. El empleador no está legitimado para utilizar los datos de contacto proporcionados por la persona trabajadora con un fin distinto al cumplimiento de las obligaciones laborales.

¿Se puede clasificar a los trabajadores en listas por estar afiliados a un sindicato?

Como ya declaró en su día el Tribunal Supremo en relación con la elaboración de listas de personas trabajadoras conflictivas, sindicalizados o que demandan a la empresa en defensa de sus derechos (STS 4686/2015, de 12 de noviembre, Sala de lo Civil), el consentimiento en el tratamiento de sus datos personales no podría derivar en la creación de una “lista negra” de personas trabajadoras afiliadas a un sindicato.

¿Se puede usar un geolocalizador para que la empresa tenga el control de los empleados?

Los geolocalizadores son un instrumento de comprobación del tiempo de trabajo y no del lugar donde se desarrolla la actividad, en aquellos casos en los que una persona trabajadora itinerante tiene establecido que el registro de su jornada se realice por geolocalización.

Por lo tanto, la finalidad del registro de jornada es comprobar cuándo la persona trabajadora comienza y finaliza el tiempo de trabajo, pero no controlar dónde se encuentra en cada momento.

El dispositivo de geolocalización sí podría justificarse en el transporte de mercancías, cuando resulte relevante conocer dónde se encuentra el vehículo y en qué momento podrá realizar una determinada entrega.

Por otro lado, la Sentencia de la Audiencia Nacional 136/2019, de 6 de febrero, Sala de lo Social, declaró que es contrario al derecho a la protección de datos imponer una cláusula en el contrato que exija a la persona trabajadora comunicar al empresario una dirección de correo electrónico y disponer de un teléfono móvil con conexión a internet para instalar una aplicación de geolocalización que permita a los clientes realizar un seguimiento de los pedidos durante el reparto.

¿Pueden los trabajadores fichar a distancia a través de una aplicación móvil?

Si. Es posible un registro horario a distancia en los casos de teletrabajo, comerciales, etc, a través de acceso remoto a una intranet corporativa, o de aplicaciones en dispositivos digitales que deberán garantizar adecuadamente el derecho a la intimidad y a la protección de datos de las personas trabajadoras.

¿Tengo que hacer público el registro medio de salario si solo hay un trabajador en una categoría?

El registro de salario regulado en el art. 28.2 ET no tiene porqué implicar el tratamiento de datos, no obstante, el dato disociado podría convertirse en dato personal respecto de aquellas categorías o grupos profesionales con un reducido número de personas trabajadoras . Si se da el caso en tu empresa, esta información debe ser considerada datos personales y deben ser tratados como tal.

¿Una empresa puede hacer pública las ayudas que otorga a los trabajadores?

Si, pero teniendo en cuenta que la publicidad de la concesión de la ayuda no ha de permitir la identificación del afectado (por ejemplo, ayudas por hijos discapacitados), por lo que no se podrá publicar ningún dato que permita esa identificación (nombre, número del DNI, pasaporte, etc.).

¿La empresa puede ceder los datos de los trabajadores a una aseguradora médica?

Previa información a las personas trabajadoras, sí es posible que la empresa pueda facilitar los datos a una aseguradora o gestora para que, a su vez, inicie su relación con el asegurado y recabe los datos que resulten necesarios.

Voy a vender mi empresa. ¿Debo solicitar consentimiento de los trabajadores para la cesión de datos a la empresa adquirente?

Las personas trabajadoras y sus representantes legales deben ser informados de la cesión
de datos. El nuevo empleador tiene derecho a conocer y tratar datos personales de las personas trabajadoras imprescindibles para la ejecución y mantenimiento del contrato, pero la cesión de datos no es lícita si la persona trabajadora rechaza la subrogación y decide permanecer en la empresa cedente.

¿Qué puede hacer un trabajador si en un proceso de selección siente que ha sido discriminado?

Según establece el Tribunal de Justicia de la Unión Europea, de 19 de abril de 2012, C-415/2010, se reconoce a las personas trabajadoras el derecho a conocer la información pertinente para fundamentar una reclamación cuando consideren que han sido discriminados en el acceso al empleo o en la promoción profesional.

Por tanto, el empresario debe proporcionarse al solicitante la formación, experiencia profesional y los datos estrictamente relevantes para formalizar la reclamación.

Pero no podrá acceder al currículum completo de las otras personas candidatas, ni tampoco a la siguiente información:

-Nombre
-Fotografía
-Dirección postal o de correo electrónico

Vamos a despedir a un trabajador y queremos incluir en la carta de despido algunos datos personales ¿Es posible?

En la carta de despido no podrán constar datos personales que el empleador no está legitimado para conocer, por ejemplo aquellas categorías especiales de datos personales, como el diagnóstico médico que motiva un despido por ineptitud (STS 5138/2005, de 22 de julio, Sala de lo Social).

¿La empresa puede controlar el LinkedIn de aquellos ex-trabajadores que tienen cláusulas de no competencia?

Según Dictamen 2/2017 del Grupo de Trabajo del Artículo 29, se admite esta posibilidad siempre que el empresario pueda demostrar que dicho control es necesario para proteger sus intereses legítimos, que no existen otros medios menos invasivos y que las personas ex-trabajadoras han sido adecuadamente informadas del alcance del control periódico de sus comunicaciones públicas

¿La empresa puede controlar a sus empleados con herramientas tecnológicas?

Si. El empresario podrá adoptar las medidas que estime más oportunas de vigilancia y control para verificar el cumplimiento por el trabajador de sus obligaciones y deberes laborales, guardando en su adopción y aplicación la consideración debida a su dignidad humana. Para ello:

• El empleador deberá informar a las personas trabajadoras sobre la finalidad del tratamiento de datos, y por tanto sobre la existencia y propósito de la medida de control.
• No puede recabar más datos de los estrictamente necesarios.
• No está legitimado para utilizar los datos con finalidades distintas del control empresarial.

Mi empresa usa cámaras de videovigilancia. ¿Necesita el consentimiento del trabajador?

Según el art. 89 de la LOPDGDD, estas imágenes pueden tratarse para el ejercicio de las funciones de control de las personas trabajadoras, con los siguientes requisitos:

1. La base jurídica para el control de las personas trabajadoras mediante videovigilancia es el contrato de trabajo y las facultades legales de control concedidas al empleador (art. 20.3 del ET), por lo que no se requiere el consentimiento .

2. La videovigilancia sólo debe utilizarse cuando no sea posible acudir a otros medios que causen menos impacto en la privacidad.

En la sentencia del Tribunal Europeo de los Derechos Humanos (STEDH López Ribalda II de 17-10-2019) se admite, que la no advertencia a la persona trabajadora sobre el emplazamiento de la cámara, en un supuesto en el que sí ha existido información sobre la instalación de cámaras de videovigilancia y concurre una sospecha fehaciente de incumplimiento grave de las obligaciones laborales (sustracción de productos de la empresa de forma continuada con alto valor económico) no conduce a la nulidad de las pruebas obtenidas para imponer una sanción a la persona trabajadora, pero la empresa puede ser considerada responsable en el ámbito de la protección de datos, por infracción de la obligación de informar, debiendo hacer frente a las responsabilidades civiles y administrativas que se puedan derivar de ese incumplimiento.

¿Puede el empresario controlar la falta de asistencia al trabajo por enfermedad de uno de sus empleados?

Según recoge el art. 20.4 del ET, el empresario podrá verificar el estado de enfermedad o accidente del trabajador que sea alegado por este para justificar sus faltas de asistencia al trabajo, mediante reconocimiento a cargo de personal médico.

La negativa del trabajador a dichos reconocimientos podrá determinar la suspensión de los derechos económicos que pudieran existir a cargo del empresario por dichas situaciones .

Es totalmente válido que la empresa utilice los servicios médicos de una sociedad externa subcontratada para reconocer a los trabajadores que se ausentan por motivos de salud, siempre que
se realice dentro de los límites de la buena fe y sea proporcional con los objetivos buscados. (STS 481/2018, de 25 de enero, Sala de lo Social)

Quiero poner un detective privado para un trabajador ¿Puedo hacerlo?

Según el art. 20.3 del ET habilita al empleador para adoptar medidas de control y vigilancia de muy distinta intensidad, y entre ellas podría recurrir a un detective privado, con las siguientes
cautelas:
1. Esta medida, como cualquier otra de control, exige la superación del test de proporcionalidad, por lo que no se justifica si existen otras igualmente idóneas, pero menos invasivas.
2. El tratamiento de datos no requiere el consentimiento de las personas trabajadoras, pues la base jurídica es el contrato de trabajo, en relación con el art. 20.3 del ET.
3. Está prohibido investigar «la vida íntima de las personas que transcurra en sus domicilios u otros lugares reservados», así como utilizar «en este tipo de servicios medios personales, materiales o técnicos de tal forma que atenten contra el derecho al honor, a la intimidad personal o familiar o a la propia imagen o al secreto de las comunicaciones o a la protección de datos» (art. 49.4 de la Ley 5/2014, de 4 de abril, de seguridad privada).

¿Qué información se puede incluir en un tablón de anuncios?

En el caso de los tablones online se deben situar en la intranet de la empresa, nunca en Internet, salvo que para acceder sea a través de usuario y contraseña (SAN 3578/2019, de 8 de junio, Sala de lo contencioso).

En caso de uso por el Sindicato de la empresa que quiere publicar una sentencia o resolución judicial, la información publicada deberá limitarse a la estrictamente necesaria. No es lícita la publicación íntegra de una determinada resolución administrativa o una sentencia judicial, sino que debe procederse a la anonimización de los datos personales no necesarios para el fin pretendido.

Un sindicato de mi empresa está solicitando correos personales para comunicarse con los trabajadores ¿Es lícito hacerlo?

No. Se deben utilizar listas de distribución del tipo gruposindical@empresa.es, sin acceso a los datos. En ningún caso se cederán datos como la dirección de cuentas privadas de la persona trabajadora, sólo la dirección de correo electrónico corporativa.

La empresa ha regalado a los trabajadores unas pulseras que miden los pasos que dan ¿Es posible controlar esta información?

No. La monitorización de datos a través de dispositivos inteligentes, como pulseras o relojes, está, por lo general, prohibida. Además, dada la relación desigual entre empresas y personas trabajadoras y la naturaleza sensible de los datos de salud, las personas trabajadoras no son verdaderamente «libres» para consentir.

Incluso si el empleador utiliza a un tercero para recopilar los datos de salud, el tratamiento seguiría siendo ilícito salvo que se acreditase un interés legítimo, una finalidad específica, una monitorización proporcional, o bien que se garantizase la anonimización completa de los datos.

Una persona trabajadora se ha ido ya de la empresa ¿Debo mantener el deber de confidencialidad sobre sus datos?

Si. Según establece el 5 de la LOPDGDD los responsables y encargados del tratamiento y todas las personas que intervengan en cualquier fase del tratamiento estarán sujetas al deber de confidencialidad. La obligación general de confidencialidad será complementaria de los deberes de secreto profesional. Estas obligaciones de confidencialidad y de secreto profesional se mantendrán aun cuando hubiese finalizado la relación del obligado con el responsable o el encargado del tratamiento.