Comentaris a la nova Guia de Protecció de Dades de l’AEPD en les Relacions Laborals

Comentaris a la nova Guia de Protecció de Dades de l’AEPD en les Relacions Laborals

L’Agència Espanyola de Protecció de Dades (AEPD), amb la participació del Ministeri de Treball, patronal i organitzacions sindicals, acaba de publicar la seva Guia sobre la “Protecció de dades en les relacions laborals” (actualitzant la versió anterior). Si bé la Guia – que arriba a estructurar-se en set apartats – tracta diferents aspectes de vital importància per a les organitzacions, en aquest article, destacarem aquelles de més rellevants i noves.

Així doncs, cal subratllar que la Guia comença fent un repàs sobre les diferents bases de legitimació per al tractament de dades personals del treballador com poden ser l’execució d’un contracte, l’interès legítim i destaca les dificultats de recórrer al consentiment del treballador donada la situació empresa-treballador (on el consentiment podria no considerar-se “lliure” d’acord amb la normativa). Igualment, la Guia insisteix que malgrat comptar amb una base legal com és l’execució d’un contracte, s’ha de tenir sempre present el principi de minimització de dades i saber diferenciar entre aquelles dades necessàries per al desenvolupament de la relació laboral, d’aquells que podrien ser útils, però no estrictament necessàries per a l’organització. Aquestes últimes, no quedarien emparades sobre la base d’execució del contracte, d’aquí la importància d’analitzar cas per cas davant cada situació plantejada.

També, es ressalta la importància del principi de proporcionalitat en tots aquells tractaments de dades personals que puguin limitar els drets fonamentals dels treballadors. Recorda, així mateix, que ha d’informar-se als treballadors de com s’efectua el tractament de les seves dades de manera clara i concisa i que ho puguin entendre al moment de l’obtenció de les dades.

Què diu la guia sobre les xarxs socials?

Seguidament, la Guia fa referència als processos de selecció en entorns digitals com les xarxes socials. La Guia diu referent a això que a pesar que els interessats facin manifestament públic els seus perfils, sense existir una base jurídica adequada, no podria dur-se a terme cap tractament de dades. Igualment, també s’indica que les persones no tenen obligació de donar accés a l’ocupador a les seves xarxes socials durant el procés de selecció i tampoc mentre la persona es troba treballant en el si de l’organització. Es recorda també que, aquelles decisions de selecció de personal basades en algorismes no poden portar a situacions en les quals es pugui produir discriminació, per la qual cosa tal com indica el RGPD, ha d’haver-hi algun mecanisme en el qual es prevegi la intervenció humana quan així se sol·liciti pels possibles candidats afectats per la decisió presa sobre la base d’un algorisme.

D’altra banda, en relació amb el registre de jornada dels treballadors, a més d’indicar-se la base jurídica i el temps durant el qual s’hauran de conservar aquests registres, el que planteja l’AEPD és la recomanació d’optar per aquell sistema que sigui el menys invasiu possible ateses les circumstàncies de l’empresa i dels treballadors, així com elaborar el degut test de proporcionalitat de la mesura, a més de tenir en compte que les dades recollides no poden usar-se per a altres fins.

Sobre les bústies internes de denúncia (Wistleblowing), ara tan d’actualitat fruit de la Directiva (UE) 2019/1937, la Guia reconeix un paper fonamental en la informació facilitada prèviament als interessats sobre el tractament de dades personals en aquests sistemes, tant per a qui denuncia com per a qui és denunciat. Una informació que podrà donar-se en el propi contracte de treball, mitjançant circulars informatives o a títol individual o col·lectiu. Això sí, respectant en tot moment els principis del RGPD, garantint la confidencialitat d’aquelles persones que denunciants, podent ser fins i tot denúncies anònimes.

Una altra novetat a destacar és l’ús de la tecnologia wearables per a finalitats de vigilància de la salut. Aquests dispositius poden monitorar l’estat de salut d’empleats, per al que segons indica la Guia, aquest tractament de dades està prohibit tret que així ho habiliti una llei o reglament, ja que, de no existir aquesta habilitació legal, no estaríem davant un cas de vigilància de la salut en el marc de la prevenció de riscos laborals i ens portaria a tractar una dada sensible sense la corresponent base jurídica (i el consentiment, tal com hem vist abans, presentaria reptes legals).

La Guia tracta altres qüestions d’interès, com el tractament de dades en representació unitària i sindical, o, el tractament de dades propi del desenvolupament de la relació laboral com la conciliació o el registre de salaris, etc. Però en aquest article hem destacat els aspectes més nous i rellevants, sense perjudici que la seva lectura completa sigui altament recomanada per qualsevol organització amb empleats.

A DATAX som una empresa especialitzada en matèria de protecció de dades i seguretat de la informació.

Oferim un servei de consultoria integral per a adequar a la seva organització a tots els requisits del Reglament Europeu (RGPD 2016/679) relatiu a la protecció de les persones físiques pel que fa al tractament de dades personals i a la lliure circulació d’aquestes dades, d’obligat compliment des del 25 de maig 2018.

Més de 16 anys d’experiència en l’adequació de tota mena d’organitzacions i sectors d’activitat, inclòs el sector públic i privat ens avalen.

Més de 10.000 clients confien ja en els nostres coneixements i professionalitat en la matèria.

Javier De Zea

Advocat i Consultor Tècnic en Protecció de Dades i Seguretat de la Informació