Protección de datos para empresas en el ámbito laboral

Qué implica la protección de datos para empresas en el ámbito laboral

El Reglamento (UE) 2016/679, o RGPD, es directamente aplicable. La Ley Orgánica 3/2018, o LOPDGDD, complementa su regulación en España e incorpora garantías digitales específicas. En el plano laboral, el artículo 20.3 del Estatuto de los Trabajadores permite adoptar medidas de vigilancia y control para comprobar el cumplimiento de las obligaciones laborales, respetando la dignidad de la persona trabajadora. Su artículo 20 bis reconoce derechos relacionados con la intimidad digital, la desconexión, la videovigilancia y la geolocalización.

Estas facultades empresariales no son una autorización ilimitada. El artículo 5 RGPD exige licitud, lealtad, transparencia, limitación de la finalidad, minimización, exactitud, limitación de la conservación e integridad y confidencialidad. Además, la empresa debe poder demostrar que cumple estos principios: es la responsabilidad proactiva.

En la práctica, conviene evitar expedientes que acumulen información por si algún día resulta útil. Cada dato debe responder a una necesidad concreta y cada plazo de conservación debe justificarse según la finalidad, las obligaciones legales y, cuando proceda, la atención de responsabilidades.

Ejemplo: para organizar un turno puede bastar con conocer la disponibilidad de la persona. Pedir detalles de su situación médica o familiar requiere una justificación adicional y no debe convertirse en una práctica rutinaria.

Cómo identificar la base jurídica y documentar cada tratamiento

El artículo 6 RGPD exige una base de licitud para cada finalidad. En el empleo, el consentimiento no es una solución universal: el desequilibrio entre las partes puede impedir que sea verdaderamente libre. Tampoco todos los tratamientos resultan necesarios para ejecutar el contrato.

• Contrato o medidas precontractuales: pueden amparar datos necesarios para gestionar la relación laboral o una candidatura presentada por la persona, conforme al artículo 6.1.b RGPD.
• Obligación legal: puede fundamentar tratamientos exigidos por la normativa tributaria, de Seguridad Social o laboral, conforme al artículo 6.1.c RGPD. Debe identificarse la obligación concreta.
• Interés legítimo: puede ser pertinente para determinadas finalidades, pero exige analizar necesidad, expectativas e impacto sobre los derechos, según el artículo 6.1.f RGPD.
• Consentimiento: solo debe utilizarse cuando pueda prestarse libremente y retirarse sin perjuicios, cumpliendo las condiciones del RGPD.

Documenta la finalidad, los datos utilizados, la base jurídica, los destinatarios, la conservación y las medidas de protección. Revisa también si procede llevar el registro de actividades del artículo 30 RGPD: la excepción para organizaciones de menos de 250 personas no es general y no permite excluir sin más tratamientos habituales de personal.

Cuando los datos se obtienen del interesado, el artículo 13 RGPD exige facilitar información, en ese momento, sobre el responsable, las finalidades, la base jurídica, los destinatarios, la conservación y los derechos, entre otros extremos aplicables. Firmar la recepción de esa información no equivale a consentir todos los usos. La autonomía contractual no permite eludir garantías imperativas.

Qué revisar en selección, nóminas y datos de salud

En selección, limita las preguntas a lo necesario para valorar la candidatura e informa sobre el tratamiento. Una vez terminado el proceso, conservar el currículum para futuras vacantes requiere una finalidad, una base jurídica y un plazo propios. No debe presumirse que enviar una candidatura autoriza su conservación indefinida ni su comunicación a otras empresas.

En nóminas, separa las finalidades de pago, cotización, retenciones y gestión de beneficios. Restringe el acceso a salarios, cuentas bancarias, embargos y circunstancias personales a quienes lo necesiten por sus funciones. Los datos de trabajadores no deben circular mediante carpetas abiertas o correos colectivos por mera comodidad.

Los datos de salud son categorías especiales: el artículo 9 RGPD establece una prohibición general de tratamiento con excepciones tasadas. No basta con identificar una base del artículo 6; también debe concurrir una excepción aplicable del artículo 9.2 y respetarse sus condiciones.

En vigilancia de la salud, el artículo 22.4 de la Ley de Prevención de Riesgos Laborales diferencia el acceso a información médica de las conclusiones preventivas. La empresa puede conocer las conclusiones sobre aptitud o sobre la necesidad de introducir o mejorar medidas de protección en los términos legales; eso no le da acceso general al historial clínico ni a los diagnósticos.

Ejemplo: para adaptar un puesto puede ser necesario conocer determinadas limitaciones funcionales. No por ello resulta necesario incorporar informes clínicos completos al expediente accesible al equipo de recursos humanos.

Qué garantías aplicar al control digital de la plantilla

Antes de implantar una medida de control, concreta qué problema pretende resolver, si resulta idónea y necesaria y si existe una alternativa menos intrusiva. La privacidad de la plantilla debe valorarse desde el diseño, no después de contratar la herramienta.

• Dispositivos digitales: el artículo 87 LOPDGDD regula la intimidad en su uso. Exige establecer criterios de utilización, con participación de la representación de los trabajadores en su elaboración, e informar de ellos. Si se admite uso privado, deben precisarse los usos autorizados y las garantías correspondientes.
• Videovigilancia: el artículo 89 LOPDGDD exige información previa, expresa, clara y concisa a las personas trabajadoras y, en su caso, a sus representantes, con la salvedad legal para determinados actos ilícitos flagrantes. Prohíbe cámaras y grabación de sonidos en espacios de descanso o esparcimiento, como vestuarios, aseos o comedores. La grabación de sonido tiene condiciones especialmente restrictivas.
• Geolocalización: el artículo 90 LOPDGDD exige informar previamente de forma expresa, clara e inequívoca sobre la existencia y las características de los dispositivos, así como sobre el posible ejercicio de los derechos indicados en ese precepto. Debe analizarse el alcance temporal del seguimiento y evitar captaciones ajenas a la finalidad laboral, como en el control por GPS en el coche de empresa.

La biometría no es una alternativa ordinaria automáticamente lícita para fichar o controlar accesos. Cuando los datos biométricos se utilizan para identificar unívocamente a una persona, entran en el artículo 9 RGPD. Deben examinarse la habilitación aplicable, la necesidad, la proporcionalidad y la posible exigencia de una evaluación de impacto.

Las guías y criterios de la AEPD ayudan a interpretar estas exigencias, pero no son leyes ni sustituyen el análisis del caso concreto.

Cómo revisar accesos, proveedores y seguridad

La empresa suele actuar como responsable cuando determina los fines y medios del tratamiento de su personal. Un proveedor será encargado si trata datos por cuenta de aquella y siguiendo sus instrucciones. La clasificación depende del servicio real: una asesoría no es automáticamente encargada en todas sus actuaciones y puede asumir otras posiciones según la actividad.

Cuando exista una relación responsable-encargado, el artículo 28 RGPD exige un contrato u otro acto jurídico con el contenido establecido: instrucciones, confidencialidad, seguridad, subcontratación, asistencia y destino de los datos al finalizar el servicio, entre otros aspectos. También deben revisarse las transferencias internacionales si las herramientas o sus proveedores implican acceso desde fuera del Espacio Económico Europeo.

El artículo 32 RGPD exige medidas técnicas y organizativas adecuadas al riesgo. La seguridad de los datos no se agota en instalar un antivirus: incluye controlar permisos, recuperar información y comprobar la eficacia de las medidas.

• Asignar accesos por funciones y retirarlos cuando cambien las responsabilidades o termine la relación.
• Valorar autenticación reforzada, cifrado y canales seguros según el riesgo.
• Mantener copias de seguridad y probar su restauración.
• Formar a quienes gestionan expedientes y establecer instrucciones para comunicar incidentes.

No todas las empresas necesitan un delegado de protección de datos. Debe comprobarse si concurren los supuestos del artículo 37 RGPD o del artículo 34 LOPDGDD.

Como lectura complementaria no oficial, el contenido sobre proteccion de datos para empresas puede servir para ampliar la perspectiva organizativa, sin sustituir la revisión jurídica de cada tratamiento laboral.

Qué hacer ante solicitudes de derechos o incidencias

Establece un canal para recibir solicitudes y un procedimiento para verificar la identidad de forma proporcionada, localizar la información y responder. Los derechos de acceso, rectificación, supresión, oposición, limitación y portabilidad tienen requisitos y alcances distintos; por ejemplo, pedir la supresión no obliga a borrar documentación que deba conservarse legalmente.

El artículo 12.3 RGPD fija, como regla, un mes para informar sobre las actuaciones realizadas ante una solicitud. Permite ampliar otros dos meses cuando sea necesario por la complejidad y el número de solicitudes, comunicando la prórroga y sus motivos dentro del primer mes.

Una pérdida de expedientes, un correo enviado al destinatario equivocado o un acceso indebido pueden constituir una brecha de seguridad de datos personales. Debe contenerse el incidente, evaluar sus consecuencias y documentarlo. Conforme al artículo 33 RGPD, la notificación a la autoridad procede salvo que sea improbable que exista riesgo para los derechos y libertades; cuando sea exigible, debe realizarse sin dilación indebida y, de ser posible, dentro de las 72 horas desde que se tenga constancia. El artículo 34 regula la comunicación a las personas afectadas cuando sea probable un alto riesgo, con sus excepciones.

Conviene diferenciar tres vías: el ejercicio de derechos ante el responsable, la reclamación ante la autoridad de control y la eventual tutela judicial. No son intercambiables ni existe un único procedimiento para cualquier conflicto. Si también se discute una sanción, un despido o una vulneración de derechos fundamentales en el trabajo, la vía y la modalidad procesal dependerán de la pretensión.

Prioridad práctica: inventariar tratamientos, justificar bases jurídicas, informar con claridad y limitar accesos permite ordenar el cumplimiento del RGPD. La protección de datos para empresas funciona mejor cuando la documentación refleja la operativa real. Conviene revisar tratamientos, herramientas y protocolos con asesoramiento adaptado a la actividad, al tamaño de la organización y a los riesgos de sus procesos.

Fuentes oficiales

Para contrastar el marco de protección de datos laborales, estas son las referencias normativas y los recursos oficiales relevantes. Las orientaciones de la AEPD deben distinguirse de las normas vinculantes.

• EUR-Lex: Reglamento (UE) 2016/679, texto consolidado. Especialmente artículos 5, 6, 9, 12, 13, 28, 30 y 32 a 37.
• BOE: Ley Orgánica 3/2018, texto consolidado. Artículos 34, 87, 89 y 90.
• BOE: Estatuto de los Trabajadores, texto consolidado. Artículos 20.3 y 20 bis.
• BOE: Ley 31/1995 de Prevención de Riesgos Laborales, texto consolidado. Artículo 22.4 sobre confidencialidad y conclusiones de la vigilancia de la salud.
• AEPD: guía sobre protección de datos en las relaciones laborales. Recurso interpretativo, no norma legal.