Las relaciones laborales y el derecho a la protección de datos.

Son numerosos los agentes que intervienen en las relaciones laborales manejando datos de carácter personal de trabajadores. Piénsese, entre otros, en intermediarios de la colocación, como empresas de personal o ETTs, la Seguridad Social y entidades colaboradoras, mutuas de accidentes, aseguradoras, representantes de los trabajadores, gestorías, o abogados.

En el marco de estas relaciones, se recoge numerosa información de los empleados, que afecta tanto a la vida profesional (formación, experiencia, recibos salariales, etc.) como a la personal (número de hijos, estado civil…), además de otros datos considerados por la Ley como especialmente protegidos, atendiendo a su naturaleza sensible, como son los de afiliación sindical, entre otros. Muchas veces, las empresas recogen datos de solicitantes de empleo, a través del currículum o como consecuencia de entrevistas o procesos de selección.

Con todo, la protección de datos en el ámbito laboral, se proyecta en tres momentos: 1) en el tratamiento de datos en la fase de contratación o proceso de selección de personal, 2) en el desarrollo de la relación de trabajo, y 3) en el momento de cesar la relación laboral. Y en todos ellos, se debe tener en cuenta la normativa reguladora de la protección de datos, y concretamente, la L.O. 15/1999, de 13 de diciembre, (en adelante, LOPD). La Agencia Española de Protección de Datos (en adelante, AEPD) es consciente de los riesgos que pueden afectar al derecho a la intimidad del trabajador, indicando que el conocimiento de la vida laboral que permiten las técnicas de automatización de la información puede arrojar, con precisión, un perfil socioeconómico y personal que el afectado tiene derecho a mantener reservado.

Debemos partir por considerar que toda institución pública o privada, que posea un fichero de datos de carácter personal relativo a personas físicas, ya sea automatizado o no, tiene la obligación de solicitar su inscripción en el Registro General de Protección de Datos.

El siguiente paso es observar, lo más estrictamente posible, cada uno de los principios cardinales promulgados por la LOPD, y que de forma sucinta, son los siguientes:

– Consentimiento: Como regla general, no es necesario el consentimiento del trabajador, o solicitante de empleo, para tratar sus datos y para su cesión a terceros, siempre y cuando sean necesarios para el mantenimiento o buen fin de la relación contractual o precontractual. Se entiende que opera un consentimiento tácito.

– Información: Que no haya necesidad de consentimiento no significa que no se deba informar al trabajador, en el momento de la recogida de los datos, de la existencia del fichero y la finalidad del tratamiento (la gestión de personal), de la identidad y dirección del responsable, de la posibilidad de ejercitar sus derechos (de acceso, cancelación,…), así como de los posibles cesionarios de los datos (mutuas y aseguradoras,…). Para ello, es necesario elaborar una cláusula que puede ser incorporada en el propio contrato laboral o de forma independiente al mismo. Normalmente los modelos de contratos de trabajo oficiales no suelen incorporar ninguna cláusula (o si lo hacen de forma genérica) que cumpla los requisitos de información.

– Calidad de los datos y finalidad: Los datos recabados deben ser adecuados, pertinentes, no excesivos y compatibles con la finalidad con la que se recogieron (piénsese que para un puesto de trabajo no es necesario conocer la tendencia sexual del trabajador). El fichero donde se hallen esos datos debe responder a la situación actual del afectado (piénsese en modificaciones de datos de domicilio, por ejemplo) y proceder a su cancelación cuando la finalidad de la recogida haya terminado. Es decir, pasado el plazo legal de conservación de los datos, que se corresponde con los plazos de prescripción de acciones (4 o 5 años, por regla general) deben ser destruidos. La LOPD habla de un estadio previo a la destrucción y que denomina “bloqueo de los datos” una vez que finaliza la relación negocial, y viene a materializarse en que esos datos no deben ser accesibles durante la actividad diaria de la empresa, debiendo estar su acceso restringido.

– Seguridad: El responsable debe adoptar las medidas técnicas y organizativas necesarias para garantizar la seguridad de los datos. Debe atenderse a lo establecido en el R.D. 994/1999, de 11 de junio, que establece las concretas medidas de seguridad para cada uno de los niveles (básico, medio o alto). Normalmente, a los ficheros de personal se les deberá aplicar medidas de seguridad de nivel alto, ya que la AEPD ha indicado que los partes de baja, confirmación y alta son considerados datos de salud, y por tanto el nivel de protección aplicable es el alto. El mismo nivel de seguridad es exigido si se tratan datos relativos a la afiliación sindical. Recordamos que el responsable debe elaborar, mantener e implantar de forma efectiva un Documento de Seguridad.

– Deber de guardar secreto, para todas aquellas personas de la organización que tengan acceso a los ficheros de datos. Es conveniente que el empleado suscriba cláusulas de confidencialidad.

Por último, es importante destacar que un despacho profesional que gestiona, por ejemplo, las nóminas del personal de una empresa (responsable del fichero), es considerado como encargado del tratamiento. Éste no decide sobre la finalidad, el contenido y el uso de los ficheros, sino que es el responsable del fichero el que, a través de la suscripción obligatoria de un contrato escrito entre ambos, establece las directrices, instrucciones y finalidades a las que se debe de atener dicho encargado.