La protección de datos en las relaciones laborales: criterios clave que deben revisar las empresas
La protección de datos en las relaciones laborales: criterios clave que deben revisar las empresas
La protección de datos en las relaciones laborales: criterios clave que deben revisar las empresas
La AEPD ha actualizado su guía “La protección de datos en las relaciones laborales”, un documento práctico que repasa cómo aplicar el RGPD y la LOPDGDD durante toda la relación laboral (selección, contratación, control empresarial, vigilancia de la salud y extinción), consolidando criterios y señalando errores frecuentes que pueden derivar en inspecciones y sanciones.
1) Principios generales del tratamiento de datos laborales
El dato personal laboral incluye no solo identificativos, sino también evaluaciones, registros, imágenes, audios e información inferida. El consentimiento rara vez es válido por el desequilibrio de la relación. La base habitual es la ejecución del contrato o una obligación legal. El interés legítimo exige proporcionalidad estricta. Se refuerza la minimización: no todo lo útil es necesario; muchos incumplimientos vienen de pedir datos “por si acaso”.
2) Información y transparencia
No basta con una cláusula genérica. La información debe ser clara y se recomienda el modelo por capas. Debe darse al recoger los datos o, si no proceden del trabajador, en el plazo máximo de un mes. Informar no equivale a legitimar el tratamiento.
3) Derechos de las personas trabajadoras (ARSULIPO)
El acceso incluye informes internos y valoraciones. La supresión no implica borrado inmediato si existe obligación de conservar: debe aplicarse el bloqueo con medidas técnicas reales que impidan el uso del dato.
4) Selección y contratación
Solo pueden pedirse datos relevantes para el puesto. No es lícito “investigar” redes sociales aunque sean públicas salvo justificación objetiva e información previa. Se rechazan preguntas personales, familiares o médicas ajenas al puesto. La petición de vida laboral solo sería admisible con interés legítimo delimitado y alcance mínimo.
5) Durante la relación laboral
Se advierte sobre publicación de datos de productividad (solo si es imprescindible), custodia y envíos de nóminas, y gestión de canales de denuncias internas: acceso restringido, confidencialidad reforzada y plazos de conservación concretos. El acceso interno indebido es una infracción frecuente.
6) Control de la actividad laboral
El control empresarial puede ser legítimo, pero con límites. En videovigilancia se prohíbe en zonas sensibles (aseos, vestuarios) y exige información previa clara. La geolocalización debe limitarse a la jornada, con finalidad concreta y proporcional. El uso de detectives solo se admite de forma excepcional y proporcionada.
7) Representación legal y sindical
Los representantes solo acceden a datos cuando haya habilitación legal, deben respetar confidencialidad y minimización, y no pueden publicar datos indiscriminadamente en tablones o comunicaciones.
8) Vigilancia de la salud y datos médicos
Los datos de salud son especialmente protegidos. La empresa debe limitarse a conclusiones de aptitud; las historias clínicas no son accesibles. Wearables y nuevas tecnologías pueden requerir evaluación de impacto previa. Las filtraciones tienen alto riesgo sancionador.
Conclusión y recomendaciones: la guía no crea obligaciones nuevas, pero refuerza criterios aplicados en inspecciones. Se aconseja revisar selección y entrevistas, auditar sistemas de control, actualizar cláusulas y políticas internas y formar a mandos y personal con acceso a datos para prevenir conflictos, reclamaciones y sanciones.