Un departamento de recursos humanos gestiona datos desde antes de que un trabajador firme su contrato hasta años después de que lo deje. Candidatos en selección, empleados en activo, trabajadores de baja, exempleados con obligaciones documentales. Datos ordinarios como nombre o cuenta bancaria conviven con partes de IT (salud), datos sindicales o antecedentes penales en ciertos sectores. Ese volumen y esa sensibilidad convierten RRHH en el área con más exposición al RGPD dentro de cualquier organización.
Bases jurídicas en el contexto laboral
La característica del tratamiento de datos en el ámbito laboral es que rara vez se apoya en el consentimiento del trabajador. El considerando 155 del RGPD y el artículo 88 reconocen que los Estados miembros pueden establecer normas más específicas para el contexto laboral, y España lo ha hecho en la LOPDGDD (artículos 87 a 91).
Las bases jurídicas habituales en RRHH son la ejecución del contrato de trabajo (artículo 6.1.b RGPD) para nóminas, gestión de vacaciones y control horario; el cumplimiento de una obligación legal (artículo 6.1.c) para cotizaciones a la Seguridad Social, retenciones de IRPF y documentación que exige el Estatuto de los Trabajadores; y el interés legítimo (artículo 6.1.f) para ciertas medidas de control o seguridad, siempre que superen el test de ponderación.
El consentimiento en el contexto laboral es problemático precisamente porque existe una relación de dependencia entre empleado y empleador. La AEPD y el CEPD han señalado repetidamente que el consentimiento raramente puede ser libre cuando lo da un empleado a su empresa, por lo que no debe ser la base jurídica principal para tratamientos relacionados con la relación laboral.
Selección de personal: qué datos se pueden pedir y cuáles no
Durante un proceso de selección, el empleador puede tratar los datos necesarios para evaluar la idoneidad del candidato para el puesto. Lo que no puede hacer es recoger datos que no tengan relación directa con los requisitos del trabajo: estado civil, situación familiar, planificación de maternidad, religión, filiación política o sindical. Pedirlos en un formulario de candidatura o en una entrevista es una infracción del principio de minimización y, en el caso de datos especialmente sensibles del artículo 9, carece de base jurídica.
Los CVs recibidos de candidatos no seleccionados no pueden conservarse indefinidamente. El plazo habitual aceptado por la AEPD es de un año desde la finalización del proceso de selección, salvo que el candidato haya dado consentimiento expreso para ser incluido en una bolsa de empleo.
Control horario y registro de jornada
Desde mayo de 2019, el artículo 34.9 del Estatuto de los Trabajadores obliga a las empresas a registrar diariamente la jornada de todos sus trabajadores. Ese registro es un tratamiento de datos personales que debe estar documentado en el RAT, con una finalidad concreta (cumplimiento de la obligación legal de control horario), un plazo de conservación de cuatro años (plazo de prescripción de infracciones laborales) y acceso restringido.
Cuando el registro se hace mediante sistemas biométricos (huella dactilar, reconocimiento facial), el tratamiento escala a datos de categoría especial del artículo 9 del RGPD, lo que exige una base jurídica reforzada, generalmente convenio colectivo o consentimiento explícito, más una EIPD previa obligatoria.
Videovigilancia en el entorno laboral: el artículo 89 LOPDGDD
El artículo 89 de la LOPDGDD permite a los empleadores usar sistemas de videovigilancia para controlar el cumplimiento de las obligaciones laborales, pero con condiciones estrictas: los trabajadores deben ser informados previamente de forma expresa, clara e inequívoca. La cartelería informativa en el local no es suficiente cuando la finalidad es el control laboral; en ese caso se necesita información específica entregada al trabajador.
Las cámaras no pueden instalarse en zonas de descanso, vestuarios, baños o comedores. Tampoco pueden orientarse de forma que capten de manera continuada y sistemática los puestos de trabajo si no existe sospecha razonada de incumplimiento. La AEPD ha sancionado reiteradamente la instalación de cámaras ocultas o encubiertas como decoración, aunque el empleador alegue que tenía sospechas de robo. Cuando hay sospecha fundada, el empleador puede instalar cámaras temporalmente para investigar, pero debe informar a los representantes de los trabajadores.
Datos de salud de empleados: el caso de las bajas por IT
Los partes de baja por incapacidad temporal son datos de salud. El empresario tiene derecho a recibir el parte de baja y el parte de alta, necesarios para gestionar la ausencia y la cotización, pero no tiene derecho a conocer el diagnóstico ni el motivo médico de la baja. Solicitar al trabajador el informe clínico o la causa de la IT es una infracción del artículo 9 del RGPD y del artículo 14 de la Ley de Prevención de Riesgos Laborales.
Los datos de salud gestionados por el servicio de prevención de riesgos laborales (reconocimientos médicos, aptitud para el puesto) tienen también un régimen especial: solo el médico del trabajo puede acceder al diagnóstico; al empleador solo puede comunicarse la conclusión de aptitud o no aptitud para el puesto concreto.
El registro de actividades de tratamiento en RRHH
Un departamento de RRHH genera habitualmente entre ocho y diez tratamientos en el RAT: gestión de candidaturas y selección, gestión de nóminas, control de presencia y horario, prevención de riesgos laborales, formación de empleados, comunicaciones internas, videovigilancia, gestión de bajas y permisos, y registro de sanciones disciplinarias. Cada uno tiene su propia finalidad, base jurídica, plazo de conservación y, en muchos casos, encargados del tratamiento distintos (gestoría externa de nóminas, plataforma de formación online, proveedor de control de accesos).
Es de los RAT más complejos de gestionar y, con diferencia, uno de los que más desactualizados se encuentran en la práctica.
Fuentes: Reglamento (UE) 2016/679 (RGPD), artículos 6, 9, 88; Ley Orgánica 3/2018 (LOPDGDD), artículos 87-91; Real Decreto Legislativo 2/2015 (Estatuto de los Trabajadores), artículos 20 y 34.9; Ley 31/1995 de Prevención de Riesgos Laborales, artículo 14.
