¿Qué datos puede pedirle una empresa a sus trabajadores?

La empresa puede pedirle a sus trabajadores los datos personales que sean necesarios para el cumplimiento del contrato de trabajo, siempre que estén relacionados con la actividad laboral y se ajusten a los principios de licitud, lealtad, transparencia, limitación de la finalidad, minimización de datos, exactitud, limitación del plazo de conservación, integridad y confidencialidad.

Algunos ejemplos de datos personales que puede pedirle una empresa a sus trabajadores son:

– Nombre y apellidos
– DNI o NIE
– Número de Seguridad Social
– Datos bancarios
– Datos académicos y profesionales
– Datos de contacto (teléfono, correo electrónico, dirección)
– Datos de salud (en caso de baja médica o incapacidad laboral)
– Datos biométricos (huella dactilar o reconocimiento facial para el control horario)

Sin embargo, la empresa no puede pedirle a sus trabajadores datos personales que no sean necesarios para el cumplimiento del contrato de trabajo o que sean especialmente sensibles o protegidos. Estos son:

– Datos relativos a la ideología, religión, creencias, afiliación sindical, orientación sexual o vida sexual
– Datos relativos al origen racial o étnico
– Datos genéticos o relativos a la salud (salvo los casos mencionados anteriormente)
– Datos relativos a condenas e infracciones penales (salvo que la empresa esté legalmente autorizada para ello y se trate de puestos específicos)

Además, la empresa no puede pedirle a sus trabajadores datos personales que hayan obtenido sin su consentimiento o mediante medios ilícitos o desleales. Por ejemplo:

– Datos obtenidos a través de las redes sociales del trabajador sin su autorización
– Datos obtenidos mediante grabaciones ocultas o sin informar al trabajador
– Datos obtenidos mediante engaño o coacción

¿Cómo debe tratarlos la empresa?

Los trabajadores tienen derecho a que sus datos personales sean tratados de acuerdo a la normativa vigente. La Ley Orgánica 3/2018, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), establece una serie de principios y obligaciones que deben cumplir los empleadores y los responsables del tratamiento de los datos de los empleados.

Entre estos principios se encuentran el de licitud, lealtad y transparencia, que implica que el tratamiento de los datos debe estar basado en una causa legítima, como el cumplimiento de un contrato laboral, el consentimiento del interesado o el interés legítimo del responsable. Además, el trabajador debe ser informado de forma clara y accesible sobre las finalidades, los destinatarios y los derechos que le asisten en relación con sus datos.

Otro principio es el de limitación de la finalidad, que significa que los datos solo pueden ser tratados para los fines específicos y explícitos para los que fueron recogidos, y no para otros fines incompatibles. Por ejemplo, no se pueden utilizar los datos de los empleados para fines comerciales o publicitarios sin su consentimiento.

Asimismo, se debe respetar el principio de minimización de datos, que implica que solo se deben tratar los datos que sean adecuados, pertinentes y limitados a lo necesario para la finalidad prevista. Esto supone que no se pueden solicitar ni conservar datos excesivos o innecesarios para la relación laboral.

El principio de exactitud también es importante, ya que implica que los datos deben ser veraces y actualizados, y que se deben adoptar las medidas necesarias para rectificar o suprimir los datos que sean inexactos o incompletos.

Por último, se debe garantizar el principio de seguridad, que conlleva la adopción de medidas técnicas y organizativas apropiadas para proteger los datos frente a accesos no autorizados, pérdidas, alteraciones o destrucciones. Estas medidas deben tener en cuenta el nivel de riesgo que supone el tratamiento de los datos para los derechos y libertades de los trabajadores.

Los trabajadores tienen derecho a ejercer una serie de derechos sobre sus datos personales, como el derecho de acceso, rectificación, supresión, limitación del tratamiento, oposición y portabilidad. Estos derechos se pueden ejercer ante el responsable del tratamiento o ante la Agencia Española de Protección de Datos (AEPD), que es el organismo encargado de velar por el cumplimiento de la LOPDGDD.

El respeto a los derechos del trabajador en materia de protección de datos es una obligación legal y ética que beneficia tanto al empleado como al empleador, ya que contribuye a generar confianza y transparencia en la relación laboral.

La entrada Qué datos puede pedir una empresa y cómo debe tratarlos según la LOPDGDD se publicó primero en Adaptación RGPD.

Las empresas están obligadas a prevenir e identificar las prácticas de acoso y, en su caso, erradicar estas situaciones de sus organizaciones. En este sentido es recomendable la elaboración de protocolos con medidas a adoptar, entre las que deben incluirse las específicas para la protección de datos de carácter personal.

Canal Prioritario y Pacto Digital de la AEPD
Dentro de los compromisos recogidos en su Marco de Actuación de Responsabilidad Social, la Agencia puso en marcha el Canal Prioritario para la retirada urgente de contenidos sexuales o violentos publicados sin consentimiento en Internet. Una herramienta de gran utilidad para las personas afectadas en primer término, pero también para las empresas. Más de 300 organizaciones firmantes del Pacto Digital de la AEPD ya la difunden entre sus empleados y la incluyen dentro de sus protocolos de actuación ante situaciones de acoso.

Consideraciones ante supuestos de acoso
Los datos personales relativos a las víctimas de acoso en el trabajo y de las mujeres supervivientes de la violencia de género, en particular su identidad, tienen, con carácter general, la consideración de categorías especiales de datos personales y, en todo caso, son datos sensibles que exigen una protección reforzada por parte de las empresas y organizaciones en las que trabajan.

En lo referente al registro de jornada obligatorio, la Agencia recomienda que se adopte el sistema menos invasivo posible y este no puede ser de acceso público ni estar situado en un lugar visible. Asimismo, los datos de ese registro no pueden utilizarse para finalidades distintas al control de la jornada de trabajo, como comprobar la ubicación. Es el ejemplo de una persona trabajadora itinerante cuyo registro de jornada se realiza por geolocalización. La finalidad ese registro es comprobar cuándo comienza y finaliza su tiempo de trabajo, pero no verificar dónde se encuentra en cada momento, ya que el tratamiento de datos de geolocalización requiere de una base jurídica específica.

Fuente: AEPD

Puede ver más información en el siguiente enlace

La protección de datos como garantía en las políticas de prevención del acoso: recomendaciones

La entrada Protección de la privacidad en el entorno laboral de las víctimas de acoso y mujeres supervivientes a la violencia de género se publicó primero en Adaptación RGPD.

Las empresas tendrán que tener en cuenta los siguientes criterios para no causar perjuicios en los derechos de protección de datos personales de los empleados/as.

• Informar con carácter previo, de forma expresa, clara y concisa de la finalidad de la medida.
• No se instalarán los sistemas de grabación de sonidos y videovigilancia en los lugares de descanso, tales como vestuarios, aseos, comedores y análogos.
• La grabación de sonidos se admitirá solo cuando resulten relevantes los riesgos para la seguridad de las instalaciones, bienes y personas derivados de la actividad desarrollada en el centro de trabajo y siempre respetando el principio de proporcionalidad e intervención mínima.

La conservación de la imágenes y sonidos será como máximo un mes, salvo que sirvan para acreditar algún acto ilícito. En este caso se pondrán a disposición de la autoridad competente en el plazo máximo de 72 horas.

IMPORTANTE

Si se captase la comisión de un acto ilícito el deber de informar se entenderá cumplido con la existencia del cartel informativo.

La entrada Derechos digitales en el ámbito laboral. Videovigilancia se publicó primero en Adaptación RGPD.