Tal y como anunciamos en el post Protección de Datos y Relaciones Laborales, vamos a seguir tratando las implicaciones relativas a la protección de datos durante la vida de la relación laboral, en este caso, sobre el control de la actividad laboral (controles de acceso, videovigilancia, geolocalización, etc.), la representación unitaria y sindical y, la vigilancia de la salud.
CONTROL EMPRESARIAL
Las empresas pueden tratar datos personales relacionados con el control empresarial. El objetivo es verificar el cumplimiento, por parte del trabajador, de sus obligaciones y deberes laborales, tal y como indica el artículo 20.3 del Estatuto de los Trabajadores (ET).
¿Cómo se deben tratar los datos para el control empresarial de los trabajadores?
Como el control empresarial puede hacerse mediante nuevas tecnologías, deberá realizarse un test de proporcionalidad por su carácter invasivo. Este test debería ponderar:
- Juicio de idoneidad: si la medida es susceptible de conseguir el objetivo propuesto.
- Juicio de necesidad: si existe otra medida más moderada para conseguir el objetivo, deberemos optar por la medida que sea más moderada.
- Juicio de proporcionalidad: optar por una medida equilibrada, en el sentido que existan más beneficios para el interés general que perjuicios.
Algunos ejemplos de control de la actividad laboral pueden ser: controles de acceso a sus instalaciones mediante datos biométricos (huella dactilar o reconocimiento facial), la videovigilancia, la geolocalización, el control de falta de asistencia por enfermedad o accidente o detectives privados.
En cualquier de estos casos, el empresario debe:
- informar a los trabajadores sobre el uso de cualquier medida de control de forma concisa, transparente, inteligible y de fácil acceso, con un lenguaje claro y sencillo, sobre el tratamiento de datos que está llevando a cabo, tal y como establecen los artículos 13 y/o 14 del RGPD.
- asegurarse de que los datos recogidos se tratan con el fin específico para el control y no tratar datos innecesarios.
- realizar el test de proporcionalidad.
LA REPRESENTACIÓN UNITARIA Y SINDICAL
¿Los representantes de los trabajadores pueden tratar sus datos?
Para el cumplimiento de sus obligaciones, los representantes de los trabajadores deben tratar datos personales, no siendo necesario el consentimiento del trabajador en este caso.
Ahora bien, este tratamiento de datos debe tener ciertas limitaciones:
- Únicamente deben tratar datos necesarios para el ejercicio de sus funciones.
- Deben tratar los datos imprescindibles (principio de minimización de datos).
- Los datos que obtengan en virtud de su posición como representante de los trabajadores no podrán ser utilizados con fines distintos al ejercicio de sus tareas.
- Por parte de la empresa, se les debería otorgar perfiles de acceso a los sistemas de información específicos, con el objetivo de que puedan acceder a la información adecuada para llevar a cabo sus funciones.
- Los convenios colectivos pueden ser base jurídica suficiente para la cesión de datos personales, tal y como se desprende del artículo 64.9 del Estatuto de los Trabajadores.
- Pese a la habilitación para tratar datos, se debe informar a los trabajadores de este tratamiento de datos.
- Los representantes siempre deberán respetar la confidencialidad de dichos datos.
¿Pueden enviar información sindical a través de correo electrónico?
El envío de este tipo de comunicaciones es un derecho de los representantes de los trabajadores, amparado por el derecho de libertad sindical. Ahora bien, podrán usarse estos métodos siempre que se haga de modo proporcional y no se perjudique el normal funcionamiento de la organización.
Cuando estas circunstancias se produzcan, existirá legitimación suficiente para que se pueda producir la comunicación de datos personales a los representantes, pero deberemos tener en cuenta que:
- Pueden usarse listas de distribución para enviar estos mails. De este modo se evitaría necesitar el correo electrónico de los empleados.
- Los datos que se traten deben ser los estrictamente necesarios, como comentábamos anteriormente (no siendo un dato necesario el email privado del trabajador).
- Los datos deberán usarse para la finalidad para la que fueron comunicados.
- El sindicato estará siempre obligado a cumplir con las disposiciones de la normativa de protección de datos.
- El sindicato siempre deberá respetar el derecho de oposición de los empleados, siendo la excepción las elecciones sindicales, donde prevalecerá la libertad sindical.
¿En períodos de consultas, pueden los sindicatos tratar mis datos personales?
Hay determinados casos en que los sindicatos deben negociar con las empresas, como en los casos de traslado, modificación sustancial de las condiciones de trabajo, transmisión de la empresa, suspensión de contratos, de despido colectivo o para la inaplicación del convenio colectivo. En estos casos pueden tratarse los datos personales de los trabajadores cumpliendo con el principio de minimización de datos.
VIGILANCIA DE LA SALUD
¿Influyen mis datos en la prevención de riesgos laborales?
El tratamiento de datos personales en materia de prevención de riesgos laborales se encuentra legitimado por la existencia de una relación contractual entre las partes.
Una de las obligaciones principales del empleador es la vigilancia de la salud de sus empleados. A pesar de que los reconocimientos médicos son voluntarios con carácter general, pueden llegar a ser obligatorios (art.22.1 de la Ley de Prevención de Riesgos Laborales (LPRL)) en los siguientes casos:
- Reconocimientos que se hagan para evaluar los efectos de las condiciones de trabajo sobre la salud de los trabajadores.
- Verificar si el estado de salud de un trabajador puede constituir un peligro para sí mismo o los demás.
- Obligación legal en relación con la protección de riesgos específicos y actividades de especial peligrosidad.
La base jurídica para tratar datos relativos a la salud de los empleados, tanto si son controles voluntarios como obligatorios, sería la ejecución del contrato de trabajo.
La realización del reconocimiento debe vincularse a la aptitud laboral del trabajador, por lo que el empresario no tendrá acceso a los resultados de estos informes, y el consentimiento del trabajador no será base suficiente como para justificar la cesión de datos médicos. Pese a ello, se informará a la empresa o las personas encargadas de ello, de las conclusiones que se deriven de dichos exámenes médicos.
¿Se pueden monitorizar datos de salud de los trabajadores mediante dispositivos inteligentes?
A menos que haya una habilitación legal, la monitorización de datos de salud a través de dispositivos inteligentes por parte de la empresa está prohibida, porque:
- No se enmarca dentro de lo que sería la vigilancia de la salud.
- Supone un tratamiento de datos de categoría especial, sin una base jurídica.
- Carece de finalidad legítima.
- Vulnera el principio de proporcionalidad.
Además, en estos casos, el consentimiento del trabajador no será suficiente para implementar estas medidas, dado que no es verdaderamente libre para dar su consentimiento.
¿El servicio de prevención es responsable o encargado de tratamiento?
Si el servicio de vigilancia de la salud es propio, la empresa será la responsable de tratamiento de los datos. Si, por el contrario, este servicio lo ofrece una empresa externa, el responsable del tratamiento será esta empresa.
Si hay un cambio en la empresa que realiza el servicio de prevención de riesgos laborales:
- Los datos relativos a la salud se comunicarán al nuevo servicio de prevención y nunca al empresario.
- Se debe informar al trabajador.
- El servicio de prevención anterior no debe suprimir los datos, debe conservarlos según los periodos que marca la normativa laboral.
La obligación de mantener la historia clínico-laboral se rige por la Ley 41/2002, 2002, de 14 de noviembre, básica reguladora de la autonomía del paciente, la LPRL y la normativa de protección de datos.
Ya sabéis que, si necesitáis ampliar información u os surge cualquier duda al respecto, estamos a vuestra disposición.
El equipo de PymeLegal
