¿Qué datos puedo utilizar en relación con los trabajadores en las instituciones educativas?

La Agencia Española de Protección de Datos publicó el pasado 18 de mayo de 2021, una guía de carácter vital que recoge la protección de datos en las relaciones laborales. El documento desarrolla de una manera pormenorizada los datos que se consideran personales, y, por ende, cuáles y cómo deben ser usados por las empresas.

Es importante que las Instituciones educativas manejen esta guía y la incluyan dentro de sus protocolos de cumplimiento normativo de protección de datos. Resulta un buen momento para revisar si estamos cumpliendo adecuadamente todas estas políticas. Vamos a revisar a continuación, algunas de las cuestiones más relevantes que se ponen de relieve en el documento, poniendo especial atención en lo relativo a:

• Fase de selección y contratación de candidatos. Datos que puede indagar la empresa en las redes sociales del candidato en una entrevista de trabajo. Datos que se le pueden preguntar al candidato sobre creencias, salud o cesión de sus datos.
• Desarrollo de la relación laboral. Datos que puedo solicitar a una persona trabajadora como empresario.
• Control de la actividad laboral. Derechos que tienen las personas trabajadoras respecto a la gestión de datos por parte de la empresa (acceso, rectificación y supresión).

1. Respecto del CV: Si el CV se presenta directamente por la persona candidata sin haberlo solicitado, deben fijarse procedimientos de información que supongan algún acuse o confirmación de que se han conocido las condiciones en las que se desarrollará el tratamiento.
2. Certificado de antecedentes penales. A priori no es legalmente posible exigir a las personas candidatas a un puesto de trabajo un certificado de antecedentes penales, salvo en aquellos supuestos excepcionales en que, autorizados por una Ley y con las debidas garantías, se contemple dicha medida.
3. Informe de vida laboral. La empresa podría acreditar un interés legítimo para solicitar el informe de vida laboral a los efectos de comprobar la veracidad y la experiencia que la persona candidata refleja en su solicitud. Este informe no se puede exigir que sea completo, ya que puede ser adaptado al puesto solicitado, es decir, que este interés por parte de la empresa debe ser proporcional al proceso que se está ejecutando.
4. Redes sociales. Aunque el perfil en las redes sociales de una persona candidata a un empleo sea de acceso público, el empleador no puede efectuar un tratamiento de los datos obtenidos por esa vía si no cuenta para ello con una base jurídica válida. Solo se justifica tal utilización si están relacionados con fines profesionales. Del mismo modo, la empresa no estaría legitimada para “solicitar amistad”.
5. Información que puedo solicitar en una entrevista de trabajo. No solo es ilegítimo, sino, que, además, constituye infracción administrativa muy grave solicitar datos de carácter personal en los procesos de selección o establecer condiciones que constituyan discriminaciones para el acceso al empleo por motivos de sexo, origen, incluido el racial o étnico, edad, estado civil, discapacidad, religión o convicciones, opinión política, orientación sexual, afiliación sindical, condición social y lengua dentro del Estado.
6. Datos de las personas no contratadas, una vez finalizado el proceso de selección. Se pierde la base legitimadora para el tratamiento de los datos, por lo que se deben destruir, suprimir y bloquear todos los datos obtenidos de la candidata.

Primeramente, los empleados deben ser informados con detalle de todos los datos utilizados por el empresario. Esta información debe producirse de forma dinámica, es decir, que cualquier cambio en el tratamiento de datos por parte del empleador, debe ser comunicado de forma inmediata al trabajador.

Ejemplo: Si transcurrido un tiempo el empresario establece un nuevo sistema de control a través de videovigilancia, debe contar con el deber de informar a la totalidad de sus empleados.

En segundo lugar, los datos manejados por el empresario deben ser los estrictamente necesarios para correcto desempeño de la relación laboral. No es lícito el tratamiento de datos superfluos o excesivos, especialmente cuando por esa vía el empleador pudiera conocer otra información adicional de forma no justificada.

A estos efectos:

1. El empleador puede exigir a sus empleados que porten tarjetas identificativas, cara de uso al público, así como por razones de seguridad. Los datos contenidos en dichas tarjetas será la mínima imprescindible para su identificación y puede contener fotografía sin necesidad de consentimiento por parte del trabajador.
2. Nóminas. No debe aparecer información distinta a la relación de ingresos y deducciones derivadas del contrato de trabajo. No debe incluirse la afiliación sindical. Si la gestión de nóminas se encarga a una asesoría o gestoría, la empresa contratada debe tratar los datos personales para poder realizar la prestación de los servicios con la condición de encargada de tratamiento, firmando un contrato de prestación a tal fin.
3. Registro de jornada. Debe estar incluido en el registro de actividades del tratamiento, no debe incluir más datos personales de los imprescindibles y no puede ser de acceso público ni estar situado en un lugar visible para cualesquiera personas trabajadoras, clientes o proveedores. Los datos del registro no pueden ser utilizados con finalidades distintas al control de la jornada de trabajo.
4. Registro de salarios, la obligación legal del registro de salarios no justifica el tratamiento de datos personales. En el registro deben figurar datos disociados y no datos personales, ni información que pueda identificar a una persona.
5. Concesión de ayudas de acción social. Las empresas no pueden publicar el listado de ayudas adjudicadas y denegadas en una página web de libre acceso, o en un tablón de anuncios situado en una zona abierta al público.
6. Derechos de conciliación y corresponsabilidad. El tratamiento de datos personales de la persona trabajadora por parte de la empresa es necesario para la concesión y gestión y solicitudes relativas a la suspensión del contrato de trabajo, permisos y modificaciones de jornada. Se debe aplicar, no obstante, el principio de minimización de datos, recabando los datos estrictamente necesarios para justificar y ponderar el ejercicio de este derecho por parte del empresario.
7. Extinción de la relación laboral. La carta de despido puede contener datos personales de la persona despedida y de terceros siempre que sean adecuados y pertinentes para esa finalidad. Deben implementarse las medidas de seguridad necesarias para que la carta de despido no sea accesible a terceros no legitimados.

Partimos de la base de lo establecido en el Estatuto de los trabajadores: “el empresario podrá adoptar las medidas que estime más oportunas de vigilancia y control para verificar el cumplimiento por el trabajador de sus obligaciones y deberes laborales, guardando en su adopción y aplicación la consideración debida a su dignidad humana y teniendo en cuenta la capacidad real de los trabajadores disminuidos en su caso”.

Por tanto, a priori, no es necesario el consentimiento de la persona trabajadora para la implantación de las medidas de control por parte del empresario.

Sí es necesario que la implantación de medidas de control pase por un test de proporcionalidad en el que debe valorarse:

• Se consigue el objetivo perseguido –juicio de idoneidad–.
• No exista otra medida más moderada para la consecución del propósito.
• Es ponderada y equilibrada –principio de proporcionalidad–.

A estos efectos:

1. Control de acceso a las instalaciones. La empresa no necesita el consentimiento de la persona trabajadora para establecer los controles de acceso que estime convenientes, siempre respetando los derechos fundamentales.
2. Videovigilancia. Tampoco se requiere consentimiento por parte del empresario, aunque sólo podrá usarse cuando no sea posible acudir a otros medios que causen menos impacto en la privacidad. Se debe respetar en todo caso el principio de minimización de datos personales, esto es:

• El número de cámaras se limitará a las necesarias para cumplir la función de vigilancia.
• El responsable de analizar los requisitos técnicos de las cámaras, protegiendo que acciones como el “zoom” vayan en contra de tal principio de minimización.
• La empresa debe informar a las personas trabajadoras de la implantación de esta medida de forma clara y concisa.
• Está prohibida la instalación de sistemas de grabación de imágenes y/o sonido en lugares destinados al descanso o esparcimiento de las personas trabajadoras tales como vestuarios, aseos, comedores y análogos.
• Deben implementarse las medidas de seguridad pertinentes en función de los riesgos.

3. Geolocalización, se permiten los sistemas de geolocalización a las personas trabajadoras, siempre adecuándose a:

• Informar a los trabajadores de dicha medida.
• Respetar los principios de minimización y limitación de la finalidad.
• Atender al principio de proporcionalidad.

4. Control de falta de asistencia por enfermedad o accidente. Las empresas están facultadas para realizar controles médicos a las personas trabajadoras que faltan al trabajo por enfermedad o accidente. A tener en cuenta, la empresa no está legitimada para conocer los detalles concretos del reconocimiento médico, sino únicamente la conclusión a los efectos de conocer si la persona trabajadora esta en condiciones de reincorporarse a su puesto de trabajo. La incorporación de datos de salud a un fichero con la única finalidad de realizar controles de absentismo resulta desproporcionada.

5. Detectives privados. También se habilita al empleador para adoptar medidas de control como recurrir a un detective privado, sin necesidad de consentimiento por parte del empleador. Eso sí, se deberá atender siempre al principio de proporcionalidad, así mismo, está prohibido investigar la vida íntima de las personas que transcurra en sus domicilios u otros lugares reservados. En relación con el informe del detective únicamente se hará constar información directamente relacionada con el objeto y finalidad de la investigación que tendrá carácter reservado.

Isabel Moreno Martínez-Ortiz. Partner en IURIS & CO y miembro del Comité técnico educativo de la World Compliance Education (WCA).