Uno de los aspectos que más dudas genera en el ámbito de las relaciones laborales son las obligaciones, normas y políticas que deben cumplir las empresas en materia de protección de datos. De hecho, un análisis de las circulares, instrucciones, resoluciones, guías, etc. que, a lo largo de los años, ha ido emitiendo la Agencia Española de Protección de Datos permite comprobar que una buena parte de las mismas están dedicadas precisamente al tratamiento de los datos en el ámbito de las relaciones laborales.
El próximo 25 de mayo de 2018 entrará en vigor una nueva Ley Orgánica de Protección de Datos (“LOPD”), hoy todavía en Proyecto de Ley, que tiene como finalidad la adaptación del ordenamiento jurídico español al Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de fecha 27 de abril de 2016, denominado Reglamento General de Protección de Datos.
Esta nueva regulación afectará, en algunos aspectos, al ámbito de los recursos humanos y las relaciones laborales, por lo que analizaremos, a continuación, las novedades más importantes.
Una de las novedades de esta norma lo constituye el tratamiento de los datos de las personas fallecidas, pues se permite a los herederos de la persona fallecida, al albacea o a la persona o institución designada, solicitar el acceso, rectificación o supresión de los datos personales, salvo prohibición expresa de la persona fallecida o que lo prohíba una ley. Por tanto, estas nuevas previsiones deberán tenerse en cuenta respecto de los trabajadores de la empresa que hubieran fallecido, bien durante la vigencia de la relación laboral o durante el periodo de conservación de los datos personales.
Otra novedad relevante es que se exige el consentimiento expreso del afectado para el tratamiento de sus datos personales, debiendo ser informado de todas las finalidades con las que se pretenden tratar sus datos personales, y éste debe otorgar su consentimiento expreso para todas las finalidades informadas. Ello nos lleva a recomendar que, cuanto antes, y desde luego a partir del 25 de mayo de 2018, se revisen las cláusulas de los contratos de trabajo sobre el tratamiento de los datos personales para adaptarlas a la nueva normativa.
En cuanto a los datos cuyo tratamiento se presume lícito, deben tenerse en cuenta las siguientes consideraciones:
- el tratamiento debe referirse únicamente a los datos necesarios para la localización profesional del trabajador
- la finalidad de su tratamiento debe ser únicamente para mantener relaciones de cualquier índole con la empresa. La misma presunción a favor del tratamiento de datos se aplica a los datos de contacto del empresario individual (autónomos) siempre y cuando dichos datos se refieran a tal condición, y no engloben el tratamiento de sus datos como persona física.
Otra de las novedades contenidas en la norma es la relativa al tratamiento de datos relacionados con los supuestos de sucesión de empresa, presumiéndose lícito el tratamiento de los datos que fueran necesarios para el buen fin de la operación y que permitan garantizar, si procede, la continuidad de la prestación de servicios. Se prevé que, en caso que la operación mercantil no alcance buen fin, se deberán suprimir con carácter inmediato dichos datos.
De igual modo, resulta de interés hacer mención a la regulación sobre el tratamiento de datos con fines de videovigilancia, pues en el Proyecto de LOPD se hace una recopilación de los criterios judiciales emitidos en los últimos años y recomendaciones de la Agencia Española de Protección de Datos sobre la cuestión estableciendo fundamentalmente que:
- es posible el tratamiento de imágenes captadas por cámaras o sistemas de videovigilancia cuando se hace con la finalidad de preservar la seguridad de las personas, bienes e instalaciones
- los datos se deberán suprimir en el plazo máximo de un mes, salvo cuando dichas imágenes deban servir como prueba de determinados incumplimientos y comportamientos
- se deberá colocar un dispositivo informativo visible identificando la existencia del tratamiento, la identidad del responsable y la posibilidad de ejercitar los derechos correspondientes
- el empresario podrá utilizar las grabaciones de las cámaras y sistemas de videovigilancia para ejercer las labores de control del cumplimiento de sus obligaciones por parte de los trabajadores, si bien establece la obligatoriedad de informar a los trabajadores sobre la medida (lo que no especifica es cómo debe producirse dicho medio de comunicación)
Por otra parte, en los sistemas de denuncias internas se deberá informar a los trabajadores y a terceros de la existencia de dicho sistema, garantizando la confidencialidad de los datos guardados en el sistema y pudiéndose conservar dichos datos durante un máximo de 3 meses (transcurrido dicho plazo se debe proceder a su supresión). Asimismo, se prevé que, en los supuestos en los que los hechos denunciados pudieran dar lugar a medidas disciplinarias, se permitirá el acceso a los mismos por parte de la persona encargada de los recursos humanos en la empresa, con la finalidad de adoptar, si procede, las correspondientes medidas disciplinarias.
Otra de las novedades destacables del Proyecto de Ley es que se establecen actuaciones proactivas del responsable y encargado del tratamiento de los datos (las empresas y/o las personas a las que éstas designen), debiendo valorar la situación para determinar qué medidas técnicas y organizativas pueden resultar apropiadas para garantizar y acreditar el correcto tratamiento de los datos, así como se deberán realizar evaluaciones de impacto del tratamiento de datos, debiendo documentar las operaciones de tratamiento de datos y las acciones a emprender.
Por último, en cuanto al régimen sancionador y el importe de las sanciones a imponer también existe una importante novedad, pues se incrementa el importe de las sanciones en los supuestos más graves hasta los 20 millones de euros o, tratándose de una empresa, hasta un 4% de su facturación, escogiéndose el importe que resulte mayor.
Numerosas voces, incluso en el ámbito europeo, ya han advertido que la adaptación a la nueva normativa para los Estados va a ser un proceso complejo y previsiblemente más largo que el concedido (inicialmente hasta el 25 de mayo de 2018), y para las pequeñas y medianas empresas será un reto que requerirá de una adecuada planificación y asesoramiento de expertos.
Departamento Laboral de Garrigues
