Source: https://www.prodat.es/blog/el-registro-de-jornada-laboral-y-proteccion-de-datos.html
Timestamp: 2019-09-15 22:19:29+00:00

Document:
PRODAT Protección de Datos para empresas RGPD, LOPDGDD y LSSI - El registro de jornada laboral y protección de datos.
Escrito por Claudia Álvarez Sieiro Visto 911 veces
Precisamente esta última cuestión, la forma en la que se llevará a cabo el registro, es una de las que más impacto tiene en la materia de protección de datos, pero no la única, ya que entran en juego distintos principios que rigen la materia de protección de datos en los que debemos centrar nuestra atención.
1. Principio de información. Debemos cumplir en todo caso con el principio de información, conforme a lo establecido en el artículo 13 del RGPD, e informar al trabajador acerca de cómo van a ser tratados sus datos.
Entre la información a facilitar, deberá indicarse que el registro horario deberá conservarse durante un plazo mínimo de 4 años, y este deberá estar a disposición de los representantes de los trabajadores y de la inspección de trabajo y seguridad social.
2. Legitimación. Como en todo tratamiento de datos personales, y así lo hemos comentado en nuestro blog, es fundamental cumplir con lo establecido en el artículo 6 del Reglamento General de Protección de Datos (en adelante RGPD), y contar con una base jurídica que haga ese tratamiento de datos personales lícito.
En consecuencia, resulta necesario analizar cuál es la base legitimadora que permite tratar los datos de los trabajadores para poder llevar el registro.
Para ello, debemos prestar atención a que la finalidad del tratamiento de los datos de los trabajadores, será en este caso cumplir con la llevanza del registro de su jornada. Por ello, la Agencia Española de Protección de Datos (en adelante AEPD), ha manifestado que las entidades están legitimadas por una parte, en base a la relación jurídico-laboral existente entre empleador y empleado (artículo 6.1.b RGPD), y por otra parte en el cumplimiento de la obligación legal establecida en el artículo 34 del Estatuto de los Trabajadores en relación con el artículo 20 de la misma norma.
Esto implica que no resulte necesario recabar el consentimiento de los trabajadores para poder tratar sus datos con esta finalidad concreta.
A este respecto, nos gustaría tratar una pregunta recurrente en las últimas semanas por parte de nuestros clientes, ¿puedo llevar un registro de jornada laboral mediante huella dactilar?
Para dar respuesta a esta pregunta, es necesario partir de la base de que los datos biométricos han pasado a ser considerados como una categoría especial de datos, conforme a lo establecido en el artículo 9.1. del RGPD, y por ello será necesario que concurra alguna de las excepciones previstas en el artículo 9.2 de la misma norma, que permiten levantar la prohibición general del tratamiento de estos tipos de datos establecida en el ya mencionado artículo 9.1.
Sin embargo, a la hora de valorar cuál es la excepción aplicable a este caso concreto, debemos exponer los criterios mantenidos por una parte por la propia AEPD, y por otra, la Autoridad Catalana de Protección de Datos, si bien es cierto que habitualmente aplican los mismos criterios jurídicos, en este supuesto se han mantenido hasta el momento en posiciones diferenciadas.
— La AEPD ya se pronunció al respecto en la sesión abierta celebrada en 2018, al indicar que el tratamiento de la huella dactilar para el control de acceso por los trabajadores podría considerarse una medida de control amparada en el artículo 20 del Estatuto de los Trabajadores, por lo que no resultaría necesario recabar el consentimiento del interesado.
Este mismo criterio ha sido reiterado por parte de la Directora de la AEPD hace unos días, en su intervención en el encuentro sobre registro horario del 23 de Abril, en la sede de la Confederación Española de Organizaciones Empresariales (puedes verla aquí).
Por ello, a criterio de la AEPD, sería la ya comentada en este artículo, con independencia de que pueda llegar a tratarse una categoría especial de datos o no.
— Por el contrario, para la Autoridad Catalana de Protección de Datos, y así lo ha manifestado en este Dictamen, no resulta suficiente ampararse en el artículo 20.3 del Estatuto de los Trabajadores como base legitimadora, toda vez que, si bien es cierto que este artículo prevé la posibilidad de que el empresario adopte medidas de vigilancia y control para verificar el cumplimiento de las obligaciones laborales de sus trabajadores, no se refiere en ningún momento a una autorización para la utilización de categorías especiales de datos o, en concreto, de datos biométricos, con esta finalidad.
En el mismo sentido, la Ley orgánica 3/2018, de 5 de diciembre, de protección de datos personales y garantía de los derechos digitales, sí que ha previsto y ha regulado las condiciones y garantías con las que puede hacerse el control de los trabajadores por parte del empresario con respecto a la utilización de los dispositivos digitales puestos a su disposición por parte del empresario (sistemas de videovigilancia o de sistemas de geolocalización), pero tampoco contiene ninguna referencia a la posibilidad de utilización de datos biométricos en sistemas de control en el ámbito laboral, como sería el caso del control horario.
Nos llama la atención que, si bien es cierto que en consecuencia entendemos que la base jurídica en este caso ha de ser el consentimiento explícito, la autoridad catalana no llegue a especificarlo en su Dictamen.
En todo caso, ambas autoridades coinciden a la hora de determinar que, la inclusión de los datos biométricos, entre ellos los de la huella dactilar, entre las categorías especiales de datos previstas por el RGPD, supone la necesidad de aplicar el principio de minimización para implementar esta medida, es decir, deberá limitarse a los supuestos en que se considere realmente necesaria para que el control sea eficaz.
Partimos de la premisa de que los datos biométricos sólo pueden usarse de manera adecuada, pertinente y no excesiva, lo que conlleva una evaluación de la necesidad y de la proporcionalidad del tratamiento.
Por ello, aplicando el criterio fijado por la AEPD en varios Informes jurídicos y resoluciones (Informe 0065/2015, Resolución R/00900/2018), y así lo hemos comentado en otras publicaciones de este blog (por ejemplo aquí), para comprobar si una medida supera el juicio de proporcionalidad, hay que constatar que cumple los siguientes requisitos o principios:
— Idoneidad: si tal medida es susceptible de conseguir el objetivo propuesto y si es probable que el sistema sea eficaz para responder a la necesidad en cuestión. Por ejemplo, si los datos almacenados en la base de datos del servidor se guardaran en una tarjeta, resultaría menos excesivo ya que estarían en poder del propio interesado.
— Necesidad: si no existe otro método más moderado para conseguir la finalidad propuesta con la misma eficacia.
— Proporcionalidad: se ha de evaluar si hay un medio menos invasivo de la intimidad para alcanzar el fin que se desea como, por ejemplo, algún método que no almacene datos para fines de autenticación o el uso de tarjetas inteligentes que porten los interesados de forma que el sistema únicamente almacene la información referida al uso o no uso de accesos, sin que en ningún momento se refleje el algoritmo de la huella.
Así, para dar cumplimiento a este juicio de proporcionalidad, será necesario realizar una evaluación de impacto sobre la protección de datos a la vista de las circunstancias concretas en las que se lleve a cabo el tratamiento, máxime si atendemos al listado de tratamientos en los que es obligatorio realizar una evaluación de impacto, que la AEPD ha hecho público (ver apartados 2 y 5 del listado).
En definitiva, el sistema podría implementarse siempre que el mismo cumpliera las garantías suficientes de seguridad, cumpliendo en todo caso los principios de información y minimización que rigen en materia de protección de datos, habiendo documentado previamente la correspondiente evaluación de impacto sobre la protección de datos.
relación jurídicolaboral
artículo 34 Estatuto de los trabajadores
artículo 9 RGPD
Resolución R/00900/2018
Más en esta categoría: « Regulación de las brechas de seguridad y su notificación a la AEPD y a los interesados	Campañas publicitarias vs. Derecho de oposición del interesado »
Modificado por última vez en Viernes, 10 Mayo 2019 12:17

References: artículo 13
 artículo 6
 artículo 34
 artículo 20
 artículo 9
 artículo 9
 artículo 9
 artículo 20
 artículo 20
 Resolución 

artículo 34

artículo 9

Resolución