Source: https://www.iberley.es/temas/proteccion-datos-relaciones-laborales-64278
Timestamp: 2020-07-07 10:04:49
Document Index: 312217291

Matched Legal Cases: ['artículo 16', 'artículo 4', 'artículo 29', 'artículo 8', 'artículo 9', 'artículo 9', 'artículo 18', 'artículo 16']

La empresa, o sus asesores, deben conocer y cumplir las exigencias sobre protección de datos recogidas en la normativa actual. Exigencias, que como veremos no solo abarcan en el ámbito laboral formalidades asociadas a la LOPDGDD o RGPD, sino que han de estar presentes desde la fase previa a la contratación (Procesos de selección, gestión del «curriculum vitae», tratamiento informatizado y perfiles de candidatos) hasta la extinción de la relación laboral e incluso con posterioridad a la relación laboral.
Antes del análisis de los distintos puntos de interés en esta materia, tan poco abordada desde el punto de vista laboral, hemos de abordar -a modo introductorio-aquellos conceptos sobre los que, tanto inicialmente el Reglamento General de Protección de Datos (en adelante RGPD), como posteriormente la Ley Orgánica de Protección de Datos y Garantía de los Derechos Digitales (en adelante LOPDGDD), articulan el tratamiento de datos para garantizar su correcta protección. Es necesario conocer los conceptos utilizados por la normativa para poder abordar posteriormente su incidencia en el ámbito laboral.
a) Exactitud de los datos. El art.5.1 apartado d) del RGPD expone que los datos personales serán exactos y, si fuera necesario, actualizados. El considerando 39 reseña que “deben tomarse todas las medidas razonables para garantizar que se rectifiquen o supriman los datos personales que sean inexactos”. La obligación del responsable de corregir aquellos datos que sean inexactos es correlativa al derecho de rectificación de los interesados expresamente reconocido en el artículo 16 del RGPD. El principio de exactitud de los datos aparece también reconocido en el art. 4 de la LOPDGDD.
El principio de exactitud de los datos determina a su vez la necesidad de articular procedimientos que permitan al responsable realizar la actualización continua de los datos contenidos en el fichero con la finalidad de respetar el citado principio, de tal manera que sean exactos y se ajusten a la realidad del interesado.[1]
b) Deber de confidencialidad. El art. 5.1.f) del RGPD expone que los datos personales serán tratados de tal manera que se garantice la confidencialidad e integridad adecuada, inclusive para impedir el acceso o uso no autorizados de dichos datos y del equipo utilizado en el tratamiento («principios de integridad y confidencialidad»).
La nueva LOPDGDD, por su parte, regula la confidencialidad en su art. 5 como un deber que atañe a los responsables, encargados y cualquier otra personal que intervenga en cualquier fase del tratamiento. Esta obligación será complementaria de los deberes de secreto profesional de conformidad con su normativa aplicable y se mantendrá aun cuando hubiese finalizado la relación del obligado con el responsable o encargado.
c) Tratamiento basado en el consentimiento del afectado. El "consentimiento del interesado" es definido por el RGPD en su artículo 4.11 como "toda manifestación de voluntad libre, específica, informada e inequívoca por la que el interesado acepta, ya sea mediante una declaración o una clara acción afirmativa, el tratamiento de datos personales que le conciernen".
Sin duda en este apartado encontramos uno de los puntos más importantes que la LOPDGDD ha fijado en base al RGPD, como es el consentimiento expreso del titular de los datos que debe aceptar el tratamiento de los mismos a través de una declaración o acción afirmativa, resultado de una manifestación específica e inequívoca. Es decir, la norma concreta que cuando se soliciten los datos del usuario para diferentes finalidades no será válido que se pida su consentimiento en bloque y de forma tácita, sino que deberá obtenerse de manera diferenciada y específica para cada una de las diferentes finalidades.
En este sentido, el considerando citado ejemplifica -sin ánimo exhaustivo, pero con una clara vocación pedagógica- determinadas formas a través de las cuales el interesado puede expresar su consentimiento , señalando que tal manifestación “podría incluir marcar una casilla de un sitio web en internet, escoger parámetros técnicos para la utilización de servicios de la sociedad de la información, o cualquier otra declaración o conducta que indique claramente en este contexto que el interesado acepta la propuesta de tratamiento de sus datos personales.”
Asimismo, la LOPDGDD hace mención de lo recogido en el RGPD y excluye por tanto lo que se conocía como "consentimiento tácito", indicando, además, en cuanto al consentimiento del afectado para una pluralidad de finalidades, que será preciso que conste de manera específica e inequívoca que el consentimiento se otorga para todas ellas.
Para que el consentimiento pueda considerase informado, el interesado debe conocer como mínimo la identidad del responsable del tratamiento y los fines del tratamiento a los cuales están destinados los datos personales. Por tanto, resultará necesario que la información sea facilitada al interesado antes del tratamiento, en caso contrario, el tratamiento no podrá ser considerado lícito.
En este mismo sentido se ha pronunciado [2] la Agencia Española de Protección de Datos (AEPD) al indicar que un consentimiento libre “supone que el mismo deberá haber sido obtenido sin la intervención de vicio alguno del consentimiento”.
Asimismo, y conforme el citado considerando 43 indica, se presume que el consentimiento no se ha dado libremente cuando no permita autorizar por separado las distintas operaciones de tratamiento de datos personales pese a ser adecuado en el caso concreto, o cuando el cumplimiento de un contrato, incluida la prestación de un servicio, sea dependiente del consentimiento, aun cuando este no sea necesario para dicho cumplimiento. Esto podría ocurrir, por ejemplo, - atendiendo al criterio del Grupo de Trabajo del artículo 29- cuando estamos ante un empleado dada la dependencia de éste en la relación laboral, ya que ante el temor de un riesgo real de perjuicio que pudiera tener su negativa a proporcionar su consentimiento, daría un consentimiento viciado. Y aquí es donde deberíamos reflexionar cómo podemos tratar los datos de un futuro empleado con su consentimiento, pero sin relacionarlo al momento de la contratación para evitar que se considere un vicio en el consentimiento; resulta cuanto menos complicado porque para formalizar el contrato se necesitan los datos del empleado.
d) Consentimiento de los menores de edad. En relación a un posible trabajador menor de edad, conforme dispone el citado artículo 8.1 del RGPD, el tratamiento de los datos personales se considerará lícito cuando tenga como mínimo tenga 16 años, por lo que una de las condiciones aplicables al consentimiento del menor, será su edad. En el caso de un menor de 16 años, tal tratamiento únicamente se considerará lícito si el consentimiento lo dió o autorizó el titular de la patria potestad o tutela sobre el niño, y solo en la medida en que se dió o autorizó.
e) Categorías especiales de datos. Los conocidos como “datos especialmente protegidos” que ya preveía la derogada LOPD, encuentran su encaje en el Reglamento comunitario en lo que se han venido a denominar "categorías especiales de datos".
El tratamiento de datos en el ámbito laboral pertenecientes a categorías especiales como pueden ser la ideología, afiliación sindical, religión, orientación sexual, creencias y origen racial, gozarán de una especial y mayor protección, prevaleciendo la prohibición que marca la ley, con los requisitos de seguridad y confidencialidad necesarios para garantizar un amparo extra.
Con carácter general tales datos personales no deben ser tratados, a menos que se permita su tratamiento en situaciones específicas contempladas en el Reglamento. Las excepciones a la prohibición general de tratamiento de esas categorías especiales de datos personales deben establecerse de forma explícita, -entre otras cosas- cuando el interesado dé su consentimiento explícito o concurran determinadas razones vinculadas al interés público, razones sanitarias, de seguridad, o cuando sea necesario para permitir el ejercicio de libertad fundamentales por razones de interés público.
Lo señalado en el apartado 1 del artículo 9 no será de aplicación cuando concurra una de las circunstancias siguientes:
Lo dispuesto en el párrafo anterior no impedirá el tratamiento de dichos datos al amparo de los restantes supuestos contemplados en el artículo 9.2 del Reglamento (UE) 2016/679, cuando así proceda".
Ampliar información en temas administrativo:
- Introducción a la protección de datos. Reglamento General de Protección de Datos (RGPD) y LO 3/2018 de 5 de diciembre (LOPDGDD).
- Categorías de datos personales en la normativa de protección de datos.-
- Derechos de los interesados y limitaciones en la LO 3/2018 (LOPDGDD) y en el Reglamento General de Protección de Datos (RGPD).
- Responsable del Tratamiento en materia de protección de datos en el Reglamento General de Protección de Datos (RGPD) y en la LO 3/2018 de 5 de diciembre (LOPDGDD).
- Delegado de Protección de Datos (DPO).
- Análisis de algunos tratamientos concretos en la LO 3/2018 de 5 de diciembre (LOPDGDD).
- Autoridades de Protección de Datos.
- Régimen sancionador en la LO 3/2018 de protección de datos (LOPDGDD) y en el Reglamento General de Protección de Datos (RGPD).
- Garantía de los derechos digitales en la LO 3/2018 de 5 de diciembre (LOPDGDD).
[1] Téngase en cuenta que este principio está en estrecha relación con el derecho a la limitación del tratamiento regulado en el artículo 18 del RGPD y en el artículo 16 de la LOPDGDD.
[2] Informe jurídico sobre los caracteres del consentimiento definido por la ex LOPD.
Protección de datos en las relaciones laborales ESTOY AQUÍ
Obligaciones del RGPD para la empresa