Un cliente nos indica que los representantes de los trabajadores le han pedido que publique en el tablón de anuncios para los trabajadores la Relación Nominal de Trabajadores (RNT), el antiguo TC2 y la Relación de Liquidación de Cotizaciones (RLC), el antiguo TC1 y nos pregunta si está obligado a hacerlo o no.
La Agencia Española de Protección de Datos, en su Guía para las Relaciones Laborales, tiene publicada información relevante a este respecto.
Los representantes de los trabajadores tienen derecho a recabar de la empresa la documentación necesaria para desempeñar la función de control que tienen asignada, y por ello, la empresa está obligada a cederles esta información.
Los representantes de los trabajadores tienen derecho a recibir la RNT, la RLC y la copia básica de cada contrato de trabajo, con objeto de conocer la retribución y ciertos datos que aparecen en el contrato, sin que esto vulnere el derecho a la intimidad del trabajador. En dicha copia básica no deben aparecer los datos ajenos a la situación de trabajo, como es el caso de la situación familiar. Tampoco tienen derecho a solicitar las nóminas de todos los trabajadores.
El convenio colectivo podría contener previsiones específicas, pues al ser fuente reguladora de la relación laboral, podría ampliar el ámbito de la cesión de datos.
Los representantes no pueden publicar estos documentos en un tablón de anuncios de la empresa.
Respecto a la ubicación del tablón de anuncios para uso de los representantes de los trabajadores, cabe tener en cuenta que dicho tablón no puede ubicarse en una zona de acceso libre para clientes o proveedores. Ha de estar en una zona restringida para los trabajadores. Puede ser una zona física o también es válida la publicación en la intranet de la empresa (nunca abierto a todo el mundo y accesible desde internet).
La AEPD acaba de actualizar la guía sobre el uso de cookies en la que clarifica y actualiza los criterios que deben seguir las webs españolas para cumplir con las obligaciones de privacidad establecidas en la Ley de Protección de Datos.
Os resumimos las obligaciones más importantes:
El botón “Rechazar cookies” ha de estar al mismo nivel que “Aceptar”
Las páginas web y aplicaciones móviles deben ofrecer a los usuarios un botón de “Rechazar” las cookies, claramente visible y accesible. No valen trucos como ponerlo más pequeño, o con un color que cueste de identificar sobre el fondo.
Aceptas cookies o pagas
Siguen resultando ilegales los “muros de cookies” donde el usuario o acepta o no puede seguir navegando, pero una novedad importante es la posibilidad de poner una alternativa de pago, de forma que si no aceptas las cookies de publicidad que permiten mejorar los ingresos de la web, tengas que pagar una cuota por seguir navegando en el sitio.
Esta posibilidad vendrá muy bien para los sitios web que viven de la publicidad, pero no resulta interesante para las webs corporativas, o para los sitios de comercio electrónico.
Botón o enlace de configurar cookies.
Si le damos al usuario una tercera opción, además de “Aceptar” y “Rechazar”, esta tercera opción abrirá un panel con más información, donde muestre los tipos de cookies que utiliza el sitio. No es correcto poner un listado de todas las cookies para que el usuario tenga que activar o desactivar una por una. Debemos agrupar las cookies entre las exentas (en que no es necesario pedir permiso) y las no exentas, que deberemos agrupar por funcionalidad: Analíticas o de medición, o de publicidad comportamental, diferenciando las propias y de terceros.
Cookies opcionales desactivadas
Puesto que estamos solicitando el consentimiento, las casillas premarcadas o activadas por defecto no son válidas. Así que, en el configurador, las cookies opcionales deberán tener la casilla desmarcada o el selector en posición de “desactivado”
Mantener acceso al configurador aunque el usuario acepte las cookies.
Al aceptar las cookies, podemos ocultar el banner informativo, durante 24 meses, pero hemos de mantener un botón o enlace que permita volver al configurador, por si el usuario cambia de opinión y decide rechazar algunas cookies.
Información detallada en la segunda capa de información
En la política de cookies es conveniente detallar las cookies utilizadas dentro de cada funcionalidad, indicando su nombre, el tercero que las instala, la finalidad de la cookie y el tiempo de duración de la misma, si hay transferencias internacionales.
La AEPD puede imponer sanciones cuantiosas por no cumplir la obligación de gestionar correctamente las cookies. Por ello, si tienes contratado nuestro servicio, revisaremos tu web para asegurarnos que lo tienes todo bien configurado.
Nota: Si tienes gusto de leerte la guía completa de cookies la última versión es la publicada en enero de 2024, la puedes descargar desde aquí: Guía cookies 2024 AEPD.
Tu empresa verse envuelta en un problema de hackeo con dos situaciones distintas:
Que le pagues a un hacker en vez de a tu proveedor.
Que algún cliente tuyo le pague a un hacker en vez de pagarte a ti.
Hay algunas medidas técnicas imprescindibles para que no hackeen tu correo electrónico:
Que las contraseñas de las cuentas de correo electrónico sean suficientemente seguras y si es posible que el acceso al correo utilice un segundo factor de autenticación.
Que los equipos informáticos que utilices tengan un sistema operativo actualizado y que tengan activado el antivirus.
QUE NO TE ENGAÑEN: No pagues al hacker: Paga a tu proveedor.
El eslabón más débil en la cadena de la ciberseguridad solemos ser las personas. Si un hacker envía un correo desde facturacion@provedor.com en vez de facturacion@proveedor.com es posible que muchas personas caigan en la trampa (la primera dirección tiene proveedor sin una “e”).
Por eso, además de recomendar la máxima atención a todos los empleados, es conveniente aplicar también algunas medidas organizativas.
Por ejemplo: Sólo pagaremos facturas a la cuenta registrada del proveedor. Si un proveedor nos pide que cambiemos la cuenta, confirmaremos la nueva cuenta:
Para ello le podemos pedir un pdf donde indique el cambio de cuenta y que tenga la firma digital de representante. (O bien del banco, o bien del representante legal de nuestro proveedor). OJO: Si se trata de un hacker espabilado, puede que aporte un certificado en pdf. Lo importantes es que comprobemos que se trata CON LA FIRMA DIGITAL VÁLIDA. Ejemplo:
Otra comprobación factible es llamar por teléfono al proveedor. OJO: Busca en internet su teléfono, pero desconfía del teléfono en la factura o en el correo, un hacker espabilado pondrá su teléfono en la factura y te confirmará encantado la cuenta para que le pagues a él.
QUE NO ENGAÑEN A TUS CLIENTES POR TU CULPA:
Si tu empresa tiene un dominio propio (ejemplo: miempresa.com) es importante que configures las DNS del dominio activando la política DMARC que indique a todos los servidores de correo electrónico del mundo, que sólo deben aceptar correos de los orígenes autorizados por tu empresa.
Esto es especialmente importante si emites facturas de más de 1000 euros a tus clientes.
Durante la próxima revisión anual tu consultor lo revisará y te informará de si tu dominio está correctamente protegido frente a ataques de phishing.
El uso de datos biométricos que realizan las empresas para control de accesos y para registro de la jornada laboral queda prohibido a partir de ahora para el 99.97% de las empresas.
La AEPD tiene una Guía sobre relaciones laborales, publicada el 18 de mayo de 2021, en la que explica que se pueden utilizar datos biométricos de los trabajadores, siempre y cuando la empresa cumpla diez obligaciones (información a trabajadores, protección de datos desde el diseño, criterios de almacenamiento de datos biométricos, etc).
Ahora bien, el 23 de noviembre de 2023 la AEPD ha publicado nueva una guía concreta y específica titulada “Guía sobre tratamientos de control de presencia mediante sistemas biométricos” en la que reconsidera su interpretación.
Puedes leerte las 31 páginas que tiene la guía, o puedes leerte este resumen que he preparado, en que te lo explico con mis propias palabras, sacrificando precisión jurídica a cambio de claridad para nos que no sean abogados.
La antigua guía diferenciaba entre identificación y autenticación.
La autenticación se da si el trabajador pone su código de trabajador (ejemplo el 33, es el código de Pepe) y a continuación el sistema examinaba el rostro (o la huella) de la persona que tenía delante, y decidía si era Pepe o no era Pepe.
La identificación se da si el trabajador se pone delante del dispositivo, y el sistema examina su rostro (o su huella) y la compara con todos los rostros (o huellas) de los usuarios registrados en el sistema y dice, “OK, te acabo de encontrar en mi base de datos, eres Pepe”.
La identificación se consideraba un tratamiento de NIVEL ALTO. La autenticación, NO. Y por aquí, nos podíamos escapar de las obligaciones impuestas a los tratamientos de nivel alto.
La nueva guía expone los criterios por los que, a partir de ahora ambos tratamientos se consideran de nivel alto: el desarrollo tecnológico permite extraer más detalles de los rasgos biométricos de una persona. Ahora un buen sistema biométrico, además de identificar el rostro de Pepe, puede llegar a decirte la probabilidad de que Pepe esté enfermo o de que tenga un problema psicológico. Y un sistema de huella dactilar, además de identificar que se trata de Pepe, puede registrar datos de salud, como la temperatura corporal de Pepe, y su presión sanguínea.
Y dada la muy alta sensibilidad de estos datos, la AEPD no quiere que una empresa se plantee el utilizarlos, aunque Pepe haya dado su consentimiento. Más adelante te explico porqué.
El RGPD (Reglamento General de Protección de Datos) prohíbe el uso de datos de nivel alto, salvo que concurra alguna de estas circunstancias:
Existencia de una norma de rango de ley:
Hay una ley que obliga a las empresas a registrar la jornada laboral, pero en esa ley no obliga a que la empresa tenga que utilizar dispositivos de control biométrico para ello.
Por tanto, la ley no te sirve como excusa para poner un dispositivo de control biométrico.
Juicio de proporcionalidad:
El uso de datos biométricos supone una medida restrictiva de los derechos y libertades de los individuos.
El Tribunal Constitucional, en su sentencia 14/2003 nos dice que cualquier medida restrictiva de derechos fundamentales ha de superar el juicio de proporcionalidad cumpliendo estas tres condiciones: Que sea idónea, necesaria y que su adopción genere más beneficios que inconvenientes.
En la propia guía la AEPD nos dice que el sistema de control de presencia y control de accesos en las empresas se ha utilizado varios siglos sin necesidad de utilizar datos biométricos. En 1980, el principal fabricante de automóviles en España tenía 30.000 empleados y controlaba sus entradas y salidas sin sistemas biométricos. Así que, si tu empresa tiene menos de 30.000 empleados, bien puedes hacer como ellos y no usar biométricos.
Y puesto que no puedes demostrar que es necesario, no supera el juicio de proporcionalidad.
Consentimiento del interesado
En una relación empresa / trabajador, se presupone que la empresa es más poderosa que el trabajador y por tanto, ha de demostrar que el consentimiento es lícito.
Para que el consentimiento sea lícito, la empresa ha de proporcionar al interesado una alternativa.
Si existe una alternativa, ya la propia empresa está demostrando que no es necesario el uso de biométricos.
Conclusión de la AEPD: En un tratamiento de registro de jornada implementado con técnicas biométricas el consentimiento del interesado no levanta la prohibición del tratamiento.
¿Y si ya tengo instalado un sistema de control de accesos / registro de la jornada laboral que usa huella dactilar o reconocimiento facial?
Intenta ver si el fabricante te permite utilizarlo anulando el sistema biométrico y sustituyéndolo por uno de estos mecanismos:
PIN o contraseña para cada trabajador.
Tarjeta RFID para cada trabajador.
Sistema NFC utilizando el teléfono móvil de cada trabajador.
¿Cómo puedo hacer que en mi empresa sí sea legal utilizar sistemas biométricos?
No lo tienes fácil. De entrada, biométrico = nivel alto, y por tanto, necesitas una EIPD (Evaluación de Impacto sobre la protección de datos), que es un análisis laborioso (y caro).
Y aunque estés dispuesto a gastar dinero, a ver si se te ocurre cómo superarás el juicio de proporcionalidad y demostrarás la absoluta necesidad de utilizar esos biométricos para control de acceso. Si tu empresa maneja secretos militares y tiene contratos con la OTAN, podemos ayudarte. En caso contrario, lo veo difícil.
— Editado y añadido el 6/2/2024 Manifestaciones de un fabricante de dispositivos de control biométrico ——-
Uno de nuestros clientes, tras contactar con el fabricante de los equipos de dispositivos de control biométrico, recibe la siguiente respuesta:
Hemos detectado algunas noticias en que los periodistas, sin analizar a fondo la guía de la AEPD concluyen de forma tajante que usar sistemas biométricos es ilegal y los que lo hagan serán sancionados.
Nuestra empresa ha analizado todo el documento y lo que contiene la Guía son recomendaciones en caso de implementación del sistema. Si te dice cómo has de hacerlo, no puede ser ilegal ni estar prohibido.
Os destaco algunos de los puntos para que los podáis valorar:
La legislación vigente sigue siendo la misma desde 2018: El mismo Reglamento General de Protección de Datos (RGPD) y la misma Ley Orgánica de Protección de Datos (LOPD).
La nueva exigencia de la AEPD es que será necesario realizar una declaración de impacto y justificar su uso.
Sí entendemos que, para el control de acceso “con fines no laborales” debemos utilizar necesariamente como base de legitimación el consentimiento del interesado siempre que se ofrezca una alternativa libre (tarjeta, QR, PIN…). Este es el caso de la asistencia a locales de pública concurrencia con acceso controlado: estadios de fútbol, conciertos o entrada a instalaciones deportivas.
Pero ciñéndonos al ámbito laboral, consideramos que la AEDP, al publicar esta guía se está atribuyendo una función legislativa que no posee: Está prohibiendo el consentimiento explícito y libre como base de legitimación del registro de jornada. Esta es una interpretación muy discutible por lo que consideramos que se han extralimitado en sus funciones.
Pero, incluso admitiendo la prohibición del consentimiento de los trabajadores como base de legitimación, dado que el registro de jornada es una obligación impuesta por ley a las empresas con la finalidad de garantizar el cumplimiento de los horarios de los trabajadores dentro de la jornada laboral, definiendo un entorno de seguridad jurídica tanto para empresas como para los trabajadores, toda vez que posibilita el control por parte de la Inspección de Trabajo y Seguridad Social, entendemos que todavía es posible legitimar el tratamiento para el registro de jornada basándonos en la excepción prevista en el punto 9.2.g del RGPD:
g) el tratamiento es necesario por razones de un interés público esencial, sobre la base del Derecho de la Unión o de los Estados miembros, que debe ser proporcional al objetivo perseguido, respetar en lo esencial el derecho a la protección de datos y establecer medidas adecuadas y específicas para proteger los intereses y derechos fundamentales del interesado;
Un requisito fundamental para el registro de la jornada laboral es que sea fiable y objetivo, y que permita poner los datos a disposición de los trabajadores, de sus Representación Legal de los Trabajadores y de la Inspección de Trabajo y Seguridad Social.La limitación de uso de las medidas técnicas más efectivas (biometría) iría en contra del interés público establecido en el apartado 9.2.g).
Por ello consideramos totalmente válido utilizar el apartado 9.2.g) como base de legitimación del tratamiento de «Registro de la Jornada Laboral» y dado que en la guía se consideran equivalentes el control de acceso con fines laborales y el registro de jornada laboral, a nuestro buen saber y entender, también sería de aplicación el apartado 9.2.g para legitimar el uso de biométricos para el «Control de acceso de trabajadores».
— Respuesta a nuestro cliente——-
Hola [Cliente],
Estoy muy de acuerdo con los argumentos de tu proveedor, pero yo sí me he leído la guía publicada por la AEPD y su tesis es esta:
1) Para utilizar datos biométricos es imprescindible realizar una evaluación de impacto sobre la protección de datos (EIPD) y justificar la necesidad del uso de biométricos.
2) La relación empresa-trabajador no se considera equilibrada, sino que la empresa tiene poder sobre el trabajador, por lo que cualquier tratamiento basado en el consentimiento se mirará con lupa y se dudará de ese consentimiento.
3) Para que el consentimiento sea válido, la empresa tendrá que demostrar que tiene otras alternativas igualmente válidas si el trabajador declina dar su consentimiento. Estas alternativas pueden ser, por ejemplo, las tarjetas NFC.
4) Si es posible sustituir el tratamiento biométrico por otro menos intrusivo, como la tarjeta NFC, ya no hay manera de justificar la necesidad planteada en el punto 1 y por tanto la empresa debe utilizar el tratamiento menos intrusivo y renunciar a uso de biométricos.
¿Es factible utilizar como base de legitimación el apartado 9.2 g)? Es discutible si el tratamiento de biométricos es «proporcional al objetivo perseguido», cuando queda claro que técnicamente existen alternativas menos intrusivas para la privacidad de los trabajadores.
¿Cuándo tendremos claridad jurídica sobre este tema? Cuando la AEPD sancione a alguna empresa por utilizar biométricos, la empresa lo recurra y llegue hasta el Tribunal Supremo, y éste dicte una sentencia que siente jurisprudencia. (Calculo que eso no ocurrirá antes de 2028)
¿Quieres arriesgarte a que tu empresa reciba la sanción y tenga que pelear con la AEPD hasta que el Tribunal Supremo dicte sentencia? Yo no te lo aconsejo. Es caro, largo y durante el camino tendrás que pagar o avalar el importe económico de la sanción.
Pero si quisieras arriesgarte, mi consejo es que le pidas a esta empresa que te hagan ellos la Evaluación de Impacto sobre la protección de datos que cita el punto 1), que suscribas un contrato con ellos en el que asuman los costes derivados de cualquier sanción que te imponga la AEPD por el uso de biométricos, y que te demuestren que tienen un buen seguro para cubrir esa obligación.
Una empresa que necesita enviar mercancía a sus clientes o a sus colaboradores, utiliza habitualmente servicios de empresas de transporte.
Ahora bien, en el marco de la Ley de Protección de Datos, dicho transportista ¿debe considerarse responsable del tratamiento o encargado del tratamiento?
El criterio es el siguiente:
las empresas de mensajería registran los datos de remitente y destinatario en su base de datos, deciden sobre la manera de llevar a cabo el servicio y usan los datos para sus fines, por tanto, pasan a ser Responsables de tratamiento.
El criterio de la AEPD es que en las empresas de mensajería “no se produce una actuación del consultante como encargado del tratamiento, sino que incorpora los datos personales recabados para sus propios fines, y es él quien decide la forma de llevar a cabo el servicio de transporte encomendado. En definitiva, emplea la información obtenida para sus propios fines, integrándola finalmente en sus propias bases de datos, para la prestación del Servicio”
En cambio, si el servicio consiste en que el transportista recoge una mercancía y la lleva directamente al destino indicado sin que la mercancía baje del camión, debería considerarse encargado del tratamiento. Es caso es todavía más claro si el transportista es dueño de la cabeza tractora y se limita a enganchar la carga y llevarla al destino.
Una pregunta recurrente es si una empresa puede utilizar grupos de Whatsapp o Telegram para coordinar la actividad, obligando o solicitando el consentimiento de sus empleados para ello. Veamos los casos posibles:
CASO 1: Dispositivo y número de teléfono proporcionados por la empresa.
En este caso no hay ningún inconveniente. La empresa tiene la facultad de decidir qué herramientas organizativas utiliza, y puede establecer que los teléfonos de empresa deben tener instalado la aplicación Whatsapp y/o Telegram, y dar de alta los grupos que considere, para organizarse como quiera.
CASO 2: Dispositivo y/o número de teléfono proporcionados por el trabajador
Este caso es mucho más delicado.
La empresa no puede obligar al trabajador a utilizar ni su dispositivo ni su número de teléfono personal para actividades relacionadas con el trabajo.
El Estatuto de los Trabajadores establece que “la ajenidad propia del contrato de trabajo implica, entre otras cosas, la ajenidad en los medios, lo que implica que es el empleador el que tiene que proporcionar al trabajador los medios necesarios para el desenvolvimiento de su relación laboral”
El Comité Europeo de Protección de Datos en sus “Directrices 5/2020 sobre el consentimiento en el sentido del RGPD”, afirma que “con el artículo 7, apartado 4, en vigor, será más difícil que el responsable del tratamiento demuestre que el interesado ha dado su consentimiento libremente”.
En este caso, la única manera segura para la empresa es llegar a un pacto con el trabajador y financiar parte del coste que este soporta, en la línea de teléfono o en el dispositivo. Ejemplos:
El trabajador paga el coste de la línea de teléfono y la empresa proporciona el dispositivo.
La empresa paga una cantidad de entre 50 y 150 euros anuales al trabajador a cambio de que este utilice su número de teléfono y su dispositivo.
En una comunidad de propietarios hay zonas privadas (como el interior de cada vivienda o local) pero también existen zonas comunes, como la entrada, pasillos, escaleras, zonas de garaje, ascensores, jardines, piscina, etc.
Una pregunta frecuente es si un propietario de una comunidad, puede instalar cámaras de videovigilancia en su propiedad que graben las zonas comunes de la comunidad.
La respuesta corta es NO. Las zonas comunes son propiedad de toda la comunidad, y la instalación de elementos de videovigilancia que graben estas zonas ha de estar previamente aprobada por acuerdo de la junta de propietarios de la comunidad. Será necesario acuerdo por mayoría simple de los asistentes.
En ese caso el responsable del tratamiento de videovigilancia será la propia comunidad de propietarios, que deberá adoptar todas las medidas de seguridad necesarias para garantizar el cumplimiento de la legislación: Actualizar su registro de tratamiento de datos, instalar adecuadamente las cámaras, firmar contratos de encargado del tratamiento con el proveedor que mantenga el sistema de videovigilancia, disponer de un procedimiento adecuado para ejercer los derechos de los interesados, etc.
Un propietario puede instalar cámaras de videovigilancia dentro de su propiedad, siempre y cuando dichas cámaras graben exclusivamente su propiedad privada.
Pero si un propietario decide instalar cámaras en su propiedad que graban las zonas comunes, estará invadiendo el derecho a la intimidad del resto de propietarios, y por tanto puede ser sancionado. Existen distintos precedentes en que la Agencia de Protección de Datos sanciona a un propietario por estas prácticas. Por ejemplo, ver procedimiento sancionador 00439-2022.
Algunas empresas aprovechan la instalación de cámaras de videovigilancia no sólo para mejorar la seguridad del perímetro de la empresa, sino que instalan cámaras interiores para controlar el trabajo de sus empleados.
Esta circunstancia resulta especialmente molesta a algunos trabajadores a los que incomoda que su jefe les pueda vigilar durante toda su jornada laboral.
Ahora bien ¿es lícito instalar videocámaras para el control laboral o puede constituir una infracción contra la LOPD?
Algunos trabajadores han denunciado a su empresa por instalar estas cámaras de videovigilancia sin su consentimiento y la AGPD se ha pronunciado al respecto, concluyendo que cualquier empresa puede hacerlo siempre que:
1) Se haya informado fehacientemente a los trabajadores de que estas cámaras pueden utilizarse para el control laboral, además de para la vigilancia de seguridad, propiamente dicha. (Nótese que dice informar, no pedir permiso)
2) La empresa cumpla los requisitos establecidos en la LOPD siguiendo los pasos de la Guía de Videovigilancia que ha publicado la AEPD.
Ahora bien, ¿La empresa puede instalar cámaras ocultas sin informar a sus empleados?
En ciertas ocasiones la empresa puede instalar temporalmente cámaras ocultas para tratar de obtener pruebas de comportamiento desleal (ej: robo de mercaderías).
La finalidad era verificar las fundadas sospechas de la empresa sobre la conducta de los trabajadores, sospechas que efectivamente resultaron corroboradas por las grabaciones realizadas, así como tener una prueba fehaciente de la comisión de tales infracciones por si el trabajador impugnase la sanción de despido disciplinario impuesto por la empleadora.
Hay varias sentencias de los juzgados de lo social en las que legitiman este comportamiento: El objetivo de la instalación temporal de cámaras ocultas era obtener pruebas contra un empleado que estaba sustrayendo productos de la empresa. El Juzgado lo aceptó como medio válido de prueba para justificar el despido objetivo del trabajador.
¿El hecho de informar a los trabajadores protege completamente a la empresa?
Hasta cierto punto. Una vez cumplidos los requisitos formales que impone la LOPD, y de informar a los trabajadores, la empresa está blindada frente a denuncias por inclumplimento de la LOPD, pero no está exenta de ciertos riesgos:
El dueño de una farmacia decidió instalar cámaras para controlar la labor de los dependientes, observar sus quehaceres diarios y llamar en ocasiones para dar instrucciones a los mismos sobre su relación con los clientes.
Uno de sus empleados lo denunció ante el Juzgado de lo Social y tras varios recursos, concluyó en la sentencia del Tribunal Superior de Justicia de la Comunidad Valenciana, de 3 de mayo de 2012. (Ver aquí la sentencia)
En esta sentencia el magistrado interpreta que la instalación de cámaras de vigilancia que permita, con el único fin de controlar el trabajo, la grabación continuada e indiscriminada de la actividad productiva, implica la vulneración del derecho a la intimidad, ya que la mera utilidad o conveniencia para la empresa no legitima sin más la instalación de aparatos de grabación de imágenes, al existir otros medios para comprobar si los trabajadores cumplen adecuadamente con su deber de prestar servicios, como la utilización de medios automáticos de control de entrada y salida del centro de trabajo o de verificación de la venta de productos, etc.
De hecho el trabajador pudo dejar de ir a trabajar y solicitar la extinción de su contrato laboral con derecho a las indemnizaciones señaladas para el despido improcedente.
La reciente publicación de la Ley 2/2023, de 20 de febrero, reguladora de la protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción, ha suscitado algunas preguntas entre nuestros clientes.
Esta ley aplica a las empresas que tengan más de 50 empleados y les obliga a establecer un canal de denuncias que garantice la privacidad y seguridad de las personas que informen sobre infracciones.
¿En qué afecta a la protección de datos si mi empresa necesita implantar un canal de denuncias?
1 Actualizar el Registro de Actividades de Tratamiento
El canal de denuncias es un tratamiento de datos específico a incluir en el Registro de Actividades de Tratamiento.
En las revisiones y auditorías anuales que realizamos a cada cliente, su consultor comprobará si la ley afecta a su empresa, y de ser así, añadirá este tratamiento a su Registro de Actividades de Tratamiento.
2 Contratos de encargado de tratamiento
Es frecuente colaborar con empresas externas para desarrollar el canal de denuncias. Por ejemplo:
Con una empresa especializada en Compliance penal, para que gestionen integralmente todo el proceso.
Con una empresa que proporciona un software como servicio para gestionar el canal.
Con una empresa externa para realizar las investigaciones de cada denuncia.
Con una empresa informática para desarrollar un canal propio
Contacta con nosotros si colaboras con cualquiera de estas empresas externas para que te preparemos el contrato de encargado de tratamiento que mejor se ajuste al servicio contratado.
3 Obligaciones en cuanto a la gestión del canal
Además de gestionar el canal de denuncias cumpliendo todos los requisitos de la Ley 2/2023, la empresa debe aplicar una serie de principios de tratamiento y medidas para garantizar la seguridad de los datos de las personas que se vean envueltas en estos procesos:
Minimización: Es imprescindible limitar la recopilación de datos personales únicamente a aquellos que sean estrictamente necesarios para la investigación y resolución de la denuncia. Evitar recopilar información irrelevante o excesiva que no esté directamente relacionada con el caso.
Confidencialidad: Mantener la denuncia y toda la información relacionada de forma estrictamente confidencial, estableciendo medidas de control de acceso que garanticen que sólo aquellas personas involucradas en el proceso de investigación tengan acceso a los datos pertinentes.
Conservación: Los datos personales relativos a las informaciones recibidas y a las investigaciones internas solo se conservarán durante el período que sea necesario y proporcionado a efectos de cumplir con esta ley. En particular, se tendrá en cuenta lo previsto en los apartados 3 y 4 del artículo 32. En ningún caso podrán conservarse los datos por un período superior a diez años.
Protección física: Si se llevan a cabo tratamientos de datos en formato físico, utilizar carpetas o archivos para almacenarlas y protegerlas de pérdidas, daños o robos y si es posible, guardarlas en áreas separadas etiquetándolas con códigos para facilitar su organización y búsqueda.
Registros de acceso: En caso de que haya más de una persona autorizada, es aconsejable llevar un registro de accesos a las denuncias físicas que incluya información como la fecha, hora y motivo del acceso para hacer un seguimiento de quién ha consultado los registros en caso de detectarse alguna irregularidad
Destrucción adecuada: Establecer procedimientos claros para la destrucción segura de las denuncias físicas cuando ya no sean necesarias o cuando se cumpla el plazo de retención legal. Podéis utilizar trituradoras de papel o servicios especializados en la destrucción de documentos confidenciales para asegurar de que la información sea irreparablemente eliminada
4 Participación del DPO
Si la empresa dispone de Delegado de Protección de Datos / Data Protection Officer (DPO), éste deberá participar en la definición y puesta en marcha de este nuevo tratamiento de datos personales.
Pero si la empresa no estaba obligada a nombrar DPO, implantar un canal de denuncias tampoco obliga a nombrarlo.
El borrador que circulaba antes de la publicación en el BOE de la ley, sí incluía esta obligación. Pero la publicación definitiva de la ley, deja claro en su artículo 34 que esta obligación se limita a la Autoridad Independiente de Protección del Informante, que nombrará el Gobierno en un futuro, y a otras Autoridades Independientes que en su caso se constituyan (si las Comunidades Autónomas deciden hacerlo)
Un cliente nos plantea la posibilidad de instalar un software de control GPS en tiempo real en el teléfono móvil de empresa que proporciona a sus empleados.
La legislación laboral obliga a cada empresa a tratar datos de sus empleados: Para hacerles el contrato, para pagarles la nómina, parar presentar los seguros sociales, etc.
Este tratamiento en concreto (Geolocalización) la AEPD lo aborda en la página 31 de esta guía.
Ahí podemos ver los requisitos para este tratamiento:
Geolocalización (art. 90) – Tratamientos legitimados en el art .6.1.b RGPD, en relación con las facultades de control reconocidas al empleador en el art.20.3 del ET – Informar de forma previa, incluyendo a los representantes – Minimización de datos: desactivación cuando sea necesario; horas de inicio y fin de la actividad – Proporcionalidad: necesario por el tipo de actividad – Informar del ejercicio derechos protección datos: Acceso, rectificación, limitación, supresión – Requiere una evaluación de impacto sobre la protección de datos. – Medios proporcionados por la empresa
Para asegurar la compatibilidad de la medida propuesta con el estricto cumplimiento de la legislación de protección de datos es necesario realizar una Evaluación de impacto sobre la protección de datos, que determine, qué puestos de trabajo deberían utilizarla, y en su caso, marque un protocolo de actuación para evitar el tratamiento excesivo de datos personales.
EJEMPLO: Puede ocurrir que un trabajador informe a la empresa que va al médico. Para justificar las horas deberá aportar un justificante médico de asistencia. En ese tiempo es importante que desactive la función de geolocalización, de otro modo, quedaría registrado que ha estado dos horas en el Instituto de Oncología, aportando datos excesivos que la empresa no necesita y no debería tratar.
