Esta lección trata de los datos de las personas con las que trabaja y de las reglas sobre su control. La DPC publicó en abril de 2023 su guía para empleadores, Data Protection in the Workplace (Protección de datos en el lugar de trabajo). Aplica el RGPD a los datos de los empleados y se remite a la jurisprudencia europea sobre derechos humanos.
Datos de los empleados
Los empleadores guardan muchos datos personales: datos de contacto, datos bancarios, nóminas, rendimiento, ausencias e información sobre la salud. Las reglas de las lecciones 2 a 6 se aplican del mismo modo. En particular:
- El personal debe saber qué se recoge y por qué (la cláusula informativa para el personal del empleador).
- Los datos de salud son datos de categoría especial. Los registros de bajas por enfermedad solo deben verlos quienes los necesiten, y no deben recogerse detalles médicos más allá de lo que el empleador tiene derecho a conocer.
- Limite el acceso a los expedientes de recursos humanos. Un responsable no necesita ver el expediente de una queja ni el parte médico de un compañero salvo que forme parte del procedimiento.
- No publique datos personales de los compañeros, como cumpleaños, salud o asuntos disciplinarios, en tablones ni en chats de grupo.
- Conserve los registros solo el tiempo necesario, según el calendario de conservación.
Control del personal
Los empleadores pueden tener motivos para controlar: seguridad, protección de bienes, seguridad laboral o verificación del cumplimiento. Pero el control es un tratamiento de datos personales y debe respetar los principios. Según la guía de la DPC, debe ser:
- necesario: para un fin claro y legítimo, no «por si acaso»;
- proporcionado: la opción menos intrusiva que cumpla el objetivo;
- transparente: el personal debe ser informado de antemano de qué se controla, cómo y por qué, normalmente mediante una política escrita;
- limitado: los datos solo se usan para la finalidad declarada.
Normalmente, los empleadores deberían realizar una evaluación de impacto relativa a la protección de datos (EIPD) antes de introducir un control intrusivo (artículo 35). El control encubierto es excepcional. La DPC dice que debe evitarse siempre que sea posible y usarse solo caso por caso, por ejemplo para investigar un presunto delito, con intervención de los Gardaí (la policía irlandesa).
Tipos habituales:
- Correo electrónico e internet: Una política debe decir si se permite el uso personal y qué puede comprobarse. Mirar el contenido de mensajes privados es mucho más difícil de justificar que mirar volúmenes o registros.
- Videovigilancia (CCTV): Las cámaras necesitan una finalidad clara, como la seguridad, y carteles que indiquen que hay CCTV y quién la gestiona. No deben grabar aseos, vestuarios ni salas de descanso, salvo en casos muy excepcionales. Las grabaciones no deben conservarse más tiempo del necesario. Las personas pueden pedir una copia de las imágenes en las que aparecen.
- Localización GPS de vehículos: Debe estar relacionada con la actividad de la empresa, por ejemplo para planificar el trabajo. Es poco probable que sea lícita fuera del horario de trabajo, sobre todo en un coche que es propiedad del empleado.
- Grabación de llamadas y programas de teletrabajo: Se aplican las mismas pruebas. Las capturas constantes de pantalla o el registro de pulsaciones de teclas son difíciles de justificar.
El Tribunal Europeo de Derechos Humanos dijo en Bărbulescu c. Rumanía (2017) que los empleadores deben informar de antemano al personal sobre la naturaleza y el alcance del control de las comunicaciones. Los empleados no pierden su derecho a la intimidad en el trabajo.
Números PPS
El Personal Public Service Number (PPSN) es un número de referencia para tratar con el Estado. Las reglas sobre su uso están en la Social Welfare Consolidation Act 2005 (artículos 262 a 270 y anexo 5).
- Solo los organismos especificados, sobre todo organismos públicos que figuran en la ley, pueden usar el PPSN para tratar con una persona, para los fines que establece la ley.
- Cualquier otra persona que use un PPSN, o lo pida, sin motivo legal comete un delito (artículo 262.9). No pida a un cliente el PPSN para tarjetas de fidelización, altas ni identificación.
- Los empleadores sí necesitan el PPSN de un empleado para las nóminas y para informar a Revenue y al Department of Social Protection (el ministerio irlandés de protección social), porque son relaciones con organismos especificados. Es una obligación legal, y el número debe guardarse en los registros de nóminas y de recursos humanos, con acceso limitado.
- Trátelo como un dato sensible: puede usarse para suplantar identidades. No lo incluya en correos ni en documentos compartidos sin necesidad.
Freedom of Information
Si su empleador es un organismo público (un departamento del Gobierno, una entidad local, un servicio del HSE, un colegio o centro de estudios financiado por el Estado), se aplica además la Freedom of Information Act 2014 (ley de acceso a la información pública). Da al público el derecho de ver los documentos que obran en poder del organismo. Los documentos con información personal de otras personas suelen estar protegidos frente a su divulgación (artículo 37). La FOI y la protección de datos son leyes distintas, con solicitudes distintas: quien pide sus propios datos personales presenta una SAR, aunque también pueda aplicarse la FOI Act. Si recibe una solicitud que menciona «Freedom of Information», trasládela sin demora al funcionario de FOI.
Qué debe recordar
- El control debe ser necesario, proporcionado y transparente, con el personal informado de antemano.
- La CCTV necesita una finalidad clara y carteles.
- El PPSN solo puede usarse como permite la ley. Los empleadores lo necesitan para las nóminas y los impuestos.
- Mantenga privados los expedientes de recursos humanos y compártalos solo con quien los necesite.