Todo tratamiento de datos personales se basa en principios que el RGPD fija en el artículo 5. Son la brújula para decidir qué se puede hacer con la información en el día a día.
Los principios del artículo 5
- Licitud, lealtad y transparencia: los datos se tratan de forma legal, correcta y clara para el interesado.
- Limitación de la finalidad: se recogen con fines determinados y legítimos, y después no se usan con fines incompatibles. Los teléfonos de emergencia de los trabajadores, por ejemplo, no sirven para enviar publicidad.
- Minimización: solo se recoge lo que es adecuado, pertinente y necesario. Si una ficha de inscripción no necesita la fecha de nacimiento, no se pide.
- Exactitud: los datos deben ser correctos y estar actualizados. Los inexactos se corrigen o se suprimen sin demora.
- Limitación del plazo de conservación: se conservan solo el tiempo necesario. El plazo es el que fije la ley o, a falta de él, el que haga falta para la finalidad. Cuando la finalidad termina, el responsable destruye o anonimiza los datos (artículo 21 de la Lei n.º 58/2019).
- Integridad y confidencialidad: los datos se protegen contra el acceso indebido, la pérdida y la destrucción.
- Responsabilidad proactiva: el responsable debe poder demostrar que cumple.
¿Cuándo es lícito tratar datos?
El artículo 6 del RGPD dice que un dato personal solo se trata si existe al menos una base jurídica:
- el consentimiento del interesado;
- la ejecución de un contrato en el que el interesado es parte, o medidas precontractuales a petición suya;
- el cumplimiento de una obligación legal;
- la protección de intereses vitales de una persona;
- una misión de interés público o el ejercicio de poderes públicos;
- los intereses legítimos del responsable o de un tercero, siempre que no prevalezcan los derechos del interesado.
Muchos tratamientos en las empresas se basan en el contrato de trabajo y en la ley: calcular las nóminas, comunicar a la Segurança Social (la seguridad social portuguesa), registrar la asistencia. No hace falta pedir consentimiento en cada paso.
El consentimiento en las relaciones de trabajo
El consentimiento debe ser libre, específico, informado e inequívoco, y retirarlo debe ser tan fácil como darlo (artículos 4, punto 11, y 7). Entre empleador y trabajador hay desigualdad, por lo que el consentimiento no siempre es verdaderamente libre. Por eso el empleador se apoya, por regla general, en otra base, como el contrato de trabajo o una obligación legal. Puede tratar los datos de los trabajadores para las finalidades y con los límites del Código do Trabalho (artículo 28, apartado 1, de la Lei n.º 58/2019).
El artículo 28, apartado 3, de la Lei n.º 58/2019 también se ocupa del consentimiento del trabajador. La CNPD declaró, sin embargo, que no aplica parte de esa norma, por considerarla contraria al RGPD (Deliberação n.º 2019/494).
Actuar solo según instrucciones y guardar confidencialidad
- Quien trabaja bajo la autoridad del responsable solo trata datos según sus instrucciones, salvo obligación legal (artículo 29 del RGPD).
- El deber de confidencialidad vincula al DPD, al responsable, a los encargados del tratamiento y a todas las personas que intervengan en cualquier operación de tratamiento (artículo 10, apartado 2, de la Lei n.º 58/2019).
- Acceder a datos o usarlos más allá de lo que exige el trabajo puede ser ilícito y, en ciertos casos, delito (lección 8).
Preguntas que ayudan
- ¿Para qué? ¿Hay una finalidad clara y ligada al trabajo?
- ¿Cuánto? ¿Necesito de verdad todos estos datos?
- ¿Quién? ¿Quién más necesita verlos?
- ¿Hasta cuándo? ¿Hay un plazo para conservarlos o suprimirlos?
Resumen: use solo lo que necesite, para lo que se recogió y solo durante el tiempo necesario.