Datos personales y relación laboral

La entrada en vigor definitiva del Reglamento General de Protección de Datos (RGPD) ha servido para que empiece a generarse un debate interesante en el ámbito de las relaciones laborales sobre las particularidades específicas de los datos personales de los empleados que están a disposición del empresario, qué tipo de tratamiento cabe realizar de los mismos y cuál es la base legal para su obtención y tratamiento.

De acuerdo con las nuevas previsiones normativas, los datos que puede recoger y tratar el empresario se limitan a aquellos que sean adecuados, pertinentes y necesarios para el cumplimiento y la ejecución del contrato de trabajo, siendo aplicable el denominado principio de minimización de datos que introduce el RGPD. Así, el tratamiento de los datos será legítimo cuando resulte necesario para la ejecución del contrato de trabajo, por ser necesario para el cumplimiento de una obligación legal del empresario o se cuente con el consentimiento del trabajador (que deberá estar obtenido de forma libre, específica, informada e inequívoca). Y lo cierto es que la barrera que separa unas bases legales de otras en el marco de las relaciones laborales es poco nítida.

Esta materia ha tenido tradicionalmente un complejo encaje en el ámbito de las relaciones laborales ya que al elemento tuitivo tradicional de esta rama social del Derecho, con su justificación propia del desequilibrio entre las partes, se añaden las restricciones singulares en esta materia derivadas de una aproximación también proteccionista para el trabajador, pero diseñada desde un punto de vista diferente del habitual. Sirva como ejemplo la resolución de la Agencia Española de Protección de Datos de fecha 15 de marzo de 2018, que adquirió cierta repercusión mediática, en la que se sanciona la conducta empresarial de facilitar determinados datos personales en el marco de un proceso de negociación de un ERTE, por considerar dichos datos excesivos.

La lógica del debate es evidente: vivimos en un mundo cada vez más datificado, y el estado actual de la técnica hace que la captación de dichos datos sea relativamente sencilla también en los entornos laborales, y el tratamiento de los mismos asequible teniendo en cuenta el valor de la información que aportan, siendo innumerables las aplicaciones prácticas que dicho tratamiento puede tener para el empresario (estrategia de selección de personal, medición del rendimiento, verificación del cumplimiento de las obligaciones laborales, identificación de patrones de conducta relevantes, etc.). La identificación de patrones derivados del análisis histórico de datos con perspectiva de futuro, identificando la evolución observada a partir de determinados indicadores, resulta de máximo interés para la adopción de decisiones en el presente.

Esta evolución de la tecnología y la adopción de decisiones en el ámbito de las relaciones laborales basadas en el tratamiento de datos masivos podría servir para eliminar la arbitrariedad o la excesiva subjetividad en las decisiones empresariales, pero a su vez corre el riesgo de generar una intromisión ilegítima en determinadas esferas de intimidad del trabajador y nuevos riesgos de tipo psicosocial por una creciente capacidad de monitorización y control.

En este sentido resulta especialmente relevante la previsión del artículo 22 UE RGPD, que prohíbe la adopción de decisiones laborales de forma exclusivamente automatizada. Concretamente, este precepto indica que los ciudadanos tienen derecho a que no se adopten decisiones basadas exclusivamente en el tratamiento automatizado, incluida la elaboración de perfiles, que produzca efectos jurídicos en él o le afecte significativamente de modo similar, con determinadas excepciones vinculadas con la base legal del tratamiento de dichos datos.

La aplicación práctica de dichas restricciones en los entornos laborales será sin duda controvertida. Igualmente, quedan dudas sobre cuál es el grado de intervención humana necesario para que dicha decisión resulte válida.

Será sin duda uno de los retos más importantes de la futura nueva Ley Orgánica de Protección de Datos la resolución de estos interrogantes, de manera que las empresas puedan actuar con un nivel alto de seguridad jurídica en una materia tan compleja como esta, cuyos incumplimientos exponen a las empresas a sanciones cuantiosas.