Vamos a tratar un tema que puede generar muchas dudas tanto a empresas como a empleados: ¿es necesario el consentimiento del trabajador para todos los tratamientos que realiza la empresa?

Con carácter previo, debemos distinguir dos tipos de situaciones en relación a los tratamientos de los datos personales de los trabajadores que suele realizar la empresa.

1) Aquellos datos necesarios para el cumplimiento del contrato laboral. No es necesario un consentimiento del trabajador para estos tratamientos, ya que están amparados o bien por el propio contrato, como el pago de las nóminas, para lo que necesita tratar sus datos bancarios o bien por las obligaciones legales que la empresa asume frente a la Administración Pública como consecuencia de la existencia del mismo, como informar a la Seguridad Social de esa relación laboral.

2) Tratamientos para los que la empresa tiene un interés legítimo. No será necesario el consentimiento del trabajador para cuestiones en las que, aunque no estén tan directamente relacionadas con la ejecución del contrato, la empresa tenga un interés legítimo para el tratamiento, que le permita realizarlo.

El artículo 6.f del RGPD reconoce como legítimo el tratamiento necesario “para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño”.

En este sentido, es claro que la empresa tiene un interés legítimo en proteger sus sistemas e instalaciones, y en controlar el trabajo de sus empleados. De hecho, el artículo 20.3 del Estatuto de los Trabajadores (ET), faculta al empresario a aplicar las medidas de vigilancia y control que estime más oportunas para controlar el cumplimiento de las obligaciones de sus trabajadores, guardando consideración a la dignidad de los trabajadores.

Por tanto, el límite será el equilibrio en las medidas adoptadas para conseguir los fines legítimos del empleador y la forma en la que se haga, para evitar vulnerar derechos de los trabajadores, tales como la dignidad, el honor o la intimidad, reconocidos en nuestra Constitución. Estas medidas deben ser idóneas, necesarias, proporcionales y tendrán que estar justificadas e informadas.

Ejemplos claros de estas situaciones en las que la empresa puede tener un interés legítimo, pero debe realizar esa evaluación de la medida, son, entre otras, los sistemas de videovigilancia en las instalaciones, el control de acceso al edificio mediante el uso de sistemas biométricos, o la geolocalización del trabajador cuando su trabajo se desempeña fuera de la oficina.

Videovigilancia

La empresa deberá informar a los trabajadores de la existencia de sistemas de videovigilancia, para lo que bastará colocar un distintivo informativo ubicado en lugar suficientemente visible, en el que se informe de cuestiones como el responsable del tratamiento y la finalidad del mismo, englobándose en el concepto “seguridad” los del control de posibles ilícitos cometidos por parte de los trabajadores como puede ser el hurto. Además, puede ser utilizada como prueba para sanciones y despidos por parte de la empresa, tal y como ha sido reconocido por sentencias del TS como la del 2 de febrero de 2017.

De acuerdo con el equilibrio mencionado, uno de los límites que marca el derecho a la intimidad de los trabajadores sería la incompatibilidad del interés legítimo con captar imágenes de los trabajadores en lugares como baños o zonas de descanso.

Debemos, también, tener presente que sí sería necesario el consentimiento de los trabajadores cuando el tratamiento de datos se utilice con finalidad ajena al cumplimiento del contrato, como pudiera ser el uso de su imagen así captada para fines publicitarios de la empresa.

Huella dactilar en los accesos a las instalaciones

El uso de la huella dactilar para acceder a las instalaciones de la empresa es un sistema que se ha extendido en los últimos tiempos. Sin embargo, debemos tener presente que el RGPD considera como tratamiento de datos sensibles el realizado a los datos biométricos.

Por tanto, a la hora de valorar la necesidad y proporcionalidad de ese tratamiento y si puede estar amparado en el interés legítimo del empresario a controlar el acceso a las instalaciones por parte de sus empleados, la normativa exige una evaluación estricta de la necesidad y de la proporcionalidad de los datos tratados y de si la finalidad prevista podría alcanzarse de manera menos intrusiva. De este modo, si la finalidad perseguida en un determinado contexto puede ser lograda sin necesidad de llevar a cabo el tratamiento de un determinado dato, debería optar necesariamente por esta posibilidad.