El RGPD y la LOPDGDD también se aplican a la protección de datos en nóminas. Esto es lo que debes saber para tratarlas conforme a la ley.
Contenido del artículo
¿Las nóminas se consideran datos personales?
Sí. El Tribunal de Justicia de la UE y el Dictamen 4/2007 del GT29 (del que forma parte la AEPD) consideran la nómina información sobre una persona física: es un dato personal y se rige por el RGPD y la LOPDGDD.
¿La nómina es confidencial?
Sí. El responsable y el encargado del tratamiento deben aplicar medidas técnicas y organizativas que garanticen su seguridad e integridad. Ahora bien, confidencialidad no es secretismo retributivo: proteger el documento frente a accesos no autorizados es obligatorio, pero prohibir al trabajador hablar de su salario es una cláusula que la Directiva de transparencia salarial declara inválida.
El tratamiento de las nóminas de los empleados
El tratamiento de los datos de la nómina es lícito por las bases del artículo 6 del RGPD: el consentimiento del trabajador, la ejecución del contrato laboral o el cumplimiento de una obligación legal de la empresa.
Obligaciones de la empresa
Por el principio de responsabilidad proactiva, la empresa debe proteger la nómina con medidas como seudonimización, minimización, cifrado y control de accesos.
Además, debe incluir una cláusula informativa que indique al trabajador la finalidad y los destinatarios del tratamiento, la identidad del responsable, las vías para ejercer sus derechos ARSULIPO y si los datos se ceden a terceros. Puedes usar nuestro modelo de cláusula.
Derechos del trabajador
El trabajador puede ejercer sobre los datos de su nómina los derechos de acceso, rectificación, supresión, limitación, portabilidad y oposición. También elige el medio de recepción: para enviar la nómina por email hace falta su consentimiento expreso, y algunos tribunales no lo consideran suficiente si no se ofrece una alternativa.
Protección de datos con la gestión de nóminas externalizada
Si la empresa externaliza las nóminas a una asesoría, la empresa es responsable del tratamiento y la asesoría, encargada. Esa relación exige un contrato de encargo del tratamiento que regule el acceso, las garantías de seguridad y las obligaciones de cada parte; funciona como la autorización de la cesión de datos. Al hacerlo para cumplir obligaciones legales, no se necesita el consentimiento del trabajador.
Cesión de los datos de nóminas, salarios o TC2
De una subcontrata a la empresa principal
El TC2 puede contener datos sensibles (salud, afiliación sindical), por lo que su base de licitud no es el artículo 6, sino el artículo 9.2 del RGPD: tratamiento necesario para obligaciones laborales y de seguridad social previstas por ley o convenio. La responsabilidad solidaria del empresario principal en materia de Seguridad Social la fija el artículo 42.2 del Estatuto de los Trabajadores. El acceso se limita a los datos de los trabajadores subcontratados, no al resto de la plantilla de la subcontrata.
A los representantes de los trabajadores
La cesión de datos de nóminas a los representantes de los trabajadores requiere el consentimiento expreso del afectado.
¿Quieres seguir? Consulta si se pueden publicar datos de los trabajadores sin permiso.
