La protección de datos en las relaciones laborales regula cómo las empresas pueden tratar los datos personales de trabajadores y candidatos durante todo el ciclo laboral. El RGPD y la Ley Orgánica 3/2018 de protección de datos establecen límites claros al uso de datos laborales en procesos como selección, control de jornada, videovigilancia o geolocalización.
Contenido del artículo
- Qué son los datos laborales
- 11 claves sobre la protección de datos en las relaciones laborales
- 1. ¿Cuál es la base legal para tratar datos personales de los trabajadores?
- 2. ¿Qué información debe dar la empresa a los empleados sobre sus datos?
- 3. Deber de confidencialidad y seguridad
- 4. Protección de datos en procesos de selección
- 5. Control de la actividad laboral
- 6. Canales internos de denuncia
- 7. Datos sobre acoso y violencia de género
- 8. Datos relativos a la vigilancia de la salud
- 9. Acceso a datos por los representantes de los trabajadores
- 10. Extinción de la relación laboral
- 11. Plazos de conservación de los datos laborales
- Documentación y cumplimiento del RGPD en el ámbito laboral
Qué son los datos laborales
Los datos laborales son los datos personales que una empresa trata sobre sus trabajadores o candidatos para gestionar la relación laboral.
Entre los datos laborales más habituales se encuentran:
- Datos identificativos: nombre, DNI, dirección o teléfono
- Datos contractuales: puesto de trabajo, salario o tipo de contrato
- Datos de jornada laboral y registro horario
- Datos profesionales y de desempeño
- Datos de prevención de riesgos laborales
El tratamiento de estos datos debe ajustarse a los principios establecidos por el Reglamento General de Protección de Datos y la Ley Orgánica 3/2018 de 5 de diciembre.
11 claves sobre la protección de datos en las relaciones laborales
En el marco de las relaciones laborales, el tratamiento de datos personales de empleados es habitual. Las empresas acceden y gestionan información personal antes, durante y después de la relación laboral.
Aplicar correctamente la protección de datos personales de empleados puede generar dudas debido al equilibrio que debe existir entre:
- el derecho de control del empleador
- el derecho a la privacidad de los trabajadores
A continuación se explican once aspectos clave que las empresas deben tener en cuenta para cumplir con la normativa de protección de datos en el ámbito laboral.
1. ¿Cuál es la base legal para tratar datos personales de los trabajadores?
La legitimación principal para tratar datos laborales es la ejecución del contrato de trabajo y el cumplimiento de obligaciones legales por parte del empleador, de acuerdo con las bases jurídicas previstas en el artículo 6 del RGPD.
Esto significa que la empresa puede tratar los datos personales necesarios para:
- gestionar el contrato laboral
- cumplir obligaciones fiscales o laborales
- aplicar el convenio colectivo correspondiente
En el ámbito laboral, el consentimiento del trabajador no suele ser la base jurídica adecuada, debido al desequilibrio existente entre empleador y empleado.
Solo puede utilizarse el consentimiento cuando el trabajador pueda negarse sin sufrir consecuencias. Un ejemplo habitual es la publicación de fotografías del trabajador en la web corporativa.
Además, la empresa solo debe tratar datos adecuados, pertinentes y limitados a la finalidad del tratamiento, en línea con el principio de minimización recogido en el artículo 5 del RGPD.
2. ¿Qué información debe dar la empresa a los empleados sobre sus datos?
El empleador debe cumplir con el deber de información establecido en el artículo 13 del RGPD. Puede consultarse también el texto oficial del artículo 13 del RGPD.
La empresa debe informar a los trabajadores de forma clara y accesible sobre:
- qué datos personales se recogen
- con qué finalidad se utilizan
- durante cuánto tiempo se conservarán
- quién puede acceder a ellos
- cómo pueden ejercer sus derechos
Los trabajadores deben conocer también sus derechos de protección de datos:
- Derecho de acceso
- Derecho de rectificación
- Derecho de supresión
- Derecho de limitación del tratamiento
- Derecho de portabilidad
- Derecho de oposición
- Derecho a no ser objeto de decisiones automatizadas
La empresa debe responder a estas solicitudes en un plazo máximo de un mes, tal como establece el artículo 12 del RGPD.
3. Deber de confidencialidad y seguridad
Las empresas deben garantizar la confidencialidad de los datos personales de trabajadores y candidatos.
Esto implica que:
- los empleados que acceden a datos personales deben respetar el deber de secreto
- los proveedores externos deben firmar acuerdos de tratamiento de datos
- deben aplicarse medidas técnicas y organizativas de seguridad
Entre las medidas que pueden implantarse, según el riesgo del tratamiento y la arquitectura de cada sistema, se incluyen:
- cifrado de la información sensible
- controles de acceso basados en perfiles o roles
- registros de acceso y trazabilidad
- medidas de autenticación y gestión segura de dispositivos
La obligación legal no es usar una tecnología concreta, sino aplicar medidas técnicas y organizativas apropiadas al riesgo, tal como exige el artículo 32 del RGPD. Para profundizar, la AEPD ha publicado su guía sobre gestión del riesgo y evaluación de impacto en tratamientos de datos personales.
4. Protección de datos en procesos de selección
La protección de datos también debe aplicarse durante el proceso de selección de personal.
En relación con los currículums recibidos por la empresa deben tenerse en cuenta varios aspectos, recogidos también en la Guía de la AEPD sobre protección de datos en las relaciones laborales:
- si el CV se recibe por correo electrónico o postal, debe informarse del tratamiento de datos
- si se entrega presencialmente, la información debe facilitarse en ese momento
- si el candidato no es contratado, el CV debe eliminarse o solicitar consentimiento para conservarlo
Respecto al uso de redes sociales, la empresa solo puede consultar perfiles profesionales cuando sea relevante para el puesto y con respeto a los principios de proporcionalidad y minimización expuestos por la AEPD en su guía sobre relaciones laborales.
No está permitido:
- solicitar acceso a perfiles privados
- investigar información personal no relacionada con el puesto
5. Control de la actividad laboral
Durante la relación laboral, la empresa puede aplicar mecanismos de control para verificar el cumplimiento de las obligaciones laborales.
Entre los sistemas más habituales se encuentran:
- registro de la jornada laboral
- sistemas de videovigilancia
- herramientas de geolocalización
- sistemas basados en datos biométricos cuando exista una base jurídica suficiente y se respeten los criterios de la guía de la AEPD sobre control de presencia biométrico
Estos sistemas deben cumplir varios requisitos:
- existir una finalidad legítima
- informar previamente a los trabajadores
- aplicar el principio de proporcionalidad
- evitar tratamientos excesivos
Por ejemplo, los datos del registro de jornada laboral deben responder a la finalidad de controlar el tiempo de trabajo y conservarse durante cuatro años, conforme al artículo 34.9 del Estatuto de los Trabajadores.
6. Canales internos de denuncia
Los canales internos de denuncia también implican el tratamiento de datos personales.
En estos sistemas pueden tratarse datos de:
- la persona denunciante
- la persona denunciada
- posibles testigos
La empresa debe garantizar la confidencialidad de la información y evitar que la identidad del informante sea revelada a personas no autorizadas, tal como exige la Ley 2/2023 de protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción.
El acceso a esta información suele limitarse al departamento de recursos humanos o a los responsables del sistema de cumplimiento.
7. Datos sobre acoso y violencia de género
La AEPD ha indicado que los datos relacionados con situaciones de acoso laboral y, en particular, la identidad de las mujeres supervivientes a la violencia de género exigen una protección reforzada y, con carácter general, tienen la consideración de datos especialmente sensibles, como explica la AEPD en su guía y en su nota informativa sobre relaciones laborales.
Por este motivo deben aplicarse medidas adicionales de protección.
En muchos casos se utilizan códigos o identificadores internos para evitar que terceros puedan identificar directamente a las personas afectadas.
8. Datos relativos a la vigilancia de la salud
En materia de vigilancia de la salud, la información médica detallada no corresponde a la empresa. En la práctica, el resultado que se comunica al empleador suele limitarse a la aptitud del trabajador para el puesto, dentro del marco del artículo 22 de la Ley de Prevención de Riesgos Laborales.
Los datos médicos detallados solo pueden ser tratados por los servicios de prevención o personal sanitario autorizado.
Además, el uso de dispositivos o tecnologías que monitoricen la salud de los trabajadores debe justificarse adecuadamente y respetar el principio de proporcionalidad.
9. Acceso a datos por los representantes de los trabajadores
Los representantes legales de los trabajadores pueden acceder a determinados datos personales cuando sea necesario para ejercer sus funciones, dentro de los límites del artículo 64 del Estatuto de los Trabajadores y de los criterios interpretativos de la AEPD sobre acceso de la representación legal de los trabajadores. Este perímetro de acceso se amplía con la transposición en España de la Directiva de transparencia salarial, que reconoce a la representación de la plantilla nuevos derechos de información sobre niveles retributivos medios desglosados por sexo y categoría profesional, una capa adicional de datos cuyo tratamiento la empresa deberá articular respetando los principios de minimización y confidencialidad propios del RGPD.
Sin embargo, este acceso debe respetar el principio de minimización de datos.
La empresa solo debe facilitar la información estrictamente necesaria para procesos como:
- negociaciones colectivas
- consultas laborales
- procedimientos disciplinarios
Los representantes de los trabajadores tampoco pueden utilizar estos datos con fines distintos a los previstos legalmente.
10. Extinción de la relación laboral
La protección de datos también se aplica cuando finaliza el contrato de trabajo.
La empresa debe garantizar que:
- los datos personales se conservan solo durante el tiempo necesario
- se eliminan accesos a sistemas internos
- se bloquean datos cuando exista obligación legal de conservación
Además, las comunicaciones relacionadas con el despido no deben incluir datos personales innecesarios o sensibles.
11. Plazos de conservación de los datos laborales
El tiempo de conservación de los datos personales de empleados depende de distintas normativas laborales, fiscales y administrativas.
En muchos casos, la documentación laboral debe conservarse durante al menos cuatro años, especialmente en relación con el registro de jornada laboral, conforme al artículo 34.9 del Estatuto de los Trabajadores. Puedes ampliar este punto en la guía sobre plazos de conservación de datos personales.
Las empresas deben definir políticas internas de conservación de datos y comunicar estos plazos a los trabajadores.
Documentación y cumplimiento del RGPD en el ámbito laboral
Para garantizar el cumplimiento del RGPD, las empresas suelen implementar distintos mecanismos de gobernanza del dato.
Entre ellos destacan:
- contratos de encargo del tratamiento cuando intervienen proveedores externos, conforme al artículo 28 del RGPD
- EIPD o evaluación de impacto en protección de datos cuando el tratamiento puede entrañar alto riesgo para los derechos y libertades de las personas, conforme al artículo 35 del RGPD
- cláusulas informativas dirigidas a empleados
- políticas internas de seguridad y confidencialidad
- sistemas de registro de accesos y auditoría
Además, muchas organizaciones optan por alojar los datos en la Unión Europea y por facilitar la portabilidad y exportación en formatos estándar, aunque estas decisiones deben analizarse caso por caso según el proveedor, las transferencias internacionales y el tipo de tratamiento.
