Protección de datos y comité de empresa: el tratamiento de datos personales por parte de los representantes de los trabajadores

Para el cumplimiento de sus funciones y obligaciones legales, el comité de empresa necesita realizar el tratamiento de datos personales de los trabajadores, por lo que están obligados a cumplir con la Ley de Protección de Datos. En las siguientes líneas explicamos cómo debe poner en práctica el comité de empresa la protección de datos.

¿A qué datos personales tienen acceso el comité de empresa?

La información a la que puede acceder el comité de empresa está regulada en el artículo 64 del Estatuto de los Trabajadores, que recoge el derecho del comité de empresa a ser informado y consultado sobre las cuestiones que puedan afectar a los empleados, así como sobre la situación de la empresa. En lo que trabajadores se refiere:

• Estadísticas sobre el índice de absentismo y sus causas.
• Siniestralidad laboral y enfermedades profesionales y sus consecuencias.
• Índices de siniestralidad.
• Estudios del ambiente laboral y mecanismos de prevención utilizados.
• Ser informado por las faltas muy graves impuestas.
• Acceso a la copia básica de los contratos de trabajo.

No obstante, esta lista que ofrece el ET es muy genérica respecto a qué datos personales puede acceder la representación legal de los trabajadores (RLT). Además, hay convenios colectivos que pueden contener disposiciones específicas o adicionales sobre los derechos de información y consulta de la RLT.

Para despejar dudas, la AEPD ha emitido varios informes en los que ha establecido que los datos personales a los que puede acceder el comité de empresa deben ser los mínimos imprescindibles para cumplir con la finalidad perseguida y, cuando sea posible para alcanzar tal fin, la empresa suministrará los datos de manera disociada, pseudonimizada o anonimizada. Un equilibrio que adquiere especial relevancia en el ámbito retributivo: la nueva normativa europea de transparencia retributiva reconoce al comité el derecho a recibir información sobre los niveles salariales medios desglosados por sexo y categoría, una información que debe entregarse en formato agregado, sin permitir identificar a personas concretas, y conservando intacto el principio de minimización que vertebra el RGPD.

Así mismo, la AEPD ha especificado que, respecto a la entrega de documentos de cotización al comité de empresa, como son la Relación Nominal de Trabajadores (antiguo TC2) y el documento de Relación de Liquidación de Cotizaciones (antiguo TC1), el comité podrá recibirlo para cumplir con sus funciones legales, con la información limitada y bajo ningún concepto podrá publicar estos documentos o sus datos en el tablón de anuncios.

El comité de empresa es ¿responsable o encargado del tratamiento?

El comité de empresa es responsable del tratamiento, por lo que debe cumplir con todas las obligaciones de protección de datos personales de los empleados.

Cabe señalar que el comité de empresa carece de personalidad jurídica, por lo que no sería posible que la empresa firmará con él un contrato de encargado de tratamiento. Así mismo, al recibir información personal de los empleados, se convierten en destinatarios o cesionarios de esos datos y, por tanto, responsables del tratamiento de estos.

Legitimación del comité de empresa para el tratamiento de datos personales

La legitimación del comité de empresa para el tratamiento de los datos personales de los empleados tiene su base jurídica en el cumplimiento de sus obligaciones legales y en el ejercicio de sus derechos como representantes de los trabajadores.

Así mismo, y de acuerdo a la protección de datos en las relaciones laborales, la empresa está legitimada para comunicar datos personales de los empleados a la RLT para cumplir con sus obligaciones legales, establecidas en los convenios colectivos y el Estatuto de los Trabajadores.

Obligaciones y límites para el comité de empresa en protección de datos

El comité de empresa debe cumplir las obligaciones y observar los límites de la protección de datos en sindicatos, para lo que debe poner en práctica medidas que garanticen el cumplimiento de los principios relativos al tratamiento de datos personales, tal y como recoge el artículo 5 del RGPD:

• Informar a los trabajadores del tratamiento de sus datos (Principio de licitud, lealtad y transparencia).
• Los datos tratados deben ser adecuados, pertinentes y limitados a las necesidades en relación con la representación de los trabajadores y la defensa de sus derechos, sin poder usarse para otras finalidades distintas (Principio de limitación de la finalidad).
• Ni la empresa cederá más datos de los necesarios al comité de empresa, ni este tratará más datos que los necesarios para realizar sus funciones (Principio de minimización de datos).
• Tanto el artículo 65 del Estatuto de los Trabajadores como el artículo 10.3.1º de la Ley de Libertad Sindical (LOLS) prevén el deber de confidencialidad y secreto profesional de los miembros del comité de empresa respecto a los datos e información a la que pueden acceder, de manera que deben garantizar la seguridad y confidencialidad de los datos personales que traten (Principio de integridad y confidencialidad), no hacerlo podría ser motivo no solo de una sanción en protección de datos, sino también de despido por sacar información de la empresa.
• Así mismo, los miembros del comité de empresa deberán aplicar las políticas de seguridad de la información y protección de datos cuando utilicen para llevar a cabo sus funciones los medios proporcionados por la empresa, tanto si trabajan en el propio centro de trabajo o a distancia. En ese sentido, además:
  • Tendrán un perfil específico para acceder a los sistemas de información de la empresa en el ejercicio de sus funciones representativas.
  • Como responsables del tratamiento, tienen la obligación de reportar las brechas de seguridad que pudieran producirse, comunicándolo tanto a la empresa y los afectados, como a la AEPD.

Publicación de datos personales en tablones de anuncios

La representación legal de los trabajadores tiene derecho a disponer de un tablón de anuncios para facilitar información de interés a los trabajadores. Actualmente, estos tablones pueden ser tanto físicos como digitales (estar online). Puesto que en ocasiones se realizan tratamientos de datos personales en ellos, se deben tener en cuenta las siguientes consideraciones legales en protección de datos:

• Solo podrán acceder al contenido del tablón de anuncios los usuarios debidamente legitimados, por lo que el tablón nunca debe colocarse en zonas de paso para clientes y proveedores. Si el tablón es online, el acceso deberá limitarse a usuarios registrados o colgarlo solo en la intranet de la empresa, de manera que no se puede acceder a él libremente navegando por internet.
• Solo se publicará la información estrictamente necesaria en el tablón de anuncios. En caso de resoluciones administrativas o judiciales que sea necesario comunicar a través de este medio, se hará anonimizando los datos personales que contenga.
• Se implementarán medidas para impedir el acceso de terceros no autorizados a la información del tablón, salvo cuando prevalezcan la libertad de expresión e información propias de la libertad sindical (en cuyo caso se deberá llevar a cabo una ponderación de derechos).

Acceso a datos de categorías especiales

El comité de empresa puede, en determinadas circunstancias, acceder a datos de categorías especiales (art. 9.1 del RGPD), en concreto los datos relativos a la afiliación sindical para hacer posible el ejercicio de los derechos de los trabajadores (art. 9.2.b) y para poder llevar a cabo sus actividades legítimas (art. 9.2.d).

Así mismo, también pueden acceder a estos datos de afiliación sindical con la finalidad de descuentos de la cuota sindical, para lo que, no obstante, y de acuerdo al artículo 11.2 de la LOLS, se exige el consentimiento del trabajador, por lo que el sindicato deberá recabar este consentimiento del trabajador cuando solicite a la empresa los datos sobre descuento de la cuota.

Comunicaciones y cesión de datos de los representantes de los trabajadores

Para cumplir determinadas funciones y obligaciones legales, el comité de empresa debe poder comunicarse con los trabajadores, así como ser cesionario de sus datos personales. Aparte de cumplir con los principios de protección de datos que vimos más arriba, el comité de empresa también debe tener en cuenta otras condiciones.

Comunicaciones por correo electrónico

El comité de empresa está legitimado para enviar correos electrónicos con información sindical a los trabajadores, pero debe tener en cuenta lo siguiente:

• La empresa solo podrá facilitarle la dirección de correo electrónico corporativo de los trabajadores, si disponen de ella. Nunca debe facilitarse la dirección privada de correo electrónico de los empleados.
• Para poder contactar vía email con los empleados, se les puede facilitar la suscripción a una lista de distribución de correo, listas de las que podrán darse de baja con facilidad si así lo desean, incluyendo para ello la información relativa a protección de datos y cómo darse de baja en los pies de los emails.

Celebración de elecciones sindicales

En caso de celebración de elecciones sindicales, los trabajadores no podrán oponerse al tratamiento de sus datos para este fin, pues prevalece la libertad sindical sobre la protección de datos. Así, la celebración de elecciones sindicales legitima las comunicaciones de los datos censales necesarios para permitir al sindicato remitir información y participar en el proceso electoral.

Periodos de consultas

Los procedimientos de despido colectivo, de suspensión de contratos y de reducción de jornadas requieren la celebración de un periodo de consultas entre la empresa y el comité de empresa, así como el tratamiento de determinados datos personales, como pueden ser datos identificativos, personales o de empleo, la edad, la antigüedad o la productividad.

Durante el periodo de consultas, el comité de empresa deberá garantizar la confidencialidad de los datos y recabar el consentimiento de los interesados si se quieren grabar las sesiones de negociación.

Así mismo, el trabajador tiene derecho a impugnar la decisión empresarial tomada y a solicitar el baremo y los criterios utilizados ejerciendo su derecho de acceso al tratamiento de sus datos.

Violencia de género y acoso en el trabajo

Para poder ejercer las labores de representación de los sindicalistas, la RLT puede tener que conocer la identidad de las víctimas de violencia de género o acoso. En el caso de que el acosador fuera un miembro del comité, también es necesario que el resto de integrantes del mismo conozcan la situación.

En definitiva, como responsable del tratamiento, el comité de empresa debe cumplir con las obligaciones y límites que establece la Ley de Protección de Datos a la hora de tratar los datos personales de los trabajadores que representan.

Te ayudamos a cumplir la Ley de Protección de Datos

Escríbenos o contacta con nuestras oficinas

He leído y acepto la política de privacidad.