¿Es de aplicación la Protección de Datos en el Registro Horario y Retributivo? A cargo de Daiana Lamela Scafarelli
Las obligaciones con las que tienen que cumplir las empresas en materia laboral se encuentran estrechamente vinculadas con las obligaciones recogidas en la normativa vigente en materia de protección de datos. La , de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, “LOPDGDD”), dedica una serie de artículos a las relaciones laborales y la protección de los trabajadores en esta materia. Es una realidad que el uso de aplicaciones informáticas o tecnología innovadora ha impulsado mejoras en los departamentos de recursos humanos, no obstante, su implementación requiere un análisis previo si afecta a datos de carácter personal.
El Registro Horario tiene su base jurídica en el artículo 34.9 del Real Decreto Legislativo 2/2015, de 23 de octubre, por el que se aprueba el texto refundido de la Ley del Estatuto de los Trabajadores (en adelante, “ET”), redacción añadida por Real Decreto-ley 8/2019, de 8 de marzo, de medidas urgentes de protección social y de lucha contra la precariedad laboral en la jornada de trabajo, el cual tiene que incluir el horario concreto de inicio y finalización de la jornada:
“9. La empresa garantizará el registro diario de jornada, que deberá incluir el horario concreto de inicio y finalización de la jornada de trabajo de cada persona trabajadora, sin perjuicio de la flexibilidad horaria que se establece en este artículo.
Mediante negociación colectiva o acuerdo de empresa o, en su defecto, decisión del empresario previa consulta con los representantes legales de los trabajadores en la empresa, se organizará y documentará este registro de jornada.
La empresa conservará los registros a que se refiere este precepto durante cuatro años y permanecerán a disposición de las personas trabajadoras, de sus representantes legales y de la Inspección de Trabajo y Seguridad Social.”
Si entrar al análisis concreto en materia laboral, es bien conocido que las empresas han implementado soluciones automatizadas para cumplir con la obligación recogida en el artículo 34.9 del ET, como uso de APP en dispositivos móviles, dispositivos o equipos informáticos, sistemas mediante huella digital o reconocimiento facial, la mayoría de ellos impulsados por el proceso de digitalización en las organizaciones y acelerado por la situación padecida en estos últimos tiempos.
Es evidente el tratamiento de datos personales de trabajadores/as, por tanto, desde el punto de vista de la protección de datos hay que analizar lo que las empresas tienen que tener en cuenta a la hora de implementar este tipo de soluciones.
Para la elección de la solución a implementar, es recomendable contar con el asesoramiento en materia de protección de datos. Si la empresa cuenta con Delegado de Protección de Datos (en adelante, “DPO”), su intervención es preceptiva ya que se tendrán que valorar las opciones y el sistema menos invasivo que afecte a los derechos del personal contratado por la empresa. Asimismo, de optar por una solución con tratamiento de datos biométricos se deberá de realizar una Análisis de Evaluación de Impacto y tener en cuenta lo recogido en la resolución PS/00050/2021 (https://www.aepd.es/es/documento/ps-00050-2021.pdf) de la Agencia Española de Protección de Datos:
“En primer término, como en cualquier tipo de tratamiento que se lleva a cabo, se ha de acreditar la necesidad del tratamiento de datos a través del registro de huellas y proporcionalidad para el cumplimiento de la obligación legal del registro de jornada. Se considera que pueden existir sistemas alternativos al utilizado que cumplen con los principios de proporcionalidad, necesidad y minimización en el tratamiento de datos. No se explica porque es necesario y preferible el sistema de identificación al de verificación. Para poder utilizar este sistema, de acuerdo con los parámetros establecidos en el RGPD, las empresas u organizaciones necesitan demostrar altos niveles de responsabilidad proactiva y diseño por defecto de Protección de Datos desde antes del tratamiento, incluyendo el hecho de ser capaces de justificar que el sistema utilizado es necesario, proporcionado en cada contexto específico en el que se va a implementar y acreditar que medidas técnicas menos intrusivas no existen o no funcionarían.”
Es importante dejar constancia de que en el tratamiento se están cumpliendo los principios de proporcionalidad, necesidad y minimización en el tratamiento de datos.
Más allá de la solución utilizada, existen otras obligaciones con las que tienen que cumplir las empresas:
El deber de integridad y confidencialidad son principios básicos con los que se debe de cumplir, por tanto, el acceso a la información solamente podrá ser para personal autorizado y la integridad de la información tiene que permanecer óptima durante el plazo de conservación establecido y su destrucción con las garantías necesarias para evitar incidentes que puedan afectar a los datos de carácter personal.
La elaboración del Registro Retributivo viene recogida en el artículo 28.2 del ET y el Real Decreto 902/2020, de 13 de octubre, de igualdad retributiva entre mujeres y hombres:
- El empresario está obligado a llevar un registro con los valores medios de los salarios, los complementos salariales y las percepciones extrasalariales de su plantilla, desagregados por sexo y distribuidos por grupos profesionales, categorías profesionales o puestos de trabajo iguales o de igual valor.
Las personas trabajadoras tienen derecho a acceder, a través de la representación legal de los trabajadores en la empresa, al registro salarial de su empresa.
Tal y como viene recogida la obligación, el registro no implica tratamiento de datos de carácter personal, los datos deben incluirse disociados. No obstante, el dato disociado podría verse comprometido en categorías o grupos profesionales con número reducido, de ser así, perfectamente identificables los trabajadores/as de los mismos, por tanto, de aplicación la normativa en materia de protección de datos y de cumplimento las obligaciones mencionadas en el Registro Horario en cuanto a:
- Información a los trabajadores/as en el tratamiento de datos.
- Registro de Actividades, Análisis de Riesgo y Medidas de Seguridad técnicas y organizativas.
- Regulación con Encargados del Tratamiento.
- Dentro de las Medidas de Seguridad Organizativas, incluir documentos de confidencialidad con persona autorizada para el acceso al Registro Retributivo.
Fuentes:
- REGLAMENTO (UE) 2016/679 DEL PARLAMENTO EUROPEO Y DEL CONSEJO de 27 de abril de 2016 relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE.
- Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales.
- Real Decreto Legislativo 2/2015, de 23 de octubre, por el que se aprueba el texto refundido de la Ley del Estatuto de los Trabajadores.
- Real Decreto-ley 8/2019, de 8 de marzo, de medidas urgentes de protección social y de lucha contra la precariedad laboral en la jornada de trabajo.
- Agencia Española de Protección de Datos: “La Protección de Datos en las Relaciones Laborales”.
Daiana Lamela Scafarelli
Socia en I+D Abogados
Nuevas Tecnologías/Privacidad/DPO
Miembro de la Asociación Profesional Española de Privacidad – APEP
