La protección de datos en las relaciones laborales y en los procesos de selección de personal obliga a las empresas y organismos públicos a respetar una serie de principios y garantías desde el primer contacto con un candidato hasta el desarrollo de la propia relación laboral.
La Agencia Española de Protección de Datos (AEPD) cuenta con una Guía sobre “Protección de Datos y Relaciones Laborales”, cuyo objetivo es facilitar el cumplimiento de la normativa sobre protección de datos personales contenida en el Reglamento (UE) 2016/679 (RGPD) y en la Ley Orgánica 3/2018, de Protección de Datos Personales y Garantía de los Derechos Digitales.
Protección de datos durante la relación laboral
El tratamiento de los datos personales de un trabajador por parte de la empresa necesita una base que lo legitime.
En una relación laboral, esta legitimación puede encontrarse en la necesidad de formalizar y ejecutar un contrato, cumplir con las obligaciones derivadas de la legislación social y fiscal o, en determinados casos, en el interés legítimo del empleador, como puede suceder con los datos de contacto del trabajador.
Sin embargo, si resulta necesario obtener otros datos que no estén relacionados con el cumplimiento del contrato, será necesario contar con el consentimiento expreso del trabajador.
En cualquier caso, deben recopilarse únicamente los datos estrictamente necesarios, respetando así el principio de minimización en el tratamiento de datos personales.
Además, está prohibido tratar datos especialmente protegidos, como los relativos a la salud o la afiliación sindical, salvo en los supuestos excepcionales en los que dicho tratamiento esté permitido.
Deber de información al trabajador
La empresa, como responsable del tratamiento, debe informar al trabajador de forma clara y concisa sobre el tratamiento que realiza de sus datos y sobre la finalidad para la que serán utilizados.
Para ello puede utilizarse la denominada “información por capas”. De este modo, en un primer momento se facilita la información básica y, posteriormente, el resto de la información prevista en el artículo 13 del RGPD, por ejemplo, mediante correo electrónico o a través de la web corporativa.
Cuando los datos se obtienen directamente de la persona interesada, la información debe facilitarse en ese mismo momento. En cambio, si proceden de terceros, deberá proporcionarse en el plazo de un mes.
Una forma adecuada de cumplir esta obligación es incorporar una cláusula informativa en el propio contrato de trabajo.
Además, la empresa debe garantizar la seguridad y confidencialidad de los datos personales y facilitar al trabajador el ejercicio de sus derechos, como los de acceso, rectificación o supresión.
Protección de datos en los procesos de selección de personal: principales aspectos
Uno de los aspectos especialmente relevantes recogidos en la Guía de la AEPD es el relativo a la selección de personal y al uso de las redes sociales.
El primer tratamiento de datos puede producirse incluso antes de que exista una relación laboral, concretamente durante el proceso de selección.
Los datos de los candidatos tratados durante esta fase no requieren su consentimiento, ya que la base de legitimación se encuentra en el artículo 6.1.b) del RGPD, al tratarse de actuaciones dirigidas a la posible celebración de un contrato.
Recepción y tratamiento del currículum
La AEPD recomienda elaborar un modelo para formalizar el currículum y establecer claramente la vía mediante la que debe entregarse.
Cuando la selección se realiza mediante un anuncio, este debe incluir la información prevista en el artículo 13 del RGPD.
Si, por el contrario, es el propio candidato quien presenta voluntariamente su currículum, deberá facilitársele la información correspondiente mediante un acuse de recibo. Esto puede realizarse, por ejemplo, a través del propio correo electrónico mediante el que se recibe el currículum.
En cualquier caso, únicamente podrán solicitarse aquellos datos que resulten necesarios para el puesto de trabajo.
¿Puede solicitarse el certificado de antecedentes penales?
Con carácter general, no pueden solicitarse datos personales como el certificado de antecedentes penales, salvo cuando una norma autorice expresamente su solicitud.
El texto recoge, entre otros, los siguientes supuestos:
- Los trabajos que impliquen contacto con menores, conforme a la Ley Orgánica 1/1996.
- Determinados supuestos contemplados por la Ley 10/2010, sobre prevención del blanqueo de capitales y financiación del terrorismo.
- Los trabajadores que deban acceder a determinadas zonas de seguridad conforme a la normativa europea de seguridad aeroportuaria.
Además, los datos obtenidos durante el proceso de selección no podrán utilizarse posteriormente para una finalidad diferente, salvo que exista consentimiento expreso de la persona interesada.
Solicitud de la vida laboral de un candidato
Otra cuestión relevante es la posibilidad de solicitar la vida laboral durante un proceso de selección.
La empresa no está legitimada para solicitarla directamente a la Seguridad Social.
Tampoco puede considerarse el consentimiento del candidato como una base legítima para hacerlo, puesto que dicho consentimiento no se estaría prestando con plena libertad.
No obstante, la empresa podría alegar un interés legítimo para solicitarla cuando su finalidad sea acreditar la experiencia profesional del candidato para el puesto de trabajo.
¿Puede una empresa consultar las redes sociales de un candidato?
El hecho de que el perfil de una persona sea público no legitima automáticamente a la empresa para consultar y tratar esa información durante un proceso de selección.
Para hacerlo debe existir una base legítima.
Esta legitimación puede existir cuando haya intereses profesionales y el tratamiento de la información resulte necesario para desempeñar el puesto de trabajo.
En cualquier caso, la persona interesada tiene derecho a ser informada sobre ese tratamiento.
Además, la empresa no está legitimada para enviar una solicitud de “amistad” al candidato con la finalidad de acceder a contenidos de sus perfiles que no sean públicos.
Tratamiento de datos durante una entrevista de trabajo
Los datos personales obtenidos durante una entrevista de trabajo tampoco pueden tratarse simplemente porque el candidato los haya facilitado durante la conversación.
El hecho de proporcionar esa información no implica automáticamente el consentimiento para su tratamiento.
Por tanto, deberá existir una base que lo legitime, como:
- El consentimiento.
- La necesidad para la ejecución del contrato.
- El interés legítimo.
Asimismo, solicitar determinados datos personales o familiares durante una entrevista, o establecer condiciones que puedan resultar discriminatorias, puede constituir una infracción muy grave conforme a la Ley sobre Infracciones y Sanciones en el Orden Social, recogida en el Real Decreto Legislativo 5/2000.
Elaboración automatizada de perfiles en los procesos de selección
La elaboración automatizada de perfiles puede resultar admisible cuando sea necesaria para la celebración o ejecución de un contrato.
Por ejemplo, puede utilizarse para realizar una primera selección cuando exista un número indeterminado de candidatos.
Sin embargo, estos sistemas no son admisibles cuando puedan producir cualquier tipo de discriminación.
Reconocimientos médicos, test psicológicos y test genéticos
La solicitud de informes o reconocimientos médicos es, en principio, voluntaria para el trabajador, salvo que exista una disposición que establezca lo contrario.
No obstante, el tratamiento de estos datos no requiere consentimiento cuando se realiza con fines de medicina preventiva o laboral o para evaluar la capacidad del trabajador, conforme al artículo 9.2.h) del RGPD.
En cuanto a los test psicológicos, estos requieren el consentimiento del trabajador. Además, previamente deberá analizarse su proporcionalidad y necesidad en relación con el puesto de trabajo.
Por el contrario, los test genéticos no resultan admisibles, ya que no constituyen una medida proporcional y permiten obtener datos personales que no son necesarios para la relación laboral.
¿Qué ocurre con los datos cuando finaliza el proceso de selección?
Una vez concluido el proceso de selección, si el candidato finalmente no es contratado, desaparece la base jurídica que legitimaba el tratamiento de sus datos.
Por ello, si la empresa desea conservarlos para futuros procesos —por ejemplo, incorporando el currículum a una bolsa de empleo— será necesario contar con el consentimiento de la persona interesada, salvo que el empleador pueda demostrar la existencia de un interés legítimo.
En caso contrario, deberá destruir el currículum y proceder a la supresión y bloqueo de los datos personales.
Consecuencias del incumplimiento de la normativa de protección de datos
Todas estas obligaciones deben ser tenidas en cuenta tanto durante el proceso de selección como una vez iniciada la relación laboral.
El incumplimiento por parte del responsable del tratamiento de cualquiera de las obligaciones establecidas en la normativa puede dar lugar a importantes sanciones por infracción de la legislación sobre protección de datos.
Conclusión
La protección de datos en las relaciones laborales y en los procesos de selección de personal comienza antes incluso de que exista una contratación. Desde la recepción de un currículum hasta una entrevista, la consulta de redes sociales, la realización de determinadas pruebas o la posterior conservación de los datos, la empresa debe contar con una base que legitime cada tratamiento y respetar los principios establecidos por la normativa.
Además, una vez iniciada la relación laboral, el empleador debe continuar garantizando la minimización de los datos tratados, la confidencialidad, el deber de información y el ejercicio de los derechos del trabajador.
Si quieres seguir ampliando tus conocimientos sobre protección de datos, cumplimiento normativo, relaciones laborales, seguridad privada y otras cuestiones relacionadas con la normativa aplicable a empresas y organizaciones, te invitamos a visitar nuestro blog. Encontrarás más artículos y análisis sobre las principales novedades y cuestiones jurídicas de interés para empresas y profesionales.
