El dret a la protecci\u00f3 de dades \u00e9s fonamental en l\u2019\u00e0mbit laboral. Errors habituals com la manca d\u2019informaci\u00f3 a candidats o l\u2019\u00fas inadequat del m\u00f2bil del personal poden comportar sancions importants.
A continuaci\u00f3, destaquem els punts clau que tota organitzaci\u00f3 hauria de revisar:<\/p>\n\n\n\n
1. Durant tota la relaci\u00f3 laboral<\/strong> 2. \u00das indegut de dades<\/strong> 3. Dades especialment protegides<\/strong> 4. Tel\u00e8fon i correu personal<\/strong> 5. Encarregats del tractament<\/strong> 6. Dades de n\u00f2mines<\/strong> 7. Sancions recents imposades per l\u2019AEPD i tribunals<\/strong> Per no informar un candidat sobre el tractament que es faria de les seves dades personals contingudes en el seu curr\u00edculum enviat a l\u2019empresa, vulnerant aix\u00ed el deure d\u2019informaci\u00f3 establert pel RGPD (Resoluci\u00f3 AEPD PS\/00237\/2021).<\/p>\n\n\n\n Per utilitzar el m\u00f2bil personal d\u2019una persona treballadora com a eina de treball, enviant-li missatges de WhatsApp amb dades de clients, malgrat les reiterades negatives de la treballadora i fins i tot despr\u00e9s de l\u2019extinci\u00f3 de la relaci\u00f3 laboral.<\/p>\n\n\n\n L\u2019empresa, com a responsable del tractament, hauria d\u2019haver adoptat mesures t\u00e8cniques i organitzatives adequades per garantir la seguretat de les dades. Aquesta garantia no es compleix quan s\u2019envien dades de clients a un dispositiu personal que pot no disposar de mesures de seguretat adequades (Resolucions AEPD PS\/00505\/2023 i PS\/00505\/2023).<\/p>\n\n\n\n El Tribunal Superior de Just\u00edcia de Gal\u00edcia (sent\u00e8ncia de 4 de mar\u00e7 de 2024, EDJ 540047) reconeix una indemnitzaci\u00f3 de 700 euros a un treballador per vulneraci\u00f3 del seu dret a la protecci\u00f3 de dades, ja que no constava el seu consentiment expr\u00e9s per a la cessi\u00f3 de dades a tercers (servei de prevenci\u00f3 i acad\u00e8mia de formaci\u00f3), ni va ser degudament informat. De fet, l\u2019acad\u00e8mia li va arribar a enviar un missatge a trav\u00e9s del seu m\u00f2bil personal per WhatsApp.<\/p>\n\n\n\n
El tractament de dades comen\u00e7a en el proc\u00e9s de selecci\u00f3 i continua durant tota la relaci\u00f3 laboral, incloent n\u00f2mines, dispositius, geolocalitzaci\u00f3, etc.
En general, no \u00e9s necessari el consentiment expr\u00e9s si el tractament \u00e9s necessari per al contracte (RGPD art. 6.1.b), per\u00f2 s\u00ed que s\u2019ha d\u2019informar pr\u00e8viament de manera clara i espec\u00edfica sobre com es tractaran aquestes dades.<\/p>\n\n\n\n
\u00c9s il\u00b7l\u00edcit utilitzar dades personals amb finalitats diferents de les informades. Per exemple, un tribunal, l\u2019abril de 2024, va considerar una vulneraci\u00f3 greu el fet que una empresa utilitz\u00e9s el curr\u00edculum vitae presentat en un proc\u00e9s de selecci\u00f3 amb finalitats disciplin\u00e0ries, despr\u00e9s de detectar incongru\u00e8ncies amb la vida laboral registrada a la Seguretat Social.<\/p>\n\n\n\n
Dades com les relatives a l\u2019origen \u00e8tnic o racial, opinions pol\u00edtiques, creences religioses o filos\u00f2fiques, afiliaci\u00f3 sindical, salut o biometria, aix\u00ed com les relatives a la vida sexual o a l\u2019orientaci\u00f3 sexual d\u2019una persona, nom\u00e9s es poden tractar amb consentiment expr\u00e9s o per imperatiu legal.
Per exemple: en sistemes de control horari que utilitzen dades biom\u00e8triques (com l\u2019empremta digital), s\u2019ha d\u2019informar pr\u00e8viament i recollir el consentiment expr\u00e9s, per\u00f2 tamb\u00e9 requereixen una avaluaci\u00f3 d\u2019impacte en protecci\u00f3 de dades. En cas contrari, les sancions econ\u00f2miques poden ser molt elevades.
Recordeu que, com ja hem indicat en comunicacions anteriors, l\u2019AEPD considera que el consentiment no sempre \u00e9s v\u00e0lid, ja que pot considerar-se viciat per l\u2019exist\u00e8ncia d\u2019una relaci\u00f3 de desigualtat entre les parts, caracter\u00edstica pr\u00f2pia de la relaci\u00f3 laboral.<\/p>\n\n\n\n
L\u2019empresa no pot exigir el n\u00famero de tel\u00e8fon personal ni incloure empleats en grups de WhatsApp sense el consentiment expr\u00e9s ni oferir una alternativa efectiva de comunicaci\u00f3.
Es considera abusiva i, per tant, nul\u00b7la qualsevol cl\u00e0usula contractual mitjan\u00e7ant la qual l\u2019empresa sol\u00b7liciti aquesta informaci\u00f3 de manera general per a comunicacions relacionades amb la relaci\u00f3 laboral, sense base legal suficient ni consentiment expr\u00e9s.
Excepci\u00f3: el Tribunal Suprem, en sent\u00e8ncia d\u2019abril de 2025, ha adm\u00e8s la possibilitat que l\u2019empresa utilitzi el n\u00famero de tel\u00e8fon o correu electr\u00f2nic personals de la persona treballadora nom\u00e9s en casos d\u2019urg\u00e8ncia degudament justificats, i sempre de manera excepcional, amb el consentiment expr\u00e9s i informat de la persona afectada.<\/p>\n\n\n\n
Cal tenir contractes signats (article 28 RGPD) amb gestories, serveis inform\u00e0tics o prove\u00efdors, entre d\u2019altres, que tractin dades personals per compte de l\u2019empresa. Sense aquests contractes, la responsabilitat recau en l\u2019empresa.<\/p>\n\n\n\n
El tractament de dades com el salari, el compte bancari, el DNI, etc., requereix mesures de seguretat adequades per garantir la seguretat i confidencialitat.
Externalitzar aquest servei no implica cessi\u00f3 de dades si es fa mitjan\u00e7ant un encarregat degudament contractat, i no requereix el consentiment de la persona treballadora.<\/p>\n\n\n\n
Com a responsable d\u2019una bretxa de seguretat provocada per l\u2019actuaci\u00f3 negligent d\u2019un treballador del departament de recursos humans, que va enviar per error a un altre treballador un correu electr\u00f2nic amb un fitxer PDF no xifrat que contenia les n\u00f2mines de tota la plantilla. La sanci\u00f3 imposada va ser de 450.000 \u20ac (Resoluci\u00f3 AEPD PS\/00238\/2024).<\/p>\n\n\n\n