Solicitud de acceso a tus datos personales en la empresa: grabaciones, GPS, correo y datos de salud

Las guías donde se explica todo lo que hay que saber antes de usar este escrito.

• ArtículoCómo pedir a la empresa las grabaciones y datos que tiene sobre tiTienes derecho a pedir a la empresa una copia de los datos que tiene sobre ti, incluidas las grabaciones en las que apareces. Debe contestar en un mes, que puede ampliar dos más avisándote, pero las imágenes de las cámaras se borran normalmente en un mes, así que hay que pedirlas cuanto antes. Si no responde, puedes reclamar ante la Agencia Española de Protección de Datos y, si hay pleito, pedir al juzgado que la obligue a aportarlas.
• ArtículoDatos personales que puede pedirte y guardar la empresaLa empresa solo puede pedir y guardar los datos necesarios para el contrato o los que una ley le exige: identificación, cuenta bancaria, Seguridad Social, titulación. No puede preguntar por embarazo, salud, ideología o afiliación, ni pedir antecedentes penales salvo que una ley lo prevea, como el certificado de delitos sexuales para trabajar con menores. Y no puede usar tus datos para un fin distinto del que justificó su recogida.
• ArtículoCámaras en el trabajo: cuándo son legales y si valen como prueba para despedirLa empresa puede instalar cámaras y usar las grabaciones para sancionar si informa antes; si se capta un acto ilícito flagrante, basta el cartel visible. Nunca puede grabar en vestuarios, aseos o comedores, y las cámaras ocultas solo caben de forma excepcional. Si la grabación es ilícita, se excluye como prueba, pero el despido no es automáticamente nulo.
• ArtículoGeolocalización y GPS en el coche o el móvil de empresa: cuándo es legalLa empresa puede geolocalizar el vehículo o el móvil que te da para trabajar si lo hace para controlar tu actividad laboral y te ha informado antes, de forma expresa, clara e inequívoca, de que existe el sistema y de cómo funciona. Sin esa información, o si lo usa fuera de su finalidad, los datos pueden no valer como prueba e incluso hacer nulo el despido.
• Artículo¿Puede la empresa revisar mi correo y mi ordenador? Límites y requisitosSí, la empresa puede revisar el correo y el ordenador que te da para trabajar, pero solo para comprobar que cumples tus obligaciones y protegerlos, con normas de uso previas que conozcas y respetando la proporcionalidad. Si te ha permitido usarlos para fines personales, debe decir qué usos admite y con qué garantías. Si se salta esos límites, lo que obtenga puede no valer como prueba y tendrás derecho a una indemnización.
• ArtículoControl del teletrabajo: qué puede vigilar la empresa en tu ordenadorLa empresa puede controlar el trabajo de quien teletrabaja, también con medios informáticos, pero solo si avisa antes de qué controla y cómo, y si la medida es idónea, necesaria y proporcionada. No puede obligarte a instalar programas en tu ordenador o móvil personal, y un control desproporcionado puede invalidar la prueba y dar derecho a indemnización.
• ArtículoControl de la baja por la empresa: ¿hay que ir a su médico y qué pasa si no?La empresa puede comprobar con su propio personal médico, o con una empresa contratada, que la enfermedad alegada justifica las ausencias. Si la persona trabajadora se niega, la ley solo permite quitarle lo que paga la empresa por encima de la prestación, normalmente el complemento del convenio; no cabe, en principio, sancionar ni despedir por esa negativa, aunque obstaculizar el control sin explicación ha llegado a justificar un despido.
• ArtículoIndemnización por difundir la baja médica en WhatsApp e insultosEl Tribunal Superior de Justicia de Castilla y León (Burgos) confirmó una condena de 6.000 euros a una empresa de Ávila y a su administrador por insultar gravemente a un repartidor delante de sus compañeros y publicar su parte de baja en el grupo de WhatsApp de la plantilla. No hizo falta probar un acoso continuado: bastaron esas dos conductas concretas.
• ArtículoIntimidad y propia imagen en el trabajo: tu foto, tu salud y tus datosLa empresa solo puede usar tu imagen sin preguntarte cuando tu trabajo, por su propia naturaleza, consiste en aparecer ante el público o ante una cámara; para publicidad, web o redes necesita tu consentimiento, y puedes retirarlo. Tus datos de salud y tus datos personales no pueden difundirse entre la plantilla sin necesidad, y lo que haces fuera del trabajo solo le importa si repercute en él.
• ArtículoFichar con huella o reconocimiento facial: ¿es legal? Requisitos y alternativasLa huella y el rostro son datos biométricos y, cuando sirven para identificar a una persona, están especialmente protegidos: su tratamiento está prohibido salvo excepciones. Fichar con ellos solo es posible si la empresa justifica que es necesario y proporcionado, informa a la plantilla y hace antes una evaluación de impacto. La Agencia Española de Protección de Datos ha sancionado a empresas que lo implantaron sin cumplir estas exigencias.
• ArtículoDetectives en el trabajo: qué pueden investigar y cuándo vale su prueba en un despidoLa empresa puede contratar a un detective para comprobar si cumples tus obligaciones laborales, sin necesidad de tener sospechas fundadas, siempre que el seguimiento sea proporcionado y en lugares públicos. No puede investigar lo que pasa dentro de tu casa ni engañarte para obtener pruebas. Si la prueba es ilícita se excluye del juicio, pero eso no hace nulo el despido de forma automática.
• ArtículoRegistrar el bolso cada día y pedir el IMEI del móvil vulnera la intimidadEl Tribunal Superior de Justicia del País Vasco confirmó que obligar a una trabajadora a abrir el bolso cada día al salir y a enseñar el IMEI de su móvil, sin sospechas ni hurtos probados, vulneró su intimidad. La empresa tuvo que pagarle 7.251 euros por daño moral.

La norma en que se apoya el escrito. Despliégala para leer su texto.

• Artículo 22LOPDGDD

  Texto del artículoTexto consolidado vigente desde el 7 de diciembre de 2018

  Artículo 22. Tratamientos con fines de videovigilancia.

  1. Las personas físicas o jurídicas, públicas o privadas, podrán llevar a cabo el tratamiento de imágenes a través de sistemas de cámaras o videocámaras con la finalidad de preservar la seguridad de las personas y bienes, así como de sus instalaciones.

  2. Solo podrán captarse imágenes de la vía pública en la medida en que resulte imprescindible para la finalidad mencionada en el apartado anterior.

  No obstante, será posible la captación de la vía pública en una extensión superior cuando fuese necesario para garantizar la seguridad de bienes o instalaciones estratégicos o de infraestructuras vinculadas al transporte, sin que en ningún caso pueda suponer la captación de imágenes del interior de un domicilio privado.

  3. Los datos serán suprimidos en el plazo máximo de un mes desde su captación, salvo cuando hubieran de ser conservados para acreditar la comisión de actos que atenten contra la integridad de personas, bienes o instalaciones. En tal caso, las imágenes deberán ser puestas a disposición de la autoridad competente en un plazo máximo de setenta y dos horas desde que se tuviera conocimiento de la existencia de la grabación.

  No será de aplicación a estos tratamientos la obligación de bloqueo prevista en el artículo 32 de esta ley orgánica.

  4. El deber de información previsto en el artículo 12 del Reglamento (UE) 2016/679 se entenderá cumplido mediante la colocación de un dispositivo informativo en lugar suficientemente visible identificando, al menos, la existencia del tratamiento, la identidad del responsable y la posibilidad de ejercitar los derechos previstos en los artículos 15 a 22 del Reglamento (UE) 2016/679. También podrá incluirse en el dispositivo informativo un código de conexión o dirección de internet a esta información.

  En todo caso, el responsable del tratamiento deberá mantener a disposición de los afectados la información a la que se refiere el citado reglamento.

  5. Al amparo del artículo 2.2.c) del Reglamento (UE) 2016/679, se considera excluido de su ámbito de aplicación el tratamiento por una persona física de imágenes que solamente capten el interior de su propio domicilio.

  Esta exclusión no abarca el tratamiento realizado por una entidad de seguridad privada que hubiera sido contratada para la vigilancia de un domicilio y tuviese acceso a las imágenes.

  6. El tratamiento de los datos personales procedentes de las imágenes y sonidos obtenidos mediante la utilización de cámaras y videocámaras por las Fuerzas y Cuerpos de Seguridad y por los órganos competentes para la vigilancia y control en los centros penitenciarios y para el control, regulación, vigilancia y disciplina del tráfico, se regirá por la legislación de transposición de la Directiva (UE) 2016/680, cuando el tratamiento tenga fines de prevención, investigación, detección o enjuiciamiento de infracciones penales o de ejecución de sanciones penales, incluidas la protección y la prevención frente a las amenazas contra la seguridad pública. Fuera de estos supuestos, dicho tratamiento se regirá por su legislación específica y supletoriamente por el Reglamento (UE) 2016/679 y la presente ley orgánica.

  7. Lo regulado en el presente artículo se entiende sin perjuicio de lo previsto en la Ley 5/2014, de 4 de abril, de Seguridad Privada y sus disposiciones de desarrollo.

  8. El tratamiento por el empleador de datos obtenidos a través de sistemas de cámaras o videocámaras se somete a lo dispuesto en el artículo 89 de esta ley orgánica.

• Artículo 87LOPDGDD

  Texto del artículoTexto consolidado vigente desde el 7 de diciembre de 2018

  Artículo 87. Derecho a la intimidad y uso de dispositivos digitales en el ámbito laboral.

  1. Los trabajadores y los empleados públicos tendrán derecho a la protección de su intimidad en el uso de los dispositivos digitales puestos a su disposición por su empleador.

  2. El empleador podrá acceder a los contenidos derivados del uso de medios digitales facilitados a los trabajadores a los solos efectos de controlar el cumplimiento de las obligaciones laborales o estatutarias y de garantizar la integridad de dichos dispositivos.

  3. Los empleadores deberán establecer criterios de utilización de los dispositivos digitales respetando en todo caso los estándares mínimos de protección de su intimidad de acuerdo con los usos sociales y los derechos reconocidos constitucional y legalmente. En su elaboración deberán participar los representantes de los trabajadores.

  El acceso por el empleador al contenido de dispositivos digitales respecto de los que haya admitido su uso con fines privados requerirá que se especifiquen de modo preciso los usos autorizados y se establezcan garantías para preservar la intimidad de los trabajadores, tales como, en su caso, la determinación de los períodos en que los dispositivos podrán utilizarse para fines privados.

  Los trabajadores deberán ser informados de los criterios de utilización a los que se refiere este apartado.

• Artículo 89LOPDGDD

  Texto del artículoTexto consolidado vigente desde el 7 de diciembre de 2018

  Artículo 89. Derecho a la intimidad frente al uso de dispositivos de videovigilancia y de grabación de sonidos en el lugar de trabajo.

  1. Los empleadores podrán tratar las imágenes obtenidas a través de sistemas de cámaras o videocámaras para el ejercicio de las funciones de control de los trabajadores o los empleados públicos previstas, respectivamente, en el artículo 20.3 del Estatuto de los Trabajadores y en la legislación de función pública, siempre que estas funciones se ejerzan dentro de su marco legal y con los límites inherentes al mismo. Los empleadores habrán de informar con carácter previo, y de forma expresa, clara y concisa, a los trabajadores o los empleados públicos y, en su caso, a sus representantes, acerca de esta medida.

  En el supuesto de que se haya captado la comisión flagrante de un acto ilícito por los trabajadores o los empleados públicos se entenderá cumplido el deber de informar cuando existiese al menos el dispositivo al que se refiere el artículo 22.4 de esta ley orgánica.

  2. En ningún caso se admitirá la instalación de sistemas de grabación de sonidos ni de videovigilancia en lugares destinados al descanso o esparcimiento de los trabajadores o los empleados públicos, tales como vestuarios, aseos, comedores y análogos.

  3. La utilización de sistemas similares a los referidos en los apartados anteriores para la grabación de sonidos en el lugar de trabajo se admitirá únicamente cuando resulten relevantes los riesgos para la seguridad de las instalaciones, bienes y personas derivados de la actividad que se desarrolle en el centro de trabajo y siempre respetando el principio de proporcionalidad, el de intervención mínima y las garantías previstas en los apartados anteriores. La supresión de los sonidos conservados por estos sistemas de grabación se realizará atendiendo a lo dispuesto en el apartado 3 del artículo 22 de esta ley.

• Artículo 5RGPD

  Texto del artículoTexto consolidado vigente desde el 4 de mayo de 2016

  Artículo 5. Principios relativos al tratamiento.

  1. Los datos personales serán:

  a) tratados de manera lícita, leal y transparente en relación con el interesado («licitud, lealtad y transparencia»);

  b) recogidos con fines determinados, explícitos y legítimos, y no serán tratados ulteriormente de manera incompatible con dichos fines; de acuerdo con el artículo 89, apartado 1, el tratamiento ulterior de los datos personales con fines de archivo en interés público, fines de investigación científica e histórica o fines estadísticos no se considerará incompatible con los fines iniciales («limitación de la finalidad»);

  c) adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados («minimización de datos»);

  d) exactos y, si fuera necesario, actualizados; se adoptarán todas las medidas razonables para que se supriman o rectifiquen sin dilación los datos personales que sean inexactos con respecto a los fines para los que se tratan («exactitud»);

  e) mantenidos de forma que se permita la identificación de los interesados durante no más tiempo del necesario para los fines del tratamiento de los datos personales; los datos personales podrán conservarse durante períodos más largos siempre que se traten exclusivamente con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos, de conformidad con el artículo 89, apartado 1, sin perjuicio de la aplicación de las medidas técnicas y organizativas apropiadas que impone el presente Reglamento a fin de proteger los derechos y libertades del interesado («limitación del plazo de conservación»);

  f) tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»).

  2. El responsable del tratamiento será responsable del cumplimiento de lo dispuesto en el apartado 1 y capaz de demostrarlo («responsabilidad proactiva»).

• Artículo 6RGPD

  Texto del artículoTexto consolidado vigente desde el 4 de mayo de 2016

  Artículo 6. Licitud del tratamiento.

  1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:

  a) el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;

  b) el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;

  c) el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;

  d) el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;

  e) el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;

  f) el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño.

  Lo dispuesto en la letra f) del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones.

  2. Los Estados miembros podrán mantener o introducir disposiciones más específicas a fin de adaptar la aplicación de las normas del presente Reglamento con respecto al tratamiento en cumplimiento del apartado 1, letras c) y e), fijando de manera más precisa requisitos específicos de tratamiento y otras medidas que garanticen un tratamiento lícito y equitativo, con inclusión de otras situaciones específicas de tratamiento a tenor del capítulo IX.

  3. La base del tratamiento indicado en el apartado 1, letras c) y e), deberá ser establecida por:

  a) el Derecho de la Unión, o

  b) el Derecho de los Estados miembros que se aplique al responsable del tratamiento.

  La finalidad del tratamiento deberá quedar determinada en dicha base jurídica o, en lo relativo al tratamiento a que se refiere el apartado 1, letra e), será necesaria para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento. Dicha base jurídica podrá contener disposiciones específicas para adaptar la aplicación de normas del presente Reglamento, entre otras: las condiciones generales que rigen la licitud del tratamiento por parte del responsable; los tipos de datos objeto de tratamiento; los interesados afectados; las entidades a las que se pueden comunicar datos personales y los fines de tal comunicación; la limitación de la finalidad; los plazos de conservación de los datos, así como las operaciones y los procedimientos del tratamiento, incluidas las medidas para garantizar un tratamiento lícito y equitativo, como las relativas a otras situaciones específicas de tratamiento a tenor del capítulo IX. El Derecho de la Unión o de los Estados miembros cumplirá un objetivo de interés público y será proporcional al fin legítimo perseguido.

  4. Cuando el tratamiento para otro fin distinto de aquel para el que se recogieron los datos personales no esté basado en el consentimiento del interesado o en el Derecho de la Unión o de los Estados miembros que constituya una medida necesaria y proporcional en una sociedad democrática para salvaguardar los objetivos indicados en el artículo 23, apartado 1, el responsable del tratamiento, con objeto de determinar si el tratamiento con otro fin es compatible con el fin para el cual se recogieron inicialmente los datos personales, tendrá en cuenta, entre otras cosas:

  a) cualquier relación entre los fines para los cuales se hayan recogido los datos personales y los fines del tratamiento ulterior previsto;

  b) el contexto en que se hayan recogido los datos personales, en particular por lo que respecta a la relación entre los interesados y el responsable del tratamiento;

  c) la naturaleza de los datos personales, en concreto cuando se traten categorías especiales de datos personales, de conformidad con el artículo 9, o datos personales relativos a condenas e infracciones penales, de conformidad con el artículo 10;

  d) las posibles consecuencias para los interesados del tratamiento ulterior previsto;

  e) la existencia de garantías adecuadas, que podrán incluir el cifrado o la seudonimización.

• Artículo 20 bisEstatuto de los Trabajadores

  Texto del artículoTexto consolidado vigente desde el 7 de diciembre de 2018

  Artículo 20 bis. Derechos de los trabajadores a la intimidad en relación con el entorno digital y a la desconexión.

  Los trabajadores tienen derecho a la intimidad en el uso de los dispositivos digitales puestos a su disposición por el empleador, a la desconexión digital y a la intimidad frente al uso de dispositivos de videovigilancia y geolocalización en los términos establecidos en la legislación vigente en materia de protección de datos personales y garantía de los derechos digitales.

  Ver el artículo 20 bis