¿Qué están incluyendo los convenios estatales en materia de protección de datos? La todavía escasa regulación. Parte I.

El 25 de mayo de 2018 entró en vigor el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (en adelante, RGPD), que establece de forma directa las normas aplicables en esta materia en la UE. En el Considerando 115 de la Exposición de Motivos del RGPD se recoge que los Estados miembros de la UE tienen que establecer normas específicas relativas al tratamiento de datos personales de los trabajadores. Pero, esta actuación no solo podrá llevarse a cabo a través de leyes, sino también se puede desarrollar mediante convenios colectivos, no solo de sector, sino incluso también de ámbito empresarial.

Por otra parte, en el ámbito español, la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales, en adelante LOPD, en su artículo 91 señala que los convenios colectivos podrán establecer garantías adicionales de los derechos y libertades relacionados con el tratamiento de los datos personales de los trabajadores y la salvaguarda de derechos digitales en el ámbito laboral. En este caso, el papel de los convenios se determina como garante de derechos fundamentales.

Establecido el marco legal del papel de la negociación colectiva en el ámbito de la protección de los datos personales de las personas trabajadoras, vamos a analizar qué están regulando los convenios colectivos en esta materia y para ello hemos examinado una muestra de convenios colectivos aprobados en 2022 sobre el uso de dispositivos digitales y la videovigilancia y el uso de los instrumentos de geolocalización.

I. En primer lugar, vamos a analizar el uso de dispositivos digitales y la videovigilancia

En ocasiones, como en el Convenio colectivo de elaboradores de productos cocinados para su venta a domicilio, se pone de manifiesto de forma general la limitación de la norma de protección de datos personales en estos controles de forma excesivamente genérica: “Las personas trabajadoras tienen derecho a la intimidad en el uso de los dispositivos digitales puestos a su disposición por la empresa, a la desconexión digital y a la intimidad frente al uso de dispositivos de videovigilancia y geolocalización en los términos establecidos en la legislación vigente en materia de protección de datos personales y garantía de derechos digitales. A tal efecto, en las empresas, y con la intervención de la representación legal de los trabajadores, se establecerán los oportunos protocolos que implementen y desarrollen esta serie de derechos y obligaciones”.
El artículo 87 de la LOPD regula el derecho a la intimidad y uso de dispositivos digitales en el ámbito laboral y determina que los empleadores deberán establecer criterios de utilización de los dispositivos digitales respetando en todo caso los estándares mínimos de protección de su intimidad. En este ámbito, algunos convenios colectivos recogen cómo se puede llevar a cabo este obligatorio protocolo. Por ejemplo, el Convenio colectivo de la industria fotográfica, pone de manifiesto que “se les entregará las instrucciones relativas a procedimientos, métodos, protocolos de uso de dispositivos, herramientas y soporte técnico que se hayan puesto en marcha como consecuencia de la implantación del trabajo a distancia, así como todo lo relativo a confidencialidad, protección de datos y medidas de vigilancia y control de las personas trabajadora”.
Más completo es el IV Convenio colectivo estatal de la industria, las nuevas tecnologías y los servicios del sector del metal, que regula de forma más exhaustiva las cuestiones que atañen al control de medios informáticos y videovigilancia. Se inicia recogiendo los principios generales de aplicación a este ámbito: “El tratamiento de datos en las empresas se regirá por el principio 2 de intervención mínima y proporcionalidad al fin pretendido, así como por las disposiciones comunes contenidas en este capítulo. Las personas que accedan a los datos personales de las personas trabajadoras deberán guardar el deber de secreto y confidencialidad respecto de la información a la que tuvieran acceso en el transcurso del desarrollo de su actividad”, para luego poner de manifiesto que estas obligaciones subsisten después de finalizar sus relaciones con el titular de los datos o con la empresa”.

Además, concreta las actuaciones empresariales a desarrollar por la empresa con el fin de “acceder a los contenidos derivados del uso de los medios digitales facilitados a la persona trabajadora”. Se entregará a las personas trabajadoras los criterios de utilización, en cuya determinación participará la representación legal de los trabajadores. En concreto, hay que establecer en la normativa interna, entre otras cuestiones: el uso y acceso a los sistemas, uso de correo electrónico de la empresa, instalación de programas o almacenamiento de la información, así como la definición del acceso al contenido de dispositivos digitales respecto de los que haya admitido su uso para fines privados.

En concreto, sobre la videovigilancia, el convenio analizado limita la utilización de sistemas similares para la grabación de sonidos en el lugar de trabajo y la aplicación de los límites legales al tratamiento de los datos, previa información a las personas trabajadoras.

II. En segundo lugar, sobre el uso de los instrumentos de geolocalización

La geolocalización suele ocupar algo más asiduamente a la negociación colectiva que la videovigilancia y los medios informáticos, aunque igualmente la extensión de su regulación es muy variada, no tanto su contenido.

Por ejemplo, el IV Convenio colectivo estatal de la industria, las nuevas tecnologías y los servicios del sector del metal, señala que su aplicación está limitada por el derecho a la intimidad y recoge la necesaria información sobre el uso de los dispositivos a las personas trabajadoras. “Igualmente, deberán informarles acerca del posible ejercicio de los derechos de acceso, rectificación, limitación del tratamiento y supresión”. Por otro lado, “se establece la obligación de las empresas de garantizar que, cualquier dispositivo de geolocalización implantado, cese o deje de estar operativo a partir del momento en que finalice la jornada laboral de la persona trabajadora”. En esta redacción, si bien se recogen obligaciones genéricas en relación con la geolocalización, sin embargo, sirve de recordatorio sobre los principales límites aplicables al control empresarial en relación con estos instrumentos.

A veces es mucha más parca la regulación, limitándose a recordar que existen límites al control empresarial. Así, el Convenio colectivo de recuperación y reciclado de residuos y materias primas secundarias, señala que “los datos obtenidos a través de sistemas de geolocalización para el ejercicio de las funciones de control de los trabajadores se ajustarán lo dispuesto en la legislación vigente”.

Artículo escrito por María Cristina Ortiz