Hace una semana, en NIVOLAP comenzamos esta ‘Guía para el cumplimiento del Derecho a la Protección de Datos en el control de la actividad laboral por parte del empresario’, con un primer artículo donde hablamos de sus novedades introducidas por la AEPD.
Hoy abordaremos el segundo artículo de los seis que conformarán la Guía, donde analizaremos los requisitos que deberán cumplir los empresarios en materia de protección de datos para el control de acceso a las instalaciones.
¿Qué requisitos tienen que cumplir los empresarios para el control de acceso a las instalaciones de su empresa?
Al igual que decíamos en el primero de los posts de esta Guía de Protección de datos en el control de la actividad laboral, el consentimiento de la persona trabajadora no será necesario para que la empresa pueda establecer los controles de acceso que estime convenientes, siempre y cuando se respeten los derechos fundamentales de las mismas.
Establece la AEPD que la base jurídica para el tratamiento de estos datos podrá ser:
- El contrato de trabajo si la finalidad consistiera en el control de las personas trabajadoras.
- El interés legítimo del empleador, si la finalidad del empresario fuera distinta, como por ejemplo, la protección de los bienes empresariales (una sala donde se alojan los servidores de la empresa y que almacenan datos sensibles de la misma).
Por otro lado, afirma la guía publicada por la AEPD que se deberán evitar sistemas de acceso especialmente invasivos de los derechos fundamentales de las personas trabajadoras si existieran otros instrumentos que puedan resultar igualmente eficaces y que, asimismo, resultasen menos intrusivos.
Controles a llevar a cabo en caso de utilización de datos biométricos para el control del acceso de las personas trabajadoras.
- Deberán informar a la persona trabajadora sobre estos tratamientos;
- Los fabricantes de las tecnologías deberán implementar la privacidad desde el diseño en los términos recogidos por el RGPD;
- Se recomienda que los datos biométricos se almacenen como plantillas biométricas, siempre que sea posible, y que sean aplicables únicamente al sistema biométrico en cuestión y no utilizada por otros responsables del tratamiento;
- Es recomendable que el almacenamiento se realice en un dispositivo personal, no centralizado, con clave de encriptado específica;
- Se deberá asegurar de que el sistema biométrico y sus medidas de seguridad no puedan reutilizar los datos biométricos para otra finalidad;
- Se deberán utilizar sistemas de cifrado, a fin de evitar la lectura, copia, modificación o supresión no autorizadas de esos datos;
- Los sistemas biométricos deberán poder revocar el vínculo de identidad;
- Deberán utilizarse formatos de datos o tecnologías que no permitan la interconexión de bases de datos biométricos y la divulgación no comprobada;
- Se deberán suprimir los datos biométricos cuando no se vinculen a la finalidad que motivó su tratamiento y, se recomienda implementar mecanismos automatizados de supresión de datos;
- Se deberá llevar a cabo una Evaluación de Impacto en Protección de Datos.
Desde NIVOLAP creemos que la empresa deberá evaluar entre varias opciones posibles los mecanismos de control de acceso asegurándose de que conjuguen perfectamente el derecho reconocido a los empresarios en el artículo 20.3 del Estatuto de los Trabajadores y el derecho a la Protección de Datos personales de sus trabajadores. Además, entendemos que los convenios colectivos y los representantes de los trabajadores deberán jugar un papel esencial en este sentido, investigando medidas que puedan ser menos invasivas para los derechos de las personas trabajadoras y que cumplan con idénticos fines a los perseguidos por el empresario, siguiendo con lo dispuesto por el artículo 88 RGPD o el 91 LOPDGDD.
Si eres empresario y tienes alguna duda sobre la implementación de tecnologías de control de acceso de tus trabajadores en tu empresa, si eres una persona trabajadora o representante de las mismas y crees que las medidas implementadas por tu empresa no cumplen con lo dispuesto en el presente artículo o si eres una empresa desarrolladora de este tipo de software y requieres de un abogado especializado en protección de datos que verifique que tu software reúne estas características, no dudes en ponerte en contacto con nosotros.
En el siguiente artículo de la presente Guía analizaremos los requisitos que deberán cumplir los empresarios en materia de protección de datos para la videovigilancia de sus empleados.