Esta guía sirve para concienciar que las políticas de protección de datos deben ser integrales y formar parte de la propia cultura empresarial, apostando por la minimización del tratamiento de datos personales, no solo de cara al exterior con los clientes o potenciales clientes, sino en la propia empresa con los empleados. Cuando se hace referencia a este tipo de medidas, es frecuente la mención del caso Barbulescu y la facultad o no del empresario para controlar el correo electrónico de los empleados, pero esta guía va más allá y aborda otros puntos que son interesantes. Entre estos aspectos de interés, se puede resaltar el procedimiento de selección de personal y redes sociales, la publicación de los datos de productividad o el registro de jornada, entre otros.
En primer lugar, sobre el procedimiento de selección recoge algunas limitaciones en base al conocido principio inspirador de la normativa de protección de datos, como es la minimización del tratamiento de datos personales. En este sentido, pone el ejemplo de no poder solicitar el certificado de antecedentes penales, salvo en algunos casos legalmente previstos o, por ejemplo, la prohibición de solicitar la vida laboral directamente a la Seguridad Social. Otra prohibición que establece la guía, pero que es muy común en los procesos de selección de personal, es la consistente en acceder a las redes sociales del candidato y basar la decisión en el contenido de las redes sociales. Este acceso solo se justifica si es necesario y pertinente para desarrollar el trabajo.
En segundo lugar, en cuanto a los datos de productividad, estos podrían estar amparados en base al interés legítimo. No obstante, debe ponderarse el interés legítimo del empleador (por ejemplo, potenciar la productividad) con los de los empleados. Asimismo, se tendrían que tomar medidas para minimizar el intrusismo de dicha medida, por ejemplo, identificando con unos números a los empleados que solo conozcan ellos. A este respecto se publicó la Consulta con nº de ref. 208522/2018.
En tercer lugar, en cuanto al registro de jornada, se ampara en el cumplimiento de una obligación legal. No obstante, este debe ser lo menos invasivo posible y se debe informar debidamente al trabajador, incluirlo en el registro de actividades del tratamiento, restringir su acceso y utilizar los datos conforme a la finalidad para la que se han obtenido.
Por último, cabe hacer mención a la referencia a los canales de denuncia propios de los sistemas de compliance que, si bien serán objeto de un artículo específico más adelante, emite unas interesantes recomendaciones a implementar en las empresas.
