Privacidad y Protección de Datos de los Trabajadores en el Entorno Digital

La presente obra ofrece un análisis de la problemática jurídica planteada por el tratamiento de datos personales de los trabajadores por parte de las empresas en vías de transformación digital, en un entorno caracterizado por la creciente digitalización y datificación de la gestión del empleo en las organizaciones. Partiendo del derecho a la protección de datos personales y de su renovado marco jurídico europeo e interno (Reglamento General de Protección de Datos y Ley Orgánica 3/2018), se examinan las principales implicaciones del nuevo conjunto normativo en este particular contexto, en el que el legislador interno ha dispuesto un marco embrionario de garantía de los derechos digitales laborales en situaciones como el uso de dispositivos digitales en el ámbito laboral, la videovigilancia y la grabación de sonidos o la utilización de sistemas de geolocalización. La obra aborda, además, el análisis jurídico de otros escenarios relevantes en los que se efectúa igualmente una recogida de datos personales (uso de dispositivos digitales móviles o situados fuera de los lugares de trabajo, tratamiento de datos biométricos, tratamiento de datos procedentes de las redes sociales, sistemas de denuncias internas, etc.). Finalmente, se analiza el recurso a las técnicas analítico-decisionales en el ámbito laboral y la transferencia de datos personales de los trabajadores en los grupos empresariales y uniones de empresas.

ÍNDICE

Primera Parte. Privacidad, protección de datos y relaciones de trabajo. Nuevas realidades y nuevos parámetros normativos y jurisprudenciales en Europa

I. La protección de la privacidad del ciudadano-trabajador en el entorno digital. De la intimidad a la protección de los datos personales

1.1. Nuevas técnicas de gestión del trabajo en la empresa en vías de transformación digital: de la monitorización al análisis predictivo y decisional y la Inteligencia Artificial (IA). Entre Orwell y Kafka

1.2. El derecho a la protección de datos (y su regulación) como límite específico a la gestión digitalizada/datificada del trabajo: su doble impulso, normativo y jurisprudencial, en el ámbito europeo

II. Un cambio trascendental en la función sociopolítica de la privacidad. Algunos apuntes sobre la génesis y caracterización técnica del derecho fundamental a la protección de datos personales a partir de la CDFUE

2.1. Una perspectiva diacrónica: las dinámicas de vinculación y desvinculación entre protección de datos y privacidad

2.2. Una perspectiva jurídico-positiva: la CDFUE como factor de cambio en la función sociopolítica de la privacidad, y el RGPD como marco regulador del derecho multifocal a la protección de datos personales

2.3. Una perspectiva funcional: el valor añadido del derecho a la protección de datos frente al derecho a la protección de la vida privada y familiar

2.4. Una perspectiva teleológica: las finalidades diferenciales o distintivas del derecho a la protección de datos

2.5. Una perspectiva axiológica: el anclaje de los derechos de privacidad y protección de datos en la dignidad humana y los valores fundamentales del orden político-constitucional

III. El nuevo modelo europeo de protección de datos: principales aportaciones del RGPD (y la LOPDP-GDD) desde la perspectiva de su proyección a la gestión digitalizada/datificada del trabajo

3.1. La aplicación de la NPD al contexto laboral: algunas cuestiones generales. Objeto, sujetos y ámbito de aplicación

3.2. El principio de responsabilidad proactiva, como eje central del cambio de paradigma regulador: las bases normativas del deber empresarial de protección de los datos de los trabajadores

3.3. La reformulación de los principios de la protección de datos: la especial incidencia del principio de transparencia en la gestión digitalizada/datificada del trabajo

3.4. Las bases de legitimación para el tratamiento de datos en el contexto laboral: las limitaciones al consentimiento informado otorgado por el trabajador

3.5. El contrato de trabajo como base de legitimación en dos supuestos críticos: el tratamiento ulterior de los datos para fines compatibles y las categorías especiales de datos

3.6. Los derechos y garantías del trabajador-interesado en materia de protección de datos personales: el cuadro renovado de facultades de actuación y su proyección laboral

3.7. El reforzamiento en el RGPD del régimen jurídico de las decisiones individuales automatizadas y la elaboración de perfiles: consideraciones generales

3.8. Los mecanismos de refuerzo del cumplimiento de la NPD: Breve referencia al sistema de recursos, responsabilidades y sanciones

Segunda parte. Privacidad y garantía de los derechos digitales en el ámbito laboral. La Ley Orgánica 3/2018 como punto de inicio en la normalización de los escenarios de la recogida de datos (Data Collection)

I. La LOPDP-GDD como marco embrionario de garantía de los derechos digitales laborales. La normativa de protección de datos como referencia para delimitar la obligación positiva del Estado en la protección de la privacidad del trabajador

II. El derecho a la privacidad de los trabajadores y el uso de dispositivos digitales en el ámbito laboral

2.1. La proclamación formal de un derecho modulable, pero no eliminable de manera discrecional en la empresa

2.2. El acceso empresarial a los contenidos derivados del uso de los medios digitales por los trabajadores: la acotación de las bases jurídicas de licitud

2.3. El control del cumplimiento de las obligaciones laborales, como base jurídica de legitimidad del acceso: controles defensivos y controles indirectos. En particular, sobre las limitaciones a los usos secundarios de la información

2.4. El acceso empresarial a los dispositivos digitales en base al interés legítimo empresarial para la garantía de la seguridad o integridad de los dispositivos digitales

2.5. El deber empresarial de establecer criterios de utilización de los dispositivos digitales en la empresa

2.6. Los mecanismos de cierre del sistema protector: el test Barbulescu del TEDH como doctrina de síntesis de los requisitos de licitud, y la intervención judicial. En particular, a propósito del derecho al secreto de las comunicaciones (artículo 18.3 CE)

III. El derecho a la privacidad de los trabajadores y el uso de dispositivos de videovigilancia y grabación de sonidos

3.1. Una premisa esencial ex artículos 22 y 89 LOPDP-GDD: la ilicitud del control directo de la actividad laboral a través de las técnicas de video-monitorización

3.2. El régimen de ejercicio del poder empresarial de videovigilancia: los límites genéricos del tratamiento de datos en interés legítimo del empleador

3.3. El derecho de los trabajadores y de sus representantes a ser informados sobre las medidas de videovigilancia común u ordinaria en la empresa

3.4. Videovigilancia extraordinaria y comisión de actos ilícitos por parte de los trabajadores: una habilitación legal para el aligeramiento del derecho de información en los supuestos de control defensivo ex post

3.5. La utilización de sistemas de grabación de sonidos en el lugar de trabajo: su permisividad excepcional, como medida no amparada contractualmente, vinculada al agravamiento del riesgo

3.6. Los límites al espacio físico de la videovigilancia y la grabación de sonidos en la empresa: su prohibición en los lugares ajenos al desarrollo de la actividad laboral

IV. El derecho a la privacidad de los trabajadores frente a la utilización de sistemas de geolocalización en el ámbito laboral

4.1. El régimen de ejercicio del poder empresarial de control laboral a través de datos de localización y sus límites genéricos. El derecho de información de los trabajadores y sus representantes

4.2. Otras bases normativas para el tratamiento de datos de localización y supuestos análogos: sus límites normativos

V. El tratamiento de datos de los trabajadores a través del uso de dispositivos digitales móviles o situados fuera de los lugares de trabajo. La protección de la privacidad en el entorno laboral ubicuo.

5.1. Teletrabajo y trabajo remoto: límites a las medidas empresariales frente al riesgo adicional para la seguridad de los dispositivos

5.2. El Bring Your Own Device (BYOD) y sus derivaciones como dinámica de impulso del ambiente laboral ubicuo. Una reconstrucción de las bases de su tratamiento normativo a partir de la aplicación sistemática de la NPD

5.3. Los sistemas de manejo remoto de los dispositivos (Movile Device Management) y sus límites: en particular, sobre la necesidad de efectuar una evaluación de impacto de la medida

5.4. Los dispositivos digitales incorporados a la indumentaria o revestimiento del trabajador (Wearable Devices): la ilicitud de su utilización consentida por el trabajador

VI. El tratamiento de datos biométricos de los trabajadores, como categoría especial de datos personales: el RGPD como respuesta frente a la segunda generación de técnicas biométricas

6.1. Los datos biométricos y su tratamiento en el entorno laboral: planteamiento de la cuestión

6.2. La regulación de los datos biométricos de los trabajadores a partir del RGPD: su tratamiento excepcional condicionado a la necesidad para la aplicación de la normativa laboral

6.3. Tratamiento de datos biométricos de los trabajadores y cumplimiento de la NPD: en particular, sobre la adopción de medidas técnicas y organizativas para mitigar el impacto sobre su privacidad

6.4. ¿Hacia la sofisticación del tratamiento de los datos biométricos en el entorno laboral?: la problemática de la privacidad en clave evolutiva

VII. El tratamiento por el empleador de datos personales procedentes de las redes sociales en las relaciones de trabajo: candidatos al empleo, trabajadores y ex-trabajadores

7.1. Los datos personales hechos públicos a través de las redes sociales y su tratamiento en el contexto de las relaciones de empleo: consideraciones generales

7.2. La recogida de datos personales de los candidatos al empleo procedentes de internet y las redes sociales tras el RGPD

7.3. El acceso a la actividad de los trabajadores actuales en las redes sociales. Claves para la reconstrucción de sus límites a partir de la NPD

7.4. La monitorización de la actividad de los trabajadores inactuales en las redes sociales. Breves consideraciones

VIII. Los sistemas de denuncias internas (Whistleblowing): criterios normativos de aplicación acumulativa y transversal a los distintos escenarios de supervisión tecnológica laboral

Tercera Parte. Tratamiento de datos personales y despliegue de las técnicas analítico-decisionales en el ámbito laboral (Data Processing)

I. En busca de un modelo de inteligencia artificial confiable y de trabajo decente bajo control humano

II. La datificación del lugar de trabajo y el uso de las técnicas analítico-decisionales: la proyección de la NPD sobre las decisiones laborales automatizadas y el perfilado de los trabajadores

III. La simple elaboración de perfiles de los trabajadores y la toma de decisiones empresariales basadas en perfiles

3.1. El juego aplicativo de los principios de protección de datos y los derechos ejercitables frente al perfilado de los trabajadores

3.2. La elaboración y utilización de perfiles de los trabajadores: sobre los condicionantes jurídicos para el procesamiento de datos endógenos y exógenos

3.3. La elaboración y utilización de perfiles en las tareas de selección y contratación de personal en la empresa

IV. La toma de decisiones empresariales totalmente automatizadas en el entorno laboral

4.1. Las decisiones totalmente automatizadas de contratación u ordenación laboral basadas en el tratamiento de datos personales: su encaje normativo en atención al criterio de la necesidad

4.2. La puesta en práctica de decisiones laborales automatizadas y su eventual reconducción procedimental a los valores del trabajo decente

V. Participación, interlocución, diálogo social multinivel y negociación del algoritmo: la necesidad de un método de aproximación reactiva-proactiva para gobernanza colectiva de los entornos laborales crecientemente datificados

Cuarta Parte. La transferencia de datos personales de los trabajadores en los grupos empresariales y uniones de empresas dedicadas a una actividad económica conjunta (Data Transmission)

I. El interés legítimo como base de legitimación para la circulación de los datos personales de los empleados en el contexto de las empresas de estructura compleja

II. Políticas de privacidad y autorregulación del tráfico de datos de los empleados (a nivel nacional, europeo e internacional) en las empresas de grupo y uniones de empresas dedicadas a una actividad económica conjunta

III. La responsabilidad indemnizatoria por vulneración del derecho a la protección de datos en el grupo: ¿la NPD como factor de impulso de la innovación jurídica en la imputación de la lesión de derechos fundamentales en las empresas de estructura compleja?