Dejando un poco apartado el mundo “protección de datos y Covid-19” y con vistas a una futura y pronta –esperemos– vuelta a la normalidad, el pasado 30 de abril la AEPD publicó dos informes acerca de los listados de productividad de empleados y el acceso a los mismos.

Centrándonos en el relativo al ámbito privado, hay que decir que el informe de la AEPD (el “Informe”) parece, por su tono (y número de referencia), más propio de principios de la era post-RGPD que de la época actual.

Tras recordarnos el cambio de mentalidad que el RGPD ha traído en el entendimiento del funcionamiento de las bases legales (art. 6 RGPD) y el derrocamiento del consentimiento como primera y elemental base legitimadora (propio de la antigua LOPD); la AEPD indica que la publicación de los datos de productividad de los empleados encuentra su base legal en el artículo 6.1.f) RGPD. En concreto, la AEPD reconoce el interés legítimo para este supuesto en los siguientes términos:

Dicha publicación respondería a un interés legítimo del empresario, cual es generar una competitividad sana entre los empleados que ayude a mejorar la productividad general, así como a un interés legítimo de los propios empleados, que de este modo podrán conocer su propio rendimiento en comparación con el resto de compañeros de la empresa y se garantiza además la transparencia de este dato que tiene su correspondiente repercusión económica”.

Con el subrayado queremos destacar (i) que el interés no es solo del responsable, sino también de los empleados; y (ii) en qué consiste dicho interés legítimo.

Como siempre que se habla del interés legítimo, se debe llevar a cabo un juicio de ponderación y analizar cómo el tratamiento de datos afecta a los intereses y derechos de los afectados. En concreto, en el caso analizado en el Informe se destaca:

  • La falta de identificación directa de los empleados. En el supuesto del Informe, los trabajadores aparecen identificados en un tablón con su número de matrícula. Dato que solo conoce el propio empleado y recursos humanos. Hay que tener en cuenta que el uso de esta “clave” para tratar de evitar la identificación de cada empleado por parte de sus compañeros no implica que no se traten datos personales (véase, también a este respecto, este otro informe de la AEPD), al no ser datos anonimizados.
  • La importancia del deber de secreto y de la implementación de medidas de seguridad apropiadas que impidan el acceso a estos datos y la identificación individual de cada empleado por terceros no autorizados.
  • La publicación debe realizarse de forma que perjudique en la menor medida posible al afectado. Acudiendo a la experiencia en el ámbito del sector público, la AEPD considera necesario que el acceso a datos no dé lugar a tratamientos posteriores contrarios a la normativa de protección de datos o que puedan dar lugar a vulneraciones de los derechos de los afectados (y, por ende, haga que el tratamiento no supere el test de ponderación).

Por este motivo, es preferible que se evite su publicación en red o su envío por correo electrónico.

  • La publicación debe realizarse en un ámbito al que solo tengan acceso los propios empleados (evitando su difusión pública a terceros).
  • Aunque no lo use como criterio directo, la AEPD describe con detalle lo importante que es para la compañía que plantea la consulta valorar y publicar dichos resultados de productividad de forma periódica.

Los factores anteriores pueden utilizarse como criterios en caso de estar pensando en tomar una medida similar en el seno de la organización.