portal experto RRHH

La solución para expertos en gestión de personas

Aunque el convenio colectivo puede establecer cláusulas específicas sobre el tratamiento de los datos de los trabajadores, estas deben cumplir con los límites y las garantías establecidos en la normativa comunitaria (RGPD art.5,6 y 9.1 y 2). Además, están sujetas a revisión judicial para garantizar su legalidad y adecuación, de forma que, si vulnerasen estos límites y garantías, podrían ser declaradas inaplicables (TJUE 19-12-24, C-65/23, EDJ 784962).

Una sociedad alemana introduce un programa informático para la gestión de personal, para lo cual transfiere los datos personales de sus trabajadores a un servidor de la sociedad matriz del grupo, situado en Estados Unidos. Mediante acuerdo entre la empresa y la representación de los trabajadores, se limitan los datos que pueden ser transferidos. Los efectos del acuerdo se prorrogaron hasta la entrada en vigor del acuerdo definitivo. Uno de los trabajadores interpone demanda ante los tribunales laborales alemanes al considerar que se han transferido a la sociedad matriz datos no mencionados en el acuerdo de empresa. Además, considera que la transmisión de datos ha sobrepasado la autorización concedida a la luz de lo establecido por el RGPD. La norma interna alemana establece que el tratamiento de los datos personales, incluidas las categorías especiales de datos de los trabajadores, debe realizarse según lo establecido en un convenio colectivo, siempre que las partes negociadoras respeten el RGPD.

El TS alemán plantea ante el TJUE:

• si cuando el RGPD legitima al convenio colectivo para el tratamiento de los datos de los trabajadores, este acuerdo colectivo debe cumplir también con los principios relativos al tratamiento de datos personales, a las condiciones de legalidad de dicho tratamiento y a las normas sobre el tratamiento de determinadas categorías particulares de datos;
• si el RGPD permite a las partes de un convenio colectivo determinar la necesidad del tratamiento de datos sin que el juez nacional pueda ejercer un control jurisdiccional completo.

El TJUE resuelve la cuestión prejudicial declarando que los tratamientos de datos personales cubiertos por estas normas deben respetar no solo los requisitos establecidos en el RGPD art.88.1 y 2, sino también los restantes artículos, de acuerdo con los siguientes argumentos:

1. El RGPD art.88 es una cláusula de apertura que faculta a los Estados miembros para dictar normas específicas, y estas deben incluir las garantías adecuadas y específicas destinadas a proteger los derechos y libertades de los trabajadores en relación con el tratamiento de sus datos personales en el ámbito laboral. Pero en ningún caso pueden tener como efecto eludir las obligaciones del responsable o del encargado del tratamiento que resultan de otras disposiciones del RGPD.

2. La jurisprudencia del TJUE ha reiterado que todo el tratamiento de los datos personales debe ser conforme con los principios relativos al tratamiento, además de cumplir las condiciones de licitud del mismo (RGPD art.5 y 6).

3. Las obligaciones establecidas con relación a determinadas categorías de datos personales deben ser respetadas en todo tratamiento, incluso cuando existan normas más específicas (RGPD art.9). La finalidad de esta disposición es garantizar una mayor protección frente a tratamientos que, en atención a la particular sensibilidad de los datos objeto de ellos, pueden constituir una injerencia especialmente grave en los derechos fundamentales de los interesados.

4. Aunque las partes de un convenio colectivo pueden tener un cierto margen de apreciación debido a su conocimiento del entorno laboral específico, este margen no puede impedir que un juez nacional ejerza el control jurisdiccional. Este control judicial debe asegurar que el tratamiento de datos personales sea necesario y justificado, sin comprometer los derechos fundamentales de los trabajadores. Por lo tanto, si el órgano jurisdiccional que conoce el asunto, al término de su control llegase a la conclusión de que determinadas disposiciones del convenio colectivo en cuestión no respetan las condiciones y los límites del RGPD, debe dejar inaplicadas esas disposiciones.