- La AEPD recalca que el tratamiento de datos sobre inmunidad frente al coronavirus no es lícito en los procesos de selección
Numerosas empresas han comenzado a exigir a los candidatos para nuevos puestos de trabajo información sobre la superación del COVID-19 y la generación de anticuerpos, y también han sido los propios candidatos los que han incorporado en sus respectivos currículums información de este tipo.
Esta nueva práctica -que de ahora en adelante podría convertirse en habitual-, supone un tratamiento de datos personales de dudosa licitud, sometido al Reglamento General de Protección de Datos (RGPD) y a la Ley Orgánica de Protección de Datos Personales y Garantía de los Derechos Digitales (LOPDGD), por lo que su tratamiento deberá encontrar acomodo en esta normativa.
En consecuencia, ha sido la AEPD quien ha emitido recientemente un comunicado donde analiza esta situación, determinando que dicha práctica supone una vulneración de la normativa, en tanto que la información relativa al padecimiento de coronavirus supone un dato personal de la salud sujeto a la categoría especial del art. 9 del RGPD, cuyo tratamiento queda limitado a casos excepcionales.
Entre ellos, podrían ser de aplicación el consentimiento del interesado del art. 6.1.a) o cuando el tratamiento fuera necesario para la ejecución de un contrato en el que el interesado es parte del art. 6.1.b). Sin embargo, indica la AEPD que no sería aplicable ninguno de las dos.
Por un lado, como ya analizado anteriormente por la Agencia en relación con las técnicas de reconocimiento facial en los exámenes online, el consentimiento debe prestarse voluntariamente y de forma libre, específica, informada e inequívoca.
Si bien inicialmente el consentimiento por parte del candidato podría considerarse como libre, existen situaciones en las que el ejercicio de esa libertad se ve condicionada por algún perjuicio en el caso de no ser prestado. Como indica el considerando 42 del RGPD, el consentimiento “no debe considerarse libremente prestado cuando el interesado no goza de verdadera o libre elección o no puede denegar o retirar su consentimiento sin sufrir perjuicio alguno”. Por otro lado, el considerando 43 establece la ilicitud del consentimiento cuando exista un desequilibrio entre el interesado y el responsable del tratamiento. Ambos supuestos son aplicables al caso, ya que la relación entre candidato y empresa está supeditada a la superación de un proceso supervisado en el que el interesado, de no prestar el consentimiento, podría perder una oportunidad laboral.
Por otro lado, la AEPD considera que la aplicación del art. 6.1.b) sobre la ejecución de un contrato es excesiva en el presente caso, ya que no es necesaria para formalizar el contrato de trabajo, por lo que contravendría el principio de minimización de los datos.
En cuanto a las demás excepciones del art. 9.2 del Reglamento, considera la Agencia que requerir información sobre el estado de inmunidad frente al coronavirus “iría más allá de las obligaciones y derechos específicos que impone a la empresa la legislación de Derecho laboral y de la seguridad y protección social, en particular del deber de proteger a los trabajadores frente a los riesgos laborales”. El interesado todavía no forma parte de la empresa, por lo que no tiene obligaciones ante ella, y dicha información no contribuiría a la protección del resto del personal, ya que las propias autoridades sanitarias y laborales han focalizado la protección en los casos sospechosos de infección, aplicándolos por igual a todo el personal.
Por todo lo anterior, también contraviene el principio de finalidad del tratamiento en tanto que da lugar a una diferencia de trato que carece de justificación objetiva y razonable.
Por último, la Agencia advierte a los trabajadores en busca de empleo de no incluir en su currículum información sobre la inmunidad frente al COVID-19 ya que, en base a lo ya analizado, dicha información no puede ser utilizada por el destinatario, debiendo suprimirse de forma inmediata en cumplimiento de la normativa de protección de datos, lo cual podría suponer la supresión de la candidatura, eliminando al candidato del proceso. “La empresa deberá proceder a suprimirla para no infringir la normativa de protección de datos, lo que podría llegar a implicar la destrucción del currículum cuando no fuera posible asegurar que el dato de la inmunidad no va a influir en la decisión que finalmente se adopte, y la eliminación del candidato del proceso selectivo”.
En este sentido, esta práctica puede resultar contraproducente, ya que no tiene cabida ni en nuestra LOPD, ni en el RGPD, por lo que su empleo podría derivar en una supresión directa de la candidatura.
