Ley de trabajo a distancia y protección de datos

Tras la regulación “de urgencia” de octubre del pasado año 2020 ante la proliferación del teletrabajo, provocado en gran medida por la pandemia que aún sufrimos, se hacía necesaria una normativa más precisa que reforzara la regulación de derechos y obligaciones en este ámbito.

Con ese objetivo ha entrado en vigor la nueva Ley 10/2021, de 9 de julio, de trabajo a distancia que regula esta modalidad de prestación laboral que, más que el hecho de trabajar desde el domicilio, como se podía entender hasta no hace mucho, viene a ampliar el concepto para considerar “teletrabajo” a aquella prestación laboral en remoto, pudiendo estar el trabajador en cualquier lugar, siendo el criterio común no dónde está, sino donde no está a la hora de desarrollar su trabajo: esto es, el trabajador que no está en el centro de trabajo de la empresa.

Recordemos, no obstante, que el teletrabajo ya venía regulado, si bien no desarrollado suficientemente, desde luego, en el Estatuto de los Trabajadores o en el Acuerdo Marco Europeo sobre Teletrabajo de 16 de julio de 2002, que lo definió ya en ese año como “forma de organización y/o de realización del trabajo, con el uso de las tecnologías de la información, en el marco de un contrato o de una relación de trabajo, en la que un trabajo, que hubiera podido ser realizado igualmente en los locales del empleador, se efectúa fuera de estos locales de manera regular”.

No es, por tanto, un concepto nuevo, pero sí se ha incrementado, como decimos, de manera exponencial a consecuencia de la pandemia.

Pero al margen de las cuestiones de índole puramente laboral o del favorecimiento que supone para la conciliación de la vida personal y familiar, es innegable que al amparo de esta situación ya normalizada a día de hoy existen una serie de derechos asociados que entroncan de manera clara con la protección de datos. Así, el derecho a la intimidad, el uso de las herramientas y dispositivos digitales puestos a disposición del trabajador por la empresa, la proliferación de brechas de seguridad y la adecuada respuesta ante las mismas (por parte del trabajador y de la empresa) o el derecho a la desconexión digital están vinculadas directamente con esta normativa del teletrabajo, y las empresas deben ser muy cuidadosas en su cumplimiento.

La normativa que en materia de protección de datos aparece vinculada es extensa, pero fundamentalmente se resume en:

Artículo 18 Constitución Española: garantiza el derecho al honor, a la intimidad personal y familiar y a la propia imagen, además de la inviolabilidad del domicilio y el secreto de las comunicaciones.
Artículo 8.4 del Estatuto de los Trabajadores: regula la aplicación de la normativa de protección de datos en el tratamiento del contenido de los contratos.
Artículo 20 bis del Estatuto de los Trabajadores: regula el derecho de los trabajadores a la intimidad en el uso de los dispositivos digitales puestos a su disposición por el empleador, a la desconexión digital y a la intimidad frente al uso de dispositivos de videovigilancia y geolocalización
Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, el ya archiconocido RGPD.
Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales, de gran importancia en este ámbito, pues es pionera al ser la primera norma que recogió expresamente los derechos relacionados con el uso de dispositivos digitales en el ámbito laboral y, muy en particular, el derecho a la desconexión digital.

En cuanto a RECOMENDACIONES a tener en cuenta en materia de protección de datos, hay que indicar que la empresa, como Responsable del Tratamiento, adquiere una gran responsabilidad en el respeto a la normativa, pero también los trabajadores adquieren ciertas obligaciones, que vendrán contempladas en los acuerdos de trabajo a distancia en función de sus tareas en la empresa.

Entre las recomendaciones a tener en cuenta vamos a destacar las que la propia Agencia Española de Protección de Datos ha difundido:

A) Para las empresas (Responsables del tratamiento)

– Definir una política de protección de la información para situaciones de movilidad, que se recogerá en el acuerdo de trabajo a distancia con el trabajador.

– Optar por proveedores de servicio con garantías suficientes. Para evitar soluciones de teletrabajo que no ofrezcan garantías y puedan dar lugar a la exposición de datos de su personal.

– Restringir el acceso a la información. Se configurarán los perfiles o niveles de acceso a los recursos y a la información según los roles de cada empleado.

– Configurar periódicamente los equipos y dispositivos utilizados en las situaciones de movilidad.

– Monitorizar los accesos realizados a la red corporativa desde el exterior. Se establecerán sistemas de monitorización encaminados a identificar patrones anormales de comportamiento en el tráfico de red cursado en acceso remoto y movilidad, y se comunicarán a la autoridad de control y/o a los interesados las brechas de seguridad que afecten a datos personales.

– Gestionar racionalmente la protección de datos y la seguridad. Se establecerán las medidas y garantías en las políticas a partir de un análisis de riesgos que evalúe la proporcionalidad entre los beneficios a obtener del trabajo a distancia y el impacto potencial de ver comprometido el acceso a información de carácter personal.

B) Para los trabajadores que prestan sus servicios laborales a distancia

– Respetar la política de protección de la información en movilidad definida por la empresa

– Proteger el dispositivo utilizado en movilidad y el acceso al mismo. Se evitará la conexión en lugares públicos y redes Wifi abiertas no seguras; se protegerán los mecanismos de autentificación mediante certificados, contraseñas, tokens, sistemas de doble factor, etc.

– Garantizar la protección de la información que se está manejando. Se minimizará la entrada y salida de documentación en soporte papel; se destruirá la documentación desechada; no se dejará a la vista ningún soporte de información en el lugar donde desarrolle el teletrabajo; etc.

– Guardar la información en los espacios de red habilitados. Se evitará almacenar la información generada durante la situación de movilidad en el propio dispositivo utilizado, siendo preferible el uso de recursos de almacenamiento compartido o en la nube proporcionados por la empresa.

– Si hay sospecha de que la información ha podido verse comprometida, comunicar con carácter inmediato la brecha de seguridad. Se notificarán estas anomalías al responsable, sin dilación y a la mayor brevedad posible, a través de los canales definidos al efecto. Recordemos que, según recoge el RGPD, tan sólo hay un plazo de 72 horas para notificar a la Agencia este tipo de brechas de seguridad que comprometan información con datos de carácter personal.

En todo caso, por su especial relevancia prestamos especial atención a dos cuestiones fundamentales, reguladas en particular en la Protección de datos en la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD):

El derecho a la intimidad y a la protección de datos (artículo 17 Ley 10/2021, de 9 de julio, de trabajo a distancia y 87 LOPDGDD): La empresa no podrá exigir la instalación de programas o aplicaciones en dispositivos propiedad del trabajador, ni la utilización de estos dispositivos en el desarrollo del trabajo a distancia.
La mencionada “desconexión digital” (artículo 18 Ley 10/2021, de 9 de julio, de trabajo a distancia y 88 LOPDGDD) : Se recoge expresamente que el personal en teletrabajo tienen derecho a la desconexión digital fuera de su horario de trabajo. La Ley del Teletrabajo lleva a cabo un desarrollo mayor que la LOPDGDD, ampliando su regulación, estableciendo que es obligación de la empresa, para garantizar esa desconexión digital, la limitación del uso de los medios tecnológicos de comunicación empresarial y de trabajo durante los periodos de descanso, así como el respeto a la duración máxima de la jornada y a cualesquiera límites y precauciones en materia de jornada que dispongan la normativa legal o convencional aplicables.

Asimismo, es necesario elaborar, previa audiencia de la representación de las personas trabajadoras, una política interna dirigida a los trabajadores, incluidas los que ocupen puestos directivos, en la que definirán las modalidades de ejercicio del derecho a la desconexión y las acciones de formación y de sensibilización del personal sobre un uso razonable de las herramientas tecnológicas que evite el riesgo de fatiga informática.

Por último, es importante destacar que toda esta nueva regulación que incrementa las obligaciones a tener en cuenta por la empresa no implica que no conserve sus “facultades de organización, dirección y control empresarial en el trabajo a distancia”, lo cual se regula expresamente en los arts. 20 a 22 de la nueva Ley del teletrabajo.

El artículo 20 establece que el personal laboral en modalidad de teletrabajo deberá cumplir las instrucciones que haya establecido la empresa en el marco de la legislación sobre protección de datos, previa participación de la representación legal de los trabajadores.

Igualmente, estos trabajadores deberán cumplir las instrucciones sobre seguridad de la información específicamente fijadas por la empresa, previa información a su representación legal, en el ámbito del trabajo a distancia.

El art. 21, sobre condiciones e instrucciones de uso y conservación de equipos o útiles informáticos, remite a la negociación colectiva; y el art. 22 cierra este capítulo, ordenando las facultades de control empresarial:

La empresa podrá adoptar las medidas que estime más oportunas de vigilancia y control para verificar el cumplimiento por la persona trabajadora de sus obligaciones y deberes laborales, incluida la utilización de medios telemáticos, guardando en su adopción y aplicación la consideración debida a su dignidad y teniendo en cuenta, en su caso, la capacidad real de los trabajadores con discapacidad.

En definitiva, es necesario analizar e implementar en cada empresa la política en materia de protección de datos, haciéndola compatible y complementando la nueva legislación sobre teletrabajo con pleno respeto al RGPD, LOPDGDD y resto de normativa aplicable.