El registre de jornada no necessita consentiment (però sí informació)

Per què no cal el consentiment

El RGPD no demana consentiment per a tot. El seu art. 6.1 enumera les bases que fan lícit un tractament, i el consentiment només n'és una: la lletra a). Al costat hi ha l'execució d'un contracte (6.1.b), l'interès legítim (6.1.f) i la que importa aquí, la 6.1.c: que el tractament sigui necessari per complir una obligació legal.

El registre de jornada és exactament això. L'art. 34.9 ET obliga l'empresa a garantir el registre diari de la jornada, amb l'horari concret d'inici i de final de cada persona, a conservar-lo quatre anys i a tenir-lo a disposició de la persona treballadora, dels seus representants legals i de la Inspecció.

L'Agència Espanyola de Protecció de Dades ho ha dit sense embuts.

El que diu l'AEPD. A la seva FAQ-0311, a la pregunta de si cal el consentiment del treballador per implantar un sistema de control horari: «no cal el consentiment del treballador, i n'hi ha prou com a base de legitimació amb la mateixa norma laboral (art. 34.9 ET)», d'acord amb l'art. 6.1.c RGPD.

Per què demanar-lo tampoc no ajuda

Es podria pensar que demanar la signatura no fa mal: un paper més a la carpeta. El problema és el que aquest paper dona a entendre.

Un consentiment només val si es pot negar. Les Directrius 05/2020 del Comitè Europeu de Protecció de Dades ho expliquen per a la feina: per la dependència que hi ha entre qui contracta i qui és contractat, és poc probable que una persona pugui negar el consentiment a la seva empresa sense témer conseqüències. Per això conclouen que, per a la majoria dels tractaments a la feina, la base no pot ni ha de ser el consentiment. L'exemple que posen és, precisament, activar sistemes de control.

En el registre de jornada, a més, la negativa no canviaria res. Si algú no signa, l'empresa continua obligada a registrar-ne la jornada per l'art. 34.9 ET. Un formulari que diu «accepto» ofereix una elecció que no existeix, i això confon qui el llegeix.

Hi ha un cas en què això deixa de ser teoria. Quan algú proposa fitxar amb l'empremta o amb la cara, de vegades ho acompanya d'un formulari de consentiment per cobrir-se. L'empremta i el rostre fets servir per identificar una persona són categoria especial (art. 9.1 RGPD), i la Guia de l'AEPD sobre control de presència biomètric (2023) diu que, en la relació laboral, el consentiment no pot aixecar aquesta prohibició per la situació de desequilibri. La signatura no arregla el sistema.

El que sí cal fer: informar

Que no calgui demanar permís no vol dir que no s'hagi de dir res.

El que diu l'AEPD. La mateixa FAQ-0311 afegeix que la manca de consentiment «no exclou el deure de les empreses d'informar els treballadors de l'existència del registre i de la finalitat».

El contingut d'aquesta informació no és lliure: el fixa l'art. 13 del RGPD, que s'aplica quan les dades s'obtenen de la mateixa persona. I el moment també: la informació es facilita quan s'obtenen les dades, és a dir, abans del primer fitxatge, no a final de mes.

Què s'ha de dir, punt per punt

L'art. 13 enumera el que ha de saber la persona. Aplicat al registre de jornada:

1. Qui és el responsable. L'empresa, amb la seva identitat i les seves dades de contacte. Si fas servir un programa, el proveïdor no és el responsable: la Guia de l'AEPD sobre relacions laborals (2021) diu que els proveïdors del sistema de registre són encarregats del tractament.
2. Per a què i amb quina base. Complir el registre diari de l'art. 34.9 ET, amb base en l'art. 6.1.c RGPD.
3. Qui rep les dades. La mateixa persona, els seus representants legals i la Inspecció de Treball, que són els que cita l'art. 34.9 ET.
4. Quant de temps es guarden. Quatre anys, que és el termini de l'art. 34.9 ET.
5. Quins drets té. Accés, rectificació, supressió, limitació, oposició i portabilitat, i el dret a reclamar davant l'AEPD.
6. Si donar les dades és obligatori. Ho és, perquè és una obligació legal, i convé dir-ho.
7. Si hi ha decisions automatitzades. En un registre de jornada normal no n'hi ha; si n'hi hagués, s'haurien d'explicar.

La mateixa Guia de l'AEPD hi afegeix tres límits que convé incloure perquè responen als dubtes habituals: les dades del registre no es poden fer servir per a altres finalitats diferents del control de la jornada, s'han de limitar al que és necessari, i el registre no pot estar a la vista de tothom: «no pot ser d'accés públic ni estar situat en un lloc visible per a qualssevol persones treballadores, clients o proveïdors».

Una llista de comprovació per al que ja tens:

• Cada persona ha rebut aquesta informació abans de començar a fitxar, incloses les que van entrar després d'implantar el registre?
• La pot tornar a consultar quan vulgui?
• Diu el termini de quatre anys i davant de qui s'exerceixen els drets?
• Has tret del document qualsevol casella d'«accepto» que doni a entendre que hi ha elecció?

Informar no és consultar

Hi ha una obligació diferent que de vegades es confon amb aquesta. L'art. 34.9 ET diu que l'empresa organitzarà i documentarà el registre mitjançant negociació col·lectiva o acord d'empresa o, en defecte d'això, per decisió de l'empresa amb consulta prèvia als representants legals dels treballadors.

Són dues coses que no se substitueixen. La consulta es fa amb la representació, per decidir com es porta el registre. La informació es dona a cada persona, sobre les seves pròpies dades. Encara que el sistema s'hagi acordat amb els representants, cada persona ha de rebre igualment el que demana l'art. 13 del RGPD.

Res d'això no substitueix el que digui el teu conveni o l'AEPD sobre un cas concret. El que diu la norma és als articles citats, i els enllaços als textos oficials són a la columna de la dreta.