O rexistro de xornada non precisa consentimento (pero si información)

Por que non fai falta o consentimento

O RGPD non pide consentimento para todo. O seu art. 6.1 enumera as bases que fan lícito un tratamento, e o consentimento é só unha delas: a letra a). Ao lado están a execución dun contrato (6.1.b), o interese lexítimo (6.1.f) e a que importa aquí, a 6.1.c: que o tratamento sexa necesario para cumprir unha obriga legal.

O rexistro de xornada é exactamente iso. O art. 34.9 ET obriga a empresa a garantir o rexistro diario da xornada, co horario concreto de inicio e de fin de cada persoa, a conservalo catro anos e a telo á disposición da persoa traballadora, dos seus representantes legais e da Inspección.

A Axencia Española de Protección de Datos díxoo sen rodeos.

O que di a AEPD. Na súa FAQ-0311, á pregunta de se fai falta o consentimento do traballador para implantar un sistema de control horario: «non se precisa o consentimento do traballador, sendo base suficiente de lexitimación a propia norma laboral (art. 34.9 ET)», de acordo co art. 6.1.c RGPD.

Por que pedilo tampouco axuda

Podería pensarse que pedir a sinatura non fai mal: un papel máis no cartafol. O problema é o que ese papel dá a entender.

Un consentimento só vale se se pode negar. As Directrices 05/2020 do Comité Europeo de Protección de Datos explícano para o traballo: pola dependencia que existe entre quen emprega e quen é empregado, é pouco probable que unha persoa poida negarlle o consentimento á súa empresa sen temer consecuencias. Por iso conclúen que, para a maioría dos tratamentos no traballo, a base non pode nin debe ser o consentimento. O exemplo que poñen é, precisamente, activar sistemas de control.

No rexistro de xornada, ademais, a negativa non cambiaría nada. Se alguén non asina, a empresa segue obrigada a rexistrar a súa xornada polo art. 34.9 ET. Un formulario que di «acepto» ofrece unha elección que non existe, e iso confunde a quen o le.

Hai un caso no que isto deixa de ser teoría. Cando alguén propón fichar coa pegada ou coa cara, ás veces vén acompañado dun formulario de consentimento para cubrirse. A pegada e o rostro usados para identificar unha persoa son categoría especial (art. 9.1 RGPD), e a Guía da AEPD sobre control de presenza biométrico (2023) di que, na relación laboral, o consentimento non pode levantar esa prohibición pola situación de desequilibrio. A sinatura non arranxa o sistema.

O que si hai que facer: informar

Que non faga falta pedir permiso non significa que non haxa que dicir nada.

O que di a AEPD. A mesma FAQ-0311 engade que a falta de consentimento «non exclúe o deber das empresas de informar os traballadores da existencia do rexistro e da finalidade».

O contido desa información non é libre: fíxao o art. 13 do RGPD, que se aplica cando os datos se obteñen da propia persoa. E o momento tamén: a información facilítase cando se obteñen os datos, é dicir, antes do primeiro fichaxe, non a fin de mes.

Que hai que dicir, punto por punto

O art. 13 enumera o que debe saber a persoa. Aplicado ao rexistro de xornada:

1. Quen é o responsable. A empresa, coa súa identidade e os seus datos de contacto. Se usas un programa, o provedor non é o responsable: a Guía da AEPD sobre relacións laborais (2021) di que os provedores do sistema de rexistro son encargados do tratamento.
2. Para que e con que base. Cumprir o rexistro diario do art. 34.9 ET, con base no art. 6.1.c RGPD.
3. Quen recibe os datos. A propia persoa, os seus representantes legais e a Inspección de Traballo, que son os que cita o art. 34.9 ET.
4. Canto tempo se gardan. Catro anos, que é o prazo do art. 34.9 ET.
5. Que dereitos ten. Acceso, rectificación, supresión, limitación, oposición e portabilidade, e o dereito a reclamar ante a AEPD.
6. Se dar os datos é obrigatorio. Éo, porque é unha obriga legal, e convén dicilo.
7. Se hai decisións automatizadas. Nun rexistro de xornada normal non as hai; se as houbese, habería que explicalas.

A mesma Guía da AEPD engade tres límites que convén incluír porque responden ás dúbidas habituais: os datos do rexistro non se poden usar para outras finalidades distintas do control da xornada, deben limitarse ao necesario, e o rexistro non pode estar á vista de todos: «non pode ser de acceso público nin estar situado nun lugar visible para calquera persoa traballadora, cliente ou provedor».

Unha lista de comprobación para o que xa tes:

• Cada persoa recibiu esta información antes de comezar a fichar, incluídas as que entraron despois de implantar o rexistro?
• Pode volver consultala cando queira?
• Di o prazo de catro anos e ante quen se exercen os dereitos?
• Quitaches do documento calquera caixa de «acepto» que dea a entender que hai elección?

Informar non é consultar

Hai unha obriga distinta que ás veces se confunde con esta. O art. 34.9 ET di que a empresa organizará e documentará o rexistro mediante negociación colectiva ou acordo de empresa ou, no seu defecto, por decisión da empresa logo de consulta cos representantes legais dos traballadores.

Son dúas cousas que non se substitúen. A consulta faise coa representación, para decidir como se leva o rexistro. A información dáselle a cada persoa, sobre os seus propios datos. Aínda que o sistema se acordase cos representantes, cada persoa ten que recibir igualmente o que pide o art. 13 do RGPD.

Nada disto substitúe o que diga o teu convenio ou a AEPD sobre un caso concreto. O que di a norma está nos artigos citados, e as ligazóns aos textos oficiais están na columna da dereita.