Por eso, las empresas hemos de ser conscientes de que no tenemos ninguna propiedad sobre ellos”. Asimismo, cuando una empresa cede material como éste a una tercera, por ejemplo, una gestoría, se recomienda que, por este motivo, se protejan los datos con un contrato de confidencialidad entre ambas organizaciones

Así lo recomendó el profesor de la Universidad Autónoma de Barcelona, y jefe de proyectos de AT Grup, empresa experta en LOPD, Xavier Salla, en el transcurso de la jornada “Obligaciones y responsabilidades derivadas de la LOPD en los Departamentos de Recursos Humanos”, que organizaron la Confederación de Empresarios de Navarra (CEN) y la asesoría laboral Ofico, el pasado jueves, 9 de febrero. Salla también reconoció que los mayores incumplidores de los datos personales son la propia Administración y las empresas de telefonía. Con la diferencia de que, “a la Administración se la apercibe y a la empresa se la sanciona”, consideró el consultor de AT Grup.

Con la protección de datos, “tenemos que ser muy conscientes de que las medidas que impongamos se cumplan”. Así lo advirtió Sallas, que reconoció como la aplicación de la esta ley “implica cambios”, por ejemplo, en los sistemas de información, en los procedimientos o en el hecho de añadir clausulas a distintos documentos. Todas estas obligaciones suponen, además, un costo económico, tal y como recordó el experto, que también advirtió de que las empresas pueden responder incluso penalmente de los delitos en esta materia.

Excepciones de la Ley de Protección de Datos

Sin embargo, y “tras la avalancha” que supuso la entrada en vigor de esta ley, el reglamento (RD 1720/2007) que desarrolló la norma excluyó de su aplicación datos personales como aquellos de contacto profesional (nombre, apellidos, cargo o el teléfono de la empresa). Sin embargo, si una ficha con esta información recogiera un DNI, “el ámbito de la LOPD ya tendría plena vigencia”, explicó Salla.

Además, también depende de “cómo esa información esté estructurada”. Por ejemplo, si al impartir una conferencia, los asistentes introdujeran sus nombres en un documento fechado, la ley podría aplicarse a estos datos, ya que, en base a ese documento, puede identificarse qué personas han asistido a un evento concreto.

Por lo tanto, ante un documento de estas características, “habrá que hacer una serie de pasos”. El primero de ellas sería registrarlo en la Agencia Española de Protección de Datos (AEPD), explicó Salla, que se refirió a esta medida como una “acción cosmética”, ya que cualquier persona, a través de la propia web de la a AEPD, puede consultar qué ficheros tiene registrados. Por lo tanto, dependiendo del registro o no de la empresa, se transmitirá una imagen de responsabilidad o no.

Analizar los ficheros de Recursos Humanos

Por lo tanto, “lo primero que hemos de hacer los responsables de Recursos Humanos es ver qué tratamiento lo estamos dando a los ficheros de nuestro departamento”. No sólo a los de los trabajadores de la empresa, sino también el de los propios aspirantes (por ejemplo, los currículums) o de los propios proveedores (que a veces pueden incluir datos de carácter personal, como puede ser el DNI de un autónomo).

Así, “debemos hacer una lista de todos los documentos que tenemos que capten datos personales. Allá donde veamos un nombre, un apellido, una dirección… lo inventariamos, para comprobar cual de ellos tiene una cláusula de información”, recomendó Salla.

Otro consejo fue el de aprovechar la firma del contrato de trabajo para acompañar de otros documentos que pueda firmar el trabajador y que protejan el uso de los datos de carácter personal, como que éste nos dé su permiso para que su imagen figure en nuestra página web o la posibilidad de remitir su currículum a algún proveedor.

Derechos de la LOPD: Acceso, Rectificación, Cancelación y Oposición

Salla también indició en los derechos contemplados en la LOPD, como puede ser el de consulta de nuestros datos personales en el registro de la AEPD, así como a una indemnización económica si se ha hecho un mal uso de estos datos. A este respecto, la indemnización se reconoce a través de la jurisdicción civil, ante la cual se puede presentar la propia sanción de la AEPD.

Con todo, el profesor de la Universidad Autónoma de Barcelona se refirió al “paquete de derechos ARCO” (Acceso, Rectificación, Cancelación y Oposición), que “sí es posible que nos reclamen en la empresa”. Por ejemplo, el derecho de acceso es el que tenemos de solicitar a cualquier empresa qué datos tienen de nosotros y cómo los han obtenido. Una vez solicitada esta información, la empresa tiene un plazo de 30 días para contestar. “Este tipo de solicitudes se suelen hacer por carta certificada o burofax, lo que indica que, si te piden esta información, alguien detrás de esa reclamación ya tiene la escopeta cargada”, señaló Salla.

Para los tres siguientes derechos, el plazo de respuesta es de diez días. Por ejemplo, el de rectificación, es decir, si una empresa tiene mal nuestros datos personales, se le puede exigir que los pongan correctamente y que confirme la corrección. Mientras, la oposición es cuando alguien se opone a que no se haga un determinado tratamiento de esos datos personales, por ejemplo, que no se le envíe publicidad. Por último, el de cancelación significa el bloqueo de ese dato, pero “no que se elimine”. “Sólo podemos eliminar estos datos cuando no nos sea exigible legalmente”, recordó el ponente.

Currículum en la empresa

La jornada también abordó el uso de los currículum en la empresa. Algo que puede suponer “una caja de bombas”, ya que, “de repente, alguien de fuera nos manda un documento en el que nos cuenta una serie de datos de personales y nos hace depositarios de ellos”, señaló Salla. En este sentido, “debemos procedimentar como tratar los currículum dentro de la organización”.

Por ejemplo, “a no ser que estéis muy interesados en recibir muchos currículum”, se recomienda delimitar las vías a través de las cuales llegan los currículos”, por ejemplo, a través del correo electrónico o el e-mail. Salla recomendó incluso que se construya una plantilla de la empresa con los campos que interesen de cara al currículum. Es decir, un currículo preformateado, que esté dotado de clausulas que señalen, por ejemplo, el tiempo que esta información estará en manos de la empresa.

“Esta forma de proceder nos dará mucha seguridad y, además, garantizaremos que el currículum entrará en un registro sometido a los derechos ARCO”. Salla también advirtió de algunas prácticas que pueden suponer una captación de datos ilegítima, como los anuncios “ciegos” en periódicos ofertando puestos de trabajo, que no citan a la empresa que va a ser destinataria de esos currículum.

Por su parte, el jefe de Servicios Jurídicos de AT Grupo, Jorge Ortega, también incidió en aquellos supuestos en los que la selección de personal se haga entre dos empresas (por ejemplo, una agencia que haga una criba). A este respecto, Ortega recomendó elaborar un contrato con la otra empresa que fije cómo se van a proteger los datos, ya que “no nos eximiría de responsabilidad que la empresa con la que hayamos contratado actúe mal, ya que, como responsables del fichero, tenemos un deber de diligencia sobre él”.