La Agencia Española de Protección de Datos (AEPD) avisa de la falta de legitimación y de lo excesivo que resultaría tratar esta información en un proceso selectivo.
En anteriores entradas, comentábamos la noticia de que la Agencia Española de Protección de Datos, multaba a una gran empresa por no disponer de Delegado de Protección de Datos (DPD)
Recientemente, la Agencia Española de Protección de datos ha difundido un comunicado en el que se pone de relieve que, la crisis sanitaria provocada por la COVID-19 ha puesto de manifiesto ciertas prácticas en el ámbito de la contratación laboral que consisten en solicitar a los candidatos a un puesto de trabajo información de si han pasado la COVID-19 y desarrollado anticuerpos como requisito para acceder al puesto de trabajo ofertado.
La Agencia ha considerado necesario advertir que estas prácticas constituyen una vulneración de la normativa de protección de datos aplicable. Estamos ante un dato personal relativo a la salud, que el Reglamento General de Protección de Datos (RGPD) califica de categoría especial y para poder proceder a su tratamiento, entre las bases jurídicas que en principio podrían fundamentar dicho tratamiento por la empresa empleadora estaría el consentimiento del interesado o la ejecución de un contrato.
Partiendo de esta base, para que el consentimiento sea válido, debe consistir en una manifestación de voluntad libre, específica, informada e inequívoca y el RGPD deja claro que, el consentimiento no debe considerarse libremente prestado cuando no se goza de verdadera o libre elección o no puede denegar o retirar su consentimiento sin sufrir perjuicio alguno (considerando 42), o cuando exista un desequilibro claro entre las partes (considerando 43), como sucedería en el presente caso, en el que el consentimiento estaría condicionado por la necesidad o la voluntad de acceder a un puesto de trabajo, lo que anularía la libertad de la persona. Por tanto, no sería válido como base de legitimación para este tratamiento.
Tampoco podría considerarse aplicable como base jurídica la ejecución de un contrato, pues la solicitud de dicho dato de salud no sería necesaria para la ejecución o formalización del contrato de trabajo y, por lo tanto, dicho tratamiento sería excesivo y contravendría el principio de minimización de datos.
Además de no existir base jurídica lícita para su tratamiento, la finalidad del tratamiento tampoco sería legítima, pues todo tratamiento de datos debe cumplir con los principios establecidos en el artículo 5 del RGPD, en particular ser tratados de manera lícita y que su recogida obedezca a finalidades legítimas. La solicitud de información sobre la inmunidad a la COVID-19, como requisito para acceder a un puesto de trabajo, daría lugar a una diferencia de trato sin justificación objetiva ni razonable.
En cuanto a la inclusión de este dato personal en el currículum (tener anticuerpos de la COVID-19), por lo anteriormente expuesto, no se debe efectuar . El potencial destinatario del mismo no podría utilizar esa información, por lo que la empresa deberá suprimirla si no quiere incurrir en una vulneración de la normativa de protección de datos, lo que podría llegar a implicar la destrucción del currículum cuando no fuera posible asegurar que dicha información sobre la salud no va a influir en la decisión final del proceso selectivo, y la eliminación del candidato del mismo.
Advierte finalmente la AEPD que, la difusión de datos de salud, al estar considerados éstos como una categoría especial de datos personales, cuyo tratamiento implica la exigencia de garantías reforzadas, supone un riesgo para la privacidad y los derechos y libertades de los interesados.
Para ampliar esta información, incluimos más abajo un enlace a la noticia, con la fuente de la misma.
Fuente: Agencia española de Protección de datos. Enlace a la noticia completa