Para aquéllos que hayáis visto la película “Cortocircuito” recordaréis que el robot número 5 (quien por cierto escapa de sus creadores), sostiene que está vivo y que no es una máquina más, mostrando cierta curiosidad por aprender. Es más, en varias secuencias se emociona cuando procesa datos y su frase más recurrente es: “¡Datos, datos!”.

En el ámbito de las empresas parece claro que éstas son receptoras de una cantidad ingente de información que las personas trabajadoras transfieren. Y es en ese sentido que algunos autores proponen otorgar un valor económico a los datos y tratarlos como mano de obra (“data as labor”) para compensar a los empleados por la cesión de los mismos (Velasco, 2021).

Pero, ¿podemos acceder y obtener una copia como empleados de nuestros datos? ¿Y si ya no trabajamos para esa misma empresa?

Los trabajadores a veces precisan de acceso a su archivo personal, por ejemplo, en caso de despido o una promoción fallida. En otras ocasiones, se trata simplemente de comprobar si los datos son correctos o es preciso su rectificación o borrado. Incluso puede tratarse de un ex trabajador que, tras un tiempo fuera de la empresa, desea ejercer su derecho de acceso, aunque para ello tenga que acreditar su identidad facilitando su antiguo identificador profesional.

Conviene advertir que la norma es clara al respecto y reconoce el derecho de la persona trabajadora a acceder a los datos procesados así como también obtener una copia de los mismos (artículo 15.1 y 3 Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (en adelante, RGPD) y artículo 13 de Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD). El párrafo 1 y el párrafo 3 del artículo 15 RGPD reconoce dos derechos diferentes que, aunque se relacionan con el mismo objeto, los datos personales, difieren en cuanto a las consecuencias jurídicas. Vid. Sentencia del Tribunal Regional Superior de Múnich 6.4.2020.

Ahora bien, el alcance de las solicitudes de copia de datos puede causar grandes problemas en la práctica laboral. Casi todos los documentos creados, procesados y almacenados por la empresa contienen datos personales. En este sentido, algún tribunal europeo ha rechazado que la correspondencia por correo electrónico entre la empresa y la persona trabajadora (en este caso, despedida) fuera un dato personal en el sentido del artículo 15 del RGPD que se refiere a datos que son “el objeto principal del procesamiento”, es decir, que proporcionan un cierto grado de información sobre el titular de los datos. También se argumentó que se trataba de una información conocida por la persona empleada y que se había formulado en términos genéricos. Vid. Sentencia del Tribunal Federal alemán de 15.6.2021.

Así pues, hay que aclarar que el derecho de acceso se refiere a los datos personales y no a los documentos. Lo que viene a significar que la persona empleada no puede reclamar la comunicación de un documento sobre la base del derecho de acceso. Sin embargo, la empresa no tiene prohibido divulgar documentos en lugar de solo los datos, si lo considera más práctico. Por ejemplo, cuando una persona trabajadora desea ejercer su derecho de acceso a los correos electrónicos, el empleador debe proporcionar tanto los metadatos (marca de tiempo, destinatarios, etc.) como el contenido de los correos electrónicos. En esta situación, la comunicación de una copia de los correos electrónicos parece ser la solución más fácil para que la organización satisfaga la solicitud aunque no es obligatoria. Vid. la Guía francesa del CNIL 5.1.2022.

En relación al procedimiento para reclamar los derechos de acceso y copia de los mismos, puede servir de guía el formulario elaborado por la Agencia Española de Protección de Datos (AEPD) pero ninguna de las normas mencionadas especifican los plazos máximos de respuesta de la empresa, ni tampoco se recogen los criterios en la Guía sobre la Protección de Datos en las Relaciones Laborales de la AEPD de 2021.

Al respecto, en algunos países como en Francia, se fijan plazos distintos en función de la complejidad de la petición y categoría del dato solicitado. Así se especifica que la empresa debe responder en un mes máximo para una solicitud simple; tres meses como máximo para una solicitud compleja (por ejemplo, si un empleado solicita una copia de todos sus datos); y 8 días máximo para los datos de salud. Si la información se refiere a datos de más de cinco años, el plazo general se amplía a 2 meses. Vid. CNIL, 18.11.2020.

En este punto, cabe preguntarse si las empresas pueden negarse a dar respuesta al derecho de acceso de los empleados a sus propios datos. En algunos casos puede ser totalmente legítimo, aunque la empresa deberá justificar su negativa. Por ejemplo, un empleado de una empresa no puede obtener datos relativos a un compañero; con lo que, sin ir más lejos, los derechos de terceros (secreto comercial y propiedad intelectual, derecho a la intimidad, secreto de correspondencia, etc.) pueden, por tanto, restringir la familia de datos accesibles o comunicables.

Igualmente, la empresa no parece estar obligada a responder a las solicitudes de derecho de acceso si se trata de solicitudes manifiestamente infundadas o excesivas, en particular por su carácter repetitivo (por ejemplo, solicitudes múltiples y cercanas en el tiempo a una copia ya proporcionada).

Sirva de ejemplo la reciente Sentencia del Tribunal Laboral Federal alemán de 16.12.2021, donde se rechaza la petición de la persona trabajadora de recabar datos relacionados con el comportamiento y el desempeño procesados ​​por el empleador que no se almacenan en el archivo personal del empleado, así como su solicitud de que se pongan a disposición copias de estos datos.

Por otro lado, en ocasiones, los datos ya no se almacenan o se han eliminado por lo que el acceso es imposible. Sería el caso de las grabaciones realizadas por un dispositivo de videovigilancia que normalmente se conservan durante un máximo de 30 días (artículo 22.3 LOPDGDD).

En cualquier caso, el hecho de que un empleado solicite la comunicación de datos que ya posee no debe ser considerado sistemáticamente como una solicitud excesiva. En particular, es necesario evaluar el tiempo entre las dos solicitudes, la posibilidad de que se hayan recopilado nuevos datos o que los datos hayan sido modificados, entre otras circunstancias que rodean la petición específica.

Por consiguiente, no parece razonable responder a una solicitud de acceso simplemente indicando a la persona que tiene los datos que le han comunicado o, enumerando solo las categorías de datos que tiene. Los datos personales presentes en un documento (correo, nota, informe, grabación de voz o visual, etc.) pueden comunicarse mediante copia del propio documento o mediante transcripción fiel en otro medio. Los datos personales registrados en software empresarial pueden ser comunicados mediante la transmisión de capturas de pantalla o una transcripción fiel en otro medio.

Por su parte, en el caso de contratas y subcontratas, el encargado del tratamiento en cuestión debe ayudar a la empresa principal a cumplir con sus obligaciones en cuanto al derecho de acceso (artículo 28.3.e) del RGPD). Por ejemplo, en el caso de un empleado que solicita los datos de geolocalización de su vehículo, el empleador puede solicitar apoyo a su subcontratista que le habría proporcionado un dispositivo de geolocalización a la hora de proporcionar los datos solicitados “en forma accesible”, si aún no han sido borrados.

En lo que respecta a la gratuidad de la copia de los datos, la norma general es que éstos tengan un coste cero para el trabajador pero en determinadas situaciones excepcionales, en particular en caso de solicitud de una copia adicional, es posible que la empresa pueda exigir costes razonables relacionados con la tramitación del expediente.

Por último, mencionar que los derechos de acceso y a obtener una copia de los datos por parte del individuo forman parte de la esencia del derecho fundamental de protección de datos de carácter personal, ya que se tutela que la persona empleada siga teniendo el control de la información existente sobre sí mismo.