Como es sabido las empresas están obligadas a contar con un registro retributivo anual que incluya los valores medios de los salarios de su plantilla, desagregados por sexo y distribuido por grupo o categoría profesional, puesto, nivel o puesto de igual valor (artículo 28.3 del ET). Cuestión especialmente controvertida es la situación en la que en una categoría o puesto solo hay una persona o muy pocas, de manera que el salario de la persona está identificado o es identificable. Dos dudas se plantean de inmediato. Una es la relativa si se debe incluir esa información individualizada en el registro salarial. La segunda es si la representación legal de los trabajadores puede acceder a esos datos personales y si el deber de sigilo resultaría salvaguarda suficiente para permitirlo.

Las Sentencias de la Audiencia Nacional de SAN 23 de febrero de 2023 (Rº 355/2022) (resolución que fue analizada en este foro por Gimeno Díaz de Atauri) y la SAN 29 de mayo de 2023 (Rº 76/2023) respondieron positivamente a esta cuestión. Es cierto, se decía, que la retribución no es un dato íntimo, pero sí es un dato de carácter personal. Siendo esto así, la base de legitimación para su tratamiento se encontraría en el artículo 6.1.c) RGPD: la existencia de una obligación legal. Una obligación que materializaría, por un lado, el artículo 28.2 del ET y, por otro, el deber de sigilo (artículo 65 del ET). En conclusión y en palabras de la referida sentencia: “(…) la práctica empresarial que se denuncia en la que se mutilan datos respecto de determinados puestos de trabajo por estar sólo ocupados por personas de un sexo o por ser identificable la retribución que se percibe conculca la legislación vigente, pues priva tanto al registro como a la auditoría retributiva de elementos necesarios para identificar posibles discriminaciones indirectas por razón de sexo en materia de retribución”.

En la reciente STS 21 de noviembre de 2024, Rº 218/2023, la Sala Cuarta ha venido a rectificar el criterio de la Audiencia Nacional al entender que el artículo 28 del ET no es base legal suficiente para justificar este tratamiento individualizado de datos personales por lo que las empresas no están obligadas a incluir datos retributivos individualizados en sus registros salariales ni, por tanto, a facilitarlos a la representación legal de las personas trabajadoras. El referido pronunciamiento ha causado vivo interés y han sido numerosos los excelentes comentarios aparecidos sobre el mismo (Ballester, Gimeno, Aragón, Martínez Saldaña y Pérez del Prado)

La sentencia del Tribunal Supremo funda su conclusión en una clara línea argumental:

(i) La interpretación literal de la normativa española relativa al registro salarial: tanto del artículo 28.3 del ET como el Real Decreto 902/2020 que lo desarrolla, exigen que el registro retributivo contenga las medias aritméticas y medianas” de los salarios, exigiendo, por tanto, “valores medios” o datos “promediados” y no valores individualizados. Como señala la sentencia “lo que exige el precepto legal no es incorporar al registro la retribución individualizada de todas las personas trabajadoras de la plantilla, sino conocer si los valores medios de la retribución desagregados por sexo revelan desigualdad por dicha razón. En suma, lo importante es la comparativa mujeres y hombres y no la retribución individualizada de cada persona trabajadora”.

(ii) La Directiva Europea sobre transparencia salarial: la Directiva (EU) 2023/970 incorpora numerosas referencias a los niveles retributivos “medios”.

(iii) Tanto el Reglamento General de Protección de datos (RGPD) como la Ley Orgánica de Protección de Datos y Garantía de Derechos Digitales (LOPD) exigen que, para tratar los datos personales de la plantilla, como pueden ser sus datos salariales, debe existir una base legal que lo justifique. Sin embargo, la normativa actual no proporciona una base legal clara para incluir los datos salariales individualizados en el registro salarial y carece de las medidas de seguridad necesarias para proteger estos datos.

(iv) También desde la lógica de la protección el principio de minimización (artículo 5.1 del RGPD) exige que solo deben tratarse aquellos datos personales que sean adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados. En este caso, la finalidad es igualitaria (razón por la cual los valores medios de la retribución deben de estar desagregados por sexo), siendo lo importante la comparativa mujeres y hombres y no la retribución individualizada de cada persona trabajadora.

En consecuencia, el Tribunal Supremo concluye que la normativa actual en materia de transparencia salarial no ofrece una base legítima clara para la inclusión de datos salariales individualizados de la plantilla en el registro retributivo, lo que afectaría a su derecho de protección de datos personales.

Varios comentarios publicados en los últimos días han cuestionado distintos aspectos del referido pronunciamiento (Ballester, Gimeno, Aragón). Los argumentos centrales para la crítica se podrían resumir, aún a riesgo simplificación, del modo siguiente:

(i) El mandato del artículo 28 ET, desarrollado en el RD 902/2020 tiene una vocación de transparencia universal en el seno de la empresa. El artículo 28 ET advierte que el registro deberá incluir los valores medios de los salarios, los complementos salariales y las percepciones extrasalariales de su plantilla”. Y, más claramente, el artículo 5.1 RD 902/2020 hace referencia a “toda su plantilla, incluido el personal directivo y los altos cargos”.

(ii) La posibilidad de que la representación legal de los trabajadores conozca las retribuciones concretas de las personas trabajadoras se menciona expresamente en el artículo 12.3 de la Directiva (UE) 2023/970, (vigente pero en plazo de transposición), de lo que se deriva que es legítima.

(iii) Aunque el artículo 28 ET se refiera a los valores medios y no a los valores individuales de la retribución desagregados por sexo, dicho precepto debe interpretarse a la luz de su finalidad, que no es otra que garantizar la igualdad retributiva entre mujeres y hombres por la realización de un trabajo de igual valor.

Creo que el análisis de esta cuestión depende del color del cristal con el que miremos el problema, pero, también pienso, que si lo que se dirime es el tratamiento de datos personales, el cristal solo tiene un color.

1. El salario es un dato personal. Creo que sobre esto no hay duda. Como se ha ocupado de subrayar el Tribunal Constitucional en sus SSTC 290 y 292/2000, el objeto del derecho fundamental a la protección de datos “no se reduce sólo a los datos íntimos de la persona”, sino que se extiende “a cualquier tipo de dato personal, sea o no íntimo, cuyo conocimiento o empleo por terceros pueda afectar a sus derechos, sean o no fundamentales, porque su objeto no es sólo la intimidad individual, que para ello está la protección que el artículo 18.1 CE otorga, sino los datos de carácter personal”, entendiendo por tales “todos aquellos que identifiquen o permitan la identificación de la persona, pudiendo servir para la confección de su perfil ideológico, racial, sexual, económico o de cualquier otra índole, o que sirvan para cualquier otra utilidad que en determinadas circunstancias constituya una amenaza para el individuo”. Pero si alguna duda cupiera, la propia doctrina del Tribunal de Justicia de la Unión Europea ha considerado que entran también dentro del concepto de datos personales los relativos a los ingresos de una persona. Así lo ha considerado en su Sentencia del Tribunal de Justicia de la Unión Europea 20 de mayo de 2003, Rechnungshof, C-465/00, al afirmar en su apartado 64 que: “los datos de que se trata en los asuntos principales, referentes tanto a los ingresos abonados por ciertas entidades como a los beneficiarios de los mismos, constituyen datos personales en el sentido del artículo 2, letra a), de la Directiva 95/46”.

2. La protección de datos es un derecho autónomo e independiente del derecho a la intimidad. Tal y como recuerda la STC 292/2000, FJ 5, la doctrina constitucional ha definido el derecho a la protección de datos como un instituto de garantía de los derechos a la intimidad y al honor y del pleno disfrute de los restantes derechos de los ciudadanos que, además, es en sí mismo, esto es importante, “un derecho o libertad fundamental, el derecho a la libertad frente a las potenciales agresiones a la dignidad y a la libertad de la persona provenientes de un uso ilegítimo del tratamiento mecanizado de datos”. El contenido de este derecho, sintetizado en la STC 76/2019, FJ 5, “consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso”. La protección de datos es, como la no discriminación por razón de sexo, un derecho fundamental y la afirmación de que los derechos fundamentales son limitados representa casi una cláusula de estilo en la jurisprudencia constitucional.

3. Los límites del derecho a la protección de datos tienen que venir fijados por Ley.  Por lo que respecta a sus límites, el Tribunal precisó ya en la STC 292/2000, FJ 11, que “la ley es la única habilitada por la Constitución para fijar los límites a los derechos fundamentales y, en el caso presente, al derecho fundamental a la protección de datos”. Si partimos de las anteriores premisas, todo resulta más fácil de entender. En nuestra actual legislación el tratamiento de datos personales (artículo 4.2 del RGPD), queda sometido a las exigencias de licitud establecidas por el RGPD que, en sus artículos 6 y 9, define los presupuestos que hacen posible el lícito tratamiento de los datos personales. En este caso, el tratamiento de datos salariales debe existir una base legal que lo justifique. Pero no nos debemos confundir. La exigencia de una “obligación legal” no es, únicamente, que en esta materia exista una norma legal que contemple el objeto del tratamiento de los datos, sino que esa norma debe poseer unas ciertas y precisas garantías.

4. Los reglamentos no son normas habilitantes para establecer limitaciones en materia de protección de datos. Como razona la sentencia del Tribunal Supremo, es “clave” en la respuesta al problema el artículo 8.1 de la LOPD que establece categóricamente que: “El tratamiento de datos personales solo podrá considerarse fundado en el cumplimiento de una obligación legal exigible al responsable, en los términos previstos en el artículo 6.1.c) del Reglamento (UE) 2016/679, cuando así lo prevea una norma de Derecho de la Unión Europea o una norma con rango de ley, que podrá determinar las condiciones generales del tratamiento y los tipos de datos objeto del mismo así como las cesiones que procedan como consecuencia del cumplimiento de la obligación legal. Dicha norma podrá igualmente imponer condiciones especiales al tratamiento, tales como la adopción de medidas adicionales de seguridad u otras establecidas en el capítulo IV del Reglamento (UE) 2016/679”. Debe tratarse de una norma de “rango legal”. Un concepto que remite a la posición específica que ocupan las leyes en la jerarquía de las normas de un ordenamiento jurídico: son inferiores a la Constitución y superiores al reglamento. Por ello, es claro que cualquier conclusión que tome como referencia el RD. 902/2020 tiene el riesgo de construir el argumento sobre la base de una disposición que carece del “rango” necesario para habilitar limitación alguna en el terreno de la protección de datos.

5. Las normas legales que establecen bases de tratamiento deben poseer garantías reforzadas. Pero además en materia laboral entra en juego el artículo 88 del RGPD (incorporado dentro del Capítulo IX del RGPD, “Disposiciones relativas a situaciones específicas de tratamiento”),que establece que: “Los Estados miembros podrán, a través de disposiciones legislativas o de convenios colectivos, establecer normas más específicas para garantizar la protección de los derechos y libertades en relación con el tratamiento de datos personales de los trabajadores en el ámbito laboral, en particular a efectos de (…) igualdad y diversidad en el lugar de trabajo (…)”, pero “dichas normas incluirán medidas adecuadas y específicas para preservar la dignidad humana de los interesados así como sus intereses legítimos y sus derechos fundamentales, (…)”. La ley formal que regule esta materia tiene que encontrarse dotada de muy específicas garantías, garantías que no incorpora el artículo 28 del ET, sin que el deber de sigilo (artículo 65 del ET), sirva para reparar tan clamorosa insuficiencia normativa. Solo nos basta comparar estos preceptos, por ejemplo, con el artículo 89 de la LOPD para observar el distinto nivel de garantías establecido entre ésta y aquéllas disposiciones.

6. La ausencia de las debidas garantías inutiliza la base de legitimación legal. Así lo ha venido a subrayar la importante STJUE de 30 de marzo de 2023, en el asunto C‑34/21, que tiene especial relevancia a la hora de concretar el alcance de estas situaciones específicas de tratamiento en el campo laboral y de establecer los efectos en caso de incumplimiento (Me remito al comentario que realicé de esta sentencia en este foro). Su Considerando 74 es contundente cuando señala, “para poder ser calificada de «norma más específica» en el sentido del artículo 88, apartado 1, del RGPD, una norma jurídica debe cumplir las condiciones establecidas en el apartado 2 de dicho artículo. Además de tener un contenido normativo propio del ámbito regulado y distinto de las normas generales de dicho Reglamento, estas normas más específicas deben tener por objeto la protección de los derechos y libertades de los trabajadores en relación con el tratamiento de sus datos personales en el ámbito laboral e incluir medidas adecuadas y específicas destinadas a proteger la dignidad humana, los intereses legítimos y los derechos fundamentales de los interesados”.

Los efectos de la sentencia del TJUE son, en este punto, también de gran importancia. La insuficiencia de la base de legitimación contenida en la norma legal al no respetar las condiciones y los límites establecidos por el artículo 88, apartados 1 y 2, del RGPD, lleva consigo la necesidad de volver la mirada al artículo 6 RGPD para encontrar otra base de legitimación dentro de las en él establecidas, como recomienda el pronunciamiento referido. En el caso de los empleados con una relación privada, entraría a jugar el consentimiento de las personas trabajadoras (artículo 6.1 a) RGPD), como base de legitimación posible.

En conclusión, por todo ello, nos parece impecable la solución dada por el Tribunal Supremo:

“Nuestra discrepancia con la sentencia recurrida se halla en que, como ya hemos señalado, no atisbamos que, de la norma con rango de ley aplicable, el artículo 28.2 ET, que únicamente dispone que han de incluirse en el registro retributivo los «medios» de los salarios, emane con claridad que en aquel registro han de necesariamente incluirse datos que permitan identificar la retribución individualizada de una persona trabajadora. Si el legislador quiere que ello sea así, debiera disponerlo con mayor claridad y con las debidas garantías”.

De los derechos fundamentales no cabe predicar la máxima orwelliana según la cual todos los derechos fundamentales son iguales, pero unos más iguales que otros. O, por expresarlo en términos más queridos por la doctrina constitucional, ningún derecho es derecho ilimitado, sino que está sujeto a su conexión con otros derechos constitucionales y otros bienes constitucionalmente protegidos (STC 11/1981, fundamento jurídico 9.º). Partir de cualquier prejuicio que llame a jerarquías implícitas entre derechos fundamentales, creo, está condenada al fracaso.