I. Introducción

La evolución que ha tenido el tema de la protección de datos personales responde a toda una concepción de reconocimiento de éste como un derecho humano que debe ser garantizado, y que se configura como un poder de control sobre la información de una persona, que la faculta para decidir qué datos quiere proporcionar a un tercero, sea un particular o el propio Estado, y qué datos de ella se pueden recabar, dando la posibilidad de saber quién los posee y para qué, y aún más, contar con la facultad de oponerse a dicha posesión o uso.

De ahí la relevancia de trasladar este tema al plano de las relaciones laborales, las cuales tienen características especiales, al estar constituidas por un elemento muy importante que las distingue de otro tipo de relaciones jurídicas, como es el caso de la subordinación, por parte del trabajador hacia el empleador. Lo anterior quiere decir que hay una especie de potestad de mando o dirección que el empleador dirige hacia el trabajador y que en el caso específico se encuentra sostenida por el sistema legal, generándose además en esa relación, un cúmulo de derechos y obligaciones correlativos entre los sujetos que participan en ella, que en algunos casos genera una especie de choque entre el derecho de protección de datos personales y esa potestad de mando.

Sin embargo, no es suficiente el reconocimiento de un derecho a la protección de datos personales del trabajador, para conseguir la limitación de manera automática del poder de mando o dirección del empleador, pues el problema realmente es determinar cuáles son las barreras o límites a dicho poder.

Así, la concepción de la persona como portadora de derechos humanos en sus diferentes relaciones -incluida la laboral- choca con la práctica al encontrarse constituida sobre un modelo de sujeción plena y exclusiva del trabajador al poder directivo y de control del empleador,¹ y sujeto a las restricciones que justifican la ejecución del trabajo, que a manera de ejemplo podemos citar entre ellas las siguientes: desde indagar en antecedentes de la vida privada del trabajador, ya sea en su condición de salud, datos relativos a su vida familiar, e incluso sexual, antecedentes penales, etcétera, durante el proceso de selección para ocupar un cargo, como durante el tiempo que el trabajador permanece en la empresa, por ejemplo fotografías, videograbaciones de seguridad de la empresa, huellas digitales, los datos con los que aún se cuenta del trabajador después de que se termina la relación laboral; hasta datos relativos a su ideología política, afiliación sindical, entre otros.

Es entonces que sostenemos la necesidad del análisis sobre la tensión entre ese poder de mando y la privacidad e intimidad del trabajador, a través de la proporcionalidad y congruencia que debe permear cuando se lleva a cabo el tratamiento de datos personales de los trabajadores, cuáles son los límites a dicho tratamiento, así como los principios y deberes con los que se debe cumplir, pues consideramos que en la relación laboral hay restricciones a ciertos derechos que en otros contextos difícilmente tienen lugar.

Todo ello con la finalidad de tomar en cuenta el desarrollo normativo y jurisprudencial que el tema ha tenido tanto en el plano internacional como en el caso mexicano, que posibilite el conocimiento de los principios y deberes que en la actualidad se aplican a todos aquellos sujetos que llevan a cabo tratamiento de datos -incluido el empleador-, lo cual se convierte en un marco de actuación que fija los límites a los que se encuentra sujeto dicho tratamiento.

II. Marco conceptual y normativo en materia de datos personales

Son varios los instrumentos jurídicos que han marcado la evolución del derecho a la protección de datos personales; entre ellos la Declaración Universal de los Derechos Humanos de 1948 cuyo artículo 12 establece la protección contra toda injerencia arbitraria tanto en la vida privada como en el domicilio, familia o correspondencia, y ataques contra la honra y reputación de la persona.

Asimismo, el Convenio para la Protección de los Derechos Humanos y de las Libertades Fundamentales de 1950, en su artículo 8o., reconoce, por primera vez, el derecho a la vida privada.

Será el Convenio 108 del Consejo de Europa de 1981, sobre la protección de las personas en lo relativo al tratamiento automatizado de datos de carácter personal, el que establezca el derecho del titular para poder oponerse a la difusión de sus registros.

Con la Directiva 95/46/CE del Parlamento Europeo y del Consejo, del 24 de octubre de 1995, se habla ya del control del individuo sobre sus datos personales, y será con las sentencias 290/2000 y 292/2000 del 30 de noviembre en las que el Tribunal Constitucional Español señale el alcance del contenido del derecho a la protección de datos personales, fijando así el derecho a la autodeterminación informativa, como un derecho autónomo e independiente del derecho a la intimidad, cuya conceptualización ya en 1983 el Tribunal Constitucional Alemán había fijado, la cual se entiende como la libertad de los individuos de controlar la forma en la que otros utilizan su información.

Es así que el derecho a la protección de datos personales se puede entender como el poder que tiene la persona de disponer de ellos y controlarlos, decidiendo cuáles proporcionará a un tercero, ya sea un particular o el Estado, para así saber quién los posee, contando en todo momento con la facultad de acceder a ellos, rectificarlos, cancelarlos u oponerse a su posesión o uso.

En México, la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (en adelante LFPDPPP) establece un conjunto de principios y deberes para quienes llevan a cabo el tratamiento de datos personales.

Esta misma ley establece qué es lo que debe entenderse por datos personales, así en su artículo 3o., fracción V, señala lo siguiente: “...se entenderá por:... V. Datos personales: Cualquier información concerniente a una persona física identificada o identificable”.

En el mismo artículo de la LFPDPPP, en su fracción XVIII se señala lo que se entiende por tratamiento: “...se entenderá por: ... XVIII. Tratamiento: La obtención, uso, divulgación o almacenamiento de datos personales, por cualquier medio. El uso abarca cualquier acción de acceso, manejo, aprovechamiento, transferencia o disposición de datos personales”.

Como se puede apreciar, hablar de tratamiento de datos personales implica sin duda analizar si en el caso de los empleadores, éstos llevan a cabo tratamiento de datos personales.²

El mismo artículo 3o. de la ley señalada con antelación, en sus fracciones XVI y XVII establece qué se debe entender por responsable y por titular respectivamente: “XIV. Responsable: Persona física o moral de carácter privado que decide sobre el tratamiento de datos personales. …XVII. Titular: La persona física a quien corresponden los datos personales”.

Al respecto, la LFPDPPP, en su artículo 2o. establece que:

De lo anterior resulta interesante resaltar que en efecto los empleadores son sujetos regulados por la LFPDPPP, ya sea como personas físicas o morales, al no situarse en los supuestos de excepción antes transcritos, ya que no recolectan y almacenan datos personales para uso exclusivamente personal y sin fines de divulgación, pues dada la naturaleza del empleador es indudable que divulgará los datos personales de sus trabajadores para cumplir con las obligaciones que tiene en materia de seguridad social y hacendaria, sólo por citar un ejemplo.

Por otro lado, conforme a la definición, respecto de lo que se entiende por dato personal, derivado también de la LFPDPPP, el empleador cuenta con información que hace identificado o identificable al trabajador.

Lo anterior se puede ilustrar de mejor manera si tomamos en cuenta que el trabajador pone a disposición del empleador información que revela aspectos de su vida privada, tales como datos académicos, profesionales, hábitos de vida, relaciones personales, e incluso ideología o creencias religiosas, entre otros; los cuales pueden generar un perfil o pauta de comportamiento que permite acceder a un conocimiento de la actitud del trabajador, y en caso de que fueran indebidamente utilizados, podrían además provocar un daño en la persona titular de esos datos, en virtud de que dicha información pertenece a su esfera privada.

Es entonces que podemos afirmar que el empleador lleva a cabo un tratamiento de datos personales puesto que obtiene, usa, divulga o almacena datos personales, lo cual a su vez lo convierte en responsable, al decidir sobre el tratamiento que se les da a dichos datos.

III. La subordinación en la relación laboral frente a la protección de datos personales

De acuerdo a lo que sostiene Mario de la Cueva, la subordinación es una relación jurídica que descompone dos elementos: “Una facultad jurídica del patrono en virtud de la cual puede dictar lineamientos, instrucciones u órdenes que juzgue convenientes para la obtención de los fines de la empresa; y una obligación igualmente jurídica del trabajador de cumplir esas disposiciones en la prestación de su trabajo”.⁴

En el derecho del trabajo, desde una visión tradicional, la subordinación es concebida como el elemento característico de toda relación laboral y es, sin lugar a dudas, el elemento que se encuentra en mayor predicamento ante las nuevas modalidades de contratación laboral, que al buscar desvirtuar la prestación de un servicio, han recurrido a técnicas de ocultamiento o simulación, representando un verdadero reto al momento de establecer derechos laborales, lo que deja ver la necesidad de evolución de esta noción⁵ ante el debilitamiento que tiene la visión clásica.⁶

La noción de subordinación tiene mucho camino recorrido en la doctrina laboral, pero en el caso mexicano es poca la regulación existente que permita identificar sus elementos, pero sobre todo sus alcances, lo que en el caso concreto dificulta la conceptualización respecto de la protección de los datos personales de los trabajadores.

Es por lo anterior que para efectos de referencia, retomamos la doctrina y legislación francesa que clasifica los poderes otorgados al empleador por medio precisamente de la subordinación,⁷ de la siguiente forma: Poder de dirección, que le permite al empleador tomar decisiones tanto de gestión de la empresa como de la administración de los recursos humanos; Poder reglamentario, que faculta al empleador para establecer reglamentos interiores de trabajo de forma unilateral, y el Poder disciplinario, que faculta al empleador para sancionar a los trabajadores cuyo comportamiento sea inadecuado o contravenga las disposiciones legales o de los reglamentos interiores del trabajo.

Como se observa, el poder de dirección del empleador, señala José Luis Ugarte, es la manifestación de forma directa y evidente de algún derecho fundamental como la propiedad privada o la libre contratación.⁸

Al respecto, en Chile, la Dirección del Trabajo en su Dictamen núm. 8.273, de 1995, sostuvo que el sistema jurídico dota al empleador de lo que la doctrina llama el poder de dirección y de disciplina, es decir, de la facultad de dirigir y mantener el orden dentro de la empresa, que de alguna manera es manifestación de los derechos constitucionales de propiedad y de la libertad para desarrollar cualquier actividad económica.

Si partimos de dicha premisa, podemos decir entonces que, junto a ese derecho fundamental existen otros que se pueden contraponer con él. En el caso concreto hablamos del derecho de protección de datos personales del trabajador, cuya tutela puede sufrir limitaciones cuando entra en colisión con otros derechos (por ejemplo libertad de contratación).

Lo anterior nos lleva a analizar si se pueden admitir determinadas restricciones a los derechos del trabajador tales como la privacidad e intimidad, en aras de la libertad de contratación del empleador, sobre todo cuando la práctica laboral se constituye sobre un modelo de obediencia y fidelidad propia de una persona subordinada al poder y control de otro particular.⁹

La respuesta en un primer momento la podemos encontrar en el hecho de que la subordinación del trabajador es únicamente jurídica y relativa a la prestación del trabajo, sin concebir la sumisión o subordinación del trabajador hacia el empleador, lo cual escaparía del vínculo jurídico-laboral y sería el justificante para regresar al abuso del que fueron objeto los trabajadores antes de la existencia del derecho del trabajo.

Sin embargo, en la actualidad vemos que los empleadores para contar con elementos que le permitan hacer una selección del personal, en aras de ese derecho a la libertad de contratación, recaban datos personales de distinta índole que en ocasiones vulneran el respeto a la esfera individual del trabajador a la que no cualquiera puede tener acceso.

Y es que la relación laboral puede llegar a condicionar el ejercicio de algunos derechos del trabajador, pues se busca justificar con dicha condicionante o restricción la ejecución del trabajo, de tal forma que en otros contextos seguramente no sucedería.

Es por ello que consideramos importante resaltar que el derecho humano a la protección de datos personales, no puede ser limitado o restringido, sino por otro de igual jerarquía, sin que haya un daño al derecho de que se trata.

Incluso, la Organización Internacional del Trabajo (OIT) ha tenido ciertas consideraciones en este tema, particularmente a través del Repertorio de recomendaciones prácticas para la protección de los datos personales de los trabajadores, mismo que abarca rubros relevantes como el acopio, conservación, almacenamiento, uso y comunicación de datos, especialmente en escenarios más complejos y propensos a la simulación, como las agencias de colocación y en las relaciones colectivas de trabajo.

La OIT limita a los empleadores en el manejo de los datos personales de los trabajadores, en aspectos estrictamente necesarios como el perfil para la selección de los candidatos; la formación y promoción del personal; la salvaguarda de la seguridad personal y laboral, y el control de calidad en las actividades realizadas. No obstante estos avances, la evidencia indica que han sido insuficientes, y en muchos casos limitados ante escenarios laborales complejos.

IV. Los principios y deberes que deben prevalecer en el tratamiento de los datos personales del trabajador

Si partimos de la premisa de que existe determinada información del trabajador que no puede ser conocida por el empleador, surge la pregunta de cuál es esa información.

Como ya se comentó en apartados anteriores, dicha determinación resulta compleja, pues es necesario tomar en cuenta la legislación que en materia de protección de datos personales tenemos en México, la cual nos puede fijar las pautas generales que se deben seguir; sin embargo, será en el caso concreto en el que se lleve a cabo un examen que permita saber si los datos que del trabajador se recaban resultan idóneos y proporcionales y no menoscaban otros derechos.

Así, la LFPDPPP establece ocho principios que se deben observar siempre en materia de protección de datos personales: licitud, consentimiento, información, calidad, finalidad, lealtad, proporcionalidad y responsabilidad, y dos deberes: seguridad y confidencialidad.

Además, establece cuáles son los derechos para los titulares (acceso, rectificación, cancelación u oposición), y las garantías de protección en caso de que esos derechos se vean quebrantados o durante el tratamiento de los datos personales se haya incurrido en algún otro tipo de vulneración.

El principio de licitud se refiere a que el tratamiento de los datos personales debe estar amparado en las bases jurídicas establecidas en la ley de la materia (LFPDPPP), lo cual quiere decir que su tratamiento no puede llevarse a cabo simplemente porque los datos se encuentren disponibles o porque el responsable los recopile o los procese para hacerlos útiles.

Otro de los principios sumamente importante es el de consentimiento, al ser la base del tratamiento de los datos personales, pues dicho tratamiento debe siempre estar sujeto a la manifestación de voluntad del titular, cuya obtención debe ser libre, pacífica e informada (artículo 9o. de la LFPDPPP).

Por otro lado, el principio de información se entiende como aquella obligación que tiene el responsable de dar a conocer al titular qué datos se recaban, y con qué fines a través del llamado “Aviso de privacidad”.¹⁰

El principio de calidad se refiere a que el responsable del tratamiento de los datos personales debe adoptar las medidas necesarias para garantizar que estos sean correctos, pertinentes y actualizados,¹¹ lo cual ayuda a que se pueda cumplir con el principio de finalidad que limita el tratamiento de esos datos para el propósito para el que fueron obtenidos, dando certeza al titular sobre el uso que se les dará.

Será el principio de lealtad el que impida que el tratamiento de los datos no sea acorde con lo que en un principio se estipuló, obligando al responsable a buscar la mayor claridad en sus relaciones con los titulares de la información.

Uno de los principios que en el caso concreto resulta de mucho cuidado, es el de proporcionalidad, pues en la relación laboral como ya hemos sostenido con anterioridad, la información que del trabajador se recaba suele ser en ocasiones excesiva con respecto a la finalidad para la cual se requiere; por ello en aras de este principio, el responsable debe limitarse a recabar los datos del trabajador que sean estrictamente necesarios para cumplir con la relación de trabajo.

Sin embargo, es difícil fijar los límites del tratamiento; pues en el caso del empleador, la mayoría de las veces justifica la recolección de datos bajo el argumento de la libertad de contratación, por lo que deberá entonces cumplir además con el principio de responsabilidad, debiendo adoptar de esta forma las medidas que garanticen el cumplimiento de todos los principios ya señalados, y el debido tratamiento y protección de los datos personales.

De manera complementaria el responsable tiene la obligación, por un lado, de adoptar medidas técnicas, físicas y administrativas que permitan proteger los datos contra daño, perdida, alteración o destrucción, o el uso, acceso o tratamiento no autorizado, tomando en cuenta el riesgo existente, las posibles consecuencias para los titulares, la sensibilidad de la información y el desarrollo tecnológico (artículo 19 de la LFPDPPP), y por el otro el deber de guardar confidencialidad respecto de los datos que trata, aún después de finalizar su relación con el titular.

Es así que la LFPDPPP, de forma genérica regula el tratamiento de datos personales de todos aquellos responsables que los obtienen, usan, divulgan o almacenan, y en el caso de los empleadores, ésta ley también es aplicable a ellos, por fungir como responsables de toda la información de los trabajadores a la que tienen acceso, aprovechan, manejan, transfieren o de la que disponen.

V. Consideraciones finales

Durante las últimas dos décadas, las revoluciones tecnológicas han tenido impactos en todos los ámbitos de la actividad en sociedad y el campo del trabajo no es la excepción. Tal y como ocurrió en la Revolución industrial, nuevamente la mano de obra se encuentra inmersa en un proceso de transformación que coloca a trabajadores y empleadores en una situación de modernidad que no en todos los casos es comprendida o aceptada por quienes están acostumbrados a desarrollar sus labores en esquemas tradicionales.

Según indica el Banco Mundial¹² las tecnologías de la información y las comunicaciones (TIC) transforman al mundo del trabajo mediante dos modalidades distintas: i) la creación de nuevas oportunidades de empleo y ii) el aumento de la innovación, inclusión y globalización de los mercados laborales. Sin embargo, al constituir estas trasformaciones tecnológicas otros esquemas en el ámbito laboral, las implicaciones no se limitan a la prestación del trabajo, sino que abarcan otros aspectos de la relación laboral, como la interacción entre trabajadores y empleadores por medios electrónicos; la utilización de nuevos mecanismos de control y vigilancia en los centros de trabajo; así como la evolución del derecho procesal que incorpora mecanismos en las legislaciones para la valoración de pruebas “aportadas por la tecnología”, esto sin dejar de considerar las modalidades atípicas de empleo como la subcontratación y el teletrabajo, situaciones que obligan a reflexionar sobre un tema fundamental como es la protección de datos y privacidad de los trabajadores.

Es en este sentido, donde la legislación laboral mexicana ha sido insuficiente en la regulación de este tema fundamental, por lo que la protección de los datos personales de los trabajadores está en una agenda de pendientes de adecuación a los escenarios actuales, con el objeto de garantizar la igualdad de oportunidades para la permanencia, promoción y desarrollo en el centro de trabajo; pero también como mecanismo para garantizar el derecho a la intimidad y a la privacidad. Elementos que no han sido considerados en las propuestas de reforma laboral presentadas y que, sin lugar a duda, serán objeto de análisis en el futuro próximo.