Es habitual la solicitud por parte de las entidades públicas de documentos acreditativos referentes a los trabajadores afectados por subvenciones y ayudas en proyectos financiados con capital público. Analizamos la forma de cumplir estos requisitos y a la vez no vulnerar la Ley de Protección de Datos Personales.
Como punto de partida tomamos el artículo 3 i) de la Ley Orgánica 15/1999 de Protección de Datos Personales que define como cesión o comunicación:
Toda revelación de datos realizada a una persona distinta del interesado”.
Del mismo, el artículo 11 de la Ley 15/1999, dispone que
los datos de carácter personal objeto del tratamiento sólo podrán ser comunicados a un tercero para el cumplimiento de fines directamente relacionados con las funciones legítimas del cedente y del cesionario con el previo consentimiento del interesado.
La obligación de consentimiento sólo se verá exceptuada en los supuestos enumerados en el artículo 11.2 en el que se prevén las excepciones a la necesidad del consentimiento para que la cesión de datos personales pueda ser efectiva, y así se establece que nos será necesario dicho consentimiento:
a) Cuando la cesión está autorizada en una Ley.
b) Cuando se trate de datos recogidos de fuentes accesibles al público.
c) Cuando el tratamiento responda a la libre y legítima aceptación de una relación jurídica cuyo desarrollo, cumplimiento y control implique necesariamente la conexión de dicho tratamiento con ficheros de terceros. En este caso la comunicación sólo será legítima en cuanto se limite a la finalidad que la justifique.
d) Cuando la comunicación que deba efectuarse tenga por destinatario al Defensor del Pueblo, el Ministerio Fiscal o los Jueces o Tribunales o el Tribunal de Cuentas, en el ejercicio de las funciones que tiene atribuidas. Tampoco será preciso el consentimiento cuando la comunicación tenga como destinatario a instituciones autonómicas con funciones análogas al Defensor del Pueblo o al Tribunal de Cuentas.
e) Cuando la cesión se produzca entre Administraciones Públicas y tenga por objeto el tratamiento posterior de los datos con fines históricos, estadísticos o científicos.
f) Cuando la cesión de datos de carácter personal relativos a la salud sea necesaria para solucionar una urgencia que requiera acceder a un fichero o para realizar los estudios epidemiológicos en los términos.
En consecuencia, sólo será lícita la cesión o comunicación, si contamos con el consentimiento de los trabajadores o si podemos ampararnos en alguna de las excepciones del artículo 11.2 de la Ley Orgánica 15/1999, y que su finalidad esté relacionado con las funciones legitimas del cedente y cesionario.
Si no se cuenta con el consentimiento de los trabajadores, habrá que ver si existe alguna norma con rango con rango de Ley que permita dicha comunicación.
Según indica el artículo 22 de la Ley 38/2003, de 17 de noviembre, General de Subvenciones
la iniciación de oficio se realizará siempre mediante convocatoria aprobada por el órgano competente, que desarrollará el procedimiento para la concesión de las subvenciones convocadas según lo establecido en este capítulo y de acuerdo con los principios de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, y tendrá necesariamente el siguiente contenido: (…) e) Requisitos para solicitar la subvención y forma de acreditarlos.
Al mismo tiempo, el artículo 17 de dicha Ley establece los requisitos que habrán de tener las bases de la concesión de la correspondiente subvención.
De este modo, si la convocatoria de la subvención y/o en las bases establecieran como requisito para la obtención de la subvención el conocimiento de los TC de los trabajadores, podrá considerarse que dicha comunicación es licita, amparándonos el artículo 11.2 a) de la Ley Orgánica 15/1999.
No obstante, al margen de que se recoja en la convocatoria, debe cumplirse el principio de proporcionalidad que tanto defiende la AEPD, recogido en el artículo 4.1 de la LOPD, el cual establece
Los datos de carácter personal sólo se podrán recoger para su tratamiento, así como someterlos a dicho tratamiento, cuando sean adecuados, pertinentes y no excesivos en relación con el ámbito y las finalidades determinadas, explícitas y legítimas para las que se hayan obtenido.
De este modo, para que la cesión fuese conforme a la Ley Orgánica de Protección de Datos será necesario que el conocimiento de los datos referidos a los trabajadores fuera imprescindible para la obtención de la subvención, de forma que no bastase para ello el mero conocimiento y certificación del número de los trabajadores.
En resumen, desconociendo el texto exacto de las bases de cada subvenciónindividual, parece excesivo y poco proporcionado que se tenga que proporcionar el TC2 completo con todos los datos personales (inclusive económicos) de todos los trabajadores (no sólo los que van a ser objeto de subvención), ya que este tipo de subvenciones sólo requiere justificación de los trabajadores afectados por la ayuda.
La propia AEPD establece para el supuesto de subcontrata de trabajadores (por analogía, ya que se trata de un supuesto muy semejante):
En todo caso, el acceso por parte del contratista debería limitarse a los datos relacionados con los trabajadores subcontratados y no a cualesquiera trabajadores de la empresa subcontratada.
Al propio tiempo, el hecho de que la comunicación de los datos se encuentre amparada por los artículos ya citados de la Ley Orgánica 15/1999 no eximirá a la empresa subcontratista del cumplimiento del deber de información, respecto de los trabajadores subcontratados, de la cesión de sus datos a la empresa contratista, toda vez que el artículo 5.1 a) de la Ley Orgánica impone al responsable del fichero el deber de informar acerca de los destinatarios de las cesiones de datos que se hubieran producido.
CONCLUSIÓN
Nuestra valoración al respecto es que deben transmitirse los datos personales del TC estrictamente necesarios para el objeto de justificación de estar al corriente de pagos con TGSS:
1. Trabajadores afectados exclusivamente.
2. Sólo sus datos identificativos (DNI, Nº SS, iniciales), excluyendo los datos económicos del TC2 que no son de relevancia.
La transmisión completa del TC2 supondría una vulneración de la normativa de Protección de Datos de Carácter Personal por parte de cedente y cesionario, motivando una posible denuncia de cualquier trabajador afectado.