1. Introducción
Un buen amigo retó al autor de este artículo a encontrar y aportar el respaldo normativo por el que se reconoce a la nómina el carácter de dato personal. Este amigo indicó que algunas de las inteligencias artificiales (IA) generativas que se ofrecen en el mercado no fueron capaces de encontrar el respaldo normativo clave a la hora de dar argumentos jurídicos para poder afirmar que una nómina es un dato personal y que también contiene, como documento, datos personales.
Debe tenerse en cuenta que para la elaboración de este artículo el autor no ha utilizado ninguna IA y que únicamente ha hecho una búsqueda que le permitiera encontrar argumentos para poder mantener que la nómina es un dato personal y que, como recibo individual de salarios, también incluye datos personales.
Este artículo expone, en primer lugar, los conceptos legales de datos personales y de nómina, también denominado recibo individual de salarios cuando se usa el término para identificar al documento. En segundo lugar, se citan algunas sentencias. En tercer lugar, se mencionan las resoluciones de la Agencia Española de Protección de Datos (AEPD) que tienen por objeto la nómina como dato personal y, en su caso, como documento que contiene datos personales. En cuarto lugar, se han buscado también referencias en otros documentos de la AEPD, como es el caso de la guía de relaciones laborales, sus Memorias e incluso cláusulas informativas accesibles a través de Internet. Y, por último, se incluyen las conclusiones alcanzadas a partir de la búsqueda y del análisis legal.
2. Un concepto extenso de datos personales en la normativa europea
En la primera norma europea sobre protección de datos personales, la ya derogada Directiva 95/46/CE[1], se definió el concepto de datos personales como “toda información sobre una persona física identificada o identificable (el «interesado»); se considerará identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un número de identificación o uno o varios elementos específicos, característicos de su identidad física, fisiológica, psíquica, económica, cultural o social” (art. 2.a)).
Sobre este concepto de dato personal, el Grupo de Trabajo del artículo 29 publicó el dictamen 4/2007[2] en el que exponía varias claves relevantes que se deben tener en cuenta a la hora de considerar los datos incluidos en la nómina como datos personales:
- El concepto de datos personales en la Directiva 95/46/CE es lato, según el término utilizado en la versión en castellano del dictamen, o amplio.
- El dictamen señala que “esta definición refleja la intención del legislador europeo de mantener un concepto amplio de «de datos personales»”[3]. Y, a continuación, también que “[l]a propuesta modificada de la Comisión señalaba que «la propuesta modificada recoge el deseo del Parlamento de que la definición de «datos personales» sea tan amplia como sea posible con el fin de incluir toda información referente a una persona identificable»”
- El motivo por el que legislador europeo incluyó un concepto amplio de datos personales es “proteger las libertades y los derechos fundamentales de las personas físicas y, en particular, su derecho a la intimidad, en lo que respecta al tratamiento de los datos personales”[4].
Esta definición de datos personales se mantiene en el Reglamento General de Protección de Datos (RGPD)[5], que es la siguiente: “toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona” (art. 4.1; énfasis añadido).
Ambas definiciones, tanto la de la Directiva 95/46/CE como la del RGPD, no dejan lugar a dudas sobre que la nómina es un dato personal y que también en ésta, si se utiliza para referirse a recibo individual de salarios, incluye datos personales.
Que una persona tenga una nómina da también información sobre que trabaja y tiene un sueldo, de manera que es otro dato personal sobre, o en relación con, la persona. Ya el Grupo de Trabajo del artículo 29, en el dictamen previamente mencionada, al tratar el componente “sobre” de la definición de datos personales, indicaba que “Este componente de la definición es crucial, ya que es muy importante determinar con precisión cuáles son las relaciones, los vínculos, que importan y cómo distinguirlos.”[6] Y aunque no incluyó ninguna mención a la nómina, al exponer un ejemplo de la relación entre los datos personales y la persona, señaló “los datos incluidos en el fichero personal de una persona guardado en el departamento de personal de su empresa están claramente relacionados con su situación como empleado de dicha empresa.”
3. Definición legal de nómina
La nómina es definida en nuestro ordenamiento jurídico como “la documentación del salario se realizará mediante la entrega al trabajador de un recibo individual y justificativo del pago del mismo” (artículo 29 del Real Decreto Legislativo 2/2015, de 23 de octubre, por el que se aprueba el texto refundido de la Ley del Estatuto de los Trabajadores).
Este recibo individual de salarios o nómina es un dato personal e incluye, entre otros, datos personales relativos a trabajador, NIF, número de afiliación a la Seguridad Social, grupo profesional, grupo de cotización, periodo de liquidación, devengos (salario base, complementos salariales, horas extraordinarias, salario en especie, percepciones no salariales), deducciones (aportación del trabajador a las cotizaciones a la Seguridad Social y conceptos de recaudación conjunta, IRPF, anticipos), el líquido total a percibir y otros datos personales para la determinación de las bases de cotización a la Seguridad Social y de la base sujeta a retención del IRPF [7].
Si la nómina no fuera un dato personal, por sí misma en los términos ya mencionados, ni contuviera datos personales, no estaría sujeta al cumplimiento de las obligaciones previstas en la normativa sobre protección de datos que son exigibles para responsables y encargados del tratamiento.
4. Sentencias sobre la nómina como dato personal
En este caso debe tenerse en cuenta que la nómina es un dato personal y que este último ha sido objeto de diversas sentencias, tanto a nivel europeo como nacional.
Una sentencia esencial en materia de protección de datos es la Sentencia del Tribunal Constitucional 292/2000, de 30 de noviembre, en la que en la que afirma que “el objeto de protección del derecho fundamental a la protección de datos no se reduce sólo a los datos íntimos de la persona, sino a cualquier tipo de dato personal, sea o no íntimo, cuyo conocimiento o empleo por terceros pueda afectar a sus derechos, sean o no fundamentales, porque su objeto no es sólo la intimidad individual, que para ello está la protección que el art. 18.1 CE otorga, sino los datos de carácter personal. Por consiguiente, también alcanza a aquellos datos personales públicos, que por el hecho de serlo, de ser accesibles al conocimiento de cualquiera, no escapan al poder de disposición del afectado porque así lo garantiza su derecho a la protección de datos. También por ello, el que los datos sean de carácter personal no significa que sólo tengan protección los relativos a la vida privada o íntima de la persona, sino que los datos amparados son todos aquellos que identifiquen o permitan la identificación de la persona, pudiendo servir para la confección de su perfil ideológico, racial, sexual, económico o de cualquier otra índole, o que sirvan para cualquier otra utilidad que en determinadas circunstancias constituya una amenaza para el individuo.”[8] (Fundamento Jurídico 6).
Y una sentencia específica en la que se trata la cuestión relativa a la nómina como dato personal es la Sentencia 00373/2022, de 18 de octubre de 2022, de la Sala de lo Civil de la Audiencia Provincial de Asturias [9]. En esta sentencia, que resuelve un recurso de apelación, se declara la vulneración del deber de custodia, protección, circulación y tratamiento de los datos personales incluidos en la nómina de un trabajador.
5. Resoluciones de la AEPD
A lo largo del tiempo la AEPD ha dictado varias resoluciones en las que se hace referencia o tienen por objeto los datos de la nómina de manera que sirven para argumentar que una nómina es o incluye, según corresponda, datos personales.
La consideración de la nómina como dato personal fue objeto de la Resolución de Procedimiento Sancionador nº PS/00213/2021, de fecha 28 de julio de 2021, en la que, en los hechos, se menciona que reclamante interpuso reclamación por la cesión de sus datos personales y, como prueba, “aporta dos correos electrónicos remitidos a un compañero de trabajo que contienen datos personales suyos (nómina y ampliación de jornada laboral)” [10].
En la Resolución de Procedimiento Sancionador Nº PS/00678/2022, en el Expediente nº EXP202213150, se trata la cuestión relativa a la publicación en un periódico de “una fotografía de una nómina de la parte reclamante en la que se puede comprobar con nitidez que revela el número de su Cuenta Corriente particular en una entidad bancaria concreta. Adicionalmente pueden observarse otros que le son atribuibles, como la fecha de antigüedad profesional y su categoría profesional” (Hecho Probado Primero, p. 3) [11].
Y en una reciente Resolución de terminación del procedimiento por pago voluntario, en el Expediente Nº EXP20241246, la AEPD menciona que el responsable del tratamiento solicitó “los siguientes datos a la parte reclamante: domicilio registrado, profesión actual, sueldo bruto anual, si juega con fondos propios o cedidos por terceros y última nómina o declaración trimestral en el caso de ser autónomo” [12] (Fundamento de Derecho III).
Estas resoluciones permiten argumentar la condición de dato personal de la nómina, así como que, considerada como documento, también incluye datos personales.
6. Otras referencias a la nómina y al tratamiento de datos personales
Además de en sus resoluciones, la AEPD se ha pronunciado en diversas ocasiones sobre la nómina y su contenido como datos personales. En su Guía sobre relaciones laborales [13], la AEPD indica que “[e]n las nóminas, junto con la información referida a sus retribuciones, podrían aparecer otros datos, como el domicilio fiscal, la cuenta corriente en que se produzca los pagos e incluso datos especialmente protegidos referentes a salud o ideología, así como el descuento, en su caso, de la cuota sindical de los afiliados a un sindicato. Esos datos no deben ser conocidos por terceros, ni tampoco por determinadas personas cuando la finalidad no lo justifique, si no media consentimiento del afectado. La eventual transparencia sobre las retribuciones y el desglose de los conceptos retributivos, que en determinados ámbitos puede ser incluso una exigencia legal, no se extiende a otros datos personales, aunque figuren en la nómina.”
No cabe duda de que la nómina incluye datos personales, que pueden ser tanto básicos, tales como datos identificativos, como categorías especiales de datos, ya sean datos de salud o, siendo necesario tener en cuenta la recomendación de la AEPD de que no se incluyan y se haga por separado; también relativos a la afiliación sindical.
Además, menciona el supuesto en el que una asesoría o gestoría gestione las nóminas porque se lo haya encomendado la empresa empleadora, siendo la primera el encargado del tratamiento y la segunda el responsable del tratamiento. No sería así si no hubiera acceso a ni tratamiento de datos personales para la gestión de la nómina.
También es posible prestar atención a otras referencias importantes sobre la consideración de la nómina como dato personal y el hecho de que incluye datos personales.
Puede verse la cláusula informativa de la AEPD sobre la actividad de tratamiento consistente en la gestión de RR.HH [14]. En esta cláusula se indica que “Los datos de carácter personal serán tratados por la Agencia Española de Protección de Datos e incorporados a las actividades de tratamiento “Gestión de RRHH” y “Régimen interior”, cuya finalidad es la gestión del expediente personal, del control horario, de incompatibilidades, del plan de formación de la Agencia Española de Protección de Datos, del plan de pensiones, de acción social y de prevención de riesgos laborales. Así mismo, se emplearán para la emisión de la nómina y la obtención de todos los productos derivados de la misma” (énfasis añadido). Y también la cláusula informativa de la Secretaría General de la Dirección del Servicio Jurídico del Estado, que informa al personal adscrito a la Abogacía General del Estado sobre el tratamiento de sus datos personales para la gestión de la nómina [15].
Y la mención al tratamiento de la nómina, como dato personal, puede encontrarse también en los registros de actividades del tratamiento, siendo un ejemplo el del Tribunal Constitucional, que incluye la elaboración de las nóminas como finalidad del tratamiento relativo a gestión de personal [16].
Si bien ya se ha mencionado, en la Memoria anual 2023 de la AEPD se incluye una referencia al Procedimiento Sancionador Nº PS/00678/2022 y se indica que en este caso se produjo “la filtración de un documento en el que aparece la nómina del reclamante, conteniendo sus retribuciones y su número de cuenta corriente” [17].
Por último, aunque la IA generativa no pueda dar respuesta hoy a si una nómina es o no un dato personal, en este caso el legislador y el regulador han ido por delante y han dejado claro que su uso puede implicar un tratamiento de datos personales. Sobre aquellos casos en los que el uso de la IA generativa implica un tratamiento de datos, el Supervisor Europeo de Protección de Datos ha publicado unas primeras orientaciones para las instituciones, órganos y organismos de la UE que utilizan IA generativa. En estas orientaciones se incide en la obligación de cumplir con la normativa aplicable en protección de datos cuando el uso de la IA generativa implique un tratamiento de datos personales [18].
7. Conclusiones
En virtud de lo expuesto previamente, cabe presentar las siguientes conclusiones sobre la cuestión relativa a que la nómina es un dato personal y que, cuando se refiere al recibo individual de salarios, contiene datos personales:
- El concepto de datos personales en el RGPD es muy amplio, ya que un dato personal es toda información sobre una persona física identificada o identificable como, por ejemplo, un nombre, un número de identificación e información económica de dicha persona.
- La nómina, en sí misma, es un dato personal ya que proporciona información sobre el hecho de que una persona esté trabajando para una empresa u otra organización que paga su salario.
- En nuestro ordenamiento jurídico la nómina es el recibo individual de salarios de las personas trabajadoras e incluye, entre otra, información relativa al nombre y apellidos, NIF, número de afiliación a la Seguridad Social, total devengado y el líquido total a percibir.
- La nómina incluye datos personales de la persona trabajadora y, por tanto, su tratamiento queda sujeto al cumplimiento de la normativa sobre protección de datos personales, siéndoles exigibles las obligaciones que se derivan de ésta tanto al responsable como al encargado del tratamiento.
- En apoyo de lo anterior, existen diversas referencias normativas, tales como la definición de dato personal y de nómina; jurisprudenciales; en resoluciones de la AEPD y en otras fuentes, que sustentan las afirmaciones de que una nómina es un dato personal en sí misma y que también contiene datos personales.
- Si se utilizase una IA generativa para tratar datos personales incluidos en nóminas, su uso tendrá que cumplir con las obligaciones establecidas en la normativa sobre protección de datos.
__________________________________________________________________
[1] Directiva 95/46/CE del Parlamento Europeo y del Consejo, de 24 de octubre de 1995, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos. Publicada en el Diario Oficial de la Unión Europea L 281, de 23 de noviembre de 1995 y derogada el 24 de mayo de 2018.
2 Grupo de Trabajo del artículo 29, Dictamen 4/2007 sobre el concepto de datos personales, WP 136, adoptado el 20 de junio.
3 Ibid., p. 4.
4 Ibid.
5 Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos). Publicado en el Diario Oficial de la Unión Europea L 119, de 4 de mayo de 2016.
6 Ibid., p. 10.
7 Orden ESS/2098/2014, de 6 de noviembre, por la que se modifica el anexo de la Orden de 27 de diciembre de 1994, por la que se aprueba el modelo de recibo individual de salarios.
8 Consultada en https://hj.tribunalconstitucional.es/es-ES/Resolucion/Show/4276
9 Consultada en https://www.poderjudicial.es/search/AN/openDocument/4e385f9f6d5f0ddda0a8778d75e36f0d/20221129
10 Consultada en https://www.aepd.es/documento/ps-00213-2021.pdf
11 Consultada en https://www.aepd.es/documento/ps-00678-2022.pdf
12 Consultada en https://www.aepd.es/documento/ps-00109-2024.pdf
13 Agencia Española de Protección de Datos (2021), La protección de datos en las relaciones laborales, consultado en https://www.aepd.es/guias/la-proteccion-de-datos-en-las-relaciones-laborales.pdf
14 Consultada en https://www.aepd.es/la-agencia/transparencia/informacion-en-materia-de-proteccion-de-datos/clausulas-informativas/gestion-rrhh
15 Consultada en https://www.mjusticia.gob.es/es/AreaTematica/ProteccionDatos/Documents/1292429300944-Informacion_complementaria.PDF
16 Consultado en https://www.tribunalconstitucional.es/es/tribunal/Composicion-Organizacion/organizacion/ProteccionDatos/RAT/Gesti%C3%B3n%20de%20personal.pdf
17 Memoria de la AEPD consultada en https://www.aepd.es/memorias/memoria-aepd-2023.pdf, p. 98.
18 Consultadas, en inglés, en https://www.edps.europa.eu/data-protection/our-work/publications/guidelines/2024-06-03-first-edps-orientations-euis-using-generative-ai_en
ElDerecho.com no comparte necesariamente ni se responsabiliza de las opiniones expresadas por los autores o colaboradores de esta publicación