En los casos que una organización (contratista principal) contrate o subcontrate a otras entidades la realización de obras o servicios correspondientes a su propia actividad, tiene la obligación legal de responder solidariamente junto con la entidad subcontratada de las obligaciones de la Seguridad Social y salariales, en los términos previstos en el artículo 42.2 del Estatuto de los Trabajadores, mientras dure el periodo de vigencia de la contrata. Por ello, la cesión de los documentos de cotización y nóminas está amparada en esta obligación legal (art. 6.1.c del GDPR) impuesta en el apartado 2 del artículo 42 del Estatuto de los Trabajadores:
- Legitimación para la cesión de seguros sociales, párrafo primero: “el contratista principal, durante los tres años siguientes a la finalización de su encargo, responderá solidariamente de las obligaciones referidas a la Seguridad Social contraídas por los contratistas y subcontratistas durante el periodo de vigencia de la contrata”.
- Legitimación para la cesión de nóminas, párrafo segundo: “el contratista principal, durante el año siguiente a la finalización del encargo, responderá solidariamente de las obligaciones de naturaleza salarial contraídas por las contratistas y subcontratistas con las personas trabajadoras a su servicio”.
Además, esta documentación podría contener datos relativos a la salud y/o datos relativos a la afiliación sindical del personal, es decir datos de categoría especial de los regulados en el artículo 9 del GDPR, que precisan de una de las excepciones recogidas en el apartado 2 del artículo 9 del GDPR para poder tratarlos, en este caso sería la excepción contemplada en la letra b) de dicho apartado ya que el tratamiento de estos datos personales de categoría especial resulta necesario para el cumplimiento de una obligación legal del responsable en el ámbito del Derecho laboral y de la seguridad y protección social.
En todo caso, la comunicación de datos debe respetar el principio de minimización, por lo que el acceso por parte del contratista debería limitarse a los datos relacionados con las personas trabajadoras subcontratadas y no a cualesquiera personas trabajadoras de la empresa subcontratada.
Del mismo modo, el hecho de que la comunicación de los datos personales se encuentre amparada por los artículos ya citados del GDPR no eximirá a ambas organizaciones, contratista y subcontratista del cumplimiento del deber de información, respecto de los trabajadores subcontratados, de ese modo:
- Conforme al artículo 13 GDPR, la empresa subcontratista informará a sus personas trabajadoras de esta cesión y de los destinatarios de las mismas.
- Conforme al artículo 14 GDPR, la empresa contratista informará a las personas trabajadoras subcontratadas, incluyendo la fuente de procedencia de sus datos personales y las categorías de datos obtenidos.
CONCLUSIÓN:
Una empresa subcontratista puede facilitar a un contratista principal las nóminas y los seguros sociales de sus personas trabajadoras subcontratadas sin necesidad de solicitar su consentimiento en base a la obligación legal establecida por el Estatuto de los trabajadores. Pero solo en el caso de tratarse de obras o servicios correspondientes a la actividad principal de la entidad contratista.
Documentación: Informe jurídico 0412-2009 AEPD