Protección de datos en recursos humanos

La relación laboral es uno de los entornos de mayor intensidad en el tratamiento de datos personales dentro de cualquier organización. Desde el momento en que una empresa publica una oferta de empleo hasta que archiva el expediente de un empleado que ha causado baja, maneja información sensible que el Reglamento General de Protección de Datos (RGPD) y la Ley Orgánica de Protección de Datos y Garantía de los Derechos Digitales (LOPDGDD) regulan con detalle. Ignorar esa regulación no es una opción razonable: la Agencia Española de Protección de Datos (AEPD) ha acreditado en sus memorias anuales un incremento constante de investigaciones iniciadas por denuncias de empleados y ex empleados.

Qué exige el marco regulatorio a la empresa como responsable del tratamiento

El punto de partida es la condición de responsable del tratamiento. La empresa no es un mero intermediario: decide los fines y los medios con que trata los datos de sus empleados, candidatos, colaboradores y representantes sindicales. Esa posición de control genera obligaciones inmediatas e irrenunciables.

El RGPD y la LOPDGDD imponen, de forma transversal, la necesidad de identificar una base jurídica válida para cada operación de tratamiento. En el ámbito de recursos humanos conviven varias: la ejecución del contrato de trabajo, el cumplimiento de obligaciones legales, el interés legítimo del empleador y, en casos específicos, el consentimiento del trabajador. Esta pluralidad de bases es precisamente uno de los focos habituales de error.

En nuestra práctica hemos observado que muchas empresas apoyan todo el tratamiento laboral en el consentimiento del empleado. El problema es evidente: la AEPD y la doctrina consolidada del Comité Europeo de Protección de Datos cuestionan la validez de ese consentimiento en la relación laboral, dado el desequilibrio de poder inherente al vínculo empleador-empleado. Usar el consentimiento donde la base correcta es la ejecución del contrato o la obligación legal expone a la empresa a que cualquier tratamiento sustentado en ese consentimiento quede sin base jurídica.

Las obligaciones concretas que el marco exige pueden ordenarse en cuatro grandes bloques:

• Registro de actividades de tratamiento: la empresa debe documentar, para cada proceso de recursos humanos, qué datos trata, con qué finalidad, quiénes son los destinatarios, cuánto tiempo se conservan y qué medidas de seguridad se aplican. Este registro no es un trámite puntual, sino un documento vivo que debe revisarse cuando cambia el proceso.
• Información activa a los interesados: empleados y candidatos deben recibir, en el momento en que se recogen sus datos, información clara sobre el tratamiento. Una cláusula genérica en el contrato de trabajo rara vez satisface esta exigencia. El nivel de detalle que requiere el RGPD es superior al que la práctica empresarial solía aplicar.
• Gestión de derechos: la empresa debe estar en condiciones de atender, en los plazos que fija la legislación aplicable, las solicitudes de acceso, rectificación, supresión, oposición, limitación y portabilidad. Para el ámbito laboral, el derecho de acceso suele activarse en contextos conflictivos, por lo que disponer de un procedimiento definido es crítico.
• Seguridad y gestión de brechas: la normativa exige medidas técnicas y organizativas proporcionales al riesgo. Cuando se produce una brecha de seguridad, el reloj corre: la empresa dispone de setenta y dos horas para notificarla a la AEPD si resulta probable que suponga un riesgo para los derechos y libertades de los afectados.

Un aspecto que con frecuencia se infravalora es el tratamiento de categorías especiales de datos en el entorno laboral. La salud, la afiliación sindical, las creencias religiosas o los datos biométricos son categorías que el RGPD protege con especial intensidad. En la gestión de bajas por incapacidad temporal, en el control de acceso biométrico o en la administración de planes de salud empresarial, la empresa puede estar tratando este tipo de datos sin haberlo identificado expresamente.

¿Qué decisiones y plazos críticos debe gestionar la dirección en cada fase del ciclo laboral?

El ciclo de vida de un empleado genera distintos momentos de decisión con implicaciones directas en materia de protección de datos. Anticiparlos es la diferencia entre una gestión proactiva y la gestión de una crisis.

Selección y reclutamiento

Desde el momento en que se recibe un currículo, la empresa trata datos personales. La pregunta que debe responder el departamento de personas es: ¿durante cuánto tiempo conservamos los currículos de los candidatos no seleccionados? La respuesta no puede ser indefinida. La normativa exige que la conservación esté justificada por una finalidad legítima y limitada en el tiempo. En la práctica, un período razonable permite mantener una bolsa de empleo; superado ese período, los datos deben suprimirse o bloquearse.

La verificación de antecedentes, el uso de redes sociales profesionales para recabar información o la aplicación de algoritmos de cribado añaden capas de complejidad que conviene analizar antes de implantarlos.

Contratación y alta en la empresa

El momento de la firma del contrato es la oportunidad para entregar la información que exige el RGPD. Integrar esta información en el proceso de onboarding no es un requisito burocrático; es la prueba documental de que la empresa cumplió su deber. Esa prueba puede ser determinante en una investigación de la AEPD.

Si la empresa utiliza proveedores para nómina, formación, gestión de la salud laboral o plataformas de gestión del talento, cada uno de ellos es un encargado del tratamiento. La legislación exige formalizar esa relación mediante un contrato de encargo que regule el acceso a los datos. En nuestra experiencia asesorando a empresas en España, este punto es uno de los más frecuentemente incumplidos, especialmente cuando el proveedor es un software en la nube.

Gestión cotidiana: control, vigilancia y comunicaciones

El control de presencia y productividad, la monitorización del correo corporativo, el acceso a sistemas informáticos y la videovigilancia en el centro de trabajo son ámbitos en los que la tensión entre los intereses del empleador y los derechos del empleado es máxima. La LOPDGDD establece un marco específico para algunos de estos supuestos, pero la aplicación práctica exige equilibrar el interés legítimo de la empresa con el principio de minimización de datos y con la información previa al trabajador.

¿Ha informado la empresa a sus empleados de que existe videovigilancia? ¿Conocen los límites del seguimiento del correo corporativo? Si la respuesta es negativa, cualquier prueba obtenida mediante esos medios puede quedar invalidada en un procedimiento judicial o disciplinario, además de generar responsabilidad frente a la AEPD.

El canal de denuncias merece atención específica. La Directiva europea de protección de denunciantes, transpuesta en España a través de la normativa vigente de compliance, obliga a determinadas empresas a implantar un sistema de denuncias interno. Ese sistema trata datos personales, y su diseño debe cumplir el RGPD: anonimización donde sea posible, acceso restringido, plazos de conservación definidos y protección frente a represalias. La intersección entre el canal de denuncias y la normativa de protección de datos es una de las áreas donde el asesoramiento integrado en compliance empresa y privacidad aporta mayor valor.

Extinción del vínculo laboral

El fin de la relación laboral no significa el fin del tratamiento de datos. La empresa debe conservar durante el tiempo que exige la legislación laboral, fiscal y de Seguridad Social la documentación relativa al empleado. Pero más allá de ese período legal, la supresión debe ser efectiva. Mantener datos de empleados que causaron baja hace años sin justificación jurídica es una infracción de los principios de limitación del plazo de conservación y minimización de datos.

En procesos de despido conflictivo, la gestión de datos adquiere una dimensión adicional: la empresa puede recibir solicitudes de acceso o portabilidad precisamente en ese momento. Contar con procedimientos definidos reduce el margen de error bajo presión.

¿Cómo reduce el asesoramiento temprano el coste y el riesgo para la empresa?

Existe una creencia errónea muy extendida: que incluir una cláusula de privacidad en la web corporativa y en el contrato de trabajo es suficiente para cumplir el RGPD. No lo es. La cláusula de privacidad informa sobre el tratamiento; no lo legitima, no lo documenta y no lo asegura. El cumplimiento real exige un programa estructurado.

Los datos son elocuentes. Según la memoria anual de la AEPD, el volumen de reclamaciones relacionadas con el ámbito laboral se ha consolidado como una de las categorías más activas. La mayor parte de esas reclamaciones proviene de exempleados que perciben que sus datos han sido tratados de forma indebida durante o tras la relación laboral.

El coste de implantar un programa de protección de datos en recursos humanos es, en la mayor parte de los casos, significativamente inferior al coste de gestionar una sanción, un procedimiento de la AEPD o un litigio laboral agravado por el tratamiento indebido de datos. El asesoramiento temprano actúa en tres vectores:

1. Prevención: identificar los tratamientos de riesgo antes de que generen incidentes. Esto incluye analizar si los contratos con proveedores tecnológicos cumplen los requisitos del encargo del tratamiento, si los formularios de selección recaban más datos de los necesarios o si el sistema de control de presencia tiene base jurídica sólida.
2. Reducción de la sanción: cuando se produce un incidente, la AEPD valora como atenuante la existencia de un programa de cumplimiento, la cooperación con la autoridad y la adopción de medidas correctoras inmediatas. Una empresa que dispone de un registro de tratamientos actualizado, un protocolo de gestión de brechas y formación documentada de su personal está en una posición materialmente mejor que una empresa que opera sin ningún sistema.
3. Protección de la dirección: la normativa de compliance penal española establece responsabilidad para las personas jurídicas y, en determinados supuestos, para sus administradores y directivos. Un programa de cumplimiento en protección de datos, integrado en el modelo de prevención de delitos de la empresa, es un escudo relevante para la dirección.

Hemos implantado programas de protección de datos y compliance en empresas tecnológicas, industriales y de salud, y en todos los casos el punto de partida ha sido el mismo: un diagnóstico del estado actual que permite identificar las brechas de cumplimiento con criterio, sin reformar lo que ya funciona.

El encaje entre la protección de datos y el compliance penal en la empresa

El compliance empresa ha dejado de ser un concepto ajeno a la gestión de datos. La normativa de responsabilidad penal de las personas jurídicas exige que las empresas dispongan de un modelo de prevención de delitos que incluya controles efectivos. La gestión inadecuada de datos personales puede tener dimensión penal en determinados supuestos, por ejemplo cuando implica acceso no autorizado a sistemas de información o cuando se usa información de trabajadores de forma discriminatoria.

El diseño de un canal de denuncias, la formación del personal en protección de datos y la supervisión del acceso a datos sensibles son medidas que sirven simultáneamente al cumplimiento del RGPD y al modelo de compliance penal. Integrar ambas dimensiones no solo es más eficiente, sino que produce un programa más robusto y más difícil de cuestionar ante una autoridad de control o ante un tribunal.

¿Tiene su empresa un modelo de compliance que contemple expresamente el tratamiento de datos como área de riesgo? Si no es así, conviene revisarlo. La reforma de la legislación de compliance penal y la aplicación práctica de la LOPDGDD han convergido en un punto en que las dos disciplinas son inseparables.

Para las empresas con operaciones internacionales o con empleados desplazados, la dimensión transfronteriza añade complejidad. Las transferencias de datos de recursos humanos a países fuera del Espacio Económico Europeo exigen garantías adicionales. Coordinamos con abogados locales de confianza en la jurisdicción correspondiente para asegurar que el flujo de datos entre filiales o con proveedores extranjeros cumple los requisitos del RGPD. Puede ampliar esta cuestión en nuestra guía sobre transferencias internacionales de datos con cláusulas contractuales tipo.

Errores frecuentes en la gestión de datos de empleados

En nuestra experiencia acompañando a empresas en la adaptación al RGPD, hay un conjunto de errores que se repiten con independencia del sector o el tamaño de la organización. Identificarlos es el primer paso para corregirlos.

• Ausencia o desactualización del registro de actividades de tratamiento en el área de recursos humanos. Muchas empresas elaboraron su registro inicial tras la entrada en vigor del RGPD, pero no lo han revisado tras incorporar nuevas herramientas de gestión del talento, sistemas de control horario digital o plataformas de evaluación del desempeño.
• Contratos de encargo del tratamiento inexistentes o incompletos con proveedores de nómina, prevención de riesgos laborales o plataformas de reclutamiento. La responsabilidad por una brecha que se produce en el sistema de un proveedor no desaparece si no existe contrato; al contrario, puede agravarse.
• Conservación indefinida de datos de candidatos no seleccionados y de empleados que causaron baja. Los sistemas de gestión de recursos humanos acumulan datos durante años sin que nadie revise si existe base jurídica para su conservación.
• Información deficiente o inexistente sobre videovigilancia y control de dispositivos corporativos. La LOPDGDD exige informar a los trabajadores con carácter previo; la omisión invalida las pruebas y genera responsabilidad.
• Ausencia de protocolo de respuesta ante brechas de seguridad. Cuando se produce un incidente, la empresa tiene setenta y dos horas para notificar a la AEPD. Sin un protocolo predefinido, ese plazo es muy difícil de cumplir.
• Canal de denuncias implantado sin análisis de protección de datos. La empresa cumple la obligación de tener el canal pero no analiza quién accede a las denuncias, durante cuánto tiempo se conservan ni cómo se garantiza la confidencialidad del denunciante y del denunciado. El resultado es un doble incumplimiento.

Cómo trabaja Velarde & Vidal este tipo de asunto

Nuestro enfoque parte de un diagnóstico inicial estructurado. Analizamos los tratamientos de datos existentes en el área de recursos humanos, identificamos las bases jurídicas aplicadas y detectamos las brechas de cumplimiento prioritarias. Este diagnóstico sirve de base para un plan de acción que la empresa puede priorizar en función de su exposición real al riesgo, no de una lista genérica de recomendaciones.

A partir del diagnóstico, acompañamos en la implantación del programa: actualización del registro de actividades de tratamiento, revisión de las cláusulas informativas en los procesos de selección y contratación, formalización de los contratos de encargo del tratamiento con proveedores, diseño del protocolo de gestión de brechas, implantación o revisión del canal de denuncias y formación del equipo de recursos humanos.

La integración con el compliance empresa es un eje central de nuestra propuesta. No tratamos la protección de datos como un silo regulatorio independiente; la enmarcamos dentro del modelo de gestión de riesgos de la empresa, con conexión explícita al modelo de prevención de compliance penal cuando la empresa lo tiene implantado o necesita implantarlo. Puede conocer el alcance de nuestra práctica en protección de datos y compliance o explorar nuestra guía sobre el canal de denuncias en el sector agroalimentario, que ilustra cómo abordamos la integración entre canal de denuncias y cumplimiento normativo en entornos con plantillas amplias y dispersas geográficamente.

El resultado que perseguimos no es una documentación que supere una auditoría puntual. Es un programa que la empresa entiende, aplica y mantiene actualizado sin necesidad de reiniciarlo cada vez que hay un cambio en la plantilla o en los sistemas.

Checklist de cumplimiento en protección de datos para el área de recursos humanos

El siguiente inventario recoge los puntos de verificación mínimos que cualquier empresa debe poder responder afirmativamente. Si alguno genera incertidumbre, es un indicador de área de riesgo que conviene analizar con asesoramiento especializado.

• ¿Existe un registro de actividades de tratamiento que incluya todos los procesos de recursos humanos y se revisa periódicamente?
• ¿Se ha identificado una base jurídica válida y documentada para cada tratamiento de datos en el ciclo laboral?
• ¿Reciben los candidatos y empleados información completa sobre el tratamiento de sus datos en el momento de la recogida?
• ¿Existe un procedimiento definido para atender los derechos de los interesados en los plazos que establece la normativa?
• ¿Están formalizados los contratos de encargo del tratamiento con todos los proveedores que acceden a datos de empleados?
• ¿Existe un protocolo de gestión de brechas de seguridad que permita notificar a la AEPD en el plazo de setenta y dos horas?
• ¿Se han revisado las medidas de seguridad aplicables a los sistemas que tratan datos de recursos humanos?
• ¿Está el canal de denuncias diseñado conforme al RGPD, con acceso restringido y plazos de conservación definidos?
• ¿Se han analizado los tratamientos de categorías especiales de datos, como datos de salud en la gestión de bajas o datos biométricos en el control de acceso?
• ¿Dispone la empresa de un plan de formación en protección de datos para el personal de recursos humanos y para los mandos intermedios?

Servicios relacionados

La protección de datos en recursos humanos se cruza con frecuencia con otras necesidades jurídicas de la empresa. Si su organización está implantando o revisando un modelo de prevención de compliance penal, la integración de los controles de protección de datos en ese modelo es un paso que conviene dar de forma coordinada. Del mismo modo, si la empresa gestiona empleados desplazados o relaciones con proveedores en el extranjero, la dimensión laboral y la de transferencias internacionales de datos se solapan con las cuestiones de movilidad internacional que trabajamos desde nuestra práctica de laboral y movilidad.