La gestión de personas ha dejado de ser un ámbito ajeno al cumplimiento normativo. Hoy, la vigilancia del empleado, la gestión de datos salariales, los registros de jornada y los canales de denuncia interna forman parte de un ecosistema regulatorio que la dirección no puede ignorar. Actuar sin un programa de cumplimiento expone a la empresa a sanciones administrativas, responsabilidad penal corporativa y daños reputacionales de difícil reparación.
La empresa que emplea personas trata datos personales de forma permanente. Lo hace desde el momento en que recibe un currículum hasta que archiva la documentación de baja del último trabajador. El marco aplicable descansa sobre dos normas de referencia: el Reglamento General de Protección de Datos (RGPD) y la Ley Orgánica de Protección de Datos y garantía de los derechos digitales (LOPDGDD). La autoridad de control es la Agencia Española de Protección de Datos (AEPD).
Ambas normas reconocen la relación laboral como contexto específico. La LOPDGDD regula de forma expresa la videovigilancia en el trabajo, el acceso a dispositivos corporativos, la geolocalización de vehículos y el derecho a la desconexión digital. No se trata, por tanto, de una transposición mecánica del RGPD: el legislador español articuló garantías adicionales para el entorno laboral que condicionan las decisiones cotidianas del departamento de recursos humanos.
¿Cuántas empresas conocen realmente el alcance de estas obligaciones? En nuestra experiencia asesorando a empresas en España, la respuesta es con frecuencia inquietante. La adaptación al RGPD se percibió en muchos casos como un trámite de 2018 que ya quedó resuelto. La realidad es que el cumplimiento es un proceso continuo: nuevas tecnologías de monitorización, cambios en la plantilla y evolución de los criterios de la AEPD generan obligaciones sobrevenidas que el programa debe absorber.
La adaptación al RGPD exige, entre otras cosas, mantener un registro actualizado de todas las actividades de tratamiento. En el ámbito de recursos humanos, este registro debe documentar, como mínimo, los tratamientos de nóminas, control de presencia, selección de personal, formación, beneficios sociales y cualquier sistema de vigilancia activo.
El registro no es un documento puntual. Es un instrumento vivo que debe reflejar la realidad del tratamiento en cada momento. Una empresa que instala nuevas cámaras o despliega un software de monitorización de productividad sin actualizar su registro y sin revisar las bases de legitimación está incumpliendo, aunque tenga firmado el aviso de privacidad de 2018.
La confusión más frecuente que observamos en auditorías es la invocación automática del consentimiento del empleado como base de legitimación. El RGPD es claro al respecto: en una relación de desequilibrio como la laboral, el consentimiento raramente es libre y, por tanto, raramente es válido. Las bases correctas son, según el tipo de tratamiento, la ejecución del contrato de trabajo, el cumplimiento de obligaciones legales o el interés legítimo del empleador, debidamente ponderado.
Este matiz tiene consecuencias prácticas inmediatas. Si una empresa ha construido todo su programa de privacidad laboral sobre el consentimiento, ese programa tiene una fisura estructural que cualquier inspección o reclamación ante la AEPD pondrá de manifiesto.
El poder de dirección del empleador incluye la facultad de vigilar el cumplimiento de las obligaciones laborales. Pero ese poder tiene límites que el marco de protección de datos y la legislación laboral definen con precisión creciente. La pregunta no es si la empresa puede controlar: puede. La pregunta es cómo, con qué información previa al trabajador y hasta qué punto.
La LOPDGDD exige que la empresa informe a los trabajadores y a sus representantes sobre las medidas de control antes de implantarlas. No después. Esta obligación de información previa es, en la práctica, el requisito que con más frecuencia se incumple. Las consecuencias van desde la nulidad de las pruebas obtenidas mediante esa vigilancia hasta la apertura de un expediente sancionador por la AEPD.
La instalación de cámaras en el lugar de trabajo está permitida si existe una finalidad legítima, si la medida es proporcionada y si los trabajadores han sido informados mediante el cartel homologado por la AEPD. El cartel debe indicar la existencia de cámaras, la identidad del responsable del tratamiento y el canal para ejercer los derechos.
Una cuestión que genera litigiosidad con frecuencia es el uso de las imágenes de videovigilancia como prueba en un procedimiento disciplinario. El Tribunal Supremo ha consolidado el criterio de que las imágenes obtenidas con la información previa legalmente exigida son admisibles como prueba. Sin esa información previa, la validez de la prueba queda comprometida y el despido puede ser declarado improcedente.
La geolocalización de vehículos de empresa es un tratamiento de datos de los trabajadores que los utilizan. Requiere una base de legitimación sólida – generalmente el interés legítimo del empleador en la gestión de su flota – y una información previa clara sobre la existencia del sistema, su alcance horario y la identidad del responsable del tratamiento. Extender la geolocalización fuera del horario laboral exige una justificación adicional que pocas empresas documentan.
La empresa puede establecer políticas de uso de los dispositivos corporativos y, en su marco, auditar el correo electrónico o los registros de navegación. Pero esa política debe ser previa, conocida por el trabajador y proporcionada. La Audiencia Provincial viene admitiendo que la expectativa de privacidad del trabajador se reduce cuando existe una política corporativa clara de uso de dispositivos. Sin esa política, la expectativa de privacidad persiste y el acceso unilateral puede vulnerar derechos fundamentales.
La transposición al ordenamiento español de la Directiva europea de protección de denunciantes impuso a las empresas con cincuenta o más trabajadores la obligación de disponer de un canal de denuncias internas. Esta obligación, antes reservada a empresas de mayor tamaño, se extiende ahora a una franja muy amplia del tejido empresarial español.
El canal de denuncias no es solo un formulario en la intranet. Es un sistema que debe garantizar la confidencialidad del denunciante, la gestión imparcial de las comunicaciones recibidas y la ausencia de represalias. Estos tres elementos son, precisamente, los que con más frecuencia están ausentes en los programas implantados a toda prisa.
La gestión de un canal de denuncias implica el tratamiento de datos personales de denunciantes y denunciados. El programa debe definir los plazos de conservación de esos datos, los niveles de acceso al sistema y el procedimiento para garantizar que la persona denunciada no sea identificada prematuramente. La AEPD ha publicado orientaciones específicas sobre este punto que cualquier programa debe incorporar.
Hemos implantado programas de protección de datos y compliance en empresas tecnológicas, industriales y de salud. En todos los casos, el canal de denuncias fue el elemento que más resistencia generó internamente, y también el que mayor valor demostró cuando se activó por primera vez. La razón es sencilla: un canal bien diseñado convierte una potencial crisis externa en un proceso interno gestionable.
La norma española admite que la empresa designe a un responsable interno o externalice la gestión del canal a un tercero. En cualquier caso, quien gestiona el canal debe ser independiente de las personas denunciadas y debe tener acceso directo al órgano de gobierno. En las empresas que cuentan con un delegado de protección de datos (DPO), la coordinación entre el DPO y el responsable del canal es imprescindible para evitar conflictos en la gestión de los datos generados por las denuncias.
El cumplimiento en el ámbito de recursos humanos no es estático. Genera obligaciones con plazos concretos que la dirección debe conocer y gestionar. Ignorarlos no los elimina: los convierte en incumplimientos documentados.
El primero y más crítico es el plazo de setenta y dos horas para notificar a la AEPD una brecha de seguridad que afecte a datos de trabajadores. Este plazo corre desde que la empresa tiene conocimiento de la brecha, no desde que la investiga. La diferencia es fundamental: muchas empresas interpretan que el plazo comienza cuando la investigación interna concluye. Esa interpretación es errónea y puede multiplicar la gravedad de la infracción.
Una brecha de seguridad en el entorno laboral puede tener formas muy diversas: un ordenador portátil de un empleado de RRHH extraviado, un correo con datos salariales enviado a destinatarios incorrectos, un acceso no autorizado a la plataforma de gestión de nóminas. En todos esos casos, el protocolo debe activarse de forma inmediata.
El protocolo debe contemplar: identificación y contención de la brecha, evaluación del riesgo para los afectados, decisión sobre la notificación a la AEPD y, si procede, comunicación a los propios trabajadores afectados. La documentación de cada paso es tan importante como el paso en sí: la AEPD no solo valora lo que se hizo, sino cómo se documentó el proceso de decisión.
Los trabajadores son titulares de los derechos reconocidos por el RGPD: acceso, rectificación, supresión, oposición, limitación y portabilidad. La empresa dispone de un mes para responder a una solicitud de ejercicio de derechos, plazo prorrogable por dos meses adicionales en casos de especial complejidad. El incumplimiento de este plazo es, por sí solo, una infracción que puede dar lugar a una reclamación ante la AEPD.
¿Sabe su empresa cuántas solicitudes de derechos ha recibido en el último año y cómo se gestionaron? En nuestra práctica, la respuesta habitual es que no hay registro. Esa ausencia de trazabilidad es, precisamente, el problema: no tanto la falta de respuesta como la incapacidad de demostrar que se respondió correctamente y en plazo.
La obligación de registro de jornada, vigente en la legislación laboral española, genera a su vez datos personales de los trabajadores. El sistema de registro – ya sea biométrico, por tarjeta o digital – es un tratamiento de datos que debe estar documentado en el registro de actividades, contar con la base de legitimación adecuada y respetar los principios de minimización y limitación del plazo de conservación.
Los sistemas biométricos – reconocimiento facial, huella dactilar – merecen una atención especial. Tratan datos de categoría especial, lo que exige una protección reforzada y, en muchos casos, una evaluación de impacto de protección de datos previa a su implantación. La empresa que ha implantado estos sistemas sin esa evaluación está expuesta a una actuación inspectora que puede resultar muy costosa.
El compliance penal de empresa no es una materia ajena a los recursos humanos. Al contrario: muchos de los delitos que generan responsabilidad penal para la persona jurídica tienen su origen en conductas de empleados o directivos. El programa de compliance penal es el instrumento que permite a la empresa demostrar que adoptó medidas idóneas para prevenir esos delitos antes de que se produjeran.
La reforma del Código Penal que introdujo la responsabilidad penal de las personas jurídicas trasladó a los órganos de administración la carga de demostrar que existía un modelo de organización y gestión adecuado. En nuestra experiencia, esa demostración requiere mucho más que un código ético publicado en la web: exige un mapa de riesgos penales actualizado, controles internos documentados, formación acreditada de la plantilla y un canal de denuncias operativo.
Los riesgos penales que con mayor frecuencia se materializan en el ámbito de recursos humanos incluyen la apropiación indebida, la administración desleal, el acoso laboral y sexual con trascendencia penal, la revelación de secretos y los delitos contra la seguridad de los trabajadores. La empresa que no ha mapeado estos riesgos en su programa de compliance penal tiene una laguna que cualquier investigación judicial pondrá de manifiesto.
El mapa de riesgos no es un documento académico. Es la base sobre la que se construyen los controles: quién autoriza qué, qué nivel de supervisión existe sobre cada decisión con impacto económico relevante, cómo se documentan las decisiones de contratación y retribución de directivos. Esos controles, bien diseñados y bien documentados, son la principal defensa de la empresa frente a una eventual acusación penal.
La experiencia de la AEPD muestra que las sanciones más elevadas no recaen sobre empresas que han cometido infracciones especialmente graves, sino sobre empresas que, ante una inspección o reclamación, no pudieron demostrar que habían adoptado medidas razonables de cumplimiento. La ausencia de documentación convierte infracciones menores en sanciones ejemplarizantes.
El asesoramiento temprano – antes de que se produzca la brecha, antes de que llegue la reclamación, antes de que el inspector llame a la puerta – permite estructurar el programa de cumplimiento de forma proporcional al tamaño y al perfil de riesgo de cada empresa. No todas las empresas necesitan el mismo nivel de sofisticación: lo que todas necesitan es un programa que funcione y que pueda demostrarse que funciona.
El primer paso de cualquier programa de cumplimiento en el área de recursos humanos es un análisis de brechas: una revisión sistemática de los tratamientos existentes, de las bases de legitimación utilizadas, de las medidas de seguridad implantadas y de los documentos disponibles. Ese análisis no genera obligaciones nuevas: identifica las obligaciones que ya existen y que aún no se han cumplido.
En nuestra práctica hemos observado que las empresas que realizan este análisis de forma proactiva reducen significativamente su exposición cuando se produce una inspección o una reclamación. La razón es que el análisis de brechas no solo identifica problemas: genera el rastro documental que demuestra la voluntad de cumplir, un elemento que las autoridades de control valoran de forma explícita al determinar la sanción.
La evaluación de impacto de protección de datos (EIPD) es obligatoria cuando un tratamiento puede generar un riesgo elevado para los derechos y libertades de los interesados. En el entorno laboral, los tratamientos que con mayor frecuencia requieren esta evaluación son: la monitorización sistemática de la actividad de los empleados, el uso de sistemas biométricos para el control de presencia, el perfilado de empleados con finalidades de productividad o rendimiento y el tratamiento de datos de salud de la plantilla.
La EIPD no es un obstáculo: es una herramienta de gestión del riesgo. Bien realizada, permite a la empresa demostrar que analizó los riesgos antes de implantar el sistema, que adoptó medidas para mitigarlos y que tomó una decisión documentada sobre si el tratamiento era o no adecuado. Ese análisis previo es la diferencia entre una empresa que cumple y una empresa que asume riesgos sin saberlo.
El programa más sofisticado pierde eficacia si los empleados no lo conocen o no lo entienden. La formación en materia de protección de datos y compliance no es un evento anual: es un proceso continuo que debe adaptarse a los cambios normativos, a la incorporación de nuevas tecnologías y a la evolución del propio negocio.
La acreditación de la formación impartida – quién asistió, cuándo, sobre qué materias – tiene un valor probatorio relevante en caso de inspección o procedimiento sancionador. En nuestra experiencia, las empresas que documentan la formación de su plantilla en materias de cumplimiento obtienen resultados significativamente mejores en los procedimientos ante la AEPD.
La extensión del teletrabajo y del modelo híbrido ha ampliado considerablemente el perímetro de cumplimiento en el área laboral. Cuando el empleado trabaja desde su domicilio, la empresa debe gestionar tratamientos de datos que antes no existían o que tenían una naturaleza diferente: acceso remoto a sistemas corporativos, uso de conexiones domésticas, almacenamiento de información en dispositivos personales y, en algunos casos, videoconferencias que incluyen el entorno doméstico del trabajador.
El acuerdo de teletrabajo que exige la normativa laboral debe contemplar, o coordinarse con, las políticas de protección de datos aplicables al trabajo en remoto. La disociación entre el acuerdo laboral y el programa de privacidad es uno de los puntos ciegos más frecuentes que encontramos en las empresas que operan en modelo híbrido.
En un entorno de trabajo distribuido, la detección de una brecha de seguridad es más compleja y más lenta. El empleado que extravía su portátil en casa puede tardar días en comunicarlo al departamento de TI. Ese retraso puede convertir una brecha notificable en el plazo de setenta y dos horas en una notificación fuera de plazo con consecuencias sancionadoras.
El protocolo de gestión de brechas en entornos de teletrabajo debe incluir un mecanismo de comunicación inmediata del incidente por parte del empleado, con independencia del canal – correo, teléfono, plataforma de gestión de incidencias – y debe ser conocido por toda la plantilla. La formación específica sobre cómo actuar ante una brecha es, en este contexto, tan importante como el protocolo técnico de respuesta.
El siguiente listado recoge los elementos que, en nuestra práctica, determinan con mayor frecuencia la diferencia entre un programa de cumplimiento sólido y uno que no supera una inspección. No es exhaustivo, pero cubre los riesgos más frecuentes y más costosos.
Este listado puede servir como punto de partida para una auditoría interna. Si cualquiera de estos elementos está ausente o desactualizado, la empresa tiene una exposición que conviene cuantificar antes de que lo haga la AEPD o un juzgado.
El cumplimiento en el área de recursos humanos forma parte de un ecosistema más amplio de gestión del riesgo corporativo. Las empresas que trabajan con nosotros en protección de datos y compliance habitualmente necesitan también apoyo en la gestión de disputas laborales y en la estructuración de operaciones societarias con implicaciones para la plantilla.
Asimismo, los sectores con mayor exposición regulatoria – energía, retail, hostelería – presentan particularidades en la gestión del cumplimiento laboral que analizamos en detalle en materiales específicos, como el análisis sobre compliance en recursos humanos en el sector de energías renovables y las preguntas frecuentes sobre cumplimiento normativo en retail y distribución.
Para una primera valoración, escríbanos a info@velardevidal.com.
Plantear mi casoEste contenido es informativo y no constituye asesoramiento jurídico. Para un análisis de su situación, contacte con info@velardevidal.com.