La gestión de datos en el departamento de recursos humanos es uno de los puntos de mayor exposición regulatoria de cualquier empresa que opera en España. Cada nómina, cada expediente disciplinario, cada evaluación de desempeño o proceso de selección genera un flujo de datos personales que el Reglamento General de Protección de Datos (RGPD) y la normativa española de desarrollo someten a obligaciones concretas. Ignorarlas no es una opción cuando la Agencia Española de Protección de Datos (AEPD) ha convertido el ámbito laboral en uno de sus focos de inspección prioritarios.
Conviene comenzar con una precisión que la práctica demuestra necesaria. No basta con incluir una cláusula de privacidad en la web corporativa ni con redactar una política de protección de datos que nadie lee. Esta es la creencia más extendida y, a la vez, la más costosa: la empresa cree que ha cumplido cuando en realidad solo ha comenzado.
El RGPD y la LOPDGDD imponen al responsable del tratamiento – en este contexto, la empresa empleadora – un conjunto de obligaciones que van mucho más allá de la mera información al trabajador. El registro de actividades de tratamiento es el documento fundacional de cualquier programa de cumplimiento en recursos humanos. Debe recoger, para cada tratamiento – selección de personal, administración de nóminas, control de presencia, videovigilancia, comunicaciones internas, registros disciplinarios – la finalidad, la base jurídica, las categorías de datos, los destinatarios, los plazos de conservación y las medidas de seguridad implementadas.
¿Por qué es esto tan relevante para la dirección? Porque en el momento en que la AEPD inicia una inspección o recibe una denuncia de un exempleado, el registro de tratamientos es el primer documento que se solicita. Su ausencia o su carácter incompleto agravan la valoración de la infracción.
En nuestra experiencia asesorando a empresas en España, el departamento de recursos humanos es el que con mayor frecuencia trata datos sensibles sin haberse planteado siquiera la base jurídica que legitima ese tratamiento. Los datos de salud – partes de baja, adaptaciones de puesto por discapacidad, información sobre embarazo – son datos de categoría especial bajo la normativa vigente. Su tratamiento requiere una base jurídica reforzada y medidas de seguridad adicionales. No es suficiente con el consentimiento genérico del trabajador obtenido al firmar el contrato.
La base jurídica más utilizada en el ámbito laboral es la ejecución del contrato de trabajo y el cumplimiento de obligaciones legales del empleador. Sin embargo, hay tratamientos – como el uso de sistemas de geolocalización, el acceso al correo corporativo o la monitorización de la actividad en los dispositivos de empresa – que requieren una base diferente o, al menos, una evaluación de impacto previa. Omitir esta evaluación es un riesgo que hemos observado con demasiada frecuencia en empresas de tamaño medio que creen que su programa de cumplimiento está al día.
La gestión de datos en recursos humanos no es solo un asunto del departamento jurídico o del delegado de protección de datos. Es una responsabilidad de la dirección, porque las decisiones que generan los tratamientos más arriesgados se toman en recursos humanos: implantar un sistema de fichaje biométrico, contratar una plataforma de gestión del talento en la nube, iniciar un proceso de diligencia debida sobre los empleados en una fusión.
Cada una de estas decisiones tiene consecuencias directas en materia de protección de datos que deben analizarse antes de ejecutar, no después.
Los plazos que la normativa fija y que ninguna empresa puede ignorar son los siguientes:
Mención aparte merece el canal de denuncias. Desde la entrada en vigor de la normativa de protección del informante, las empresas con un determinado número de trabajadores están obligadas a implantar un canal interno de denuncias que cumpla, simultáneamente, con los requisitos de la ley de informantes y con las exigencias del RGPD en cuanto a anonimización, acceso restringido y plazos de conservación de las denuncias. Gestionar ambas normativas de forma coordinada es uno de los ejercicios de compliance más complejos del entorno empresarial actual.
Hemos implantado programas de protección de datos y compliance en empresas tecnológicas, industriales y de salud. En todos los casos, el punto de partida ha sido el mismo: mapear con precisión los tratamientos existentes antes de diseñar cualquier medida correctora. Sin ese diagnóstico, las medidas que se adoptan son parciales y crean una falsa sensación de seguridad.
La evaluación de impacto en la protección de datos – conocida en la práctica como DPIA por sus siglas en inglés – es obligatoria cuando el tratamiento previsto supone un riesgo elevado para los derechos y libertades de los trabajadores. La normativa señala algunos supuestos concretos que se dan con frecuencia en recursos humanos.
La evaluación de desempeño mediante sistemas automatizados, la implantación de videovigilancia en el puesto de trabajo, el tratamiento masivo de datos de salud o la monitorización sistemática de la actividad de los empleados son casos que, en nuestra práctica, han requerido una DPIA formal antes de que la empresa pudiera implantar el sistema.
¿Qué ocurre cuando la empresa omite la DPIA y pone en marcha el tratamiento sin realizarla? La AEPD puede constatar la infracción de forma autónoma, con independencia de que se haya producido un perjuicio real para algún trabajador. La infracción existe por el incumplimiento del procedimiento, no solo por el daño causado.
La DPIA no es un trámite burocrático. Es una herramienta de gestión de riesgos que, bien ejecutada, permite a la dirección tomar decisiones informadas sobre si un determinado tratamiento es asumible y, en su caso, qué medidas de mitigación son necesarias. En nuestra experiencia, las empresas que integran la DPIA en su proceso de toma de decisiones – antes de contratar una nueva plataforma tecnológica o de implantar un nuevo sistema de control – ahorran tiempo y recursos frente a las que deben corregir a posteriori.
La designación de un delegado de protección de datos (DPO por sus siglas en inglés) es obligatoria en determinados supuestos: tratamiento a gran escala de datos de categoría especial, entre otros. En el ámbito de recursos humanos, las empresas del sector sanitario, las compañías de seguros o las plataformas de gestión del talento que operan con datos sensibles de empleados suelen estar en el perímetro de la obligación.
Pero incluso cuando la designación no es legalmente obligatoria, la figura del DPO – interno o externo – aporta un valor claro: centraliza la supervisión del cumplimiento, actúa como interlocutor con la AEPD y asesora al responsable del tratamiento en la toma de decisiones que afectan a datos personales.
La externalización de la función del DPO es una opción que la normativa permite expresamente. Para muchas empresas medianas, contar con un DPO externo especializado resulta más eficiente que designar a un empleado interno que asume la función sin la dedicación o la formación necesarias. Puede ampliar esta cuestión en nuestra guía sobre preguntas frecuentes acerca del delegado de protección de datos.
Una aclaración que la práctica demuestra pertinente: el DPO no es el responsable del cumplimiento. La responsabilidad es siempre de la empresa como responsable del tratamiento. El DPO supervisa, asesora y reporta – pero no exime a la dirección de su responsabilidad legal ni operativa.
El compliance penal y la protección de datos son disciplinas que convergen en el entorno de recursos humanos con más frecuencia de lo que los departamentos jurídicos anticipan.
El canal de denuncias es el punto de intersección más visible. Su diseño debe cumplir con la normativa de protección del informante y, al mismo tiempo, garantizar la protección de los datos del denunciante, del denunciado y de los testigos. Un canal que no anonimiza correctamente o que conserva los datos más allá del plazo permitido infringe simultáneamente la normativa de informantes y el RGPD.
La investigación interna es otro ámbito de confluencia. Cuando una empresa inicia una investigación interna sobre una conducta de un empleado – un fraude, un conflicto de interés, una filtración de información confidencial – el acceso a correos, registros de actividad o comunicaciones internas debe estar previamente regulado en la política de uso de recursos tecnológicos y amparado en una base jurídica sólida. De lo contrario, las pruebas obtenidas pueden resultar inadmisibles y la empresa puede enfrentarse a reclamaciones adicionales del propio investigado.
En nuestra práctica, hemos observado que las empresas que cuentan con un programa de compliance penal integrado con su programa de protección de datos gestionan estas situaciones de forma significativamente más eficiente. La coordinación entre ambas normativas no es un lujo – es una necesidad operativa para cualquier empresa que tenga empleados, trate datos y quiera reducir su exposición ante las autoridades de control y los tribunales.
Si su empresa está evaluando cómo articular esta coordinación, el análisis que publicamos sobre diligencia debida en entornos operativos complejos ofrece un marco de referencia útil.
La experiencia de auditoría en empresas españolas de distintos sectores permite identificar un patrón recurrente de incumplimientos que, en muchos casos, coexisten en la misma organización.
El registro de tratamientos, el protocolo de brechas y el modelo de compliance reducen la sanción y la responsabilidad de forma demostrable. No son garantías – ningún programa de cumplimiento puede serlo – pero constituyen la diferencia entre una empresa que puede acreditar su diligencia y otra que no puede.
La pregunta que plantean con mayor frecuencia los directores de recursos humanos y los directores financieros de empresas medianas es la misma: ¿cuándo merece la pena invertir en un programa de protección de datos? La respuesta, sistemáticamente, es antes de que surja el problema.
El coste de implantar un programa de cumplimiento razonablemente completo – registro de tratamientos, políticas internas, contratos con encargados, protocolo de brechas, formación a los empleados – es significativamente inferior al coste de gestionar una brecha de seguridad sin protocolo, una inspección de la AEPD sin documentación o una reclamación judicial de un exempleado que alega vulneración de sus derechos.
La adaptación al RGPD no es un proyecto puntual. Es un programa continuo que debe revisarse cuando cambia la organización, cuando se incorporan nuevas tecnologías o cuando la normativa evoluciona. Las empresas que entienden esto – y que lo integran en su gobernanza interna como un proceso más de gestión de riesgos – son las que mejor absorben los cambios regulatorios sin disrupciones operativas.
¿Evalúa su empresa en qué punto se encuentra su programa de cumplimiento? Nuestro equipo puede ayudarle a identificar las brechas y a diseñar un plan de acción priorizado. Escríbanos a nuestra área de práctica de protección de datos y compliance para obtener una primera valoración orientativa.
Dos escenarios que ilustran la diferencia que aporta el asesoramiento temprano. En el primero, una empresa tecnológica implantan un sistema de evaluación automatizada del desempeño sin haber realizado una DPIA previa. Cuando un empleado reclama sus derechos ante la AEPD, la empresa no puede acreditar la evaluación de riesgos ni la base jurídica del tratamiento. El expediente sancionador se abre con una posición de partida muy desfavorable. En el segundo escenario, una empresa industrial del mismo tamaño realiza la DPIA antes de implantar el sistema, documenta las medidas de mitigación adoptadas y forma a los responsables de recursos humanos en el protocolo de derechos. Cuando se produce una reclamación similar, la empresa responde con documentación y en plazo. El expediente, si llega a abrirse, se cierra en una fase temprana.
La diferencia entre ambos escenarios no es el sistema tecnológico. Es la diligencia previa.
A continuación se recoge una lista de verificación orientativa de los elementos mínimos que debe contemplar un programa de cumplimiento en recursos humanos. No es exhaustiva – cada organización tiene su propia complejidad – pero sirve como punto de partida para una autoevaluación:
La gestión de datos en recursos humanos se entrecruza con otras áreas de práctica que con frecuencia abordamos de forma integrada. El compliance penal – especialmente en lo relativo al canal de denuncias y a las investigaciones internas – requiere una coordinación estrecha con el programa de protección de datos. Del mismo modo, en operaciones de fusión o adquisición, la diligencia debida sobre los datos de los empleados de la empresa objetivo es un elemento crítico que puede condicionar la valoración y la estructura de la operación. Nuestros equipos de protección de datos y compliance y de Derecho societario y operaciones trabajan de forma coordinada para dar cobertura a estas situaciones.
Para una primera valoración, escríbanos a info@velardevidal.com.
Plantear mi casoEste contenido es informativo y no constituye asesoramiento jurídico. Para un análisis de su situación, contacte con info@velardevidal.com.