Cumplimiento de las normativas de protección de datos en RR.HH.

¿Qué obligaciones tiene el responsable del tratamiento de datos en una empresa?

Es la persona física o jurídica que determina los fines y los medios del tratamiento de los datos personales de los trabajadores.

• Determinar los fines del tratamiento (art. 24 RGPD): decidir qué datos de la plantilla se recogen, para qué se usan y cómo se protegen legalmente.
• Garantizar el deber de confidencialidad (art. 5.1.f RGPD): obligar por escrito a todo el personal que acceda a los expedientes a mantener secreto absoluto sobre los datos.
• Aplicar medidas de seguridad (art. 32 RGPD): implantar cifrado, contraseñas, servidores ubicados en el Espacio Económico Europeo y sistemas sin biometría, alineados con los criterios de la AEPD para evitar accesos no autorizados o pérdidas de información.
• Firmar el contrato de encargo (art. 28.3 RGPD): si existe un encargado de tratamiento, por ejemplo un software de RR.HH que gestiona las nóminas o los contratos de los empleados.

¿Y el encargado?

Tratar los datos bajo instrucciones del responsable (art. 28.3.a RGPD) y firmar el contrato de encargo. Será quien gestione el tratamiento de datos y comparte las obligaciones del responsable, pero el responsable sigue siendo el último filtro que debe garantizar el cumplimiento de la normativa.

Tratamiento de datos personales del empleado (RGPD)

Base jurídica de la legitimación (art. 6 RGPD)

La recogida y uso de los datos personales se legitima en la ejecución del propio contrato de trabajo y en el cumplimiento de obligaciones legales de la empresa, tales como las cotizaciones a la Seguridad Social y las retenciones fiscales de las nóminas, conforme al art. 6 del RGPD.

El deber de información en el alta laboral (art. 13 RGPD)

Recursos humanos debe entregar de forma obligatoria una cláusula informativa detallada a cada empleado en el momento de la firma de su contrato laboral. Este documento debe especificar claramente la identidad del responsable del tratamiento, la finalidad exacta para la que se usarán sus datos (como la gestión de nóminas o la prevención de riesgos), los destinatarios de las cesiones legales y el plazo de conservación de la información.

Principio de minimización de datos (art. 5.1.c RGPD)

La empresa solo puede solicitar, almacenar y tratar los datos personales que sean estrictamente necesarios, adecuados y pertinentes para las finalidades específicas de la gestión laboral.

Queda totalmente prohibido recopilar información sobre la vida privada, ideología, afiliación sindical o religión del trabajador, limitando el acceso a expedientes únicamente a los datos imprescindibles para el desarrollo de sus funciones.

Gestión de datos sensibles y de salud (art. 9 RGPD)

Están sujetos a una protección reforzada. Desde recursos humanos se debe garantizar que estos datos se traten de forma separada al expediente ordinario, impidiendo que los responsables directos tengan acceso a los diagnósticos médicos concretos del trabajador.

Nota: Los datos de salud del trabajador (incluyendo bajas médicas, certificados de aptitud y reconocimientos) deben custodiarse por el servicio de prevención o personal médico colaborador, no por el departamento de RR.HH. La empresa solo puede acceder a la calificación de "apto/no apto", nunca al diagnóstico concreto.

Ejercicio de derechos ARSULIPO (arts. 15 a 22 RGPD)

El departamento de recursos humanos tiene la obligación legal de habilitar canales sencillos y resolver en el plazo máximo de un mes las solicitudes de acceso, rectificación, supresión, limitación, portabilidad, oposición y oposición a decisiones automatizadas presentadas por los empleados. Lo más sencillo es procesar estas solicitudes desde el portal del empleado, preferiblemente de forma automatizada usando IA conversacional para atender este tipo de consultas.

Política de uso de dispositivos, correo electrónico e internet

El derecho a la intimidad en el uso de dispositivos digitales (art. 87 LOPDGDD)

Las organizaciones pueden establecer criterios de uso (incluyendo prohibiciones de utilización para fines privados) y determinar el alcance de los controles, los cuales deben respetar siempre los estándares mínimos de dignidad y privacidad del empleado de acuerdo con los usos sociales.

Requisitos para el acceso empresarial a los contenidos (art. 87.3 LOPDGDD)

Se requiere fijar las reglas de uso e informar a la plantilla sobre la existencia de medidas de control empresarial. Por ejemplo, acerca del uso y acceso al correo personal desde el ordenador del trabajo.

Advertencia: Si la empresa accede al correo o al equipo de un empleado sin haberle advertido previamente de que existía esa posibilidad de control, la prueba obtenida será declarada nula por los tribunales por vulneración de derechos fundamentales. La jurisprudencia del Tribunal Supremo (Sala Cuarta) confirma esta doctrina alineada con la sentencia Barbulescu II del TEDH.

Principio de proporcionalidad (art. 20.3 Estatuto de los Trabajadores)

El Tribunal Supremo y el Tribunal Europeo de Derechos Humanos (TEDH) exigen la aplicación estricta del principio de proporcionalidad a través de un juicio de idoneidad. La medida de control debe ser idónea para conseguir el objetivo y no debe existir otra vía menos intrusiva para auditar el rendimiento.

La sentencia Barbulescu II del TEDH (2017) consolidó el triple juicio de idoneidad, necesidad y proporcionalidad como estándar europeo: cualquier control empresarial sobre comunicaciones digitales sin información previa y suficiente al trabajador vulnera el art. 8 del Convenio Europeo de Derechos Humanos.

Participación de la representación legal de los trabajadores (art. 64 Estatuto de los Trabajadores)

La normativa laboral impone la obligación de dar participación y emitir un informe previo por parte de los delegados de personal o el comité de empresa antes de la implantación de la política, garantizando que los representantes de la plantilla conozcan los medios de supervisión técnica que se van a desplegar.

Uso de dispositivos personales o políticas BYOD (bring your own device)

La política interna debe separar nítidamente los entornos técnico-laborales de los privados y la empresa tiene totalmente prohibido acceder, auditar o instalar herramientas de monitorización automatizadas que puedan registrar datos, fotografías, aplicaciones o comunicaciones de la esfera puramente personal del empleado.

Recomendación: Implementar contenedores virtuales (MDM/MAM) que aíslen el entorno corporativo del personal en dispositivos BYOD. Esta solución técnica blinda jurídicamente al empresario y al trabajador, evitando que el acceso legítimo a datos laborales contamine la esfera privada.

Derecho a la privacidad frente a videovigilancia y geolocalización

Límites de la videovigilancia en el puesto de trabajo (art. 89.1 LOPDGDD)

La empresa tiene la facultad de instalar cámaras de seguridad para el control de la actividad laboral, pero este poder está limitado por el respeto al derecho a la intimidad del personal. Recursos humanos debe garantizar que los sistemas de grabación cumplan con el principio de proporcionalidad, limitando su uso al entorno laboral y evitando la grabación de la vía pública, instalaciones privadas ajenas o en zonas íntimas como los aseos.

El deber de información y el uso de los distintivos (art. 89.1 y art. 22.4 LOPDGDD)

Se deben colocar carteles de aviso visibles en todos los accesos a las zonas vigiladas y entregar una notificación escrita individualizada a la plantilla donde se detallen la identidad del responsable, la finalidad del tratamiento y los derechos de acceso o supresión.

Captura de audio y grabaciones sonoras (art. 89.3 LOPDGDD)

La grabación de conversaciones y sonidos en el entorno de trabajo mediante el uso de micrófonos o sistemas de escucha está prohibida con carácter general por resultar altamente invasiva para la intimidad personal. La captación de voz solo se admite de manera excepcional cuando existan riesgos acreditados y muy relevantes para la seguridad de las instalaciones, de los bienes o de las personas.

Control laboral mediante sistemas de geolocalización (art. 90 LOPDGDD)

Se debe comunicar expresamente y por escrito a los trabajadores afectados la instalación de estos dispositivos, prohibir el rastreo fuera de la jornada de trabajo establecida, y abstenerse de monitorizar los desplazamientos privados o durante los tiempos de descanso y las bajas médicas. Soluciones como la geolocalización puntual sincronizada con Google Maps capturan la posición únicamente al inicio y fin de jornada para garantizar la veracidad sin tracking continuo.

Solución tecnológica para este escenario: El Plan Professional de Kronjop integra cifrado, contrato de encargo conforme al art. 28 RGPD, geolocalización puntual sin tracking continuo y asesoramiento legal por abogados para la elaboración de la política interna de uso de dispositivos, con un modelo de pago por uso escalable según las funciones que necesite cada empresa.