Recursos humanos: uno de los ámbitos más sensibles de la protección de datos
El departamento de recursos humanos trata información especialmente delicada. Aunque muchas veces se piense en protección de datos como algo vinculado a clientes o usuarios web, la realidad es que una empresa puede asumir un riesgo muy alto si no gestiona correctamente los datos de su plantilla, candidatos y antiguos trabajadores.
En recursos humanos se tratan datos de identidad, contacto, vida laboral, nóminas, cuentas bancarias, número de afiliación a la Seguridad Social, situaciones familiares, formación, currículums, bajas médicas, sanciones, evaluaciones de desempeño, control horario, videovigilancia, geolocalización y, en algunos casos, datos de salud o información especialmente protegida.
El RGPD y la LOPDGDD exigen que estos tratamientos sean lícitos, transparentes, proporcionados, seguros y limitados a la finalidad que los justifica. Además, la LOPDGDD reconoce derechos digitales específicos en el ámbito laboral, como el derecho a la intimidad en el uso de dispositivos digitales, la desconexión digital, la protección frente a videovigilancia y grabación de sonidos y la intimidad ante sistemas de geolocalización.
Por tanto, recursos humanos no puede funcionar con soluciones improvisadas ni con formularios genéricos. Necesita procedimientos claros, medidas de seguridad y criterios jurídicos bien definidos.
1. Nóminas y gestión laboral: datos necesarios, pero altamente confidenciales
La elaboración de nóminas y la gestión laboral suelen apoyarse en bases jurídicas sólidas: la ejecución del contrato de trabajo y el cumplimiento de obligaciones legales en materia laboral, fiscal y de Seguridad Social.
Esto significa que la empresa no necesita pedir consentimiento al trabajador para tratar los datos imprescindibles para contratar, pagar salarios, cotizar, practicar retenciones o cumplir obligaciones laborales.
Sin embargo, que el tratamiento sea necesario no significa que pueda hacerse de cualquier manera. Deben respetarse los principios de minimización, confidencialidad, limitación de finalidad y seguridad.
Riesgos habituales en nóminas
Algunos errores frecuentes son:
- enviar nóminas a correos incorrectos;
- permitir accesos innecesarios a información salarial;
- conservar documentación laboral sin criterio;
- compartir datos con asesorías sin contrato de encargo;
- almacenar documentos en carpetas compartidas sin control;
- utilizar herramientas cloud sin revisar garantías;
- mezclar datos laborales con dispositivos personales.
Una brecha de nóminas puede revelar salarios, embargos, bajas, datos bancarios o situaciones familiares. El impacto para la persona trabajadora puede ser elevado.
Buenas prácticas
La empresa debería aplicar:
- control estricto de accesos;
- confidencialidad reforzada;
- contratos adecuados con asesorías y proveedores laborales;
- cifrado cuando proceda;
- canales seguros para envío de documentación;
- conservación conforme a plazos legales;
- bloqueo o supresión cuando ya no sea necesario conservar.
Beneficio: seguridad jurídica, confianza interna y reducción de riesgos.
Riesgo: exposición de información laboral sensible, reclamaciones y daño reputacional.
2. Currículums y procesos de selección: transparencia desde el primer contacto
La gestión de currículums es otro punto crítico. Muchas empresas reciben CV por email, formularios web, portales de empleo, redes sociales o entrega presencial. Desde el primer momento, la persona candidata debe recibir información clara sobre el tratamiento de sus datos.
Debe indicarse:
- quién es el responsable del tratamiento;
- finalidad del tratamiento;
- base jurídica;
- plazo de conservación;
- destinatarios o proveedores, si existen;
- derechos de la persona candidata;
- canal para ejercerlos.
La base jurídica puede variar según el caso. En muchos procesos de selección, el tratamiento puede apoyarse en la aplicación de medidas precontractuales solicitadas por la persona candidata o en el consentimiento cuando se quiera conservar el currículum para futuros procesos.
Plazos de conservación
Un error habitual es conservar currículums indefinidamente “por si acaso”. Esto no es adecuado. Si el candidato no es seleccionado, los datos deben conservarse solo durante un plazo razonable, salvo que exista consentimiento válido para mantenerlos en una bolsa de empleo.
La empresa debe evitar bases de datos eternas de candidatos, currículums sin actualizar o CV accesibles para personas que no intervienen en el proceso de selección.
Datos excesivos
También debe evitarse solicitar información innecesaria: datos familiares, fotografías cuando no sean necesarias, estado civil, ideología, salud u otra información no relacionada con el puesto.
Beneficio: selección más transparente, segura y respetuosa.
Riesgo: discriminación, conservación excesiva y uso de datos sin legitimación.
3. Control horario y control laboral: no todo vale por ser empresa
La empresa puede organizar, dirigir y controlar la actividad laboral, pero ese poder no es ilimitado. Cualquier medida de control debe respetar la dignidad, la intimidad y la protección de datos de las personas trabajadoras.
Esto afecta a:
- registro horario;
- videovigilancia;
- geolocalización;
- control de dispositivos digitales;
- monitorización de correo corporativo;
- herramientas de productividad;
- sistemas biométricos;
- evaluaciones automatizadas;
- controles de acceso;
- grabación de sonidos.
La base jurídica puede ser, según el caso, una obligación legal, la ejecución del contrato o el interés legítimo de la empresa. Pero siempre debe existir información previa, proporcionalidad y garantías.
4. Videovigilancia en el trabajo
La videovigilancia puede ser legítima para fines de seguridad o control laboral, pero no puede aplicarse de forma indiscriminada.
Debe informarse de forma clara y previa. No deben instalarse cámaras en zonas de descanso, vestuarios, aseos o espacios donde la expectativa de intimidad sea elevada. La grabación de sonido exige una justificación especialmente rigurosa y solo debería utilizarse en situaciones excepcionales.
La LOPDGDD regula expresamente el derecho a la intimidad frente al uso de videovigilancia y grabación de sonidos en el lugar de trabajo. Esto obliga a la empresa a valorar finalidad, necesidad y proporcionalidad.
Riesgo: vigilancia excesiva, vulneración de intimidad y sanciones.
Beneficio: seguridad y control empresarial dentro de límites legales.
5. Geolocalización y dispositivos digitales
La geolocalización puede ser útil en actividades de transporte, reparto, asistencia técnica o comerciales, pero debe implantarse con cautela.
La empresa debe informar expresamente sobre la existencia y características del sistema, la finalidad, los datos tratados y los derechos de las personas. Además, debe limitar el uso al tiempo y finalidad laboral. La geolocalización continua fuera de la jornada puede ser desproporcionada.
En cuanto a dispositivos digitales, la LOPDGDD exige que la empresa establezca criterios de uso y respete la intimidad de las personas trabajadoras. Si se permite uso privado, deben definirse límites y garantías. Si se realizan controles, deben ser proporcionados y conocidos.
6. Biometría, IA y decisiones automatizadas: especial atención
Los sistemas biométricos para control horario o acceso pueden implicar alto riesgo, especialmente cuando identifican de forma única a una persona. Lo mismo ocurre con herramientas de inteligencia artificial utilizadas para selección, evaluación, productividad o toma de decisiones laborales.
En estos casos, la empresa debe analizar con especial rigor:
- necesidad del sistema;
- existencia de alternativas menos invasivas;
- base jurídica aplicable;
- proporcionalidad;
- impacto sobre derechos laborales;
- riesgos de discriminación;
- medidas de seguridad;
- transparencia y supervisión humana.
No basta con que una tecnología sea cómoda o eficiente. Debe ser necesaria, adecuada y respetuosa con los derechos fundamentales.
7. ¿Cuándo puede ser obligatoria una EIPD en recursos humanos?
No todos los tratamientos de recursos humanos exigen una Evaluación de Impacto en Protección de Datos. Por ejemplo, la gestión ordinaria de nóminas o contratos no suele requerirla si se realiza de forma estándar y con medidas adecuadas.
Pero sí puede ser necesaria cuando el tratamiento entrañe alto riesgo, especialmente en casos como:
- biometría para identificación;
- geolocalización intensiva;
- vigilancia sistemática;
- monitorización masiva de productividad;
- decisiones automatizadas sobre empleados o candidatos;
- tratamiento a gran escala de datos sensibles;
- uso de IA en selección o evaluación;
- sistemas que puedan afectar significativamente a condiciones laborales.
La EIPD ayuda a valorar necesidad, proporcionalidad, riesgos y medidas de mitigación.
8. Seguridad de la información en RR. HH.
Los datos laborales deben protegerse con medidas técnicas y organizativas adecuadas al riesgo. Algunas medidas básicas son:
- perfiles de acceso por roles;
- registro de accesos a documentación sensible;
- cifrado de dispositivos y documentos cuando proceda;
- gestión segura de contraseñas;
- formación del personal de RR. HH.;
- confidencialidad contractual;
- canales seguros de comunicación;
- control de proveedores;
- copias de seguridad;
- política de conservación y destrucción documental.
La seguridad y la privacidad deben funcionar juntas. Una empresa puede cumplir formalmente con cláusulas informativas, pero seguir expuesta si sus nóminas, CV o expedientes laborales están en carpetas compartidas sin control.
9. Proveedores: asesorías, plataformas y software laboral
Muchas empresas externalizan nóminas, prevención de riesgos, selección, formación, control horario o software de RR. HH. Si esos proveedores tratan datos por cuenta de la empresa, deben firmarse contratos de encargo del tratamiento.
Además, deben revisarse las garantías técnicas, la ubicación de los datos, posibles subencargados, transferencias internacionales y medidas de seguridad.
Conclusión
La protección de datos en recursos humanos exige equilibrio. La empresa necesita gestionar nóminas, seleccionar personal y controlar la actividad laboral, pero debe hacerlo con respeto a la privacidad, la proporcionalidad y la seguridad de la información.
El RGPD y la LOPDGDD no impiden la gestión laboral. Lo que exigen es que sea transparente, justificada, limitada, segura y respetuosa con los derechos de las personas trabajadoras y candidatas.
Una buena gestión de privacidad en RR. HH. reduce riesgos, mejora la confianza interna y demuestra que la empresa entiende la protección de datos como parte de su cultura corporativa.
Límite de la información: este contenido es informativo y divulgativo. No sustituye una revisión jurídica individualizada. La legitimación, los plazos de conservación, la necesidad de EIPD, el uso de videovigilancia, geolocalización, biometría o IA deben analizarse caso por caso, según el puesto, la finalidad, la tecnología utilizada y el riesgo real para las personas.
#sipylopd #SIPY #RGPD #LOPDGDD #ProtecciónDeDatos #RecursosHumanos #PrivacidadLaboral #Ciberseguridad #Compliance
