Guide • Compliance • 16 min read
GDPR for HR: handling employee data correctly
Cómo tratar legalmente los datos personales de las colaboradoras conforme al GDPR — bases legales, conservación, derechos, seguridad y transferencias internacionales.
Los datos de RR. HH. son datos de alto riesgo
Las funciones de RR. HH. manejan algunos de los datos personales más sensibles de cualquier organización: datos de contacto, salario, información bancaria, registros de desempeño, información de salud y, a veces, verificaciones de antecedentes penales. Bajo el Reglamento General de Protección de Datos (GDPR) y sus implementaciones nacionales — la Irish Data Protection Act 2018 y el UK GDPR / Data Protection Act 2018 — estos datos deben tratarse de manera lícita, leal y transparente.
Getting this right is both a legal duty and a trust issue. Employees are data subjects with enforceable rights, and the Data Protection Commission in Ireland (or the ICO in the UK) can investigate complaints and impose significant fines. Treat employee data with the same rigour you would customer data.
Elegir una base legal
Every processing activity needs a lawful basis. A common mistake is to rely on consent for the employment relationship. Because of the power imbalance between employer and employee, consent is rarely freely given and is therefore usually the wrong basis for core HR processing. More appropriate bases are typically the performance of the employment contract, compliance with a legal obligation (for example tax and revenue reporting), and legitimate interests.
Los datos de categoría especial — incluida la información de salud usada para licencia por enfermedad o fines de salud ocupacional — necesitan una condición adicional bajo Article 9, a menudo relacionada con el empleo, la seguridad social y la legislación de protección social. Mapen cada tipo de tratamiento de RR. HH. a su base y condición, y registren la justificación.
Transparency and data-subject rights
Employees must be told, in clear language, what data you hold, why, how long you keep it and who you share it with. This is usually delivered through an employee privacy notice, distinct from your customer-facing privacy policy. Provide it at the point of hiring and keep it current.
Data subjects can exercise rights including access (the subject access request), rectification, erasure in some circumstances, restriction and objection. Have a documented process for responding within the statutory timescale (generally one month). HR is a frequent recipient of access requests, so plan for how you will locate and redact information held across systems.
Conservación, minimización y seguridad
No conserven los datos más tiempo del necesario. Construyan un calendario de conservación que refleje tanto los requisitos legales (registros de nómina y fiscales, registros de tiempo de trabajo, documentación de salud y seguridad) como una necesidad real del negocio, y eliminen o anonimicen los datos una vez superados esos periodos. Recolecten solo lo que realmente usan: la minimización de datos es un principio, no un detalle.
Security is a legal requirement, not just good practice. Apply role-based access so that managers see only what they need, encrypt data in transit and at rest, and keep an audit trail of who accessed what. A reputable HRIS gives you granular permissions and access logging out of the box, which is far safer than scattering employee data across spreadsheets and shared drives.
Transferencias internacionales y proveedores
Si su software de RR. HH. o su proveedor de nómina almacena datos fuera del Espacio Económico Europeo, deben asegurarse de contar con un mecanismo de transferencia adecuado — una decisión de adecuación, cláusulas contractuales tipo o salvaguardas equivalentes. Desde el Brexit, las transferencias entre la UE y el Reino Unido están cubiertas por el estatus de adecuación del Reino Unido, pero esto debe monitorearse, ya que está sujeto a revisión.
Whenever you use a third party to process employee data, you need a written data-processing agreement setting out their obligations, and you should carry out due diligence on their security posture. Keep a record of your processors and where data is hosted so you can answer questions and respond to incidents quickly.
