Guide • Compliance • 16 min de lectura
RGPD para RR. HH.: manejar correctamente los datos de colaboradores
Cómo procesar legalmente los datos personales de las personas empleadas bajo el GDPR: bases legales, retención, derechos, seguridad y transferencias internacionales.
Los datos de RR. HH. son datos de alto riesgo
Las funciones de RR. HH. manejan algunos de los datos personales más sensibles en cualquier organización: datos de contacto, salario, información bancaria, registros de desempeño, información de salud y, a veces, verificaciones de antecedentes penales. Bajo el Reglamento General de Protección de Datos (GDPR) y sus implementaciones nacionales —la Irish Data Protection Act 2018 y el UK GDPR / Data Protection Act 2018— estos datos deben procesarse de manera legal, justa y transparente.
Hacer esto bien es tanto una obligación legal como un asunto de confianza. Las personas empleadas son titulares de datos con derechos exigibles, y la Data Protection Commission en Irlanda (o la ICO en el Reino Unido) puede investigar quejas e imponer multas significativas. Traten los datos de colaboradores con el mismo rigor con el que tratarían los datos de clientes.
Elegir una base legal
Cada actividad de tratamiento necesita una base jurídica. Un error común es basarse en el consentimiento para la relación laboral. Debido al desequilibrio de poder entre empleador y persona empleada, el consentimiento rara vez se otorga libremente y, por lo tanto, por lo general es la base incorrecta para el tratamiento central de RR. HH. Las bases más adecuadas suelen ser la ejecución del contrato de trabajo, el cumplimiento de una obligación legal (por ejemplo, impuestos y reportes a ingresos) e intereses legítimos.
Los datos de categoría especial —incluida la información de salud usada para la baja por enfermedad o con fines de salud ocupacional— necesitan una condición adicional bajo Article 9, a menudo relacionada con el empleo y con la ley de seguridad social y protección social. Mapeen cada tipo de procesamiento de RR. HH. a su base y condición, y registren la justificación.
Transparencia y derechos de las personas titulares de datos
Se debe informar a las personas empleadas, con lenguaje claro, qué datos conservan, por qué, durante cuánto tiempo los guardan y con quién los comparten. Esto normalmente se entrega mediante un aviso de privacidad para colaboradores, distinto de su política de privacidad dirigida a clientes. Entréguenlo al momento de la contratación y manténganlo actualizado.
Las personas titulares de datos pueden ejercer derechos que incluyen acceso (la solicitud de acceso del titular), rectificación, supresión en algunas circunstancias, restricción y oposición. Tengan un proceso documentado para responder dentro del plazo legal (por lo general un mes). RR. HH. recibe con frecuencia solicitudes de acceso, así que planifiquen cómo localizarán y anonimizán la información mantenida en distintos sistemas.
Retención, minimización y seguridad
No conserven los datos más tiempo del necesario. Elaboren un calendario de retención que refleje tanto los requisitos legales (registros de nómina y fiscales, registros de tiempo de trabajo, documentación de salud y seguridad) como la necesidad real del negocio, y eliminen o anonimicen más allá de esos periodos. Recolecten solo lo que realmente usan: la minimización de datos es un principio, no un adorno.
La seguridad es un requisito legal, no solo una buena práctica. Apliquen acceso basado en roles para que los gerentes vean solo lo que necesitan, cifren los datos en tránsito y en rest, y mantengan un rastro de auditoría de quién accedió a qué. Un HRIS de buena reputación les da permisos granulares y registro de accesos desde el inicio, lo cual es mucho más seguro que dispersar los datos de colaboradores en hojas de cálculo y unidades compartidas.
Transferencias internacionales y proveedores
Si su software de RR. HH. o su proveedor de nómina almacena datos fuera del Espacio Económico Europeo, deben asegurarse de contar con un mecanismo de transferencia adecuado —una decisión de adecuación, cláusulas contractuales tipo o salvaguardas equivalentes—. Desde el Brexit, las transferencias entre la UE y el Reino Unido están cubiertas por el estatus de adecuación del Reino Unido, pero esto debe vigilarse porque está sujeto a revisión.
Siempre que utilicen a un tercero para tratar datos de colaboradores, necesitan un acuerdo escrito de tratamiento de datos que establezca sus obligaciones, y deben realizar la debida diligencia sobre su postura de seguridad. Conserven un registro de sus encargados y de dónde están alojados los datos para poder responder preguntas y reaccionar rápidamente ante incidentes.
