Protección de datos en RRHH: RGPD y LOPD en la empresa

Si gestionas nóminas, contratos o fichajes, la protección de datos en RRHH afecta a cómo recoges, consultas y compartes esa información. Cumplir exige justificar cada uso, informar a las personas trabajadoras y proteger sus datos conforme al RGPD y la LOPDGDD.

Una firma al incorporar a alguien no resuelve todas esas obligaciones. Conviene empezar por distinguir qué información necesitas, para qué la utilizas y quién puede acceder a ella.

¿Qué es la LOPD y cómo se relaciona con el RGPD?

La norma española vigente es la Ley Orgánica 3/2018 de Protección de Datos Personales y garantía de los derechos digitales, conocida como LOPDGDD. Esta ley adapta el ordenamiento español al RGPD y completa sus disposiciones: ambas normas se aplican conjuntamente, como establece el artículo 1 de la LOPDGDD.

Aunque seguimos hablando de «LOPD en recursos humanos», esa denominación abreviada debe entenderse referida al marco actual.

El Reglamento General de Protección de Datos, o RGPD, contiene las reglas europeas sobre bases legales, información, seguridad y derechos de las personas. Si encuentras referencias a GDPR en recursos humanos, se trata del mismo reglamento con sus siglas en inglés.

La LOPDGDD concreta, además, cuestiones laborales como el uso de dispositivos digitales, la desconexión o la geolocalización. Para aplicar la LOPD en las empresas hay que revisar tanto la gestión administrativa como las herramientas de control de la actividad.

¿Qué datos de los empleados trata RRHH?

RRHH trata datos personales que permiten identificar a cada persona y gestionar su relación laboral. La guía de la AEPD sobre protección de datos en las relaciones laborales explica que el tratamiento incluye recoger, almacenar, consultar, comunicar y eliminar esa información.

En la práctica, puede abarcar:

• Datos identificativos y de contacto: nombre, apellidos, documento identificativo o dirección.
• Datos bancarios: la cuenta necesaria para abonar el salario.
• Información contractual y retributiva: puesto, contrato, nóminas y conceptos salariales.
• Datos de jornada: fichajes, horarios, turnos y ausencias.
• Datos de salud: información sobre bajas médicas u otras circunstancias sanitarias que corresponda gestionar.

Los datos relativos a la salud pertenecen a las categorías especiales, sometidas a las condiciones adicionales del artículo 9 del RGPD. Gestionar una baja no justifica recopilar diagnósticos por rutina ni dar acceso a documentación médica a cualquiera que organice el trabajo.

Para revisar tus formularios, aplica una pregunta sencilla: ¿qué gestión concreta necesita este dato? El principio de minimización exige limitar la recogida a lo necesario para la finalidad, según el artículo 5 del RGPD.

¿Con qué base legal puede RRHH tratar esos datos?

RRHH puede tratar los datos necesarios para ejecutar el contrato de trabajo y cumplir las obligaciones legales de la empresa. Estas bases figuran en los artículos 6.1.b y 6.1.c del RGPD.

La base debe relacionarse con cada finalidad. Por ejemplo, gestionar el pago del salario implica utilizar información contractual y bancaria; atender las obligaciones laborales, fiscales y de Seguridad Social requiere los datos correspondientes a esas gestiones.

El consentimiento no es la base habitual de la relación laboral. La AEPD explica en su guía que el desequilibrio entre empresa y persona trabajadora dificulta que pueda prestarse libremente. Solo en situaciones excepcionales, cuando sea posible negarse sin consecuencias adversas, podría resultar adecuado.

Por eso, documentar que has entregado información sobre privacidad no convierte esa entrega en una autorización general. Tampoco una cláusula amplia permite utilizar los datos para cualquier propósito.

Si quieres introducir un uso distinto, revisa su finalidad, necesidad y base jurídica antes de empezar. En el caso de los datos de salud, también necesitas una condición aplicable del artículo 9: invocar el contrato por sí solo no resuelve su tratamiento.

¿Qué tiene que hacer RRHH para cumplir?

RRHH debe organizar el tratamiento de los datos desde su recogida hasta su eliminación, con información clara, accesos limitados, seguridad y control sobre los proveedores. Los artículos 5, 13, 28 y 32 del RGPD establecen obligaciones que debes traducir a procedimientos concretos.

¿Cómo debes informar a la plantilla?

Cuando obtienes datos directamente de una persona, debes facilitarle la información exigida por el artículo 13 del RGPD. Entre otros aspectos, debe conocer:

• Quién es responsable del tratamiento y cómo contactar.
• Para qué se utilizarán los datos y con qué base jurídica.
• A quién se comunicarán y si habrá transferencias internacionales.
• Cuánto tiempo se conservarán o qué criterios determinarán ese plazo.
• Qué derechos puede ejercer, cómo hacerlo y cómo reclamar ante la autoridad de control.

También debes explicar, cuando corresponda, si facilitar los datos es un requisito legal o contractual y las consecuencias de no aportarlos.

Revisa que la información describa lo que realmente haces. Una cláusula que solo mencione nóminas puede quedarse corta si después incorporas herramientas con otros tratamientos.

¿Quién debe tener acceso?

Cada persona debe acceder únicamente a la información que necesita para sus funciones. Es una aplicación de la minimización y la confidencialidad previstas en el artículo 5 del RGPD.

Por ejemplo, puedes organizar la cobertura de una ausencia sin compartir con todo el equipo la documentación que la justifica. Al revisar permisos, comprueba también las carpetas compartidas, los archivos descargados y los accesos de personas que han cambiado de puesto.

Los cuadrantes merecen esa misma revisión. En nuestra guía sobre protección de datos en las plantillas de turnos abordamos cómo afecta la privacidad a su gestión.

¿Qué medidas de seguridad necesitas?

Las medidas deben adecuarse al riesgo del tratamiento, según el artículo 32 del RGPD. Para llevarlo a la práctica, revisa las cuentas individuales, la protección de contraseñas, las copias de seguridad y los procedimientos para recuperar información.

Incluye instrucciones para compartir documentos y comunicar incidentes internamente. Un archivo enviado al destinatario equivocado también requiere una respuesta organizada.

Si estás revisando el control horario, puedes utilizar nuestra guía para comprobar si tu app cumple la normativa de fichaje.

¿Cómo decides cuánto conservar los datos?

La conservación debe responder a la finalidad y a las obligaciones aplicables a cada documento, conforme al artículo 5 del RGPD. No existe un plazo único que puedas aplicar a todos los archivos de RRHH.

Define para cada categoría qué debes conservar, por qué y cuándo revisar su eliminación. Al terminar una relación laboral, comprueba las obligaciones y responsabilidades pendientes antes de borrar documentación. Cuando corresponda la supresión, aplica el bloqueo previsto en el artículo 32 de la LOPDGDD.

¿Qué debes revisar con la gestoría y el software?

Cuando una gestoría o un proveedor de software trata datos por cuenta de tu empresa, actúa como encargado del tratamiento. El artículo 28 del RGPD exige regular esa relación mediante un contrato con las condiciones correspondientes.

Comprueba las instrucciones, la confidencialidad, la seguridad, la participación de otros proveedores y qué ocurrirá con los datos cuando termine el servicio. Externalizar una gestión mantiene responsabilidades para tu empresa.

Si necesitas ordenar los archivos laborales, puedes valorar un gestor documental y revisar cómo encaja en los procedimientos y permisos que hayas definido.

¿Qué derechos digitales tienen los trabajadores?

La plantilla tiene derechos que protegen su intimidad en el uso de tecnología y su descanso fuera del trabajo. Los artículos 87 a 91 de la LOPDGDD regulan estas garantías:

RRHH debe trasladar estas garantías a instrucciones comprensibles: cómo se utilizan los equipos, qué controles existen y cómo se protege la desconexión.

¿Y si la empresa usa geolocalización en el fichaje?

La empresa puede tratar datos de geolocalización para las funciones de control previstas en el artículo 20.3 del Estatuto de los Trabajadores, dentro de sus límites legales. El artículo 90 de la LOPDGDD exige informar antes, de forma expresa, clara e inequívoca, a la plantilla y, en su caso, a sus representantes.

La información debe explicar la existencia y las características del sistema, además del posible ejercicio de los derechos de acceso, rectificación, limitación y supresión.

Para implantarlo, concreta:

• La finalidad: qué necesidad justifica registrar la ubicación.
• El momento de recogida: cuándo se captura el dato.
• Los accesos: quién consultará esa información.
• La conservación: qué criterios aplicarás y cómo los comunicarás.

Si la finalidad es acreditar desde dónde se ficha, limita la recogida a ese momento y evita un seguimiento continuo que exceda esa necesidad. El principio de minimización del artículo 5 del RGPD también se aplica a la ubicación.

Puedes consultar nuestra solución de fichaje con geolocalización para valorar su encaje. Antes de activarla, deja definidos la finalidad, la información a la plantilla y los permisos de consulta.