Una guía práctica sobre el tratamiento lícito de datos, los registros sensibles de los empleados, las solicitudes de datos, la conservación de datos y la selección de proveedores de servicios de recursos humanos.
Los expedientes de los empleados deben regirse por normas claras: qué datos se recogen, quién puede acceder a ellos y cuándo deben eliminarse. Empiece por definir la finalidad de cada expediente, en lugar de elaborar una lista de información que podría resultar útil algún día.
Información verificada el 21 de septiembre de 2026. También deben tenerse en cuenta las normas nacionales en materia de empleo y las circunstancias del tratamiento de datos.
Los datos de contacto, la información sobre nóminas, las horas de trabajo y los registros de rendimiento tienen finalidades distintas. Anote la finalidad, las personas que necesitan acceso y la norma de conservación aplicable para cada categoría. Un sistema de recursos humanos debería ayudarle a mantener claras estas distinciones.
El RGPD exige la minimización de datos. Ser empresario no supone una autorización general para recopilar información privada de los empleados. Los datos relativos a condenas penales y delitos se rigen por el artículo 10, al margen de las categorías especiales contempladas en el artículo 9. RGPD, artículos 5, 9 y 10
La información sanitaria, la afiliación sindical y los datos biométricos utilizados para la identificación unívoca requieren un cuidado especial. Para el tratamiento de categorías especiales, identifique tanto una base jurídica conforme al artículo 6 como una condición aplicable conforme al artículo 9. La necesidad derivada de la legislación laboral, con arreglo al artículo 9, apartado 2, letra b), depende de la autorización prevista en la legislación de la UE o nacional, o de un convenio colectivo que cumpla los requisitos, con las garantías pertinentes. EDPB: tratamiento lícito y datos sensibles
La necesidad contractual, la obligación legal y los intereses legítimos son conceptos habituales en el ámbito laboral, pero la base jurídica adecuada depende de la actividad en cuestión. El hecho de que una cláusula figure en un contrato no implica que todos los usos relacionados con los datos sean necesarios. Los intereses legítimos requieren una evaluación de la necesidad y de la ponderación; además, pueden aplicarse normas nacionales adicionales en materia de vigilancia.
El consentimiento suele ser inadecuado cuando la relación laboral impide la libre elección. Cuando se utilice, debe ser posible negarlo o retirarlo sin que ello suponga perjuicio alguno. Documente la base jurídica antes de que comience el tratamiento. CEPD: bases jurídicas
En el caso de la información recabada directamente del empleado, el artículo 13 exige normalmente que se facilite la información sobre la protección de datos en el momento de la obtención de los datos. Los datos obtenidos de otras fuentes se rigen por el artículo 14, que establece sus propios plazos y excepciones. Aborde las finalidades, las bases jurídicas, los destinatarios, la conservación, las transferencias cuando proceda y los derechos aplicables. El hecho de acusar recibo de un aviso no implica el consentimiento para todas las actividades que en él se describen. RGPD, artículos 13 y 14
Haga que el aviso sea fácil de encontrar tras la incorporación. Si el empleado pregunta sobre un uso concreto de sus datos, alguien debería poder explicarle el proceso real que se esconde tras la redacción.
Los empleados pueden solicitar el acceso y la rectificación de sus datos, y pueden tener derecho a la supresión, la limitación del tratamiento, la portabilidad o la oposición, en función de las circunstancias. La supresión no es incondicional: las obligaciones legales de conservación y las reclamaciones judiciales pueden justificar el mantenimiento de determinados registros. La limitación del tratamiento tampoco supone una prohibición absoluta de todo uso de la información conservada.
La portabilidad se refiere a los datos facilitados por el interesado, tratados por medios automatizados sobre la base del consentimiento o de un contrato. No abarca todos los expedientes de recursos humanos. Las solicitudes suelen requerir una respuesta en el plazo de un mes; cualquier prórroga autorizada deberá justificarse dentro de ese primer mes. Es posible que sea necesario comunicar las rectificaciones, supresiones y restricciones a los destinatarios, sin perjuicio de las excepciones previstas en el artículo 19. CEPD: derechos de los interesados
Un flujo de trabajo interno útil consiste en:
No existe una tabla de conservación única de la UE para todos los datos de los empleados. Los documentos de nómina, los expedientes de los candidatos y los registros de medicina del trabajo pueden estar sujetos a requisitos diferentes. Registre el motivo de cada plazo, cuándo comienza a contar, cualquier fase de archivo restringido y qué ocurre cuando finaliza el plazo.
La CNIL francesa publica directrices sobre la conservación de datos de RR. HH., pero sus plazos específicos para cada país no deben presentarse como normas aplicables en toda la UE. Las retenciones legales y los plazos de conservación reglamentarios pueden variar cuando resulte adecuado proceder a la supresión. CNIL: plazos de conservación
Una configuración predeterminada del software es un parámetro que debe evaluarse, no una prueba de que el período elegido sea conforme a la ley. Incluya en su proceso las exportaciones, los servicios conectados y la gestión de copias de seguridad.
Un registro de actividades de tratamiento describe operaciones como la gestión de nóminas o la contratación. No se trata de una entrada independiente para cada nuevo empleado. No dé por sentado que el hecho de contar con menos de 250 empleados le exime de esta obligación: la exención es limitada y el tratamiento de datos de RR. HH. no es de carácter ocasional. CEPD: registros y rendición de cuentas
Cuando un proveedor trate datos en su nombre, es necesario un contrato de encargado del tratamiento conforme al artículo 28. Otros destinatarios pueden actuar como responsables del tratamiento independientes o conjuntos y requieren una evaluación diferente; no toda divulgación supone una relación de encargado del tratamiento. RGPD, artículos 26 y 28
En el caso de las transferencias fuera del EEE, consulte la decisión de adecuación o las garantías aplicables, así como el contrato de prestación de servicios. La constitución de la sociedad en la UE y la ubicación del servidor no determinan por sí solas el flujo completo de datos. CEPD: transferencias internacionales
PersoHR ofrece exportaciones de datos, flujos de trabajo de supresión y registros de auditoría para facilitar estos procesos. Su organización debe decidir qué normas son de aplicación, configurar el servicio en consecuencia y revisar las solicitudes antes de darles curso.
Prueba PersoHR gratis durante 30 días. No se requiere tarjeta de crédito.
Empieza tu prueba gratuita de 30 días