Inicio/Protección de datos/Datos de empleados
Protección de datos de empleados y candidatos
Recursos humanos concentra los tratamientos de mayor riesgo de toda la empresa: datos de salud, situación familiar, afiliación sindical, evaluaciones de desempeño, control de presencia y, cada vez más, información obtenida de sistemas de monitorización. Y es, casi siempre, el área menos revisada.
Los tratamientos y su legitimación
| Tratamiento | Base jurídica habitual |
|---|---|
| Gestión de la relación laboral | Ejecución del contrato y obligación legal |
| Nóminas, cotizaciones y retenciones | Obligación legal |
| Prevención de riesgos y vigilancia de la salud | Obligación legal, con reglas específicas sobre datos de salud |
| Control de jornada | Obligación legal |
| Selección de personal | Medidas precontractuales o consentimiento |
| Imagen del trabajador en web o comunicación | Consentimiento, revocable |
| Evaluaciones de desempeño | Interés legítimo, con información y proporcionalidad |
| Videovigilancia y control | Facultades de dirección, con información previa |
Los puntos críticos
- Datos de salud. La empresa conoce que hay baja y su duración, no el diagnóstico. El acceso a información médica corresponde al servicio de prevención, con conclusiones de aptitud y no con datos clínicos.
- Currículos. Plazo de conservación definido y comunicado; guardarlos indefinidamente por si acaso es una infracción muy común.
- Imagen. El uso de la fotografía en la web, en redes o en material corporativo requiere consentimiento específico y revocable, y su revocación obliga a retirar la imagen.
- Accesos internos. No todo el mundo debe ver el expediente completo: perfiles diferenciados según función.
- Exempleados. Plazos de conservación por bloques, con supresión o bloqueo al vencer y no conservación indefinida.
- Afiliación sindical. Categoría especial de datos; su tratamiento exige base reforzada y confidencialidad estricta.
- Grupos de mensajería. El uso de aplicaciones personales para asuntos laborales genera tratamientos fuera de control.
El contrato de trabajo debe incorporar o remitir a la información completa del artículo 13, y esa información debe actualizarse cuando aparecen tratamientos nuevos: un sistema de control de presencia, una herramienta de monitorización o un canal de denuncias.
Selección de personal
El proceso de selección es un tratamiento con sus propias exigencias: información al candidato, limitación de los datos a los pertinentes para el puesto, prohibición de solicitar información sobre categorías especiales sin base jurídica, cautela con las referencias de terceros y plazo de conservación de las candidaturas no seleccionadas. Si se usan herramientas automatizadas de cribado, hay que informar de ello y valorar si se producen decisiones automatizadas con efectos significativos.
Esta página describe el marco general vigente en España y no sustituye al análisis del caso concreto. La normativa mercantil, laboral, penal y de protección de datos se modifica con frecuencia, y existen especialidades sectoriales y autonómicas: antes de tomar decisiones conviene verificar la redacción vigente de las normas citadas. Consúltenos su caso.
Sobre los datos de la plantilla
¿Podemos publicar fotos del equipo en la web?
Con consentimiento específico, informado y revocable de cada persona, documentado por escrito. No sirve una autorización genérica incluida en el contrato de trabajo junto a otras cláusulas, porque el consentimiento debe ser libre y separado. Y cuando alguien lo revoca —o cuando deja la empresa— hay que retirar la imagen, también de las redes sociales y del material ya publicado en la medida en que sea posible.
¿Cuánto tiempo podemos guardar los currículos?
El plazo debe estar definido, ser proporcionado a la finalidad e informarse al candidato. Un plazo de uno o dos años para futuros procesos es una práctica habitual, siempre que se informe y se permita oponerse. Lo que no es admisible es conservarlos indefinidamente sin haber informado de ello: es una de las infracciones que la Agencia detecta con más frecuencia en reclamaciones de candidatos.
El servicio de prevención nos envía informes médicos.
No debería. La empresa debe recibir la conclusión de aptitud —apto, apto con limitaciones, no apto— y las medidas de adaptación necesarias, no los datos clínicos. Recibir información médica que no corresponde genera un tratamiento sin base jurídica y una infracción, aunque el origen sea un tercero. Conviene revisar el flujo con el servicio de prevención y corregirlo por escrito.
¿Quién controla hoy las obligaciones legales de su empresa?
Si la respuesta es «cada uno un poco» o «el despacho, cuando le llamamos», hay riesgo acumulado que nadie está midiendo. Cuéntenos cómo está organizada su empresa y le devolvemos un diagnóstico con lo que falta, lo que está desactualizado, lo que puede sancionarse y en qué orden conviene resolverlo, con una propuesta de honorarios cerrada.