La Ley Orgánica de Protección de Datos (LOPD) regula la protección de los datos personales. El departamento de recursos humanos trata con la información de sus trabajadores desde la selección hasta la finalización de la vida laboral. Debe informar y gestionar los consentimientos autorizados que permitan los diversos tratamientos de esos datos. El órgano protector es la Agencia Española de Protección de Datos (AEPD). La ciberseguridad es clave en entornos de teletrabajo o híbridos, como la mayoría de los actuales.
Claves de la Ley de Protección de Datos
Los datos personales por definición incluyen “cualquier información relativa a una persona física identificada o identificable”. Desde el departamento de recursos humanos se pueden llegar a manejar todos los datos del personal en sus tres niveles:
- Básico: Nombre y apellidos, dirección, DNI, teléfono o imagen personal.
- Medio: Relacionados con la Seguridad Social y las mutuas, con delitos penales o los datos que caen bajo la responsabilidad de entidades financieras o autoridades tributarias.
- Alto: Ideología, afiliación sindical, religión, orientación sexual, salud (ahora mismo la información relativa a la vacunación del personal es uno de los datos sensibles) o los recabados para fines policiales o vinculados a delitos de violencia de género.
En la medida en que desde RRHH se trabaja con curriculum, con contratos de los trabajadores o en la gestión de nóminas, el acceso a los datos es constante. Si necesitas profundizar en esta información, la AEPD ha publicado una guía en mayo de 2021 que recoge la normativa vigente así como las situaciones concretas: “La protección de datos en las relaciones laborales”.
Los trabajadores tienen derecho a que se rectifiquen o supriman datos personales de la base de datos de la empresa en determinados supuestos. Cuando esto ocurra, mientras que se realiza el trámite, los datos deben quedar bloqueados “adoptando medidas técnicas y organizativas para impedir su tratamiento incluyendo su visualización”.
En este sentido, la normativa recoge también el derecho al olvido, que defiende el derecho de las personas a que información obsoleta o no relevante por el transcurso del tiempo sea bloqueada, suprimida o desindexada. Esta situación es especialmente sensible en el proceso de finalización de la relación laboral. Ten cuenta que las sanciones son un impacto negativo que la empresa no se puede permitir:
- Infracción leve: con una sanción económica entre 900€ y 40.000€. Por ejemplo, por no inscribir el fichero de datos en el Registro General de Protección de Datos.
- Infracción grave: con una sanción económica entre 40.001€ y 300.000€. Por ejemplo, por tratar datos personales sin consentimiento.
- Infracción muy grave: con una sanción económica entre 300.001€ y 600.000€. Por ejemplo, por recoger datos personales de manera fraudulenta.
¿Cómo afecta al departamento de recursos humanos?
La privacidad de los datos es un derecho fundamental de todo individuo amparado por la Ley Orgánica de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD) española que concreta el Reglamento General de Protección de Datos (RGPD). Su aplicación es de obligado cumplimiento para todas las empresas que trabajen con datos personales en el ámbito europeo independientemente de la ubicación, el tipo de entidad jurídica o si son pymes o autónomos.
Como regla general, los datos sensibles no deben ser recolectados ni tratados, excepto si son pertinentes. Por ejemplo, si se trata del grado de discapacidad para ser seleccionado en un puesto o recibir una bonificación. El RGPD recomienda seguir el principio de minimización, según el cual hay que recoger los datos mínimos necesarios para la relación laboral.
Será el CEO de la empresa o el responsable de recursos humanos quien designe al encargado o delegado de la protección de datos. Debe asegurarse de que sea eficazmente formado e informado de las actualizaciones necesarias.
Empezando por el proceso de selección, las personas candidatas tienen derecho a conocer cuál será el uso exacto de sus datos personales. Los reclutadores deben informar y solicitar permiso para transferir esos datos a un tercero. Asimismo la empresa está obligada a almacenar una copia de esos datos. Y todo el proceso debe ser transparente, es decir, el candidato tiene que entender las condiciones en que autoriza el uso de sus datos personales. Por tanto, debe ser transmitida de manera clara y sencilla.
El consentimiento informado afecta a mucha documentación. Por ejemplo, los CV recogidos en todo el proceso de selección deben ir acompañados del consentimiento que autoriza a la empresa a conservarlos durante dos años máximo. Para evitar infracciones y sus consecuentes multas, lo recomendado es digitalizar los currículums con alerta para solicitar nuevos consentimientos o borrar de la base de datos. Recuerda que también hay que eliminar las copias.
Seguridad y protección, dos must
Con el teletrabajo y la digitalización forzosa y acelerada de las compañías, los niveles de ciberseguridad de las empresas han sufrido un gran impacto negativo. Desde el departamento de recursos humanos, hay que solicitar las herramientas adecuadas para reforzar los niveles de seguridad de los datos personales.
La protección de los datos del empleado es responsabilidad del departamento de RRHH durante toda la relación laboral. Para poder realizar tratamiento de los datos personales de los trabajadores no es suficiente con una información incluida en el contrato laboral, por ejemplo. En la LOPDGDD se recomienda separar la documentación discriminando el consentimiento informado con su firma propia.
Las distintas etapas en las que los datos personales deben ser protegidos son las siguientes:
- Reclutamiento: tanto si el currículum es solicitado por la empresa como si es entregado por la candidatura de manera espontánea, la compañía debe contar con modelos de documentos y protocolo para acusar el recibo del CV y su correcto almacenamiento.
- Contrato de trabajo: la empresa debe informar desde el momento de la incorporación tanto de la guardia y custodia de los datos como de los cambios posibles en su tratamiento.
- Durante la relación laboral: existen diversas situaciones en las que la empresa debe contar con documentación y protocolo adecuado para garantizar la protección de los datos personales. Por ejemplo, si se instalan cámaras de videovigilancia, si un empleado se afilia a un sindicato, de los controles sobre navegación en internet o la monitorización de la permanencia en el puesto.
- Contratación de beneficios sociales: si la empresa ofrece seguros de vida o planes de pensiones, para evitar incurrir en errores con la protección de los datos, es aconsejable que sean los propios trabajadores los que tramiten la cesión de datos a las empresas aseguradoras.
- Gestión de las nóminas: este servicio se realiza habitualmente con una empresa externa. Para facilitar los datos a la gestoría se debe firmar un contrato denominado “encargo de tratamiento”.