Protección de Datos de los Empleados: RGPD en Recursos Humanos 2026

Pocas áreas de la empresa manejan tantos datos personales, y tan sensibles, como recursos humanos. Desde que una persona envía su currículum hasta años después de que deja la empresa, RRHH trata su identidad, sus datos bancarios, su situación familiar, su salud, su rendimiento, sus horarios, su imagen y, en ocasiones, su afiliación sindical o sus antecedentes penales. Y lo hace con una particularidad que condiciona todo el análisis: la relación entre empresa y trabajador es desigual.

Esa desigualdad explica por qué el consentimiento casi nunca es la base adecuada, por qué los controles empresariales tienen límites estrictos y por qué la Agencia Española de Protección de Datos (AEPD) presta especial atención al ámbito laboral. La AEPD publicó en 2021 una guía específica, "La protección de datos en las relaciones laborales", que es la referencia práctica más útil para cualquier responsable de personas.

Las dos normas básicas

Los derechos digitales laborales en una frase cada uno

• Art. 87 (dispositivos digitales): la empresa puede acceder a los dispositivos que facilita solo para controlar el cumplimiento laboral y garantizar su integridad, y debe fijar criterios de uso con participación de la representación de los trabajadores.
• Art. 88 (desconexión digital): derecho a no responder fuera del tiempo de trabajo, con una política interna previa audiencia de los representantes.
• Art. 89 (videovigilancia y sonido): las cámaras para control laboral requieren información previa, expresa, clara y concisa, y nunca en zonas de descanso.
• Art. 90 (geolocalización): se admite para el control laboral con información previa expresa, clara e inequívoca sobre su existencia y características.
• Art. 91 (negociación colectiva): los convenios pueden establecer garantías adicionales.

El art. 20 bis del Estatuto de los Trabajadores, introducido por la propia LOPDGDD, incorpora estos derechos al ámbito laboral. Cada uno de ellos merece un análisis propio; en esta guía nos centramos en el tratamiento ordinario de los datos de la plantilla y los candidatos.

El registro de actividades de tratamiento también obliga a las pymes

El art. 30.5 RGPD exime del registro de actividades a las organizaciones de menos de 250 trabajadores, pero solo si el tratamiento es ocasional, no entraña riesgos y no incluye categorías especiales de datos. La gestión de personal no es ocasional e incluye datos de salud (bajas, aptitud), por lo que en la práctica cualquier empresa con empleados debe documentar sus tratamientos de RRHH: nóminas, control horario, selección, prevención de riesgos, formación, evaluación del desempeño, canal de denuncias, videovigilancia si la hay.

Todo tratamiento necesita una base jurídica del art. 6.1 RGPD. Elegir la correcta no es un formalismo: determina qué información hay que dar, qué derechos puede ejercer el trabajador y cuánto tiempo pueden conservarse los datos. Y no se puede cambiar a posteriori si la elegida resulta no ser válida.

El problema del consentimiento

El RGPD exige que el consentimiento sea libre, específico, informado e inequívoco (art. 4.11) y su considerando 43 advierte de que difícilmente será libre cuando exista un desequilibrio claro entre las partes. El antiguo Grupo de Trabajo del Artículo 29, en su Dictamen 2/2017 sobre el tratamiento de datos en el trabajo, y después el Comité Europeo de Protección de Datos en sus directrices sobre consentimiento, han sido claros: en el empleo, el consentimiento solo es válido de forma excepcional.

Cómo documentar el interés legítimo

Cuando la base es el interés legítimo, la empresa debe poder demostrar que ha hecho una ponderación en tres pasos: identificar el interés (legítimo, real y actual), justificar que el tratamiento es necesario para ese interés y que no existe una alternativa menos intrusiva, y valorar que los derechos de los trabajadores no prevalecen, teniendo en cuenta sus expectativas razonables y las garantías adoptadas. Esa ponderación debe quedar por escrito.

Categorías especiales: una doble llave

Para los datos de salud, afiliación sindical, biométricos y el resto de categorías del art. 9 RGPD no basta con una base del art. 6: además hace falta una excepción del art. 9.2. En RRHH las más habituales son el cumplimiento de obligaciones en materia laboral y de Seguridad Social (art. 9.2.b) y la medicina del trabajo (art. 9.2.h). El art. 9.1 LOPDGDD añade que el consentimiento por sí solo no basta para tratar datos cuya finalidad principal sea identificar ideología, afiliación sindical, religión, orientación sexual, creencias u origen racial o étnico. Lo desarrollamos en la sección 5.

La transparencia es la primera obligación práctica. El art. 13 RGPD exige informar al trabajador en el momento en que se obtienen sus datos, y el art. 14 regula el supuesto de datos obtenidos de terceros (por ejemplo, referencias de un empleador anterior o datos facilitados por una ETT). La información debe ser concisa, transparente, inteligible y de fácil acceso, con un lenguaje claro (art. 12.1 RGPD).

Contenido mínimo

• Identidad y datos de contacto del responsable y, en su caso, del delegado de protección de datos.
• Finalidades del tratamiento y base jurídica de cada una.
• Intereses legítimos perseguidos, cuando esa sea la base.
• Destinatarios o categorías de destinatarios (gestoría, mutua, servicio de prevención, entidad bancaria, Administraciones).
• Transferencias internacionales previstas y sus garantías.
• Plazo de conservación o criterios para determinarlo.
• Derechos de acceso, rectificación, supresión, limitación, portabilidad y oposición, y cómo ejercerlos.
• Derecho a reclamar ante la AEPD.
• Si facilitar los datos es un requisito legal o contractual y las consecuencias de no hacerlo.
• Existencia de decisiones automatizadas, incluida la elaboración de perfiles, con información sobre la lógica aplicada.

Información por capas (art. 11 LOPDGDD)

La LOPDGDD permite cumplir con una primera capa que contenga, como mínimo, la identidad del responsable, la finalidad y la posibilidad de ejercer los derechos, junto con una dirección electrónica u otro medio que dé acceso sencillo e inmediato al resto de información (segunda capa). Es el formato más práctico para RRHH: una cláusula breve en el contrato o en el formulario de alta y una política de privacidad del empleado completa en la intranet o en el portal del empleado.

Tratamientos que necesitan información específica

La cláusula general no cubre todo. Hay tratamientos que exigen una información propia, previa y concreta, porque suponen un control de la actividad del trabajador o afectan a su intimidad:

• Videovigilancia con fines de control laboral (art. 89 LOPDGDD).
• Sistemas de geolocalización, incluidos los que capturan la ubicación al fichar (art. 90 LOPDGDD).
• Criterios de uso de dispositivos digitales y posibilidad de acceso a ellos (art. 87 LOPDGDD).
• Canal interno de información (Ley 2/2023), sobre el que tienes más detalle en nuestra guía del canal de denuncias obligatorio.
• Uso de algoritmos o herramientas de inteligencia artificial que afecten a decisiones sobre las personas.

La información a la representación legal

Además de la información individual, el Estatuto de los Trabajadores prevé información a los representantes en varios supuestos con contenido de datos personales: la copia básica de los contratos (art. 8.4 ET), que excluye el DNI, el domicilio, el estado civil y cualquier otro dato que pueda afectar a la intimidad; y la información sobre los parámetros de los algoritmos que afecten a las condiciones de trabajo (art. 64.4.d ET). Facilitar a los representantes más datos de los necesarios puede ser en sí mismo una infracción.

La protección de datos empieza antes del contrato. En un proceso de selección se recogen currículos, cartas de presentación, resultados de pruebas, notas de entrevistas y, a veces, referencias. La base habitual es la aplicación de medidas precontractuales a petición del interesado (art. 6.1.b RGPD): el candidato se presenta a una oferta concreta y la empresa trata sus datos para valorarlo. El proceso completo de selección lo explicamos en la guía de selección de personal; aquí nos centramos en los datos.

Situaciones habituales y cómo tratarlas

Preguntas que no deben hacerse

El principio de minimización y la prohibición de discriminación (art. 4.2.c y art. 17 ET) coinciden: no deben pedirse ni tratarse datos que no sean necesarios para valorar la idoneidad para el puesto. Edad exacta (más allá de la mayoría de edad o requisitos legales), estado civil, intención de tener hijos, religión, afiliación sindical u orientación sexual no tienen cabida en un formulario de candidatura. Tampoco la fotografía debería ser obligatoria, salvo que el puesto lo justifique.

¿Cuánto tiempo guardar los CV de los descartados?

Ninguna norma fija un plazo exacto. El criterio razonable es conservar los datos durante el proceso y, después, solo el tiempo necesario para atender posibles reclamaciones (por ejemplo, por discriminación en el acceso al empleo), manteniéndolos bloqueados. Lo importante es que el plazo esté definido en el registro de actividades, se informe al candidato y se aplique de verdad, con una purga periódica de la base de datos de selección.

Los datos de salud son los más delicados que maneja RRHH y los que más errores generan. Bajas, adaptaciones de puesto, aptitud médica, discapacidad, embarazo, alergias, accidentes: todo ello son datos relativos a la salud según el art. 4.15 RGPD, y su tratamiento exige una excepción del art. 9.2 y medidas de seguridad reforzadas.

Bajas médicas: qué puede saber la empresa

Desde el 1 de abril de 2023, con el RD 1060/2022, la persona trabajadora ya no tiene que entregar a la empresa una copia del parte de baja, confirmación o alta: es la entidad gestora la que comunica a la empresa, por vía telemática, los datos necesarios para gestionar la incapacidad temporal. Esos datos no incluyen el diagnóstico. La empresa sabe que hay una baja, su duración estimada y la contingencia, pero no la enfermedad, y no debe preguntarla ni registrarla. Ver también la guía de incapacidad temporal.

Vigilancia de la salud: solo la aptitud

El art. 22.4 LPRL establece que los datos de la vigilancia de la salud no pueden usarse con fines discriminatorios ni en perjuicio del trabajador, y que el empresario solo recibe las conclusiones en términos de aptitud para el puesto o de necesidad de introducir o mejorar medidas preventivas. El acceso a la información médica de carácter personal queda limitado al personal médico y a las autoridades sanitarias. Lo explicamos con detalle en la guía de vigilancia de la salud.

Otras categorías especiales habituales

Protocolos de acoso e investigaciones internas

Las investigaciones por acoso o por denuncias internas generan datos especialmente sensibles: declaraciones, pruebas, identidad de denunciantes y testigos. Deben custodiarse con acceso limitado a la comisión instructora, conservarse solo el tiempo necesario y respetar la confidencialidad que exigen tanto el protocolo como la Ley 2/2023 cuando el asunto llega por el canal interno.

El principio de limitación del plazo de conservación (art. 5.1.e RGPD) obliga a no guardar los datos más tiempo del necesario para la finalidad. Pero en RRHH chocan dos fuerzas: la protección de datos empuja a borrar, y las normas laborales, de Seguridad Social, tributarias y mercantiles obligan a conservar documentación durante años para poder acreditar el cumplimiento. La LOPDGDD resuelve este choque con la figura del bloqueo.

Plazos de referencia

Qué pasa con los datos de los extrabajadores

Tras la extinción del contrato, la finalidad principal (gestionar la relación laboral) desaparece. A partir de ahí, la mayoría de datos deberían pasar a bloqueo y conservarse solo para atender obligaciones y posibles reclamaciones. Algunas prácticas habituales son incompatibles con este esquema:

• Mantener activa la cuenta de correo del extrabajador con su nombre de forma indefinida (lo correcto es una respuesta automática durante un tiempo razonable y después su cierre).
• Seguir mostrando su foto o biografía en la web corporativa.
• Conservar sin límite su expediente completo con acceso abierto en el sistema.
• Dar referencias a terceros sin su conocimiento.

Ninguna empresa gestiona sola los datos de su plantilla. La gestoría elabora las nóminas, el servicio de prevención ajeno hace la evaluación y la vigilancia de la salud, la mutua gestiona contingencias, un proveedor aloja el software de control horario y otro el de formación. Cada relación debe calificarse correctamente, porque las obligaciones cambian.

Qué debe incluir el contrato de encargo

• Objeto, duración, naturaleza y finalidad del tratamiento, tipo de datos y categorías de interesados.
• Tratamiento solo siguiendo instrucciones documentadas del responsable.
• Confidencialidad del personal del encargado.
• Medidas de seguridad del art. 32 RGPD.
• Régimen de subencargados: autorización previa y mismas obligaciones.
• Asistencia al responsable para atender derechos, brechas y evaluaciones de impacto.
• Destino de los datos al finalizar: devolución o supresión.
• Puesta a disposición de la información necesaria y permitir auditorías.

Criterios para elegir un proveedor de software de RRHH

El art. 28.1 RGPD obliga a elegir únicamente encargados que ofrezcan garantías suficientes. Antes de contratar un software de nóminas, de control horario o de gestión de personal, pregunta por:

• Ubicación de los servidores y de las copias de seguridad.
• Contrato de encargo disponible y lista de subencargados.
• Control de accesos por roles, registro de actividad y cifrado.
• Posibilidad de exportar los datos y procedimiento de borrado al terminar el contrato.
• Procedimiento de notificación de brechas al cliente.
• Si el sistema permite configurar qué datos se recogen (por ejemplo, desactivar la geolocalización donde no sea necesaria).

Grupos de empresas y transmisión intragrupo

Pertenecer a un grupo no convierte a todas las sociedades en un único responsable. Compartir datos de empleados con la matriz (por ejemplo, para un sistema global de evaluación o de talento) requiere base jurídica, información a los trabajadores y, si la matriz está fuera del EEE, las garantías de transferencia internacional. El considerando 48 RGPD reconoce que puede existir un interés legítimo en transmitir datos dentro del grupo con fines administrativos internos, pero exige la ponderación correspondiente.

Trabajadores, extrabajadores y candidatos pueden ejercer frente a la empresa los derechos de los arts. 15 a 22 RGPD. En la práctica, las solicitudes más frecuentes en RRHH son las de acceso, a menudo en el contexto de un conflicto laboral (antes de una demanda por despido o por reclamación de cantidad), y las de supresión de candidatos.

Plazos y forma

La empresa debe responder en el plazo de un mes desde la recepción, prorrogable otros dos meses en caso de complejidad o número de solicitudes, informando de la prórroga dentro del primer mes (art. 12.3 RGPD). La respuesta es gratuita, salvo solicitudes manifiestamente infundadas o excesivas. Si la empresa decide no atender la solicitud, debe explicarlo e informar de la posibilidad de reclamar ante la AEPD. No contestar es, en sí, una infracción.

Algoritmos y representación de los trabajadores

Desde la Ley 12/2021, el art. 64.4.d ET reconoce al comité de empresa el derecho a ser informado de los parámetros, reglas e instrucciones en los que se basan los algoritmos o sistemas de inteligencia artificial que afectan a la toma de decisiones que pueden incidir en las condiciones de trabajo, el acceso y mantenimiento del empleo, incluida la elaboración de perfiles. Este derecho colectivo se suma al derecho individual de información sobre decisiones automatizadas del RGPD.

Una brecha de datos personales es cualquier incidente que ocasione la destrucción, pérdida o alteración accidental o ilícita de datos, o su comunicación o acceso no autorizados (art. 4.12 RGPD). En RRHH no hace falta un ciberataque sofisticado: la mayoría de brechas proceden de errores humanos.

Qué hacer ante una brecha, paso a paso

Medidas preventivas básicas en RRHH

• No enviar nóminas ni documentos sensibles por correo como adjuntos; usar un portal con acceso individual.
• Cifrado de portátiles y dispositivos móviles corporativos.
• Perfiles de acceso por roles en el software de RRHH: cada mando ve solo a su equipo.
• Doble verificación antes de cambiar una cuenta bancaria de nómina (un fraude frecuente).
• Formación periódica en phishing y en envío de información.
• Destrucción segura del papel.

El régimen sancionador del RGPD es conocido por sus cifras máximas, que rara vez se aplican a pymes pero marcan la gravedad que el legislador europeo atribuye a estas infracciones. La AEPD gradúa las multas según los criterios del art. 83.2 RGPD y del art. 76 LOPDGDD: naturaleza, gravedad y duración de la infracción, número de afectados, intencionalidad o negligencia, medidas adoptadas para paliar el daño, categorías de datos, cooperación con la autoridad y volumen de negocio, entre otros.

La clasificación de la LOPDGDD (muy grave, grave, leve) sirve sobre todo a efectos de prescripción; las cuantías se rigen por el art. 83 RGPD. La AEPD publica sus resoluciones en su web, y las relativas al ámbito laboral son una buena fuente para entender sus criterios: videovigilancia sin información, acceso indebido a correos, difusión de datos de salud o envíos masivos de nóminas son supuestos recurrentes.

Consecuencias más allá de la multa

• Prueba ilícita en juicio: los datos obtenidos vulnerando derechos fundamentales no pueden usarse como prueba (art. 11.1 LOPJ y art. 90.2 LRJS), lo que puede hacer caer un despido disciplinario.
• Indemnización por daños: el art. 82 RGPD reconoce el derecho a indemnización por los daños materiales o inmateriales sufridos.
• Vulneración de derechos fundamentales: en la jurisdicción social, la vulneración de la intimidad puede llevar a la nulidad de la decisión empresarial y a una indemnización adicional.
• Responsabilidad penal: el acceso no autorizado a datos o comunicaciones puede encajar en los delitos de descubrimiento y revelación de secretos (art. 197 Código Penal).
• Reputación: una brecha con datos de empleados afecta a la confianza interna y a la marca empleadora.

Para una pyme, adecuar la gestión de personas al RGPD no requiere un gran proyecto, sino orden. Esta hoja de ruta puede completarse en pocas semanas con la ayuda de un asesor externo para revisar los puntos jurídicos.

Caso práctico: una empresa de hostelería de 40 trabajadores

La protección de datos en RRHH no consiste en añadir cláusulas a los contratos, sino en gestionar con criterio la información de las personas a lo largo de todo su ciclo en la empresa: desde que envían su candidatura hasta años después de su salida. Las preguntas clave son siempre las mismas: ¿necesito este dato?, ¿con qué base lo trato?, ¿lo he explicado?, ¿quién puede verlo?, ¿cuándo lo borro?

El marco normativo es exigente, pero también coherente. El RGPD y la LOPDGDD no impiden gestionar nóminas, controlar la jornada o investigar un incumplimiento; exigen hacerlo con transparencia, proporcionalidad y seguridad. Y la desigualdad propia de la relación laboral explica por qué el consentimiento no es la solución y por qué los controles deben estar previamente definidos e informados.

Para la mayoría de pymes, el salto más importante es pasar de la informalidad (hojas compartidas, correos con adjuntos, archivos sin control de acceso) a herramientas que incorporan la privacidad desde el diseño. Un sistema de gestión de personal con roles, registros de acceso y plazos de conservación hace más por el cumplimiento que muchos documentos.