RGPD aplicado a recursos humanos: 7 errores comunes y cómo evitarlos

El Reglamento General de Protección de Datos (RGPD) y la LOPDGDD llevan vigentes desde 2018, pero en muchas pymes españolas la gestión de datos de personal sigue siendo un campo de minas. La AEPD publica sus resoluciones sancionadoras y entre ellas aparecen a menudo casos de recursos humanos: biometría para fichar sin base legal, CV olvidados en buzones, nóminas enviadas por WhatsApp...

Estos son siete errores que se repiten en empresas con menos de 250 empleados, por qué son un riesgo y cómo evitarlos. Sobre las multas: la AEPD ha sancionado casos así y la cuantía depende de la gravedad de cada caso (art. 83 RGPD), así que no tiene sentido dar una cifra «típica».

Error 1: Usar biometría (huella o reconocimiento facial) para fichar

Cada vez más empresas se plantean fichar con huella o con reconocimiento facial para evitar que alguien fiche por otro compañero. Pero los datos biométricos usados para identificar a una persona son datos de categoría especial (art. 9 RGPD), y la AEPD, en su guía sobre control de presencia mediante sistemas biométricos (noviembre de 2023), considera que:

• En general, no hay base legal suficiente para usarlos en el control de presencia.
• El consentimiento del trabajador no sirve como base, por el desequilibrio entre empresa y trabajador.
• Aunque se superara ese obstáculo, haría falta una evaluación de impacto previa y demostrar que no hay una alternativa menos invasiva.

Cómo evitarlo: usa sistemas de fichaje en los que la empresa no trate datos biométricos. En Gestihum la biometría facial está desactivada para empresas en España: el fichaje se comprueba con la ubicación y la zona del centro de trabajo.

Error 2: Conservar CV descartados indefinidamente

Es la práctica más extendida: el departamento de personas guarda en una carpeta compartida todos los CV recibidos por si en el futuro encaja. Esto choca con el principio de limitación del plazo de conservación (art. 5.1.e RGPD).

Un criterio prudente es no conservarlos más de un año desde la última interacción con el candidato, y solo si has obtenido su consentimiento expreso e informado para mantenerlo en una bolsa de empleo.

Cómo evitarlo: define un plazo de conservación, avisa antes de que venza y solicita la renovación del consentimiento o elimina el CV.

Error 3: WhatsApp para comunicación interna sin contrato de encargado

WhatsApp es cómodo, todos lo tenemos. Pero usarlo como canal oficial para enviar nóminas, partes de baja o información personal de empleados implica:

• Transferencia internacional de datos (Meta procesa fuera de la UE en algunos flujos).
• Falta de un contrato de encargado del tratamiento con Meta.
• Imposibilidad de borrado garantizado en las copias de seguridad del móvil del trabajador.

Cómo evitarlo: usa canales internos pensados para RRHH (Gestihum incluye una intranet con mensajería interna) o, al menos, una herramienta empresarial con contrato de encargado firmado.

Error 4: Compartir Excel con datos de personal por email sin cifrado

Enviar un Excel con la lista de empleados, sus DNI y salarios por email sin cifrar expone esos datos a cualquier error de envío o intermediario. Si el Excel llega a un destinatario equivocado, puede ser una brecha de seguridad que haya que notificar a la AEPD en 72 horas.

Cómo evitarlo:

• Cifrar el Excel con contraseña (compartiendo esa contraseña por otro canal).
• Usar plataformas con cifrado en tránsito y control de acceso (Drive, OneDrive, Gestihum…).
• Aplicar la minimización: ¿realmente necesita el destinatario todos esos datos?

Error 5: No nombrar delegado de protección de datos cuando aplica

El artículo 34 de la LOPDGDD enumera los casos en los que es obligatorio nombrar un Delegado de Protección de Datos (centros sanitarios, centros docentes, entidades financieras y aseguradoras, empresas de seguridad privada, entre otros), y el art. 37 RGPD añade a quienes hacen observación habitual y sistemática de personas a gran escala (¡cuidado con la geolocalización!).

Si geolocalizas a una plantilla grande de forma habitual, conviene evaluar si encajas en ese supuesto.

Cómo evitarlo: evalúa formalmente si tu actividad encaja en alguno de los supuestos. Si es así, designa un delegado interno o externo y comunícalo a la AEPD.

Error 6: Geolocalizar sin informar antes a la plantilla

La geolocalización en el fichaje es lícita y útil, pero exige (art. 90 LOPDGDD):

• Informar de forma expresa, clara y previa a los trabajadores y, en su caso, a sus representantes (no solo en un anexo del contrato).
• Limitarla a lo necesario para el control de la jornada.
• No geolocalizar fuera de la jornada laboral.

Cómo evitarlo: registra la ubicación solo en el momento de fichar, compárala con una zona bien definida para cada centro de trabajo, e informa a la plantilla antes de activarla.

Error 7: Datos alojados fuera de la UE sin garantías

Si tu software de RRHH guarda los datos en servidores fuera de la UE sin cláusulas contractuales tipo ni un análisis de la transferencia internacional actualizado (tras la sentencia Schrems II), estás incumpliendo el RGPD.

Cómo evitarlo: elige un proveedor que aloje los datos en la UE y publique la lista de sus subencargados con las garantías de cada uno. Gestihum aloja los datos en la Unión Europea (París). Algunos proveedores son empresas de EE. UU. y se rigen por cláusulas contractuales tipo; la lista completa está en nuestra Política de privacidad.

Cómo te ayuda Gestihum con estos siete errores

Gestihum está pensado para que cumplir el RGPD te cueste menos esfuerzo:

• Biometría facial desactivada para empresas en España: el fichaje se comprueba con la ubicación.
• Mensajería interna que sustituye al WhatsApp informal.
• Cifrado en tránsito y cifrado propio para los datos más delicados (como el DNI o el IBAN), sin Excels viajando por email.
• Informe de cumplimiento en PDF, registro de brechas de seguridad y gestión de las solicitudes de supresión.
• Zona de fichaje por centro de trabajo: la ubicación se toma al fichar.
• Datos alojados en la UE y contrato de encargado del tratamiento incluido en nuestros Términos.

Si quieres dejar atrás los Excels y el WhatsApp y tomarte en serio el RGPD, empieza tu prueba de 7 días gratis.