5.3Datos RRHH, RGPD & confidencialidad
Lo esencial en 30 segundos
- Datos sensibles : salud, sanciones, salarios — base jurídica, minimización (nada « por si acaso »), duraciones limitadas.
- Derechos atendidos : aviso claro, acceso y rectificación en el plazo aplicable — un asalariado que pide pone a prueba el sistema.
- Seguridad + registro : roles de acceso, registro de accesos, registro al día, DPO si se requiere — una exportación en USB = una fuga.
Mini-caso hilado — Amira lleva su registro
Amira descubre una cantera de CV conservada desde hace años sin acuerdos, expedientes de asalariados accesibles a todos y ningún registro de tratamientos. Esta sección cuenta cómo inventaría cada tratamiento (finalidad, base, datos, duraciones, destinatarios, seguridad), restringe los accesos, purga la cantera y hace validar el conjunto por su DPO y su jurista a la luz de la ley 18-07 a verificar.
Continuación del caso 5.1-5.2 — Amira protege los datos tras atractivo y equidad.
1. Los datos de RRHH son sensibles por naturaleza
Salud, sanciones, salarios, opiniones sindicales : el SIRH concentra lo sensible. Base jurídica (contrato, obligación, interés legítimo), minimización (no datos « por si acaso »), duraciones (conservación limitada y luego archivo/supresión) : el reflejo antes de cada fichero.
2. Derechos de los asalariados : atenderlos
Información (aviso claro : qué, por qué, cuánto tiempo), acceso/rectificación (responder en 1 mes), oposición (prospección, ciertos tratamientos). Un asalariado que pide su expediente pone a prueba el sistema : responder bien fideliza.
3. Seguridad : cerrojos y registro
Roles (¿quién ve los salarios?), registro de accesos (¿quién ha accedido?), registro de tratamientos (mantenido al día), DPO (designado si se requiere), violación (procedimiento : contener, notificar si se requiere). Referencia FR (CNIL) : transpóngala (principios cercanos en casi todas partes).
🔎 Ejemplo concreto — 🔎 Ejemplo concreto — Registro que aguanta un control
Una línea por tratamiento, cada una defendible.
Par traitement : finalité, base, données, durées, destinataires, sécurité
Paie : contrat, 5 ans, prestataire + DPA signé
Recrutement : intérêt légitime, 2 ans max (vivier avec accord)
→ contrôle : registre présenté, écarts soldésLectura: cada línea se defiende.
Lección: purgar las canteras caducadas (2 años, acuerdo o supresión).
Vocabulario de la sección
- Dato personal
- Información identificada o identificable (identidad, salario, salud…).
Ejemplo sencillo: Amira clasifica salarios y bajas por enfermedad como sensibles.
Lo que no es: una estadística anónima no vinculable.
Reflejo: ¿este fichero identifica a alguien?
- Minimización
- Recoger solo lo estrictamente necesario para una finalidad precisa.
Ejemplo sencillo: Amira suprime las columnas « por si acaso ».
Lo que no es: guardarlo todo « nunca se sabe ».
Reflejo: ¿este dato sirve a la finalidad escrita?
- Derechos de las personas
- Información, acceso, rectificación, oposición según los casos.
Ejemplo sencillo: Amira atiende cada solicitud en el plazo aplicable.
Lo que no es: negar o demorar una solicitud de acceso.
Reflejo: ¿mi aviso dice qué, por qué, cuánto?
- Registro de tratamientos
- Inventario mantenido al día : finalidad, base, datos, duraciones, seguridad.
Ejemplo sencillo: Amira presenta su registro ante todo control.
Lo que no es: ficheros creados sin rastro ni responsable.
Reflejo: ¿cada tratamiento tiene su línea?
- Confidencialidad
- Acceso limitado a las solas necesidades (roles, registros, seguridad).
Ejemplo sencillo: Amira restringe los salarios a dos roles trazados.
Lo que no es: el expediente de asalariado abierto a toda la empresa.
Reflejo: ¿quién ha accedido a los salarios este mes?
En la práctica — En la práctica — Gestionar los datos de RRHH respetando el RGPD
- Recoja solo los datos necesarios (minimización), para finalidades precisas y legítimas, e informe a las personas.
- Limite el acceso a los datos (un expediente de asalariado no es consultable por todos) y protéjalos (en particular en el SIRH).
- Defina plazos de conservación por tipo de documento y archive/suprima más allá.
- Respete los derechos de las personas (acceso, rectificación) y verifique la conformidad de las herramientas (selección, IA) ; adapte al derecho local.
Script listo para decir — encuadrar un nuevo fichero con el DPO (1 min)
« Antes de crear este seguimiento : ¿qué base jurídica, qué datos estrictamente necesarios, qué duración, quién accede ? Escribo el aviso y la línea de registro, y me confirmáis el conjunto a la luz de las reglas aplicables antes de abrirlo. »
Para decir al DPO o jurista ; no abrir el fichero antes de la validación escrita.
Modelo copiar-pegar — línea de registro
TRATAMIENTO : _______________
FINALIDAD + BASE JURÍDICA : _______________
DATOS (mínimos) : _______________
DURACIONES (validadas localmente) : _______________
DESTINATARIOS + ROLES : _______________
SEGURIDAD + VALIDADO POR (DPO/jurista, fecha) : _______________Nuevo fichero RRHH
Amira aplica el reflejo en cuatro preguntas (qué, por qué, cuánto tiempo, quién) antes de cada creación — nunca después.
Solicitud de acceso de asalariado
Acusar recibo, extraer completo, responder en el plazo aplicable : el solicitante pone a prueba el sistema — atenderlo, no huir.
Cantera de candidaturas
Sin acuerdo explícito : purgar al vencimiento convenido localmente. Con acuerdo : trazar y purgar a su término.
Proveedor de nómina / SIRH
Encuadrar contractualmente (destinatarios, seguridad, duraciones) y hacer validar por DPO o jurista antes de migrar.
✓ Buenas prácticas
- Minimizar (no « por si acaso »).
- Aviso claro + plazos cumplidos.
- Roles + registro al día.
✗ Errores frecuentes
- Guardarlo todo « por si acaso ».
- Todos acceden a todo.
- Cantera eterna sin acuerdo.
Puntos clave
- RRHH maneja datos personales sensibles, regulados en Europa por el RGPD.
- Principios : minimización, finalidad precisa, información, seguridad, acceso limitado, conservación controlada.
- Velar por la confidencialidad de los expedientes y la conformidad de las herramientas (SIRH, selección, IA).
- Un incumplimiento expone a sanciones ; el RGPD se aplica en Europa, otros países tienen sus propias reglas.
Desafío 48h — aplícalo mañana
Inventaría 3 tratamientos con el modelo anterior (finalidad, base, duraciones, roles), purga 1 cantera caducada sin acuerdo y envía el conjunto a tu DPO o jurista para validación. Anota los desfases.
- Sé justificar un fichero (base, finalidad, duración, roles).
- Sé atender una solicitud de acceso sin huir.
- Mis 3 líneas de registro están enviadas para validación.
Preguntas frecuentes
¿El RGPD afecta realmente a RRHH en el día a día?
Sí, de forma muy concreta, porque RRHH es uno de los servicios que trata más datos personales sensibles : candidaturas, contratos, remuneraciones, evaluaciones, bajas por enfermedad, contactos familiares… Cada gesto de RRHH es un tratamiento de datos. En el día a día, esto implica por ejemplo : no conservar indefinidamente los CV de candidatos no elegidos, no dejar un expediente de asalariado accesible a todo el mundo, no recoger información inútil (minimización), proteger los ficheros y el SIRH, informar a los asalariados del uso de sus datos, y responder a sus solicitudes de acceso. No es una preocupación lejana reservada a juristas : está integrada en las prácticas corrientes de RRHH. En Europa, el RGPD regula todo esto ; fuera, se aplican otras normativas de datos personales, a identificar localmente. En todo caso, es una cuestión de conformidad y de respeto a las personas.
¿Se puede usar una herramienta de IA para clasificar candidaturas respecto a los datos personales?
Es posible pero exige vigilancia, por partida doble. Primero sobre los datos personales : una herramienta de selección o de IA trata datos de candidatos, luego sometida al RGPD (finalidad, información, seguridad, conservación limitada, derechos de las personas). Después sobre los sesgos y la transparencia : una clasificación automatizada puede reproducir o amplificar discriminaciones presentes en los datos de entrenamiento, y tomar decisiones difíciles de explicar. Buenas prácticas : mantener un control humano sobre las decisiones (la IA asiste, no decide sola), verificar la ausencia de criterios discriminatorios, informar a los candidatos, y asegurarse de la conformidad de la herramienta. Ciertas normativas regulan específicamente las decisiones automatizadas. En resumen : la IA puede ayudar a clasificar, pero bajo supervisión, con prudencia sobre los sesgos y respetando los datos — ver también la sección 5.5 y la guía dedicada a la IA.
Amira crea un seguimiento de ausencias. ¿Buen reflejo?