El RGPD en el ámbito laboral
regula la forma en que las empresas tratan los datos de los empleados: fundamentos jurídicos más allá del consentimiento (contrato, obligación legal, interés legítimo), avisos de transparencia, minimización, seguridad y límites estrictos en materia de vigilancia. Los flujos de datos de RR. HH. hacia los proveedores de nóminas y de servicios de EOR requieren acuerdos de encargado del tratamiento y garantías de transferencia.
Las normas específicas en materia de empleo que son importantes
- El consentimiento rara vez es válido: el desequilibrio de poder invalida la mayor parte del consentimiento de los empleados; por lo tanto, hay que basar el proceso en el contrato, en las obligaciones legales y en los intereses legítimos, con una ponderación documentada.
- La vigilancia tiene sus límites: la vigilancia encubierta o generalizada no funciona; en Alemania, los comités de empresa participan en la toma de decisiones sobre las herramientas; la proporcionalidad y la notificación previa son los criterios de referencia.
- Los proveedores son encargados del tratamiento: las empresas de gestión de nóminas, los proveedores de servicios de EOR y los de prestaciones sociales firman acuerdos en virtud del artículo 28; los flujos transfronterizos requieren cláusulas contractuales tipo (SCC) o una declaración de adecuación.
- Las solicitudes relacionadas con los derechos llegan al departamento de RR. HH.: las solicitudes de acceso se refieren a correos electrónicos y archivos sobre la persona; la conservación y la estructura de los datos determinan si es posible dar respuesta a dichas solicitudes.
- El plazo de conservación depende de la finalidad: los registros de nóminas se conservan durante los años establecidos por la ley; los datos de los solicitantes, no.
Preguntas frecuentes
¿Podemos transferir los datos de los empleados a empresas del grupo en el extranjero?
Con garantías: decisiones de adecuación, cuando existan; cláusulas contractuales tipo, además de evaluaciones de la transferencia, en los demás casos; y normas corporativas vinculantes para los grupos consolidados. Las transferencias intragrupo son transferencias: el hecho de pertenecer a «la misma familia empresarial» no constituye una base jurídica.
¿Qué datos puede conservar una empresa de gestión de recursos humanos (EOR) o un proveedor de servicios de nóminas?
Lo que necesita el servicio: datos de identidad, contractuales, bancarios, fiscales y de la Seguridad Social —en virtud de un acuerdo de encargado del tratamiento conforme al artículo 28, con transparencia sobre los subencargados del tratamiento y supresión de datos al finalizar la relación—. El departamento de RR. HH. del cliente no debe reenviar el archivo completo de nóminas sin motivo justificado; el principio de minimización se aplica en ambos sentidos.