El RGPD es uno de esos temas en los que la brecha entre lo básico y práctico y el complejo industrial del cumplimiento es enorme. Para un contexto de datos de RR. HH. dentro de una pequeña empresa (menos de 250 empleados, sin obligación de DPO), esto es lo que de verdad importa.
Las tres cosas que debes hacer
- Mantén un registro mínimo de las actividades de tratamiento (RAT). Tres columnas: qué datos, por qué y plazo de conservación. Con una sola página basta; la mayoría de equipos tienen entre 6 y 8 entradas.
- Ten un contrato de encargo de tratamiento (DPA) por escrito con cada proveedor que toque datos de empleados. La mayoría de proveedores SaaS te lo dan; pídelo si no lo hacen.
- Sé capaz de atender una solicitud de acceso en un plazo de 30 días. Un listón práctico: alguien pregunta «¿qué datos de RR. HH. tenéis sobre mí?» y puedes generar un CSV.
Las tres cosas que puedes dejar para después (por ahora)
- Seudonimización de datos de RR. HH. Útil para investigación y analítica, no para la operativa normal de RR. HH. Déjala hasta que tu escala operativa la exija.
- Una evaluación de impacto formal para cada herramienta nueva. Obligatoria para tratamientos de alto riesgo, y un gestor de ausencias no lo es.
- Nombrar un delegado de protección de datos. Solo es obligatorio si tus actividades principales implican tratamiento a gran escala o de categorías especiales de datos.
La cuestión de la ubicación de los datos
Para datos de RR. HH. de residentes en la UE, el listón práctico es «cifrados en tránsito y en reposo, alojados en un país con decisión de adecuación o a través de un proveedor con cláusulas contractuales tipo». Alojar solo en EE. UU. es operativamente correcto si el proveedor tiene cláusulas contractuales tipo y la certificación del Data Privacy Framework.
Las solicitudes de acceso en la práctica
La mayoría de equipos pequeños entran en pánico con estas solicitudes porque imaginan a un exempleado hostil presentando una. En la práctica el volumen es casi nulo, y el trabajo -exportar sus datos- es sencillo si tus herramientas tienen un botón de exportar. Mapear de antemano qué herramientas guardan qué datos lleva una hora y ahorra el pánico.
El teatro del cumplimiento es más peligroso que la ausencia de cumplimiento, porque inmuniza al equipo contra hacer el trabajo de verdad.