Recursos Humanos debe proteger los datos personales durante toda la relación laboral: selección, contratación, nómina, salud ocupacional y salida. La LOPDP se aplica a esos tratamientos, pero no todos tienen la misma base ni contienen datos sensibles. Organizar el expediente por finalidad y accesos ayuda a cumplir sin pedir autorizaciones genéricas para todo.
Distinga los datos ordinarios de las categorías especiales
Datos de contacto y cuenta bancaria no son sensibles por su sola naturaleza. Salud, información de discapacidad y biometría identificativa requieren revisar el régimen especial de los artículos 25 y 26 de la LOPDP. Los antecedentes y referencias también deben ser pertinentes al proceso y no recopilarse de forma indiscriminada.
- Candidatos: recoja lo necesario para la selección, informe del uso y determine qué ocurrirá con las hojas de vida al cerrar la vacante.
- Nómina: identifique bases contractuales y obligaciones legales concretas; limite el acceso a quienes gestionan esas funciones.
- Beneficios: revise qué datos exige el servicio y si interviene un proveedor con decisiones propias.
- Salud: diferencie información clínica de la información administrativa necesaria para gestionar obligaciones laborales.
- Contactos de emergencia: son datos de terceros, no una extensión automática del consentimiento del trabajador.
La biometría exige más que un aviso
Desde el 24 de septiembre de 2026, la norma biométrica 2026-0039-R exige análisis de riesgos y EIPD antes de implementar cualquier sistema. Hay que justificar necesidad, comparar medios menos invasivos y comprobar la legitimación de los datos sensibles.
Si se utiliza consentimiento, debe ser explícito y libre y ofrecerse una alternativa equivalente sin biometría, salvo imposibilidad técnica debidamente acreditada. La firma bajo subordinación no asegura libertad real. Los sistemas existentes al entrar en vigor la norma tienen doce meses desde la publicación para adecuarse; el plazo transitorio llega al 24 de septiembre de 2027.
El proveedor no siempre es un encargado
Un procesador de nómina que actúa por cuenta e instrucciones de la empresa puede ser encargado. Una aseguradora o un profesional de salud puede decidir finalidades propias como responsable independiente. Clasifique cada operación antes de escoger el contrato: la etiqueta comercial del proveedor no resuelve el rol.
El artículo 41 del Reglamento General exige contrato escrito para el encargo. Para los demás roles, regule comunicación y obligaciones correspondientes. La confidencialidad aislada no reemplaza estas decisiones.
Separe accesos y defina conservación
Como criterio de organización, diferencie el expediente administrativo, certificados necesarios para una gestión y documentación clínica bajo las reglas sanitarias y laborales aplicables. Antes de habilitar acceso a un jefe, pregunte qué información necesita para su tarea: no debería recibir un expediente completo por defecto.
No conserve indefinidamente hojas de vida de candidatos no contratados sin finalidad y base. Defina plazos o criterios por tratamiento, incluyendo sistemas, carpetas compartidas y respaldos. En la salida, revoque accesos y conserve únicamente lo que siga justificado.
Coordine políticas de datos y reglamento interno
Para empleadores con más de diez trabajadores, el artículo 22 del Acuerdo MDT-2023-140 exige registrar el proyecto de reglamento interno para aprobación, con el procedimiento reformado por el Acuerdo MDT-2025-053. Integrar políticas ayuda, pero la aprobación laboral no legitima por sí sola vigilancia o biometría ni sustituye avisos y controles.
TempoLegal propone revisar primero la biometría, la conservación y el procedimiento de derechos. Retirar una autorización opcional, como publicidad interna, no impide los tratamientos de nómina que tengan otra base válida.
Contenido revisado al 12 de octubre de 2026.