El protocolo de protección de datos para empleados es el documento interno que fija cómo debe tratar los datos el personal: confidencialidad (art. 5 LOPDGDD), uso de ordenadores, móvil y correo, contraseñas, papel, mensajería, teletrabajo y qué hacer ante un incidente. El RGPD exige que quien trata datos lo haga siguiendo instrucciones del responsable (arts. 29 y 32.4); el protocolo firmado es la forma de demostrarlo.
Un protocolo de protección de datos para empleados es el documento en el que la empresa explica a su personal cómo tiene que tratar los datos personales y qué no puede hacer con ellos. También se llama documento de funciones y obligaciones del personal o normas internas de uso. El RGPD obliga a que cualquier persona que trabaje para ti y acceda a datos los trate solo siguiendo tus instrucciones (arts. 29 y 32.4). Si esas instrucciones no están escritas y firmadas, no puedes demostrar que las diste.
¿Es obligatorio tener un protocolo para empleados?
Con la normativa anterior al RGPD existía el «documento de seguridad», con un formato bastante rígido. Hoy ninguna ley exige un documento con un nombre concreto, pero sí hay obligaciones que sin él son muy difíciles de cumplir:
- El personal solo puede tratar datos siguiendo instrucciones del responsable (arts. 29 y 32.4 RGPD).
- Todos los que intervienen en el tratamiento tienen deber de confidencialidad, también cuando dejan la empresa (art. 5 LOPDGDD).
- Si la empresa quiere poder revisar el ordenador o el correo de trabajo, tiene que haber fijado antes unos criterios de uso e informado de ellos a la plantilla (art. 87 LOPDGDD).
- La empresa tiene que tener una política de desconexión digital (art. 88 LOPDGDD).
- Por el principio de responsabilidad proactiva, tienes que poder demostrar que cumples.
En la práctica, el protocolo firmado es la prueba que se enseña a la AEPD, y también la que se usa ante un juzgado si un empleado hace un mal uso de los datos.
Qué tiene que incluir
No hace falta un documento de 40 páginas. Tiene que ser claro y estar adaptado a lo que se hace en tu negocio. Estos son los apartados habituales.
1. Deber de confidencialidad
El empleado se compromete a no revelar ni usar para otros fines los datos que conozca por su trabajo: de clientes, pacientes, compañeros o proveedores. Por el artículo 5 de la LOPDGDD, este deber sigue después de acabar la relación laboral. Ejemplo: la recepcionista de una clínica no puede comentar fuera quién ha venido a consulta, y el comercial que se va no puede llevarse la cartera de clientes.
2. Acceso solo a lo necesario
Cada persona accede únicamente a los datos que necesita para su puesto. En una peluquería, quien da citas no necesita ver las facturas; en una gestoría, cada técnico ve solo sus clientes. Hay que prohibir expresamente consultar datos por curiosidad: mirar la ficha de un vecino o de un famoso es un acceso indebido.
3. Ordenadores, móviles y correo de la empresa
- Para qué se pueden usar y si se permite algún uso personal. Si se permite, hay que concretar qué usos y en qué momentos (art. 87.3).
- Que la empresa puede acceder a su contenido para controlar el cumplimiento laboral y la seguridad de los equipos, y en qué condiciones.
- No instalar programas sin autorización ni conectar memorias USB de origen desconocido.
- Bloquear la pantalla al levantarse del puesto.
- No reenviar correo de la empresa a cuentas personales.
4. Contraseñas
- Son personales: no se comparten ni se apuntan en un pósit pegado al monitor.
- Una distinta para cada servicio y, cuando sea posible, verificación en dos pasos.
- Se cambian si hay sospecha de que alguien la conoce.
5. Papel
- Mesa limpia: al acabar la jornada, los documentos con datos se guardan en armarios o cajones cerrados.
- Nada de dejar expedientes a la vista en el mostrador o en la sala de espera.
- Los documentos se destruyen con trituradora o con una empresa de destrucción, nunca enteros en la papelera.
- Cuidado con la impresora compartida: recoger los documentos al momento.
6. WhatsApp y mensajería
Es donde más fallos hay en las pymes. El protocolo debe dejar claro qué se puede hacer:
- No enviar datos de clientes (DNI, informes, fotos de documentos) por el WhatsApp personal.
- Si la empresa usa mensajería con clientes, hacerlo desde la cuenta o el móvil de empresa que se haya decidido.
- No crear grupos con clientes en los que todos vean el número de los demás. Para avisos masivos, listas de difusión u otra herramienta que no exponga los números.
- No hacer capturas de pantalla de fichas de clientes para compartirlas.
7. Teletrabajo y trabajo fuera de la oficina
- Trabajar con los equipos de la empresa o, si se usan los propios, con las condiciones que se fijen.
- No trabajar con datos en redes wifi públicas sin protección.
- Que nadie de casa vea la pantalla ni los papeles; no imprimir en casa salvo que sea imprescindible.
- El derecho a la desconexión digital también se aplica en el teletrabajo (art. 88.3 LOPDGDD).
8. Correos masivos
Una regla sencilla evita muchas brechas: cuando un correo va a varios clientes, las direcciones van en CCO. Y antes de enviar un documento, comprobar el destinatario.
9. Qué hacer ante un incidente
El empleado tiene que avisar de inmediato a la persona designada si pierde un móvil, envía algo a quien no era, sospecha de un correo o ve un acceso raro. La empresa tiene 72 horas desde que lo sabe para notificar a la AEPD, y no puede empezar a contar si nadie le avisa. Más en brecha de seguridad.
10. Derechos de los clientes
Si un cliente pide ver, corregir o borrar sus datos, el empleado no tiene que resolverlo solo: lo pasa a quien se encarga, el mismo día. Hay un mes para contestar. Lo explicamos en derechos ARCO.
11. Cámaras, geolocalización y control laboral
Si hay cámaras o GPS en vehículos, el protocolo es un buen sitio para informar de ello de forma expresa, como exigen los artículos 89 y 90 de la LOPDGDD: qué se graba o localiza, para qué y cómo ejercer los derechos.
Quién firma y cuándo
- Todos los empleados que acceden a datos, incluidos becarios, personal temporal y familiares que echan una mano en el negocio.
- En la incorporación, junto con el contrato, y cada vez que el protocolo cambie de forma importante.
- Guarda una copia firmada (en papel o con firma electrónica) de cada persona. Sin firma o sin un registro de entrega, es difícil demostrar que la conocía.
Los proveedores que acceden a datos (gestoría, informático, empresa de limpieza que entra en el despacho) no firman este protocolo: firman un contrato de encargado del tratamiento o un compromiso de confidencialidad, según el caso.
Si hay representantes de los trabajadores, los criterios de uso de dispositivos deben elaborarse con su participación (art. 87.3) y la política de desconexión, previa audiencia de ellos (art. 88.3).
La formación: el protocolo solo funciona si se entiende
El RGPD no fija un número de horas de formación, pero sí cuenta la formación y concienciación del personal entre lo que hay que supervisar (art. 39.1.b) y, sobre todo, es la medida que más brechas evita. Para una pyme basta con poco:
- Una sesión corta al incorporarse, con el protocolo delante y ejemplos del propio negocio.
- Un recordatorio periódico, por ejemplo una vez al año, con los fallos más comunes.
- Un aviso puntual cuando haya un cambio: un programa nuevo, cámaras, teletrabajo.
- Dejar constancia de quién ha recibido la formación y cuándo.
Lista de comprobación para esta semana
- Haz una lista de todas las personas que acceden a datos en tu negocio.
- Comprueba quién tiene firmado el compromiso de confidencialidad y quién no.
- Decide las reglas de uso de móvil, correo y WhatsApp y escríbelas.
- Configura el bloqueo automático de pantalla en todos los equipos.
- Pon una trituradora junto a la impresora.
- Explica en cinco minutos a tu equipo qué hacer si pierden un móvil o envían algo por error.
En Adapta RGPD preparamos la documentación con los datos de tu negocio a partir de un cuestionario de unos 15 minutos y la revisamos cada año. Mira cómo funciona o los precios; si tienes dudas sobre tu caso, empieza por la consultoría online.
Preguntas frecuentes
¿Tiene que firmar el protocolo de protección de datos cada empleado?
Es lo recomendable. La ley no exige una firma concreta, pero sí que el personal trate los datos siguiendo tus instrucciones y que puedas demostrarlo. Una copia firmada de cada persona, en papel o con firma electrónica, es la prueba más sencilla.
¿El deber de confidencialidad sigue cuando el empleado se va?
Sí. El artículo 5 de la LOPDGDD dice expresamente que se mantiene aunque haya terminado la relación con la empresa. Un extrabajador no puede usar ni revelar los datos que conoció en su puesto.
¿Puedo prohibir a mis empleados usar WhatsApp con clientes?
Puedes fijar las reglas de uso de las herramientas de trabajo, incluida la mensajería: con qué cuenta, qué datos se pueden enviar y cuáles no. Lo importante es dejarlo por escrito y que la plantilla lo conozca.
¿Puede la empresa revisar el ordenador de un empleado?
Sí, para controlar el cumplimiento de sus obligaciones laborales o proteger los equipos, pero solo si antes ha fijado y comunicado unos criterios de uso de los dispositivos, como exige el artículo 87 de la LOPDGDD.
