Protección de Datos y Gestión Documental en Recursos Humanos

1. Protección de Datos de Carácter Personal

Para la protección y la intimidad de las personas, la Ley Orgánica de Protección de Datos de Carácter Personal (LOPD) reconoce a la ciudadanía el derecho fundamental a la protección de datos, la facultad de controlar sus datos personales y la capacidad para disponer y decidir sobre ellos.

Se consideran datos que identifican a una persona, de forma directa o indirecta: nombre, apellidos, fecha de nacimiento, dirección postal o correo electrónico, teléfono, número de identificación fiscal (NIF), matrícula del coche, DNI y número de la Seguridad Social.

Protección de datos en el ámbito empresarial

Los documentos forman parte del expediente personal y están protegidos para garantizar el derecho al honor y a la intimidad. Toda entidad debe contar con un responsable del fichero o tratamiento (habitualmente personal administrativo del Departamento de Recursos Humanos), encargado de velar por el estricto cumplimiento de la normativa.

Obligaciones principales

• Informar al afectado: comunicar de forma clara qué datos se recogen y su utilización, permitiendo conocer si sus datos personales van a ser incluidos en un fichero o tratamiento.
• Pedir el consentimiento: la inclusión de datos personales en un fichero supone un tratamiento que requiere la autorización expresa del afectado.
• Calidad de los datos: deben ser exactos y adecuados a la finalidad legítima que motivó su recogida.
• Garantizar los derechos del afectado: el responsable debe facilitar y asegurar el ejercicio de los derechos de oposición al tratamiento, acceso, rectificación y cancelación (derechos ARCO).
• Guardar secreto profesional: quienes intervengan en cualquier fase del tratamiento deben mantenerlo, incluso después de finalizar su relación con la empresa.
• Adopción de medidas de seguridad: implantar tres niveles de seguridad (básico, medio y alto) según la naturaleza de la información tratada.

2. Medidas de Seguridad en el Tratamiento de Datos

Estas medidas deben ser adoptadas obligatoriamente por los encargados del tratamiento y el personal administrativo del Departamento de Recursos Humanos:

Nivel Básico

Aplicable a todos los ficheros que contengan datos de carácter personal ordinarios:

• Definición de funciones y obligaciones de los usuarios con acceso a los datos y a los sistemas de información.
• Procedimiento de notificación, gestión y registro de incidencias.
• Relación actualizada de usuarios y accesos autorizados, limitados exclusivamente a los recursos que precisen.
• Identificación e inventario accesible de los soportes según el tipo de información que alberguen.
• Control estricto de soportes y documentos autorizados; al desecharlos, se procederá a su destrucción física inmediata.
• Medidas técnicas para la identificación y autenticación unívoca de usuarios, con contraseñas que deben cambiarse como mínimo una vez al año.
• Copias de respaldo semanales como frecuencia mínima.

Nivel Medio

Aplica a datos relativos a la comisión de infracciones administrativas o penales, datos tributarios o de entidades financieras, Seguridad Social, mutuas y datos sobre la personalidad o características ciudadanas que permitan su evaluación:

• Designación obligatoria de uno o varios responsables de seguridad.
• Realización de una auditoría de seguridad cada dos años.
• Sistema de registro de entrada y salida de soportes que permita conocer el documento trasladado, la fecha, la hora y la persona responsable.

Nivel Alto

Aplica a datos de ideología, afiliación sindical, religión, creencias, salud, origen racial, vida sexual, datos policiales obtenidos sin consentimiento y datos vinculados a violencia de género:

• Mecanismos que limiten la posibilidad de reintentos sucesivos ante accesos no autorizados al sistema.
• Restricción física de acceso exclusivo a personas autorizadas al entorno de los equipos informáticos.
• Procedimientos avanzados de notificación, gestión y registro de incidencias.
• Etiquetado de soportes comprensible únicamente para usuarios con permisos autorizados, dificultando su interpretación al resto.
• Conservación de copias de respaldo y procedimientos de recuperación de datos en un lugar físico diferente al de los servidores principales.
• Registro pormenorizado de cada intento de acceso (identificador de usuario, fecha, hora, fichero accedido y confirmación de autorización o denegación).
• Transmisión y cifrado de datos mediante telecomunicaciones para asegurar que la información no resulte inteligible ni pueda ser manipulada.

3. Gestión del Expediente Documental de Personal

Los procedimientos para gestionar los expedientes pueden variar, pero todos deben respetar escrupulosamente las medidas de seguridad establecidas en la LOPD. El personal administrativo de Recursos Humanos es el encargado operativo de llevarlo a cabo.

La organización interna depende de diversos factores organizativos, siendo la estructura habitual:

1. Ordenación de los expedientes clasificados por departamento.
2. Dentro de cada departamento, ordenación alfabética por apellidos y nombre.
3. Los documentos integrantes de cada expediente se ordenan cronológicamente.

Ciclo de vida del documento

El ciclo documental consta de tres etapas esenciales:

• Archivo departamental o de gestión: alberga los documentos actuales de uso frecuente. Permanecen aquí mientras la persona trabajadora continúe en activo dentro de la empresa o su consulta sea habitual.
• Archivo intermedio: custodia la documentación de trabajadores que han finalizado su relación contractual, documentos que han perdido vigencia jurídica/administrativa o cuya consulta es esporádica.
• Archivo histórico: contiene documentos que se consultan raramente pero conforman la memoria histórica empresarial. Lo habitual es su digitalización sistemática, conservando en soporte papel únicamente aquellos de especial interés institucional.

En la transición del archivo departamental al intermedio se realiza el expurgo (selección y eliminación física de documentos sin valor administrativo o probatorio que carezcan de trascendencia histórica, tales como duplicados o borradores caducados), garantizando su destrucción mediante métodos que impidan su reconstrucción, seguido del correcto reciclaje de papel.

4. Responsabilidad y Deberes del Personal de Gestión Laboral

El trabajo del personal administrativo conlleva una alta exigencia ética y legal al recopilar y procesar información privada y sensible:

• Deber de confidencialidad: suele formalizarse mediante una cláusula expresa de confidencialidad en el contrato laboral. Supone el compromiso inquebrantable de salvaguardar toda la información a la que se acceda durante el desempeño profesional. Su incumplimiento acarrea sanciones disciplinarias y responsabilidades legales directas, tanto para la persona trabajadora como para la empresa y quien facilitó la filtración.
• Deber de secreto profesional: la LOPD establece con firmeza que el responsable del fichero y todas las personas que intervengan en cualquier fase del tratamiento de datos de carácter personal están obligadas al secreto profesional, deber que subsiste de manera indefinida aun después de haber finalizado sus relaciones con el titular del fichero o con la empresa.