Obligaciones de empresa · Todas
Datos de la plantilla: el registro no es solo para grandes.
Gala Worklab · documentos laborales obligatorios para pymes y gestorías, con tus datos y la norma citada.
Tener personas contratadas ya es tratar datos personales de forma no ocasional, así que la excepción de las empresas de menos de 250 personas casi nunca se aplica: hace falta el registro de actividades de tratamiento y informar a cada persona.
- Desde cuántas personas
- Todas
- Qué plazo hay
- Registro por escrito y siempre al día
- Qué documento lo resuelve
- Las cláusulas de la plantilla
Desde la primera persona contratada; la excepción de 250 casi nunca exime
Registro por escrito y siempre al día; informar al recoger los datos. El registro de actividades de tratamiento consta por escrito, también en formato electrónico (art. 30.3 RGPD), y se pone a disposición de la autoridad de control que lo pida (art. 30.4). La información sobre el tratamiento se facilita a la persona trabajadora «en el momento en que estos se obtengan» (art. 13.1 RGPD), por capas si se quiere: información básica más un medio de acceso al resto (art. 11.1 LO 3/2018). No hay un plazo anual de revisión fijado en esos artículos.
El registro de actividades de tratamiento por escrito, con al menos el contenido del art. 30.1 RGPD aplicado a la plantilla (nóminas, control horario, selección, prevención, etc.), y la cláusula o documento informativo entregado a cada persona trabajadora al obtener sus datos, con la información del art. 13 RGPD.
Cómo se cuenta la plantilla. El art. 30.5 RGPD habla de empresas u organizaciones que «emplee a menos de 250 personas»; el texto no detalla cómo se cuenta la plantilla.
La sanción, completa. Grave: Hasta 10.000.000 € o el 2 % del volumen de negocio anual global, la cuantía mayor (techo) (art. 73.n LO 3/2018, con las cuantías del art. 83.4.a RGPD).
La ley de infracciones no nombra esta obligación con sus palabras: se encuadra en art. 73.n LO 3/2018, con las…, que es como se viene sancionando. Lo decimos porque el matiz importa si alguna vez hay que discutirlo.
Lo que dice la norma, literal.
Cada responsable y, en su caso, su representante llevarán un registro de las actividades de tratamiento efectuadas bajo su responsabilidad. Dicho registro deberá contener toda la información indicada a continuación: a) el nombre y los datos de contacto del responsable… b) los fines del tratamiento; c) una descripción de las categorías de interesados y de las categorías de datos personales; d) las categorías de destinatarios… e) en su caso, las transferencias de datos personales a un tercer país… f) cuando sea posible, los plazos previstos para la supresión de las diferentes categorías de datos; g) cuando sea posible, una descripción general de las medidas técnicas y organizativas de seguridad…
art. 30.1 · Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (Reglamento general de protección de datos)
Las obligaciones indicadas en los apartados 1 y 2 no se aplicarán a ninguna empresa ni organización que emplee a menos de 250 personas, a menos que el tratamiento que realice pueda entrañar un riesgo para los derechos y libertades de los interesados, no sea ocasional, o incluya categorías especiales de datos personales indicadas en el artículo 9, apartado 1, o datos personales relativos a condenas e infracciones penales a que se refiere el artículo 10.
art. 30.5 · Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (Reglamento general de protección de datos)
Cuando se obtengan de un interesado datos personales relativos a él, el responsable del tratamiento, en el momento en que estos se obtengan, le facilitará toda la información indicada a continuación: a) la identidad y los datos de contacto del responsable… c) los fines del tratamiento a que se destinan los datos personales y la base jurídica del tratamiento… e) los destinatarios o las categorías de destinatarios de los datos personales, en su caso…
art. 13.1 · Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (Reglamento general de protección de datos)
Los responsables y encargados del tratamiento o, en su caso, sus representantes deberán mantener el registro de actividades de tratamiento al que se refiere el artículo 30 del Reglamento (UE) 2016/679, salvo que sea de aplicación la excepción prevista en su apartado 5.
art. 31.1 · Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales
Dónde falla casi siempre.
- Creer que, con menos de 250 personas, no hace falta registro: la excepción cae si el tratamiento no es ocasional, entraña riesgo o incluye categorías especiales de datos (art. 30.5 RGPD).
- Tener un registro incompleto, sin fines, categorías de interesados y datos, destinatarios o plazos de supresión (art. 30.1 RGPD; art. 74.l LO 3/2018).
- Informar a la plantilla tarde o a medias: la información debe darse en el momento de obtener los datos, con identidad del responsable, fines, base jurídica y destinatarios (art. 13.1 RGPD).
- No poder mostrar el registro cuando la autoridad de control lo pide, o no tenerlo por escrito (art. 30.3 y 30.4 RGPD; art. 73.ñ LO 3/2018).
- Olvidar que datos como los sindicales o de salud en nómina y bajas son categorías especiales: quitan la excepción del art. 30.5 (art. 9.1 RGPD, citado en el art. 30.5).
El documento que lo resuelve
Descargar las cláusulas de la plantilla, con tus datos.
La información que hay que dar a cada persona sobre sus datos, lista para entregar y firmar, y el guion del registro de actividades. Gratis: solo te pedimos el correo.
¿Y hay que formar a la plantilla?
No de forma expresa. Ninguna norma obliga a dar un curso a cada persona, pero quien trata datos tiene que hacerlo siguiendo instrucciones, y formar es la forma más sencilla de demostrar que se le dieron.
Forma a la plantilla con un curso corto, con certificado y hoja de asistencia →
Preguntas frecuentes
Lo que más se pregunta sobre esta obligación.
¿Desde cuántas personas obliga protección de datos de la plantilla?
Tener personas contratadas ya es tratar datos personales de forma no ocasional, así que la excepción de las empresas de menos de 250 personas casi nunca se aplica: hace falta el registro de actividades de tratamiento y informar a cada persona.
¿Qué multa tiene no tener protección de datos de la plantilla?
Grave: de Hasta 10.000.000 € o el 2 % del volumen de negocio anual global, la cuantía mayor (techo) (art. 73.n LO 3/2018, con las cuantías del art. 83.4.a RGPD). 4. Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 10 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 2 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: a) las obligaciones del responsable y del encargado a tenor de los artículos 8, 11, 25 a 39, 42 y 43 (art. 83.4.a RGPD). Para no informar a la persona afectada (arts. 13 y 14), el art. 74.a LO 3/2018 lo considera leve, y el art. 83.5.b RGPD fija multas «de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía».
¿Qué documento acredita que se cumple?
El registro de actividades de tratamiento por escrito, con al menos el contenido del art. 30.1 RGPD aplicado a la plantilla (nóminas, control horario, selección, prevención, etc.), y la cláusula o documento informativo entregado a cada persona trabajadora al obtener sus datos, con la información del art. 13 RGPD.
¿Necesito un delegado de protección de datos?
Solo en los casos que marca la norma, básicamente por el tipo de actividad o por tratar datos a gran escala. Una pyme corriente no lo necesita por tener plantilla.
¿Las multas de protección de datos son las de los titulares?
Las cuantías máximas del Reglamento se calculan para las grandes. A una pyme la Agencia le aplica el mismo artículo, pero graduado: eso no la convierte en simbólica.
¿Hay que formar a la plantilla?
No de forma expresa. Ninguna norma obliga a dar un curso a cada persona, pero quien trata datos tiene que hacerlo siguiendo instrucciones, y formar es la forma más sencilla de demostrar que se le dieron. Norma: RGPD, arts. 32.4 y 39.1.b.
Las demás obligaciones de tu empresa.
Una página por obligación, con su umbral, su plazo y su multa. O responde ocho preguntas en el diagnóstico y te decimos cuáles son tuyas.
FUENTEReglamento (UE) 2016/679 del Parlamento Europeo y del Consejo art. 30.1 · Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo art. 30.5 · Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo art. 13.1 · Ley Orgánica 3/2018 art. 31.1 · verificado contra el BOE el