5 preguntas que todo reclutador debe hacerse sobre el nuevo Reglamento de Protección de Datos (RGPD)

El nuevo reglamento de Protección de Datos (RGPD) fue aprobado en el año 2016 por el Parlamento y el Consejo de la Unión Europa, entrando en vigor el 25 de mayo del año 2018. A partir de ese momento, todas las organizaciones que trabajasen con datos personales de habitantes de la Unión Europea deberían acogerse a la nueva normativa. Con esta medida se pretende establecer una protección mayor para los usuarios que, a la vez, se adapte a la presencia de las nuevas tecnologías en el tratamiento de información sensible dentro de las empresas.

Una vez el marco legislativo entra en funcionamiento, es posible que te hayan surgido dudas sobre el nivel de adecuación dentro de la empresa acerca del tratamiento de datos de carácter personal. Es importante que los departamentos de Recursos Humanos presten especial atención a este punto. Por esta razón, hemos recopilado cinco preguntas que todo reclutador debe hacerse sobre la RGPD y que pueden serte de utilidad.

1. ¿Cuáles son los principios de la protección de datos?

Un correcto tratamiento de los datos personales dentro del departamento de Recursos Humanos pasa indiscutiblemente por que conozcas al detalle los principios que establece el nuevo reglamento de protección de datos.

• Principio de responsabilidad. También recibe el nombre de accountability y hace referencia a la obligación que existe dentro de la empresa que trata con datos personales de mantener una actitud proactiva en la materia de protección de datos.
• Principio de protección por defecto. Hace referencia a la obligación de contar con medidas de protección de datos desde el comienzo de la actividad de la compañía.
• Principio de transparencia. Cada organización deberá redactar de forma clara y sencilla la información que proporciona a todos aquellos que le cedan sus datos, de forma totalmente inteligible.

2. ¿Cómo afecta el nuevo RGPD a las nóminas?

La responsabilidad de la organización en cuanto a las nóminas, y de cualquier otro tipo de información sensible, debe ser activa. Según esto, te recomendamos que cuentes con las medidas de seguridad apropiadas para proteger los datos. La minimización de datos almacenados es una de esas medidas: te aconsejamos contar solo con datos archivados que sean imprescindibles.

Además, es importante optar por la seudonimización, así como el cifrado de datos personales. Estas dos son primordiales para garantizar que las nóminas solo pueden ser consultadas por las personas interesadas. Por último, tiene que existir una limitación en el acceso a datos.

A través de estos pasos estarás garantizando la confidencialidad, integridad y disponibilidad de toda la información sensible de que la compañía disponga.

3. ¿Se deben notificar las violaciones de seguridad?

La posibilidad de que exista una brecha de seguridad es baja, pero hay que tenerla en cuenta. Se puede deber tanto a un error o fallo técnico como a un ataque intencional al sistema informático de la organización. Las consecuencias pueden ser la pérdida de datos, la alteración de los mismos o el acceso no autorizado de otras personas a la información sensible que posee la organización.

El nuevo reglamento de protección establece un máximo de 72 horas para comunicar cualquier violación de la seguridad que afecte a los datos personales. Se informará a la Agencia Española de Protección de Datos, la máxima autoridad de control en España.

Igualmente, la RGPD establece una nueva figura, el delegado de protección de datos. Sobre esta persona recaería la responsabilidad de informar de la vulneración de la información dentro de la compañía. En caso de no existir tal figura dentro de la compañía, te sugerimos que se haga cargo el responsable del tratamiento de los datos, que típicamente será parte del equipo del departamento de Recursos Humanos.

Se trata de una de las mayores novedades del RGPD frente a la LOPD, ya que ninguna compañía, en función de su tamaño, está exenta de sufrir un fallo o ataque.

4. ¿Cómo se obtiene el consentimiento de la persona?

El consentimiento de la persona siempre tiene que ser expreso y transparente. El caso más claro se presenta cuando la compañía busca talento, recibe un CV y lo almacena durante el proceso de selección o un máximo de 2 años.

Si esto ocurre con la entrega en mano en papel, la persona deberá firmarte una autorización conforme cede sus datos y está informada de qué hará la compañía con ellos. En caso de ser un envío a través de correo electrónico, desde la organización tienes que reenviar un acuse de recibo donde figurará la existencia de un fichero de datos personales, así como su propietario y la finalidad con la que se recogen los datos. Además, aconsejamos informar del procedimiento para ejercer el derecho de acceso, rectificación, cancelación u oposición (ARCO).

El consentimiento del individuo adquiere gran importancia y elimina el antiguo concepto de consentimiento tácito, para convertirse en una acción positiva y expresa, que queda clara y determinante, sin lugar a dudas. Además, siempre será un consentimiento explícito que pueda verificarse por parte de la organización si se requiere por temas legales.

5. ¿Se pueden dar otros usos a los datos personales?

Si prevés que vas a dar otros usos a los datos de una persona, tendrás que informar la finalidad. Por ejemplo, si se los vas a ceder a otra compañía que pueda estar interesada en la persona, aun cuando se trate de una empresa perteneciente al mismo grupo empresarial, recomendamos informar tanto de la actividad de la misma como de la finalidad. Otro ejemplo sería el de utilizar los datos con fines publicitarios, siempre que estén relacionados con la actividad de la compañía, para lo que hay que pedir igualmente consentimiento.

Desde que el nuevo reglamento de Protección de Datos (RGPD) entró en vigor, cualquier empresa, independientemente de su tamaño o finalidad, tendría que cumplir con el mismo. No es un asunto superficial, ya que puede acarrear multas cuantiosas. Por ello, te invitamos a tener presentes estos aspectos que hemos dado a conocer.