Cuando se habla de protección de datos personales, la mayoría de las empresas piensa primero en sus clientes. Pero uno de los tratamientos de datos más sensibles —y más descuidados— ocurre puertas adentro: el área de Recursos Humanos maneja, para cada trabajador, información que incluye datos de salud, antecedentes, información familiar, datos bancarios y en muchos casos datos biométricos. Todo eso está sujeto a la LOPDP exactamente igual que los datos de un cliente.

Por qué RRHH concentra un riesgo particular

Un departamento de talento humano trata, a lo largo del ciclo de vida de un empleado, una cantidad significativa de información sensible: hojas de vida con datos personales extensos, exámenes médicos ocupacionales, certificados de discapacidad cuando aplica, información de cuentas bancarias para el pago de nómina, datos de contacto de emergencia (que involucran a terceros que ni siquiera son empleados de la empresa), y en muchas organizaciones, huellas dactilares o reconocimiento facial para control de asistencia. Toda esa información, si se filtra o se usa indebidamente, expone tanto a la empresa como al propio trabajador.

Los tratamientos que más exposición generan en RRHH

Los frentes más recurrentes que se observan en las áreas de talento humano en Ecuador son: el uso de sistemas biométricos de control de asistencia sin un aviso de privacidad que informe a los empleados sobre ese tratamiento; el envío de información de nómina o datos personales a proveedores externos (outsourcing de nómina, seguros médicos privados, plataformas de beneficios) sin contratos de encargo de tratamiento; el almacenamiento de hojas de vida de candidatos no contratados por tiempo indefinido, sin una política de retención definida; y el acceso poco controlado a expedientes de personal, sin registro de quién consulta esa información y con qué propósito.

Qué debe existir en el sistema de cumplimiento de RRHH

Un área de Recursos Humanos alineada con la LOPDP necesita un aviso de privacidad específico dirigido a empleados y candidatos, distinto del aviso general de la empresa hacia sus clientes; contratos de tratamiento de datos con todo proveedor externo que procese información de nómina, beneficios o salud ocupacional; una política de retención de hojas de vida de candidatos no seleccionados; y protocolos de acceso restringido a los expedientes de personal, especialmente en lo relativo a información médica.

El expediente médico ocupacional: un punto especialmente sensible

Los resultados de exámenes médicos ocupacionales, certificados de incapacidad o información sobre condiciones de salud de los trabajadores constituyen datos de categoría especial bajo la LOPDP. Su tratamiento exige medidas de seguridad reforzadas y un acceso todavía más restringido que el resto del expediente laboral —algo que muchas empresas todavía manejan con el mismo nivel de acceso que cualquier otro documento administrativo.

Cómo se conecta esto con el resto del cumplimiento laboral

El reglamento interno de trabajo, documento que toda empresa con más de diez trabajadores debe tener aprobado ante el Ministerio del Trabajo, es el espacio natural para incorporar las políticas de tratamiento de datos personales de los empleados: uso de cámaras, sistemas biométricos, monitoreo de correo corporativo, entre otros. Un sistema de cumplimiento LOPDP bien estructurado se integra con ese reglamento en lugar de existir como un documento separado y desconectado.