Puedes tener el mejor registro de tratamientos, contratos firmados con todos tus proveedores y una política de privacidad impecable en la web. Si la persona de recepción confirma por teléfono a un desconocido que «sí, el señor García está alojado en la 214», todo eso no sirve de nada.
En una pyme, la protección de datos la cumplen o la incumplen las personas que atienden al público, gestionan nóminas o manejan el correo cada día. Por eso la formación de los empleados no es un complemento: es la medida de seguridad más eficaz y, como verás, también una obligación.
¿Es obligatoria la formación en protección de datos para los empleados?
El RGPD no dice literalmente «formarás a tus empleados X horas». Dice algo más exigente. El artículo 32.4 te obliga a tomar medidas para que cualquier persona que actúe bajo tu autoridad y tenga acceso a datos personales solo los trate siguiendo tus instrucciones. El artículo 24 te obliga a aplicar medidas técnicas y organizativas apropiadas y a poder demostrar que cumples. Y el artículo 5 de la LOPDGDD impone un deber de confidencialidad a todas las personas que intervienen en cualquier fase del tratamiento, que se mantiene incluso cuando dejan la empresa.
¿Cómo demuestras que tu equipo conoce las instrucciones y el deber de confidencialidad? Formándolo y guardando constancia. Cuando la AEPD investiga una incidencia, una de las primeras cosas que valora es si el personal implicado había recibido formación. Sin ella, la responsabilidad de la empresa se agrava; con ella, queda acreditada la diligencia. Si aún no tienes claras tus obligaciones básicas, empieza por lo mínimo que debe cumplir una pyme.
¿Qué debe aprender cada empleado?
Todos necesitan una base común: qué es un dato personal, qué es tratar datos, qué es la confidencialidad y qué hacer ante una duda o un incidente. A partir de ahí, la formación debe adaptarse al puesto, porque los riesgos de una recepcionista y de un jefe de obra no se parecen.
| Puesto | Situaciones de riesgo habituales | Qué debe saber hacer |
|---|---|---|
| Recepción y atención al cliente | Preguntas por teléfono sobre huéspedes o clientes; entrega de documentos; fotocopias de DNI | Verificar la identidad, no dar datos de terceros, recoger solo lo necesario y custodiar los documentos |
| Administración y RR. HH. | Nóminas, partes de baja, currículums, correos masivos | Enviar información sensible de forma segura, usar copia oculta, destruir currículums no seleccionados y responder solicitudes de derechos |
| Sala, comercio y estética | Fichas de clientes a la vista, fotos para redes sociales, comentarios sobre clientes | Guardar las fichas, pedir autorización para imágenes, no compartir información personal |
| Dirección y mandos | Videovigilancia, control horario, acceso a expedientes, contratación de proveedores | Informar correctamente, limitar accesos, exigir contratos de encargado y gestionar brechas |
Los errores que más brechas causan en las pymes
- Enviar un correo a decenas de clientes con todas las direcciones visibles en lugar de en copia oculta.
- Compartir la contraseña del programa de gestión entre todo el turno o dejarla en un pósit.
- Caer en un correo de phishing que imita a un banco, a Correos o a la propia gestoría.
- Perder un móvil o un portátil sin bloqueo con datos de clientes o de trabajadores.
- Publicar en redes fotos de clientes, huéspedes o niños sin autorización.
- Tirar a la papelera currículums, albaranes o fichas sin destruir.
- Dar información de un cliente o un empleado a quien dice ser su pareja, su jefe o un policía sin comprobarlo.
- Hablar de datos de salud de una clienta de estética o de una baja de un compañero donde otros pueden oírlo.
Ninguno de estos errores lo evita un documento. Todos los evita una persona que sabe reconocer la situación y qué hacer. Ese es el objetivo de la formación.
¿Cómo atender una solicitud de derechos?
Cualquier persona puede pedirte acceder a sus datos, rectificarlos, suprimirlos, limitar su tratamiento, oponerse a él o llevárselos a otro proveedor. Puede hacerlo por correo electrónico, por carta o en persona, y a menudo la petición llega al empleado que está en el mostrador. Tu equipo debe saber reconocerla y encauzarla:
Reconocer la solicitud
«Quiero que borréis mis datos» o «¿qué información tenéis de mí?» son solicitudes de derechos aunque no lo parezcan. No se ignoran ni se responden a la ligera.
Verificar la identidad
Antes de entregar o borrar nada, hay que comprobar que quien pide es realmente el titular de los datos.
Registrar y trasladar
Anotar la fecha de recepción y pasarla a la persona responsable en la empresa. El plazo empieza a contar desde que la recibes.
Responder en un mes
El artículo 12 del RGPD fija un plazo de un mes para responder, ampliable en casos complejos. Responder tarde o no responder es una de las causas más frecuentes de sanción.
El deber de confidencialidad: firmar y formar
Es habitual que los empleados firmen una cláusula de confidencialidad y unas normas de uso de los sistemas informáticos al incorporarse. Es una buena práctica y forma parte de la documentación que la AEPD espera encontrar. Pero una firma sin explicación es papel mojado: la persona firma sin leer y no sabe qué está asumiendo.
Lo que funciona es la combinación: cláusula firmada, formación que explique qué significa en su puesto concreto y un registro de esa formación con fecha, contenidos y asistentes. Ese conjunto es lo que acredita la diligencia de la empresa.
Incluye en la formación a los refuerzos de temporada, a los trabajadores con contrato de formación y a los becarios. Tratan los mismos datos que el resto y suelen ser quienes menos instrucciones han recibido.
¿Qué formato de formación funciona en una pyme?
Online y breve
Un curso corto en e-learning que cada persona hace a su ritmo, dentro de la jornada, encaja con turnos y con plantillas repartidas en varios centros.
Con casos del sector
Ejemplos de hotel, restaurante, comercio o clínica, no teoría jurídica. El empleado debe reconocerse en las situaciones.
Al incorporarse y con reciclaje
Formación inicial en la primera semana y un repaso periódico, sobre todo cuando cambian los sistemas o se detecta un incidente.
Con certificado
Certificado individual y registro de asistencia. Es la prueba que necesitarás si algún día la AEPD pregunta.
¿Se puede bonificar la formación en protección de datos?
Sí. Como cualquier otra formación programada por la empresa, se paga con el crédito de formación que gestiona FUNDAE y se recupera bonificándolo en las cotizaciones a la Seguridad Social. Para una pyme suele ser una de las acciones más baratas y de mayor impacto de todo el año.
En Formación Mallorca la impartimos en modalidad online, con acceso a nuestra plataforma, contenidos adaptados al sector de tu empresa y certificado para cada trabajador. Puedes ver el detalle en nuestra página de protección de datos.
Forma a tu plantilla en protección de datos
Formamos a tu plantilla en protección de datos con un curso online práctico, certificado individual y bonificación tramitada con FUNDAE.
Preguntas frecuentes
¿Cuántas horas debe tener la formación en protección de datos para empleados?
La normativa no fija un número de horas. Debe ser suficiente para que cada persona conozca sus obligaciones y sepa actuar en su puesto. Para la mayoría de los perfiles basta un curso breve y práctico, con un repaso periódico.
¿Hay que formar a todos los empleados o solo a los que manejan datos?
En una pyme casi todos manejan datos personales de alguna forma: clientes, compañeros, proveedores. Lo más seguro es formar a toda la plantilla con una base común y profundizar con quienes tienen más acceso.
¿Sirve la formación como prueba ante la AEPD?
Sí. El registro de la formación, con fecha, contenidos y asistentes, es una de las evidencias de diligencia que la AEPD valora al analizar una incidencia o una denuncia.
¿Puedo hacer la formación yo mismo con mis empleados?
Puedes dar instrucciones internas y es recomendable hacerlo, pero una formación externa con certificado aporta contenidos actualizados y una prueba independiente. Además, solo la formación gestionada a través del sistema de FUNDAE puede bonificarse.
