Qué es GDPR y cómo cumplirla al contratar

Durante el proceso de contratación, recopilas una gran cantidad de información básica y personal de los candidatos como su nombre, número telefónico de contacto, experiencia laboral, formación académica y estado de salud, entre otros. En este contexto, la privacidad y protección de datos es clave para controlar la información que se comparte y con quién, además de que asegura un uso responsable y seguro de los mismos, a modo de protección frente a fraudes, robos y otros delitos. Por eso, en 2018 comenzó a regir un marco regulatorio clave propuesto por la Comisión Europea: el Reglamento General de Protección de Datos (GDPR). Éste establece una serie de obligaciones para las empresas que procesan datos personales de ciudadanos europeos y reemplaza la directiva de protección de datos anterior. Así que, si tienes empleados de origen europeo o estás planeando ampliar tu equipo, aquí te compartimos las claves sobre este tema.

Claves para entender cómo funciona GDPR

El Reglamento General de Protección de Datos (RGPD) o General Data Protection Regulation (GDPR) es una nueva ley que protege los datos personales de los ciudadanos que viven en la Unión Europea. El Parlamento Europeo, como órgano legislativo de la Unión Europea, ha desempeñado un papel fundamental en la creación y actualización del GDPR. Esta nueva regulación, que entró en vigor el 25 de mayo de 2018, establece un marco legal más sólido y coherente para la protección de los datos personales de los ciudadanos de la UE. 

Una de las principales preocupaciones abordadas por el GDPR es la violación de datos, que se refiere a cualquier incidente de seguridad que comprometa la confidencialidad, integridad o disponibilidad de datos personales. En caso de una violación de datos, el GDPR exige que las autoridades de protección de datos sean notificadas dentro de un plazo determinado, y que se informe a los sujetos de los datos afectados sobre la naturaleza del incidente y las medidas tomadas para mitigar los riesgos. 

Aunque es una regulación de la UE, su alcance es extraterritorial, lo que significa que también se aplica fuera de la Unión Europea en ciertas circunstancias. El GDPR aplica dentro de la UE a todas las organizaciones, tanto públicas como privadas, que procesen datos personales de ciudadanos dentro del territorio de la UE, independientemente de dónde esté ubicada la organización. Esto significa que incluso si una empresa tiene su sede fuera de la UE pero son proveedores de servicios o bienes a ciudadanos de la UE –o monitorea su comportamiento en línea– estará sujeta al cumplimiento del GDPR. 

También, la ley de protección de datos también se aplica fuera de la UE a organizaciones que procesan datos personales de personas dentro de la UE en relación con la oferta de bienes o servicios, independientemente de dónde estén ubicadas estas organizaciones. Esto se conoce como el principio de extraterritorialidad y busca garantizar que los derechos de privacidad de los ciudadanos de la UE estén protegidos incluso cuando sus datos sean procesados fuera de la UE. 

En este contexto, el sujeto de los datos se refiere a la persona física identificada o identificable a quien se refieren los datos personales. El GDPR otorga a los sujetos de los datos una serie de derechos, incluido el derecho a acceder, rectificar, eliminar y restringir el procesamiento de sus datos personales. Los datos de la UE son aquellos datos personales que están sujetos a la regulación del GDPR porque se procesan en el contexto de las actividades de una empresa o entidad establecida en la Unión Europea.

Además de lo mencionado anteriormente, ¿existen excepciones en la aplicación del nuevo reglamento? Sí, hay casos específicos en los que el GDPR no se aplica. Uno de ellos es cuando el interesado ha fallecido o cuando se trata de una persona jurídica. En estos casos, la normativa de protección de datos no se aplica debido a que no concierne a individuos vivos ni a entidades jurídicas. 

Otra excepción se presenta cuando el tratamiento de datos es realizado por una persona física que actúa con fines ajenos a sus actividades comerciales, empresariales o profesionales. En estas situaciones, el GDPR puede no ser aplicable debido a que la persona que realiza el tratamiento no está involucrada en actividades comerciales, empresariales o profesionales que estarían reguladas por la normativa de protección de datos personales. 

Es fundamental recordar que estas excepciones deben interpretarse de manera precisa y no deben utilizarse para eludir las obligaciones generales de protección de datos personales establecidas por el GDPR. Asimismo, es importante consultar las disposiciones específicas establecidas en las leyes nacionales de protección y almacenamiento de datos de cada Estado miembro de la UE para comprender completamente el alcance de estas excepciones.

Principios fundamentales del GDPR

Aquí te compartimos los principios claves del Reglamento General de Protección de Datos:

• Transparencia: debes tratar los datos personales de los candidatos en el marco de lo que estipula la ley. Por lo tanto, debes notificar que estás recolectando información, cuál es esa información y qué uso se le dará.
• Minimización de datos: puedes recolectar únicamente datos de las personas que sean relevantes para tus objetivos de RR.HH. ¿Qué significa esto? No puedes recolectar información que no esté relacionada con el proceso de contratación, por ejemplo.
• Limitación del propósito: por la misma razón que la minimización de datos, todo aquello que recolectes debe estar alineado con intenciones específicas y lo que has informado a los candidatos.
• Precisión: todos los datos que vayas a recolectar deben ser correctos y, además, deben actualizarse.
• Eliminación de datos: en la medida que necesites almacenar datos de tus candidatos para el reclutamiento, selección y contratación, puedes hacerlo. Esto quiere decir que puedes tener esa información contigo siempre que sean útiles para tu propósito de contratación.
• Integridad y confidencialidad: tienes que adoptar sistemas lo suficientemente robustos para la seguridad de los datos, para mantener toda la información sobre los candidatos en una base de datos segura y confiable. La protección de los datos personales es contra el procesamiento ilegal, la pérdida accidental, destrucción o daño. 
• Consentimiento expreso: recuerda siempre solicitar el consentimiento durante el proceso acerca del responsable tratamiento que le darás a sus datos personales.

GDPR aplica dentro y fuera de la Unión Europea

El GDPR tiene un alcance global y se aplica tanto dentro como fuera de la Unión Europea para proteger los datos personales de los ciudadanos de la UE, independientemente de la ubicación de la organización que los procesa. Dentro de la UE, el GDPR se aplica a todas las organizaciones que procesen datos personales. Esto significa que todas las empresas que operan dentro de la UE deben cumplir con las disposiciones del GDPR en relación con el tratamiento de información personal de ciudadanos europeos. Por ejemplo, si tu empresa trata datos personales y tiene su sede en la UE o si tiene sede fuera de la misma, pero trata información personal relativa a ofertas de bienes o servicios a ciudadanos en la UE, debe aplicar el reglamento. 

Fuera de la UE, el GDPR también se aplica a organizaciones que procesan datos de los usuarios dentro de la UE en relación con la oferta de bienes o servicios, o el monitoreo de su comportamiento en línea. Esto significa que incluso si una empresa tiene su sede fuera de la UE pero ofrece productos o servicios a ciudadanos de la UE, o rastrea su actividad en línea, estará sujeta al cumplimiento del GDPR.

Presentamos distintos casos en los que el GDPR aplica dentro y fuera de la UE para el tratamiento de datos personales:

• Si tu empresa está radicada en España y publica una oferta de trabajo en su sitio web y, luego, recibe solicitudes de candidatos de la UE.
• Si tu empresa italiana contrata personal de la UE para trabajar en una oficina en Italia.
• Si tu empresa alemana utiliza una plataforma online de reclutamiento para encontrar candidatos en toda la UE.
• Si tu empresa es argentina y tiene candidatos europeos durante el proceso de contratación.
• Si tu empresa es de Estados Unidos y contrata talento de la UE de manera remota.

¿Qué tienen en común todos estos casos? Cada una de las empresas es responsable del tratamiento de los datos. Deben cumplir con el GDPR porque procesan datos personales de ciudadanos de la UE, ofrecen bienes o servicios a ellos y monitorizan su comportamiento.

La relevancia de GDPR en la contratación internacional

Como te contamos, esta normativa también abarca a organizaciones privadas y públicas que no se encuentran en la UE pero que tratan información personal de ciudadanos europeos. Por lo tanto, si este es tu caso, la ley tiene aplicación. 

Si estás pensando en contratar talento internacional en países como España, Italia, Alemania, Suecia, Francia, Irlanda o Portugal (o cualquier otro miembro de la Unión Europea), tienes que cumplir con el GDPR en los procesos de reclutamiento, selección y contratación. 

De hecho, los empleados tienen derechos bajo el GDPR. Son los siguientes: 

• Derecho a ser informado: los empleados tienen derecho a recibir información con lenguaje claro y transparente sobre cómo se están utilizando sus datos personales, incluyendo quién tiene acceso a ellos y con qué propósito.
• Derecho de acceso y a la portabilidad de los datos: deben poder acceder a sus datos personales de forma gratuita, frente a lo cual debes indicar si se están tratando los datos, cuál es el tratamiento (finalidad, categorías de datos y destinatarios de la información), y entregar una copia de los mismos.
• Derecho de rectificación y de oposición: si un talento europeo de tu empresa desea modificar sus datos porque los considera incorrectos o incompletos, puede hacerlo, sin demoras.
• Derecho de supresión: también, bajo el GDPR, una persona puede solicitar que tu empresa suprima sus datos personales si no son necesarios para la finalidad original, por ejemplo. Ahora bien, si debes conservar esos datos para una posible acción legal en el futuro o para cumplir con una obligación legal, no tienes la obligación de hacerlo.

Si una empresa no cumple con el GDPR puede enfrentar una serie de multas y sanciones que pueden ser significativas. Estas multas y sanciones pueden variar según la gravedad de la infracción y pueden incluir: 

1. Advertencias y medidas correctivas: las autoridades de protección de datos pueden emitir advertencias formales a las empresas que incumplen el GDPR. También, pueden ordenar medidas correctivas para abordar las infracciones y garantizar que la empresa cumpla con la normativa. 
2. Multas: la empresa puede enfrentar multas que varían según dos niveles de gravedad debido al alto riesgo que esto implica. El primer nivel puede resultar en una multa de hasta 10 millones de euros o el 2% de la facturación anual global de la empresa, lo que sea mayor. Mientras tanto, el segundo nivel corresponde a una multa que puede alcanzar hasta los 20 millones de euros o el 4% de la facturación anual global de la empresa. La determinación del nivel de multa se basa en diferentes criterios, como la naturaleza, gravedad y duración de la infracción.
3. Indemnización a los afectados: las organizaciones también pueden enfrentar acciones legales por parte de los individuos cuyos datos personales se han visto afectados por el incumplimiento del GDPR. Esto puede resultar en demandas de indemnización por daños y perjuicios causados por el tratamiento indebido de datos personales. 
4. Prohibición del procesamiento de datos: en casos graves de incumplimiento del GDPR, las autoridades de protección de datos pueden ordenar la suspensión del procesamiento de información personal por parte de la empresa infractora. Esto puede tener un impacto significativo en las empresas y su capacidad para operar de manera efectiva.

Preguntas comunes sobre GDPR y gestión del talento

Aquí presentamos las preguntas frecuentes:

¿Cómo afecta GDPR al proceso de reclutamiento?

La influencia del GDPR en el proceso de reclutamiento es significativa, ya que requiere que tu equipo de Recursos Humanos obtenga el consentimiento explícito de los candidatos antes de recopilar cualquier dato personal. Esto incluye información como nombres, direcciones y números de identificación, entre otros. Además, es necesario especificar cómo se utilizarán esos datos y qué medidas se implementarán para protegerlos. Por ejemplo, podrías proporcionar una breve descripción sobre el tipo de encriptación de datos utilizada para garantizar su seguridad durante el proceso de reclutamiento.

¿Cómo es el manejo de CVs y datos personales de candidatos bajo GDPR?

Puedes recopilar datos personales de los candidatos que sean relevantes para el puesto ofrecido, siguiendo el principio de minimización de datos. Por ejemplo, para un puesto de desarrollador de software, sería pertinente recopilar información sobre experiencia en programación, proyectos anteriores y habilidades técnicas específicas.

Es crucial que almacenes estos datos de forma segura y que cuentes con una política clara sobre su manejo y eliminación. Según el principio de minimización de datos, debes eliminar los datos personales cuando ya no sean necesarios para el propósito original. Por ejemplo, si un candidato no es seleccionado para el puesto, debes eliminar los datos personales adicionales que no influyeron en la decisión después de un período específico.

¿Qué se debe hacer con los datos personales de los candidatos que no fueron seleccionados para el puesto al que aplicaron?

Cuando un candidato no es seleccionado para el puesto al que aplicó, es importante adoptar una comunicación transparente con ellos. Esto implica informarles que sus datos personales serán eliminados como parte del proceso de cumplimiento con el Reglamento General de Protección de Datos. Esta práctica no solo demuestra transparencia y respeto hacia los candidatos, sino que también garantiza el cumplimiento de las regulaciones de protección de datos establecidas.

Compartimos ejemplos de comunicaciones para candidatos que no fueron seleccionados:

¿Qué información personal se le puede solicitar a los nuevos empleados?

Al solicitar información personal a los nuevos empleados, es importante que esta sea relevante para el trabajo para el cual fueron contratados y que se proporcione de manera clara y transparente. Además, debes informar a los empleados sobre cómo se utilizarán sus datos. A continuación, algunos ejemplos de la información que podrías solicitar para finalizar los detalles de contratación:

• Información bancaria para el depósito del salario.
• Documentación para verificación de empleo.
• Información de emergencia (incluyendo personas de contacto y respectivos números telefónicos).
• Información fiscal y legal necesaria para propósitos de nómina y cumplimiento de regulaciones.
• Información para seguros de salud o beneficios relacionados.

¿Cómo garantizar que los datos personales de los empleados se utilicen de forma legal y responsable?

Para asegurarte de que los datos personales de tus empleados se utilicen de manera legal y responsable, debes poner en práctica una serie de recomendaciones: 

1. Elaborar una política de privacidad clara y concisa que detalle cómo se recopilan, almacenan, utilizan y protegen los datos personales de los empleados, en cumplimiento con el Reglamento General de Protección de Datos (GDPR). 
2. Capacitar a los empleados sobre el GDPR y sus derechos en relación con la protección de datos, asegurándose de que estén informados sobre cómo manejar y proteger la información personal de manera adecuada. 
3. Trabajar en colaboración con el equipo de Tecnología de la Información (TI) para establecer medidas de seguridad robustas, como la encriptación de datos y el uso de contraseñas sólidas, para proteger la información personal de los empleados contra accesos no autorizados. 
4. Garantizar que solo aquellos empleados que tengan autorización tengan acceso a los archivos y sistemas que contienen datos sensibles, y que se implementen controles de acceso adecuados para proteger la privacidad de los empleados.

¿Cómo asegurarse de que los nuevos empleados comprendan cómo se utilizarán sus datos personales durante el onboarding?

Para garantizar que los nuevos empleados comprendan cómo se utilizarán sus datos personales durante el proceso de onboarding, aquí detallamos algunas sugerencias prácticas:

• Política de privacidad: detalla los tipos de datos personales que has recopilado y que recopilarás durante el proceso de onboarding, como nombres, información de contacto y detalles de empleo. También, indica claramente cuáles son los propósitos para los cuales se usarán esos datos, como la gestión de nómina y la administración de beneficios.
• Uso de datos: explica qué uso le darás a los datos en el contexto de su empleo. Por ejemplo, que la información bancaria se utilizará exclusivamente para el depósito de salarios y que los datos de contacto pueden utilizarse para comunicaciones internas relevantes, como anuncios de la empresa o invitaciones a eventos.
• Oportunidad para preguntas: brinda a tus nuevos empleados la posibilidad de que despejen sus dudas. Podrían preguntarte sobre las medidas que estás tomando para proteger la seguridad de sus datos o cómo pueden acceder a la información que la empresa posee sobre ellos.
• Consentimiento informado: solicita a tus empleados que proporcionen su consentimiento informado para el tratamiento de sus datos. Por ejemplo, "Al hacer clic en 'Aceptar' o firmar este documento, confirmo que he leído y comprendido la política de privacidad, y otorgo mi consentimiento para el tratamiento de mis datos personales según lo descrito".

¿Qué hacer con los datos personales de los empleados que son despedidos?

En caso de despido, debes informarle a tus empleados cómo utilizarás sus datos personales, al mismo tiempo que debes darle la opción de que sean eliminados. Por ejemplo, podrías necesitar almacenar un tiempo más estos datos para gestionar la finalización del empleo, como los detalles de la indemnización y los beneficios pendientes, necesario por motivos legales y contables.

¿Cómo responder a las solicitudes de los empleados despedidos que desean acceder a sus datos personales o eliminarlos?

Analiza tus candidatos con Background Checks de Deel

Deel es la primera plataforma de contratación global que incorpora Background Checks en el proceso de onboarding, lo que reduce los procesos manuales y el tiempo que lleva contratar. Con nuestra función, puedes acelerar el tiempo de contratación en un 80%. 

Asimismo, puedes reducir la administración de RR.HH. para onboarding, evaluación y pago a tu equipo global, y llevar la marca de tu empresa con una experiencia de selección de candidatos simplificada. ¿Te gustaría conocer más sobre esta función? 

¡Conoce en detalle cómo funciona Background Checks de Deel!

Consejos para cumplir con GDPR al contratar

• Obtén el consentimiento explícito: asegúrate de obtener el consentimiento explícito de los candidatos para recopilar, procesar y almacenar sus datos personales. Esto significa que deben comprender claramente para qué se utilizarán sus datos y dar su consentimiento activa y libremente. 
• Implementa políticas de privacidad claras y transparentes: redacta una política en la que detalles qué datos personales se recopilan de los candidatos, cómo se utilizarán, con quién se compartirán y cómo pueden acceder a ellos, rectificarlos o eliminarlos. Una buena práctica es traducir esa política a varios idiomas para que sea accesible a todos los candidatos. No olvides informar a los candidatos sobre esta política durante el proceso de reclutamiento y contratación.
• Mantén seguros los datos personales durante el reclutamiento: utiliza formularios de solicitud seguros para la recopilación, además de almacenar esa información bajo sistemas que sean confiables y aplica medidas técnicas seguras. Realiza una Evaluación de Impacto de Protección de Datos (EIPD) para evaluar el impacto sobre la privacidad y poder identificar y analizar cómo la privacidad de los datos puede verse afectada durante el proceso de reclutamiento.
  El objetivo principal de la EIPD es ayudar a las organizaciones a comprender y gestionar los riesgos relacionados con la privacidad de los datos, permitiendo la adopción de medidas adecuadas para mitigar esos riesgos y garantizar el cumplimiento de las regulaciones de protección de datos, como el GDPR en la Unión Europea. Así, podrás identificar y analizar cómo la privacidad de los datos puede resultar afectada.
• Capacita a tu equipo de Recursos Humanos en materia de GDPR: brinda formación especial sobre los requisitos y principios del GDPR, así como también sobre la importancia de proteger los datos personales de los candidatos y empleados. Proporciona a tu equipo herramientas y recursos que los ayuden a cumplir con esta normativa, fundamentalmente a los encargados del tratamiento del procesamiento de datos. 
• Haz revisiones regulares: realiza auditorías periódicas para garantizar el cumplimiento continuo del GDPR en tus prácticas de reclutamiento y contratación. Esto te ayudará a identificar y abordar cualquier posible brecha de cumplimiento antes de que se convierta en un problema más grande.

Deel, tu aliado para la gestión responsable de datos del talento

El GDPR es un reglamento crucial que afecta a todas las organizaciones que operan en la Unión Europea y que desean contratar y gestionar talento europeo, sin importar en dónde están ubicadas. Cumplir con el GDPR es fundamental para proteger los datos personales de los candidatos y empleados de la UE, mejorar la reputación como empleador y evitar sanciones severas. 

Por lo tanto, si tienes interés en ampliar tu pool de talento de forma internacional, contar con una solución como Deel te ayudará a garantizar el cumplimiento del GDPR y a gestionar de manera responsable los datos del talento. En Deel, nos lo tomamos en serio. Para eso, llevamos a cabo prácticas proactivas y estándares de la industria para mantener todos los datos seguros y protegidos.

Cumplimos con el Reglamento General de Protección de Datos y garantizamos su compliance para que puedas estar tranquilo sabiendo que toda la información confidencial que administras está en buenas manos. ¿Quieres saber cómo lo hacemos? 

¡Asegura el cumplimiento de GDPR con Deel!