¿Qué documentación de protección de datos debe entregar el comercio a sus empleados al contratarlos?

Al firmar el contrato, el comercio debe entregar al trabajador la cláusula informativa del art. 13 RGPD adaptada al ámbito laboral, donde se identifica al responsable del tratamiento (la empresa titular del comercio con su CIF), las finalidades concretas (gestión laboral y de la nómina, control horario, prevención de riesgos laborales, en su caso videovigilancia del establecimiento conforme al art. 89 LOPDGDD), las bases jurídicas (ejecución del contrato laboral, obligación legal en materia tributaria y de Seguridad Social, interés legítimo del empresario para el control empresarial dentro del art. 20 ET), las categorías de destinatarios (gestoría externa, mutua, entidad bancaria para la nómina, en su caso Servicio de Prevención Ajeno), los plazos de conservación diferenciados por bloque y los derechos del trabajador. Adicionalmente se entrega la información expresa sobre videovigilancia si existe sistema instalado, la política de uso de medios digitales si la hay y los acuerdos específicos de teletrabajo cuando proceda.

¿Cómo puede el comercio controlar el horario de sus empleados cumpliendo el RGPD?

El comercio puede implantar un sistema de registro horario, exigido por el art. 34.9 ET, basado en métodos no invasivos: identificación con PIN o usuario y contraseña en TPV o terminal de fichaje, tarjeta o llavero RFID, app móvil del empleado con marcaje geolocalizado, login en el sistema de gestión, lectura de código QR personal o fichaje NFC. Cualquiera de estas opciones cumple sobradamente la finalidad del control horario sin entrar en tratamientos especialmente invasivos. Antes de implantar el sistema, se informa expresamente al trabajador y a la representación legal (cuando exista) del método elegido, finalidad concreta, datos tratados y plazos. El registro se conserva durante cuatro años (art. 34.9 ET) y queda a disposición de la Inspección de Trabajo y de los propios trabajadores. La regla práctica es: la herramienta de fichaje más simple que cumpla la función es siempre la solución preferible.

¿Puede el comercio tener cámaras enfocadas a los empleados durante su trabajo?

Sí, dentro del marco del art. 20.3 del Estatuto de los Trabajadores y el art. 89 de la LOPDGDD. La videovigilancia de la zona de trabajo se admite cuando responde a una finalidad legítima del empresario (seguridad del establecimiento, control empresarial dentro de los límites legales), siempre que se informe de manera expresa, previa y suficientemente clara al trabajador y a su representación legal sobre la existencia de las cámaras y sus finalidades. No es admisible la grabación oculta como regla general, ni la instalación en aseos, vestuarios o zonas de descanso. La utilización de las grabaciones para verificar un incumplimiento laboral concreto se admite por el art. 89.1 LOPDGDD cuando el trabajador ha sido previamente informado de manera clara sobre la existencia del sistema. La instalación sin información previa cierra la puerta a su uso disciplinario, aunque las imágenes existan.

¿Cuánto tiempo debe conservar el comercio los datos laborales de los empleados?

Los plazos se diferencian por bloque. Los contratos laborales, nóminas, partes de alta y baja en la Seguridad Social y documentación equivalente se conservan durante el plazo de prescripción de las acciones para reclamar las deudas de la Seguridad Social (cuatro años, art. 21 LGSS) y de las obligaciones tributarias derivadas de la nómina (cuatro años, LGT). En la práctica se trabaja con un plazo de referencia de cuatro años, ampliable cuando exista un procedimiento abierto o causa pendiente. La documentación de prevención de riesgos tiene plazos propios según la naturaleza (reconocimientos médicos, formación específica). El registro horario se conserva durante cuatro años (art. 34.9 ET). Las grabaciones de videovigilancia, un mes (art. 22.3 LOPDGDD), salvo entrega a autoridad por un incidente. Tras la extinción del contrato, los datos no necesarios se eliminan; los obligatorios se bloquean y se destruyen al vencer todos los plazos.

Datos de empleados del comercio: nómina, control horario y videovigilancia laboral

El comercio físico, además de tratar datos de clientes, gestiona datos de su propia plantilla: contratos, nóminas, registro horario, prevención de riesgos laborales y, en muchos casos, videovigilancia del establecimiento que también afecta al trabajador. Es un ámbito en el que confluyen el RGPD, la LOPDGDD, el Estatuto de los Trabajadores y la normativa sociolaboral.

Esta guía explica cómo organizar los principales tratamientos laborales del comercio conforme al RGPD (Reglamento UE 2016/679), la LOPDGDD (Ley Orgánica 3/2018) y el art. 20.3 y 34.9 ET, sin sobredimensionar ni complicar el día a día de la tienda.

Los tratamientos laborales típicos de la tienda

Un comercio con plantilla suele mantener cuatro o cinco tratamientos diferenciados sobre su personal:

Tratamiento	Datos típicos	Base jurídica
Contratación y nómina	DNI, datos bancarios, salario, retenciones, situación familiar a efectos fiscales.	Ejecución contrato (6.1.b) + obligación legal (6.1.c)
Registro horario (art. 34.9 ET)	Marcajes de entrada y salida.	Obligación legal (6.1.c)
Prevención de riesgos laborales	Datos del reconocimiento médico, aptitud, formación.	Obligación legal (6.1.c) + 9.2.b/h RGPD para datos de salud
Videovigilancia del establecimiento (afecta a personal)	Imagen del trabajador en zona de trabajo.	Interés legítimo (6.1.f) + art. 22 y 89 LOPDGDD
Comunicación interna y operativa	Email corporativo, mensajería interna.	Ejecución contrato (6.1.b) + interés legítimo (6.1.f)

Información laboral inicial al trabajador

En el momento de la contratación, el trabajador recibe la cláusula informativa del art. 13 RGPD adaptada al ámbito laboral, integrada en la documentación de incorporación o entregada como anexo firmado. Contenido mínimo:

Identidad del responsable (la empresa titular del comercio, CIF, domicilio) y datos del DPD si se ha designado.
Finalidades: gestión laboral y nómina, registro horario, prevención de riesgos, control empresarial dentro de los límites del art. 20 ET, en su caso videovigilancia.
Bases jurídicas: ejecución del contrato laboral, obligación legal tributaria y de Seguridad Social, interés legítimo dentro del control empresarial admitido por la jurisprudencia.
Destinatarios: gestoría laboral, entidad bancaria pagadora, mutua de accidentes, Servicio de Prevención Ajeno, autoridades fiscales y de Seguridad Social.
Transferencias internacionales si se usan herramientas SaaS fuera del EEE (típicamente sí en email corporativo, almacenamiento, software de gestión laboral): Data Privacy Framework u otro instrumento adecuado.
Plazos de conservación por bloque.
Derechos del trabajador y vía para ejercerlos.
Mención al derecho de reclamación ante la AEPD.

Adicionalmente, cuando exista sistema de videovigilancia, se entrega la información expresa del art. 89 LOPDGDD, donde se identifican las cámaras, las finalidades específicas (seguridad del establecimiento; control empresarial dentro del art. 20 ET) y los derechos. Esa información se acompaña, en su caso, de comunicación a la representación legal de los trabajadores cuando exista.

Control horario sin invasividad

El art. 34.9 ET obliga a llevar un registro diario de jornada. El comercio puede cumplirlo con soluciones simples, no invasivas y plenamente adecuadas al RGPD:

PIN o usuario y contraseña en TPV o terminal de fichaje.
Tarjeta o llavero RFID personal.
App móvil del empleado con marcaje, eventualmente con verificación geográfica del establecimiento.
Login en el sistema de gestión o en el TPV como evento de fichaje.
Código QR personal escaneado en un terminal de la tienda.
NFC con tarjeta o tag personal.

Estas alternativas cumplen la finalidad de registro horario y respetan el principio de minimización. Antes de implantar el sistema, se informa expresamente al trabajador (y a la representación legal cuando exista) del método elegido, finalidad, datos tratados y plazos. El registro horario se conserva durante cuatro años (art. 34.9 ET), accesible para la Inspección de Trabajo y para los propios trabajadores.

Videovigilancia laboral: art. 89 LOPDGDD

La videovigilancia en zona de trabajo cumple una doble finalidad típica en el comercio: seguridad del establecimiento y control empresarial dentro del art. 20.3 ET. El art. 89.1 LOPDGDD habilita el tratamiento de las imágenes para verificar el cumplimiento por parte del trabajador de sus obligaciones laborales, siempre que:

Se haya informado de manera previa y suficientemente clara al trabajador (y a su representación legal cuando exista) sobre la existencia y la ubicación del sistema.
La instalación responda a la finalidad legítima de seguridad y control y respete los principios de proporcionalidad y minimización.
No se instalen cámaras en aseos, vestuarios o zonas de descanso.
El plazo de conservación de las grabaciones sea de un mes como máximo (art. 22.3 LOPDGDD), salvo entrega a autoridad por un incidente.
La grabación oculta no es la regla; el sistema se anuncia. Solo en supuestos muy excepcionales y justificados con prueba documental cabe la temporal omisión de la información, y la jurisprudencia ha sido especialmente cautelosa con este punto.

Si el trabajador no ha sido previamente informado del sistema, las grabaciones difícilmente podrán utilizarse para verificar incumplimientos disciplinarios, aunque existan materialmente. La información previa no es un trámite: es el presupuesto de uso de las imágenes en ese ámbito.

"En una tienda, el control horario y la videovigilancia se gestionan bien con herramientas muy simples y un buen documento informativo entregado el primer día. Cuando aparecen los problemas suele ser porque se instaló el sistema sin avisar, o porque se quiso usar una imagen un año después sin que conste que el trabajador sabía de la cámara desde el principio."

Mario P. Talamillo · Socio director, Certix®

Encargados del tratamiento en la gestión laboral

La gestión laboral del comercio se apoya en varios proveedores que actúan como encargados del tratamiento y requieren contrato del art. 28 RGPD:

Gestoría externa que confecciona nóminas, lleva la contabilidad y presenta modelos tributarios.
Servicio de Prevención Ajeno, cuando se haya externalizado, para vigilancia de la salud y plan de prevención.
Software de gestión laboral y de turnos (SaaS).
Herramienta de fichaje digital (app, plataforma).
Email corporativo, almacenamiento en la nube usados para gestionar la documentación laboral.
Empresa de seguridad/instalador del sistema de videovigilancia con acceso remoto.

Para cada uno: contrato del art. 28 RGPD completo, verificación de transferencias internacionales (Data Privacy Framework cuando proceda) y procedimiento de devolución de los datos al cese del servicio antes de cualquier destrucción.

Uso de medios digitales y comunicaciones de la tienda

Cuando la tienda dota al personal de email corporativo, terminal de venta con login, app interna o mensajería operativa, conviene establecer una política de uso de medios digitales conforme al art. 87 LOPDGDD, que regula los derechos digitales en el ámbito laboral. Líneas básicas:

Información clara sobre las herramientas, su finalidad operativa y los criterios de uso autorizado.
Información sobre la posibilidad de control empresarial dentro de los límites legales y jurisprudenciales.
Respeto al derecho a la desconexión digital fuera del horario laboral.
Procedimiento de altas y bajas de accesos en la incorporación y la salida del trabajador.
Buenas prácticas básicas: no usar WhatsApp personal para enviar datos sensibles del comercio, contraseñas individuales, bloqueo de sesión.

Conservación y bloqueo tras la salida del trabajador

Tras la extinción del contrato, los datos del trabajador no se eliminan automáticamente: se diferencian por bloque y se gestionan según plazos legales:

Contrato, nómina, partes de Seguridad Social y documentación equivalente: plazo de referencia de cuatro años (LGSS y LGT), ampliable si existe procedimiento abierto.
Documentación de prevención: plazos propios según naturaleza (reconocimientos médicos, formación específica).
Registro horario: cuatro años (art. 34.9 ET).
Grabaciones de videovigilancia: un mes (art. 22.3 LOPDGDD), salvo entrega a autoridad.
Comunicaciones internas y email corporativo: cierre y bloqueo de la cuenta del trabajador con criterio definido, salvaguardando lo que pueda ser relevante para la operativa o pendientes.
Tras vencer todos los plazos, destrucción segura documentada.

Checklist mínimo de la tienda con plantilla

Cláusula del art. 13 RGPD entregada al trabajador en la incorporación.
Información expresa del art. 89 LOPDGDD si hay videovigilancia.
Sistema de registro horario simple (PIN, RFID, app, login, QR, NFC) con información previa al trabajador.
Política de uso de medios digitales (art. 87 LOPDGDD) cuando proceda.
Contratos del art. 28 RGPD con gestoría, SPA, software laboral, fichaje, email y videovigilancia.
Plazos de conservación documentados por bloque.
Procedimiento de baja del trabajador (revocación de accesos, devolución de medios, gestión del email).
Tratamientos laborales inscritos en el RAT.

Preguntas frecuentes

¿Qué documentación debe entregar el comercio al empleado al contratarlo?

Cláusula informativa del art. 13 RGPD adaptada al ámbito laboral, información expresa del art. 89 LOPDGDD si hay videovigilancia, política de uso de medios digitales si aplica y, cuando exista, acuerdo específico de teletrabajo. Todo conservado como prueba de entrega.

¿Cómo puede el comercio controlar el horario de los empleados?

Con métodos simples y no invasivos: PIN, tarjeta RFID, app móvil, login en TPV, QR personal o NFC. Información previa al trabajador y a su representación legal cuando exista. Registro conservado cuatro años (art. 34.9 ET) y disponible para la Inspección.

¿Puede haber cámaras enfocadas a los empleados durante su trabajo?

Sí, dentro del art. 20.3 ET y del art. 89 LOPDGDD. Requiere información previa y clara al trabajador y a su representación. No en aseos, vestuarios ni zonas de descanso. Plazo máximo de conservación de un mes. Sin información previa, las imágenes no podrán emplearse para verificar incumplimientos.

¿Cuánto tiempo conserva el comercio los datos laborales?

Plazo de referencia de cuatro años para nómina, contrato y partes de Seguridad Social (LGSS y LGT). Registro horario, cuatro años (art. 34.9 ET). Grabaciones, un mes (art. 22.3 LOPDGDD). Prevención, plazos propios según naturaleza. Tras vencer, destrucción segura documentada.

Este contenido es meramente orientativo y divulgativo; no constituye en ningún caso asesoramiento jurídico especializado. La aplicación de la normativa a cada caso concreto requiere análisis individualizado. La normativa autonómica sectorial puede ampliar o modificar plazos y requisitos.

¿Quieres ordenar los datos de plantilla de tu comercio?

En Certix te asignamos un experto en cumplimiento del sector comercio. Sin intermediarios comerciales, sin plantillas genéricas.

Hablar con un experto