Registro de jornada, control horario y datos de los empleados en la pyme

El tratamiento de datos del personal concentra los riesgos más serios de cualquier pyme española. La nómina pasa por la gestoría y por la mutua; el control horario está obligado por norma desde el RD-Ley 8/2019; las cámaras de videovigilancia graban a los empleados cuando hay sistema en el centro de trabajo; el correo profesional contiene datos de clientes que la empresa debe poder recuperar al cesar el contrato laboral. Cada uno de esos frentes tiene su propio régimen, y los errores más frecuentes en pyme se concentran precisamente aquí.

Esta guía explica cómo gestiona una pyme los datos personales de su plantilla conforme al RGPD (Reglamento UE 2016/679), la LOPDGDD (Ley Orgánica 3/2018), el Estatuto de los Trabajadores, el RD-Ley 8/2019 de control horario y la jurisprudencia constitucional aplicable, con énfasis en lo que la pyme media realmente necesita: cláusula informativa, control horario, videovigilancia laboral, baja del empleado y correo profesional.

La cláusula informativa del empleado: lo que pocas pymes entregan al firmar

El art. 13 RGPD obliga al responsable a informar al interesado en el momento en que se recogen sus datos. En el ámbito laboral ese momento es la firma del contrato, cuando el empleado entrega su DNI, su NIE/IBAN, su tarjeta sanitaria, sus datos familiares para retenciones y eventualmente su historial médico para vigilancia de la salud. La cláusula informativa específica de empleado debe cubrir:

• Identidad del responsable (la empresa) y datos de contacto del DPD si lo hubiera.
• Finalidades: gestión laboral, nómina y cotización, retenciones e impuestos, prevención de riesgos laborales, vigilancia de la salud si procede, control horario, gestión de vacaciones y permisos, formación, evaluación del desempeño, comunicaciones internas.
• Bases jurídicas: ejecución del contrato laboral (art. 6.1.b RGPD) para la operativa propia del contrato, cumplimiento de obligaciones legales (art. 6.1.c) para las relacionadas con TGSS, AEAT, prevención, accidentes, y consentimiento (art. 6.1.a) o interés legítimo (art. 6.1.f) para finalidades adicionales (uso de imagen del empleado en redes corporativas, programas de fidelización interna, etc.).
• Destinatarios habituales: TGSS, AEAT, Servicio Público de Empleo, gestoría externa, mutua de accidentes, entidades aseguradoras del convenio, servicio de prevención.
• Transferencias internacionales si la empresa utiliza software de RRHH con servidores fuera del EEE.
• Plazos de conservación: durante la vigencia del contrato y los plazos posteriores fijados por la normativa laboral, fiscal y de prescripción de acciones (cuatro años para deudas tributarias, cinco años para acciones civiles ordinarias, plazos específicos para reclamaciones laborales y de Seguridad Social).
• Derechos del trabajador y vía concreta de ejercicio.

La cláusula se entrega firmada por el empleado como acuse de recibo y se archiva en su expediente personal. Esa firma no es el consentimiento al tratamiento —la base jurídica es el contrato laboral, no el consentimiento— sino la prueba de que la empresa ha cumplido el deber de información.

Control horario: la obligación con varias soluciones legales

El RD-Ley 8/2019, de 8 de marzo, modificó el art. 34 del Estatuto de los Trabajadores para imponer a las empresas la obligación de garantizar el registro diario de la jornada de cada trabajador, con hora concreta de inicio y de finalización. La pyme dispone de varias alternativas legítimas y proporcionadas para cumplir esta obligación:

Independientemente del sistema elegido, hay que respetar tres principios:

• Información al empleado: el sistema, los datos registrados, el plazo de conservación (cuatro años conforme a la exigencia de la Inspección de Trabajo) y los accesos al registro deben constar en la cláusula informativa.
• Minimización (art. 5.1.c RGPD): el registro debe captar solo lo necesario. La hora de inicio y fin de la jornada cabe; los datos no necesarios para el control horario, no.
• Negociación con la representación legal: el art. 34.9 ET prevé negociación colectiva o, en su defecto, acuerdo con los representantes legales para fijar la organización y documentación del registro.

Videovigilancia laboral: lo que sí y lo que no

La pyme con cámaras de videovigilancia en el centro de trabajo debe respetar simultáneamente el régimen del RGPD, el art. 22 LOPDGDD (que regula el tratamiento por sistemas de videovigilancia) y el art. 89 LOPDGDD (que regula específicamente la videovigilancia laboral). Lo que sí está permitido:

• Cámaras con finalidad de seguridad de personas y bienes en zonas de paso, accesos, almacenes, cajas, recepción.
• Información al trabajador y a sus representantes legales de la existencia del sistema (art. 89.2 LOPDGDD), antes de su instalación.
• Cartelería informativa visible conforme al art. 22.4 LOPDGDD: dispositivo de la AEPD u otro que cumpla el contenido del modelo (identidad del responsable, posibilidad de ejercer derechos, finalidad genérica).
• Conservación de imágenes durante el plazo necesario, en general un mes (art. 22.3 LOPDGDD), salvo necesidad de investigación de un hecho concreto.
• Visualización del material solo por personal autorizado, con registro de accesos.

Lo que está terminantemente prohibido:

• Cámaras en zonas de descanso, comedores, vestuarios, aseos y zonas análogas (art. 89.1 LOPDGDD). Esta prohibición es absoluta: no hay finalidad legítima ni consentimiento que la habilite.
• Grabación de sonido junto con imagen, salvo casos muy excepcionales con análisis jurídico previo, dada la afectación adicional al derecho a la intimidad.
• Cámaras ocultas instaladas de forma sistemática sin informar a los trabajadores. La excepción del art. 89.2 LOPDGDD se refiere específicamente al uso de imágenes de cámaras informadas para constatar incumplimientos flagrantes, no a la instalación encubierta general.
• Compartir el visor de las cámaras con personas no autorizadas (familiares del propietario, otros empleados sin función) o publicar imágenes de empleados en redes corporativas sin su consentimiento.

Nómina, IBAN y datos económicos: cómo viajan y dónde se guardan

El procesamiento de la nómina es uno de los flujos de datos personales más densos de la pyme. Implica datos identificativos del trabajador, datos de su familia (para retenciones), IBAN, salario, antigüedad, categoría profesional, ocasionalmente diagnósticos médicos cuando hay parte de baja por enfermedad común o por accidente laboral. Los puntos críticos:

• Cifrado en tránsito: la nómina nunca debe viajar por canales no seguros. El correo electrónico estándar entre la empresa y la gestoría debe ser de un proveedor profesional con cifrado en tránsito. El envío de PDFs sin cifrar a la dirección personal del empleado solo es razonable cuando el PDF está protegido con contraseña conocida solo por el empleado.
• Archivo seguro: las copias internas de las nóminas se guardan en un sistema con control de accesos. No en una carpeta compartida abierta a toda la plantilla.
• Bajas médicas: el parte de baja contiene datos de salud (categoría especial del art. 9 RGPD). El acceso debe restringirse al personal con función específica (RRHH, gestoría, persona designada). El parte no se comparte con compañeros de equipo más allá de la información estrictamente necesaria para reorganizar la actividad.
• Cambio de gestoría: si la empresa cambia de gestoría externa, la gestoría saliente debe devolver toda la documentación al responsable (art. 28.3.g RGPD) antes de destruirla, garantizando la continuidad del cumplimiento.

Baja del empleado: el correo profesional y el cierre limpio

Cuando un empleado deja la empresa —por baja voluntaria, despido o fin de contrato—, la pyme debe gestionar varios frentes simultáneos:

• Suspensión de accesos en el momento efectivo de la baja: ERP, CRM, software de RRHH, herramientas corporativas, VPN, plataforma de almacenamiento, sistemas de control horario.
• Recuperación de dispositivos de la empresa: portátil, móvil corporativo, llaves, tarjetas de acceso. Documentar la entrega con acta firmada.
• Gestión del correo profesional: redireccionar entrantes a otro responsable durante un plazo razonable (tres a seis meses suele ser proporcional), con autorrespondedor que avise al remitente del cambio. Tras el plazo, suprimir el buzón.
• Copia de archivos profesionales: los documentos profesionales que el empleado tenía en su equipo o en su nube personal corporativa pasan a la empresa, conforme a la política de uso de medios telemáticos que el empleado conoció al firmar el contrato.
• Conservación del expediente personal durante los plazos legales: nómina, vida laboral, contratos firmados, prevención de riesgos, formación, certificaciones, comunicaciones disciplinarias si las hubo. El plazo de prescripción de acciones laborales y de Seguridad Social marca el horizonte de conservación.

Checklist mínimo del tratamiento laboral en la pyme

• Cláusula informativa específica de empleado entregada y firmada en el momento del alta, archivada en cada expediente.
• Sistema de control horario implantado conforme al RD-Ley 8/2019, informado al empleado y a sus representantes legales si los hay.
• Política de videovigilancia escrita: zonas grabadas, plazos, accesos, cartelería conforme al art. 22.4 LOPDGDD.
• Procedimiento de nómina con cifrado en tránsito y archivo restringido por accesos.
• Política de uso de medios telemáticos comunicada al empleado al firmar el contrato.
• Protocolo de baja con suspensión de accesos, recuperación de dispositivos, redirección y supresión del correo profesional.
• Contrato del art. 28 RGPD con gestoría externa, mutua, servicio de prevención y software de RRHH.
• Tratamiento específico de datos de salud (bajas, vigilancia de la salud) con acceso restringido y conservación adecuada.

Preguntas frecuentes

Este contenido es meramente orientativo y divulgativo; no constituye en ningún caso asesoramiento jurídico especializado. La aplicación de la normativa a cada caso concreto requiere análisis individualizado. La normativa autonómica sectorial puede ampliar o modificar plazos y requisitos.