Derecho de supresión del RGPD en los registros de RRHH: cómo eliminar los datos de los empleados y demostrarlo

Una solicitud de supresión de un antiguo empleado y una obligación legal de retención suelen apuntar en direcciones opuestas. Tienes que resolver ese conflicto registro por registro, y tienes que poder mostrar tu razonamiento más adelante.

El RGPD otorga a las personas el derecho a que se supriman sus datos personales. RRHH guarda algunos de los datos personales más sensibles de cualquier organización, y también algunos de los más regulados. Cuando un antiguo empleado envía una solicitud de eliminación, la respuesta rara vez es un simple sí o no. Una parte del expediente debe desaparecer. Otra parte debe quedarse. Y necesitas un registro de cuál era cuál.

La respuesta corta

Debes suprimir los datos de un empleado cuando el motivo por el que los tenías ya no se aplica, salvo que un fundamento jurídico concreto te obligue a conservarlos. Los registros de nóminas, fiscales y de seguridad social casi siempre están sujetos a una obligación de retención que prevalece sobre la solicitud de supresión. El expediente de selección de un candidato rechazado normalmente no. El trabajo consiste en decidir, por categoría, qué regla prevalece, y en conservar la prueba de esa decisión.

Qué dice realmente el derecho de supresión

El derecho de supresión está en el artículo 17 del RGPD. Otorga al interesado el derecho a obtener la supresión de sus datos personales sin dilación indebida cuando se cumple alguna de varias condiciones. Las dos que más importan para RRHH son:

• Los datos ya no son necesarios para la finalidad para la que se recogieron.
• Los datos se trataron sobre la base del consentimiento, y ese consentimiento se ha retirado.

Una relación laboral no suele basarse en el consentimiento. Se basa en el contrato de trabajo y en obligaciones legales. Esa distinción importa, porque cambia qué motivos de supresión se aplican y en qué excepciones puedes apoyarte.

Cuándo debes denegar la solicitud

El artículo 17(3) enumera las excepciones. La que domina en RRHH es la excepción por cumplimiento de una obligación legal. Si una ley nacional te obliga a conservar un registro, el derecho de supresión no te obliga a eliminarlo antes de tiempo.

Las categorías sujetas a una obligación de retención son las habituales: registros de nóminas y de impuestos sobre salarios, contratos de trabajo y sus modificaciones, y registros de seguridad y salud en el trabajo. Los registros de nóminas y fiscales son el caso más claro: se conservan durante años en virtud de la legislación fiscal nacional, así que no puedes eliminarlos a petición. El período exacto de cada categoría se detalla en los períodos de retención de datos de RRHH en la UE.

Cuando se aplica una excepción, no eliminas. Pero tampoco te limitas a ignorar la solicitud. Respondes, explicas el fundamento jurídico para conservar los datos y registras que lo hiciste. Una denegación que no puedes explicar después es una denegación que parece un incumplimiento.

Cuándo debes eliminar

Cuando no se aplica ninguna obligación de retención ni ninguna otra excepción, los datos se eliminan. Categorías habituales de RRHH que normalmente deben suprimirse una vez cumplida su finalidad:

• Datos de selección de candidatos rechazados. Una vez cubierta la vacante y transcurrido el breve plazo que pueda haber para reclamaciones por discriminación, ya no queda ninguna finalidad. Sin consentimiento, el plazo es corto, unas cuatro semanas según las directrices neerlandesas. Con el consentimiento del candidato, es habitual conservarlos hasta un año, para poder contactarle para un puesto futuro.
• Datos de candidatura que se te permitía conservar con consentimiento, después de que el candidato haya retirado ese consentimiento.
• Notas de rendimiento y correspondencia interna de RRHH que han sobrevivido a su finalidad y no forman parte de un registro que estés obligado a conservar.
• Credenciales de acceso, registros de tarjetas de acceso y datos de cuentas informáticas, una vez completada la baja y cerrado cualquier plazo de revisión de seguridad.

La limitación del plazo de conservación no es solo reactiva. El artículo 5(1)(e) exige que, de entrada, no conserves los datos personales más tiempo del necesario. Es un principio distinto de la minimización de datos del artículo 5(1)(c), que limita cuánto recoges. Una solicitud de supresión es a menudo simplemente el momento en que descubres que tenías datos que ya deberías haber eliminado.

La parte en la que la mayoría de los equipos se equivoca: la prueba

Eliminar los datos es la mitad de la obligación. Poder demostrar que los eliminaste es la otra mitad, y es la mitad que falla en una auditoría.

El artículo 5(2) establece el principio de responsabilidad proactiva. Debes poder demostrar el cumplimiento, no solo afirmarlo. Para la supresión, eso significa que deberías poder mostrar, para una solicitud concreta:

1. Qué se solicitó y cuándo.
2. Qué categorías suprimiste y cuáles conservaste.
3. El fundamento jurídico de todo lo que conservaste.
4. Cuándo se produjo realmente la supresión.
5. Que los datos suprimidos han desaparecido de verdad y no siguen en una copia de seguridad que los restaure discretamente.

Una autoridad de control como la Autoriteit Persoonsgegevens neerlandesa o la CNIL francesa, actuando a raíz de una reclamación del antiguo empleado, pedirá exactamente esto. “Lo eliminamos” no es una respuesta. Un registro fechado y resistente a manipulaciones de la decisión y de la actuación sí lo es.

El problema de las copias de seguridad

Las copias de seguridad son el punto donde se desmoronan las afirmaciones de supresión. Si eliminas un registro de tu sistema en producción pero una copia de seguridad nocturna lo restaura tres semanas después, no has suprimido nada. Los reguladores aceptan que la eliminación inmediata de todas las copias de seguridad no siempre es técnicamente viable, pero esperan un enfoque documentado: los datos quedan fuera de uso, excluidos de las restauraciones, y se purgan en la siguiente rotación de copias de seguridad. Lo que no aceptan es el silencio. Si no puedes describir tu proceso de eliminación en las copias de seguridad, no puedes demostrar la supresión.

Informa a los demás

La supresión no se detiene en tus propios sistemas. El artículo 19 te obliga a comunicar la supresión a cada uno de los destinatarios a los que se comunicaron los datos, salvo que sea imposible o exija un esfuerzo desproporcionado. En RRHH eso suele significar tu gestoría de nóminas, tu administrador de pensiones y cualquier encargado del tratamiento que haya recibido el registro. Eliminar tu copia mientras un encargado conserva la suya no es una supresión. Es una brecha, y una que tienes que cerrar y documentar.

Un flujo de supresión defendible para RRHH

Un flujo de trabajo que resiste el escrutinio tiene este aspecto:

1. Registra la solicitud con un sello de tiempo en cuanto llega.
2. Clasifica el expediente por categorías. Separa las partes sujetas a una obligación de retención de las partes que deben suprimirse.
3. Registra la decisión por categoría, incluido el fundamento jurídico de todo lo que se conserva.
4. Ejecuta la eliminación de las categorías que deben desaparecer, incluido el tratamiento de las copias de seguridad.
5. Captura la prueba de que la eliminación se produjo: qué se eliminó, cuándo y mediante qué proceso.
6. Responde a la persona dentro del plazo de un mes, prorrogable dos meses más en las solicitudes complejas.

El resultado de un buen flujo no son solo datos eliminados. Es un expediente defendible que muestra, meses o años después, que hiciste lo correcto por el motivo correcto. Esta es la idea que hay detrás de la eliminación defendible: una destrucción que viene con su propia evidencia.

Cómo apoya SealDoc la supresión en RRHH

SealDoc asigna a cada documento una categoría de retención en el momento de su creación y registra su ciclo de vida en una pista de auditoría con cadena de hashes, de modo que cualquier cambio posterior en la secuencia es detectable. La API de SealDoc se niega a suprimir un documento dentro de su período de retención.

A través de la API, SealDoc suprime los datos de un documento a petición una vez que su período de retención lo permite, y registra la supresión en la pista de auditoría. El registro se captura en el momento de la supresión, que es exactamente cuando la responsabilidad proactiva del artículo 5(2) es más fácil de cumplir y más difícil de reconstruir a posteriori.

Los datos residen en infraestructura dentro de la UE, sin ningún hiperescalador estadounidense en el camino, de modo que el propio registro de supresión no crea un nuevo problema de transferencia.