Qué datos tratas sin darte cuenta
El RGPD en agencias de colocación no se juega en un despacho, sino en el día a día del expediente. Una agencia que gestiona empleadas del hogar trata, como mínimo: datos identificativos (familias y trabajadoras), datos económicos (nóminas, cuentas bancarias, embargos), datos de salud (bajas médicas) y datos de colectivos sensibles en determinados expedientes (extranjería). Es decir, datos de nivel alto, con obligaciones concretas.
Las cinco obligaciones que se olvidan
- Registro de actividades de tratamiento. Saber y poder explicar qué datos tratas, con qué finalidad y durante cuánto tiempo.
- Base jurídica de cada tratamiento. No basta con «lo necesito»: hay que identificar la base (ejecución de contrato, obligación legal…).
- Minimización. Solo los datos necesarios. Una carpeta con documentos de más es riesgo de más.
- Seguridad y control de accesos. Quién puede ver cada expediente. Que todo el equipo pueda ver todos los hogares no es comodidad: es exposición.
- Plazos de conservación. Los documentos se guardan el tiempo necesario y con criterio, no indefinidamente por si acaso.
Los tres riesgos reales en el día a día
| Situación | Riesgo |
|---|---|
| Nóminas y DNIs en carpetas compartidas y correos | Acceso no controlado y sin rastro |
| Datos de salud en un chat de móvil | Tratamiento sin garantías |
| Alojamiento fuera de la UE sin garantías | Transferencia internacional no amparada |
| Expedientes de clientes dados de baja, eternamente guardados | Infracción del principio de conservación |
Cómo se resuelve de verdad
El cumplimiento no se arregla con un documento firmado y guardado en una carpeta: se arregla con organización. Un expediente por hogar, con accesos definidos, con cada documento en su sitio y con los datos alojados donde corresponde, es la forma más simple de cumplir.
Eso es lo que hace el sistema de Tribbe para agencias (aislamiento por cliente y datos en la Unión Europea) y lo que entrega hecha la gestión laboral delegada.
RGPD en agencias de colocación: qué papel juega cada parte
En el tratamiento de datos de un hogar intervienen varias partes: la familia, la trabajadora y la agencia. Cada una tiene un papel distinto y conviene tenerlo claro para no atribuirse responsabilidades que no corresponden ni ignorar las que sí.
La agencia decide qué datos necesita para prestar su servicio, con qué finalidad los usa y cuánto tiempo los conserva. Eso la convierte en responsable de ese tratamiento concreto. La familia aporta los datos de su hogar y la trabajadora aporta los suyos. La agencia no puede tratar más datos de los necesarios ni para fines distintos de los que justifican el servicio.
Cuando la agencia delega la parte laboral en un tercero, ese tercero pasa a tratar datos por cuenta de la agencia. Eso exige un contrato de encargo de tratamiento, con instrucciones claras y garantías de seguridad. No es un papel decorativo: define quién puede hacer qué con los datos.
Documentos que deberías tener localizables
El RGPD en agencias de colocación no se demuestra con buenas intenciones, sino con documentación que se puede localizar en poco tiempo. En una agencia de colocación, los documentos que suelen pedirse en una revisión son unos pocos y siempre los mismos.
- El registro de actividades de tratamiento, con las finalidades y los plazos.
- La base jurídica de cada tratamiento, identificada y explicada.
- El contrato de encargo con los proveedores que tratan datos por cuenta de la agencia.
- Las medidas de seguridad aplicadas y el control de accesos a los expedientes.
- El criterio de conservación y el procedimiento de destrucción de la documentación.
Tener estos documentos no basta si no reflejan lo que realmente se hace. Un registro que describe una operación distinta de la real es peor que no tenerlo, porque demuestra que el control no funciona.
Cómo se organiza el cumplimiento sin frenar la operación
El error habitual es tratar el cumplimiento como una campaña: se revisa todo una vez, se guarda en una carpeta y se olvida. Al cabo de unos meses, la realidad ha cambiado y la carpeta ya no sirve.
La alternativa es organizar el cumplimiento dentro de la propia operación. Un expediente por hogar, con los documentos en su sitio y con accesos definidos, hace que la información esté ordenada por defecto. Cuando cada documento entra en el expediente correcto en el momento en que se genera, no hay que reconstruir nada después.
Ese orden también reduce el trabajo del equipo. Buscar un documento deja de ser una tarea y pasa a ser una consulta. Y cuando alguien sale de la empresa, el acceso se retira sin que los datos queden en su ordenador.
Datos de nómina, banco y salud: nivel alto, obligaciones concretas
Preguntas frecuentes
¿Necesito un delegado de protección de datos?
Depende del volumen y del tipo de tratamientos. Lo que sí es imprescindible es tener identificados los tratamientos, su base jurídica y las medidas de seguridad. Si no hay un delegado interno, conviene apoyarse en asesoramiento especializado y dejar constancia de las decisiones tomadas.
¿Puedo guardar los DNI en una carpeta compartida?
Una carpeta compartida sin control de accesos deja los datos al alcance de cualquiera con permiso de lectura y sin rastro de quién los consulta. Es preferible un sistema con acceso por expediente y con registro de actividad.
¿Cuánto tiempo puedo conservar los expedientes?
El tiempo necesario para la finalidad que justifica el tratamiento y para cumplir las obligaciones legales aplicables. Guardar expedientes de clientes dados de baja indefinidamente no es prudencia, es una infracción del principio de conservación.
¿Y si trabajo con una gestoría externa?
La agencia sigue siendo responsable del tratamiento. La gestoría trata datos por su cuenta, así que debe existir un contrato de encargo con instrucciones y garantías. Delegar la gestión no delega la responsabilidad.
En resumen
- Una agencia de colocación trata datos de nivel alto: identificativos, económicos y de salud.
- El RGPD exige registro de tratamientos, base jurídica, minimización, seguridad y plazos de conservación.
- Los riesgos reales están en las carpetas compartidas, los chats y los alojamientos sin garantías.
- Delegar la parte laboral exige un contrato de encargo; la responsabilidad no se delega.
- El RGPD en agencias de colocación se sostiene con organización diaria, no con una revisión puntual.
Si quieres ordenar el tratamiento de datos de tus expedientes, cuéntanos tu caso. El sistema para agencias aísla la información por cliente y la aloja en la Unión Europea, y la gestión laboral delegada entrega la parte laboral ya ordenada.
Contenido informativo: no sustituye la revisión de tu delegado de protección de datos ni el asesoramiento jurídico.