El RGPD no solo obliga a tu empresa a proteger los datos personales. También exige que las personas que acceden a esa información, desde el recepcionista hasta el director financiero, guarden silencio sobre lo que conocen. Ese silencio tiene nombre jurídico: deber de confidencialidad. Y tiene consecuencias si se incumple.
Qué dice el RGPD sobre la confidencialidad
El artículo 5.1.f) del RGPD establece el principio de integridad y confidencialidad: los datos personales deben tratarse “de tal manera que se garantice una seguridad adecuada, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental”.
El artículo 28 añade que los encargados del tratamiento solo actuarán siguiendo instrucciones del responsable, y que “el personal autorizado” estará sujeto a una obligación de confidencialidad.
En España, el artículo 5 de la LOPDGDD refuerza esta exigencia: las personas con acceso a datos personales están obligadas a guardar el debido secreto o confidencialidad, incluso después de que finalice su relación con el responsable o el encargado del tratamiento.
A quién afecta
La obligación alcanza a todos los trabajadores que tratan datos en el ejercicio de sus funciones, sin importar el contrato o la jerarquía. También a colaboradores externos, autónomos, becarios o cualquier persona que acceda a datos personales de clientes, proveedores o empleados de la empresa.
No existe un umbral mínimo de exposición. Quien consulta una ficha de cliente por error, quien recibe un correo con datos ajenos, o quien gestiona nóminas tiene el mismo deber de confidencialidad que quien diseña la política de privacidad.
El compromiso de confidencialidad escrito
Aunque el deber nace directamente de la ley, la AEPD recomienda que las empresas materialicen ese compromiso mediante un documento firmado. No porque la firma cree la obligación, que ya existe, sino porque acredita que el trabajador fue informado y la aceptó de forma expresa.
Ese documento debe incluir al menos:
- Identificación del trabajador y del puesto.
- Descripción de los datos a los que tiene acceso.
- Prohibición de acceso fuera del ámbito autorizado.
- Prohibición de comunicar, copiar o trasladar datos a terceros.
- Advertencia de que el deber persiste tras la extinción del contrato.
- Consecuencias del incumplimiento.
La obligación no caduca con el contrato
Este punto genera dudas frecuentes. El artículo 5 LOPDGDD es claro: el deber de confidencialidad se mantiene incluso después de que finalice la relación laboral. Un exempleado que comenta datos de clientes con su nueva empresa, o que se lleva una base de datos al cambiar de trabajo, incumple una obligación que sigue vigente.
Las empresas pueden reforzar este punto añadiendo una cláusula específica en el finiquito o en el contrato de trabajo, aunque la obligación legal existe al margen de ello.
Qué pasa si un trabajador incumple
El incumplimiento del deber de confidencialidad puede tener consecuencias en dos planos distintos. Desde el punto de vista laboral, puede justificar un despido disciplinario si la gravedad de la conducta lo exige. Desde el punto de vista normativo, si ese incumplimiento supone una brecha de seguridad, la empresa está obligada a valorar si debe notificarla a la AEPD y a los afectados.
Las multas por infracción grave del RGPD alcanzan los 10 millones de euros o el 2% del volumen de negocio global. Una filtración causada por un empleado que compartió datos sin autorización puede traducirse directamente en una sanción para la empresa, no para el trabajador.
Formación: la otra cara del deber
No basta con que los trabajadores firmen un compromiso. El RGPD exige que la empresa adopte medidas técnicas y organizativas apropiadas, y la formación es una de las más valoradas por la AEPD en sus actuaciones de inspección.
Un trabajador que no sabe que no puede reenviar un correo con datos personales a una cuenta privada no está en condiciones de cumplir con una obligación que desconoce. La formación periódica, documentada y adaptada al puesto, es parte de la responsabilidad proactiva que exige el reglamento.
Qué debes tener en orden en tu empresa
Para cumplir con el deber de confidencialidad de datos de forma efectiva, tu empresa necesita al menos cuatro elementos: compromisos firmados para cada persona con acceso a datos, cláusulas específicas en los contratos de trabajo, formación acreditada y actualizada, y un procedimiento claro para gestionar incidentes cuando el deber se incumple.
En Adaptación RGPD ayudamos a implantar todo esto de forma sistemática, con la documentación necesaria y el respaldo de un equipo especializado. Si quieres revisar si tu empresa cumple con esta obligación, contáctanos sin compromiso.
