1 de mayo de 2026
Introducción
En Recursos Humanos, uno de los errores más frecuentes es tratar cualquier uso de datos del empleado como si necesitara una autorización firmada. En España y en la UE, el consentimiento es solo una de las posibles bases jurídicas del tratamiento. Nóminas, Seguridad Social, prevención de riesgos, gestión contractual u otras actividades pueden apoyarse en bases distintas, según el caso.
La firma electrónica resulta útil cuando la empresa necesita documentar una decisión del empleado —por ejemplo, un consentimiento verdaderamente voluntario para una finalidad concreta—, pero firmar una cláusula de privacidad no convierte automáticamente el tratamiento en lícito ni hace válido un consentimiento que no sea libre.
Por eso, antes de crear documentos para firma conviene separar tres cosas: la información que la empresa debe facilitar, la base jurídica que sostiene cada tratamiento y los casos concretos en los que realmente se utiliza el consentimiento.
Empezar por la base jurídica, no por la firma
El Reglamento General de Protección de Datos (RGPD) contempla varias bases jurídicas para tratar datos personales. Entre ellas están el consentimiento, la ejecución de un contrato, el cumplimiento de una obligación legal y, cuando proceda, el interés legítimo.
En una relación laboral, eso significa que no toda finalidad debe convertirse en una casilla de “acepto”. Por ejemplo, determinados tratamientos necesarios para gestionar la relación laboral o cumplir obligaciones legales pueden apoyarse en otras bases y seguir exigiendo que la persona trabajadora reciba la información correspondiente.
Una matriz interna puede ayudar a separar:
La tabla es un ejemplo de diseño, no una determinación jurídica automática. La empresa debe documentar la base aplicable a cada tratamiento concreto.
No confundir información de privacidad con consentimiento
La empresa tiene que informar a las personas trabajadoras sobre el tratamiento de sus datos. Esa obligación informativa no significa que la persona tenga que “aceptar la política de privacidad” para que cualquier tratamiento sea válido.
La AEPD distingue entre:
- informar sobre cómo se tratarán los datos;
- recabar consentimiento cuando esa sea realmente la base de licitud.
Un flujo de RR. HH. puede registrar que la información fue puesta a disposición del empleado sin presentar ese registro como un consentimiento para todos los tratamientos descritos.
Si además existe una finalidad que sí se basa en consentimiento, esa decisión debería aparecer de forma diferenciada, clara y específica.
Tratar con cautela el consentimiento en la relación laboral
El RGPD exige que el consentimiento sea libre, específico, informado e inequívoco. Además, debe poder retirarse con la misma facilidad con la que se prestó.
En el ámbito laboral existe un factor adicional: la relación entre empresa y empleado puede generar un desequilibrio que dificulte demostrar que la elección fue realmente libre. El considerando 43 del RGPD advierte precisamente sobre los casos en los que existe un desequilibrio claro entre el interesado y el responsable.
Por tanto, antes de solicitar una firma de consentimiento conviene preguntarse:
- ¿el tratamiento necesita realmente basarse en consentimiento?;
- ¿la persona puede negarse sin sufrir una consecuencia improcedente?;
