Tabla de contenidos
Una empresa comienza a recopilar datos personales incluso antes de contratar. Desde que recibe un currículum, un número telefónico o una referencia laboral, ya está tratando información que debe utilizarse de manera responsable.
El aviso de privacidad para trabajadores permite informar qué datos recopila la empresa, para qué los utiliza, con quién puede compartirlos y cómo puede la persona ejercer sus derechos. No es una hoja decorativa que se firma junto con el contrato: es parte del sistema legal y administrativo de la empresa.
Durante una relación laboral pueden recopilarse documentos como identificaciones, CURP, RFC, número de Seguridad Social, datos bancarios, beneficiarios, comprobantes de domicilio, incapacidades, evaluaciones y controles de asistencia.
La empresa necesita esa información para operar, pero debe limitar su uso a finalidades legítimas, informadas y relacionadas con la relación laboral.
¿Qué es un aviso de privacidad para trabajadores?
Un aviso de privacidad para trabajadores es el documento mediante el cual una empresa informa a candidatos, empleados y exempleados cómo tratará sus datos personales.
El tratamiento no consiste únicamente en recopilar documentos. También incluye acciones como:
- Registrar información.
- Organizar expedientes.
- Consultar documentos.
- Utilizar datos para nómina.
- Compartir información con autoridades o proveedores.
- Conservar archivos.
- Modificar datos.
- Bloquearlos o eliminarlos.
Por ejemplo, una empresa trata datos cuando recibe un currículum, integra un expediente, utiliza una cuenta bancaria para pagar el salario o comunica información al IMSS.
¿Por qué necesita una empresa un aviso de privacidad laboral?
La relación laboral no autoriza a la empresa a utilizar cualquier información sin límites. El personal debe conocer:
- Quién es responsable de sus datos.
- Qué información se recopila.
- Para qué será utilizada.
- Qué datos son considerados sensibles.
- Con quién puede compartirse.
- Cómo puede limitarse su uso.
- Cómo pueden ejercerse los derechos ARCO.
- Cómo se comunicarán los cambios al aviso.
También deben respetarse principios como licitud, finalidad, consentimiento, calidad, proporcionalidad, información y responsabilidad.
Esto significa que la empresa no debería recopilar información excesiva “por si algún día sirve” ni utilizarla para propósitos distintos a los informados.
¿Es igual el aviso de clientes que el de empleados?
No necesariamente. Un aviso diseñado para clientes puede hablar de ventas, facturación, entregas, promociones o cobranza, pero no explicar qué ocurre con los expedientes laborales.
El aviso de privacidad para trabajadores puede contemplar finalidades como:
- Contratación.
- Integración del expediente.
- Pago de nómina.
- Seguridad social.
- Administración de prestaciones.
- Control de asistencia.
- Capacitación y evaluaciones.
- Seguridad y salud laboral.
- Entrega de herramientas.
- Terminación de la relación.
También conviene contar con un aviso específico para candidatos, especialmente cuando se reciben currículums, se verifican referencias o se conserva información para futuras vacantes.
¿Qué datos personales puede recopilar una empresa?
La empresa debe solicitar únicamente información necesaria, adecuada y relacionada con las finalidades informadas.
Datos de identificación
- Nombre.
- Fecha de nacimiento.
- Firma.
- Identificación oficial.
- CURP.
- RFC.
- Número de Seguridad Social.
Datos de contacto
- Domicilio.
- Teléfono.
- Correo electrónico.
- Contacto para emergencias.
Datos laborales y académicos
- Currículum.
- Experiencia laboral.
- Referencias.
- Estudios.
- Certificaciones.
- Evaluaciones.
Datos fiscales, financieros y de seguridad social
- Constancia de situación fiscal.
- Cuenta bancaria o CLABE.
- Salario.
- Movimientos afiliatorios.
- Incapacidades.
- Información para prestaciones.
No conviene solicitar estados de cuenta completos cuando únicamente se necesita confirmar la cuenta utilizada para el pago de nómina.
¿Qué son los datos personales sensibles?
Son datos que pertenecen a la esfera más íntima de una persona o cuyo uso indebido puede producir discriminación o un riesgo grave.
Entre ellos pueden encontrarse:
- Origen racial o étnico.
- Estado de salud presente o futuro.
- Información genética.
- Creencias religiosas.
- Opiniones políticas.
- Preferencia sexual.
Como regla general, el tratamiento de datos sensibles requiere consentimiento expreso y por escrito. Además, su recopilación debe responder a una finalidad legítima, concreta y relacionada con las actividades de la empresa.
Antes de pedir información sensible, conviene preguntarse:
- ¿Es realmente necesaria?
- ¿Qué finalidad laboral tiene?
- ¿Existe una alternativa menos invasiva?
- ¿Quién tendrá acceso?
- ¿Cuánto tiempo será conservada?
- ¿Cómo será protegida?
¿Qué debe contener un aviso de privacidad para trabajadores?
La legislación establece seis elementos mínimos que debe contener el aviso de privacidad para trabajadores.
1. Identidad y domicilio del responsable
Debe indicar la persona física o moral que decide sobre el tratamiento de los datos. Es importante utilizar la razón social correcta y no únicamente el nombre comercial o el logotipo.
2. Datos personales sometidos a tratamiento
Debe explicar qué categorías de información se recopilarán e identificar expresamente cuáles son sensibles.
3. Finalidades del tratamiento
Debe explicar para qué se utilizarán los datos y distinguir las finalidades necesarias de aquellas que requieren consentimiento.
Las finalidades principales pueden incluir:
- Seleccionar candidatos.
- Elaborar contratos.
- Integrar expedientes.
- Pagar salarios.
- Cumplir obligaciones fiscales.
- Realizar movimientos ante el IMSS.
- Administrar prestaciones.
- Controlar la asistencia.
- Atender emergencias.
- Gestionar la terminación laboral.
Las finalidades secundarias pueden incluir el uso de fotografías en redes sociales, testimonios, publicidad o la conservación de currículums para futuras vacantes.
4. Opciones para limitar el uso o divulgación
Debe señalar cómo puede la persona limitar determinados usos, especialmente aquellos que no son indispensables para la relación laboral.
5. Procedimiento para ejercer derechos ARCO
ARCO significa acceso, rectificación, cancelación y oposición.
El aviso debe señalar el área responsable, los requisitos, el correo o domicilio para presentar la solicitud y los medios por los que se comunicará la respuesta.
Como regla general, la empresa debe comunicar su determinación en un plazo máximo de veinte días y, cuando resulte procedente, hacerla efectiva dentro de los quince días siguientes.
6. Procedimiento para comunicar cambios
Debe explicar cómo se informarán las modificaciones al aviso. Puede utilizarse el sitio web, correo electrónico, intranet, plataforma de Recursos Humanos o entrega física.
Transferencias de datos
Cuando la empresa pretenda transferir información a terceros nacionales o extranjeros, deberá incluir la cláusula correspondiente e indicar si la persona acepta o no dichas transferencias, salvo las excepciones previstas legalmente.
Puedes consultar la Ley Federal de Protección de Datos Personales en Posesión de los Particulares en el portal oficial de la Cámara de Diputados.
¿Cuándo debe entregarse el aviso?
El aviso de privacidad para trabajadores debe ponerse a disposición desde el momento en que se recopilan los datos o antes de utilizarlos.
Puede entregarse:
- Al recibir una solicitud de empleo.
- Antes de cargar un currículum.
- Durante el proceso de contratación.
- Al integrar el expediente.
- Antes de utilizar un sistema biométrico.
- Cuando se recopilen datos adicionales.
- Cuando cambien las finalidades.
La empresa debería conservar evidencia de que el aviso fue puesto a disposición, mediante firma, acuse, correo, casilla electrónica o registro de acceso.
¿La firma significa que el trabajador acepta todo?
No. Deben distinguirse diferentes actos:
- La entrega del aviso.
- El consentimiento general.
- El consentimiento expreso para datos financieros.
- El consentimiento escrito para datos sensibles.
- La aceptación de transferencias.
- La autorización para finalidades secundarias.
No es recomendable utilizar una cláusula general que pretenda autorizar cualquier uso presente o futuro de la información.
¿Cómo debe protegerse la información laboral?
La empresa debe adoptar medidas administrativas, físicas y técnicas para evitar pérdidas, alteraciones, accesos no autorizados o filtraciones.
Medidas administrativas
- Políticas internas.
- Definición de responsables.
- Capacitación.
- Acuerdos de confidencialidad.
- Procedimientos ARCO.
- Protocolos para incidentes.
Medidas físicas
- Archiveros con llave.
- Acceso restringido.
- Control de visitantes.
- Destrucción segura.
- Protección de dispositivos.
Medidas técnicas
- Cuentas individuales.
- Contraseñas seguras.
- Autenticación de dos factores.
- Permisos por usuario.
- Cifrado.
- Copias de seguridad.
- Historial de modificaciones.
- Eliminación segura.
Guardar todos los expedientes en una carpeta compartida llamada “EMPLEADOS” no es un sistema de seguridad. Es un archivero sin puerta, pero con Wi-Fi.
Errores frecuentes en un aviso de privacidad para trabajadores
- Utilizar el mismo aviso para clientes y empleados.
- No identificar la razón social responsable.
- Usar finalidades demasiado generales.
- No distinguir datos sensibles.
- No explicar cómo ejercer derechos ARCO.
- No incluir medios de contacto.
- Solicitar información innecesaria.
- Conservar currículums indefinidamente.
- Compartir expedientes por WhatsApp o correos personales.
- Utilizar fotografías en publicidad sin revisar la autorización.
- No actualizar el aviso cuando cambian los procesos.
- No proteger adecuadamente los expedientes.
Lista para revisar el aviso de tu empresa
Antes de utilizar un aviso de privacidad para trabajadores, verifica:
- ¿Identifica correctamente a la empresa responsable?
- ¿Describe los datos que se recopilan?
- ¿Identifica los datos sensibles?
- ¿Explica las finalidades reales?
- ¿Distingue las finalidades secundarias?
- ¿Incluye el procedimiento ARCO?
- ¿Señala cómo limitar el uso de los datos?
- ¿Explica cómo se comunicarán los cambios?
- ¿Incluye la cláusula de transferencias cuando corresponde?
- ¿Coincide con los procesos reales de la empresa?
- ¿Existe evidencia de entrega?
- ¿Los expedientes están protegidos?
Protege los datos y expedientes de tus trabajadores
El aviso de privacidad para trabajadores debe formar parte de un sistema documental más amplio que incluya contratos, expedientes, acuerdos de confidencialidad, responsivas y controles internos.
El Paquete Blindaje Legal de Colabora Legal reúne más de 15 documentos legales y laborales editables para ayudarte a estructurar los procesos de tu empresa.
Obtén el Paquete Blindaje Legal y comienza a organizar la documentación de tu personal.
Aviso: Este contenido es informativo y no sustituye una asesoría jurídica. Cada aviso debe adaptarse a los datos, finalidades, proveedores, transferencias y procesos reales de la empresa.