Formación en protección de datos para empleados: obligación según el art. 32 RGPD

Quien trata datos personales necesita algo más que una política de privacidad en el sitio web: también los propios empleados deben recibir formación periódica en protección de datos y comprometerse con la confidencialidad.

En breve: los empleados que tratan datos personales deben recibir formación periódica en protección de datos y comprometerse por escrito con el secreto de los datos. Esto afecta prácticamente a cualquier empresa con personal, ya que incluso el tratamiento de los datos de los empleados entra en esta obligación. Si falta esta medida organizativa, se arriesgan multas en caso de brechas de datos, y el error humano es una de las causas más frecuentes.

¿A quién afecta?

Afecta a toda empresa que tenga empleados que trabajen con datos personales; no solo cuentan los datos de clientes o pacientes, sino también los de los propios compañeros, por ejemplo expedientes de personal, nóminas o datos de candidatos. Así, prácticamente toda empresa con personal está sujeta a esta obligación, con independencia de su tamaño o sector. Quien dude de si los empleados de su empresa están afectados y en qué medida puede hacerlo comprobar en el marco de un Company Audit.

¿Por qué es obligatoria la formación?

La concienciación y la formación de los empleados forman parte de las medidas organizativas que el art. 32 RGPD exige para la seguridad del tratamiento y, si se ha designado un delegado de protección de datos, figuran entre sus funciones según el art. 39 RGPD. El motivo está en la práctica: el error humano es una de las causas más frecuentes de brechas de datos, por ejemplo un correo enviado por error, un dispositivo perdido o un clic en un enlace de phishing. Las medidas técnicas de protección, como el cifrado o los derechos de acceso, resultan inútiles si los empleados no saben cómo tratar los datos personales ni cómo reconocer y comunicar un incidente. Por eso el RGPD exige expresamente, además de las medidas técnicas, medidas organizativas como esta formación.

¿Qué debe hacer en concreto?

La aplicación sigue un proceso fijo de identificación, contenidos de formación, realización y documentación.

1. Identificar a los empleados que trabajan con datos personales (también datos de empleados).
2. Fijar los contenidos de la formación (fundamentos, confidencialidad, gestión de solicitudes, comunicación de incidentes).
3. Realizar la formación en la contratación y, después, de forma periódica.
4. Comprometer a los empleados con el secreto de los datos / la confidencialidad.
5. Documentar la participación con fecha y firma.

En la práctica, las sesiones breves y periódicas de concienciación resultan más duraderas que una única formación básica. Un enfoque especial en el phishing y en el manejo de los archivos adjuntos del correo reduce notablemente el riesgo de brechas de datos, ya que el error humano suele ser aquí la puerta de entrada. Quien adapta los contenidos de la formación a las categorías de datos reales de su empresa, por ejemplo datos de clientes en ventas o datos de empleados en el departamento de personal, logra mayor aceptación que con una presentación puramente general.

¿Hasta cuándo / con qué frecuencia?

La formación se realiza en cada nueva contratación y después se repite cada año. Quien contrate a nuevos empleados debería integrar la formación básica de forma fija en el proceso de incorporación, para que nadie con acceso a datos personales trabaje sin formación. La repetición anual mantiene presentes contenidos como la gestión de solicitudes de los interesados o la comunicación de incidentes, aunque cambien los procesos o los requisitos legales en la empresa. Conviene fijar en el calendario de la empresa fechas fijas para la actualización anual, para que la repetición no se pierda en el día a día.

¿Qué ocurre en caso de incumplimiento?

Las medidas organizativas insuficientes, como la falta de formación y de compromiso de confidencialidad, pueden sancionarse con multas de hasta 10 M€ o el 2 % del volumen de negocio anual mundial. En la práctica, esto cobra relevancia sobre todo en caso de daño: si se produce una brecha de datos debida a un error humano, las autoridades de control suelen comprobar si los empleados estaban suficientemente formados y comprometidos con la confidencialidad. Si falta la prueba de la formación y del compromiso, la infracción pesa más en la valoración de la autoridad, aunque la brecha de datos en sí se deba a un simple descuido.

Preguntas frecuentes

¿Debo formar también a personal auxiliar, estudiantes con contrato y becarios?

Sí. Lo determinante no es el tipo de relación laboral, sino si la persona trabaja con datos personales. También el personal auxiliar, los estudiantes con contrato y los becarios deben recibir la formación correspondiente y comprometerse con el secreto de los datos si tienen acceso a ellos.

¿Basta con una formación única en la contratación?

No. Está prevista una formación en la contratación y después una repetición anual. Una formación básica única sin actualización periódica no cumple la obligación de concienciación continua, ya que riesgos como el phishing o la gestión de solicitudes evolucionan constantemente.

¿Debe constar por escrito el compromiso con el secreto de los datos?

El compromiso debería documentarse para poder acreditarlo en caso de duda. Para ello hay que dejar constancia de la participación en la formación y del compromiso de confidencialidad con fecha y firma de la persona afectada.

¿Quién es responsable de realizar la formación?

La concienciación y formación de los empleados forma parte de las medidas organizativas de las que responde la empresa según el art. 32 RGPD. Si se ha designado un delegado de protección de datos, la supervisión de estas formaciones figura entre sus funciones según el art. 39 RGPD.

¿La obligación rige también para pequeñas empresas sin delegado de protección de datos?

Sí. La obligación de formar y concienciar a los empleados se deriva del art. 32 RGPD y rige con independencia de que se haya designado un delegado de protección de datos. También las empresas más pequeñas deben formar y comprometer en consecuencia a los empleados que traten datos personales.

Fuente: Art. 32 RGPD · Art. 39 RGPD. Este artículo es información general y no sustituye el asesoramiento jurídico en cada caso concreto. Fecha: julio de 2026.