Instrucción en protección de datos: obligación, desarrollo y cómo documentar correctamente la prueba

La instrucción en protección de datos designa la concienciación documentada de sus empleados en el manejo de datos personales. No existe una norma del RGPD con este nombre: la obligación se deriva indirectamente de varios artículos del reglamento. Lo decisivo al final no es el formulario, sino la prueba: quién fue instruido, cuándo y sobre qué contenidos.

Por la redacción de Provimedia · Actualizado: julio de 2026 · Este artículo es información general y no constituye asesoramiento jurídico.

Después de este artículo sabrá qué seis datos necesita su prueba para resistir ante una autoridad de control.

¿Es obligatoria la instrucción en protección de datos?

De hecho sí, aunque la palabra no aparezca en el RGPD. El concepto procede originariamente de la prevención de riesgos laborales: el § 12 de la ley alemana de prevención de riesgos laborales (Arbeitsschutzgesetz, ArbSchG) obliga a los empleadores a una instrucción vinculada al puesto de trabajo; en protección de datos se emplea el mismo lenguaje, pero la derivación jurídica es otra.

La obligación resulta de la combinación de varios artículos del RGPD:

• Art. 5, apartado 2 – Responsabilidad proactiva: los responsables deben poder demostrar el cumplimiento de los principios.
• Art. 24 – Medidas técnicas y organizativas: según la opinión dominante, esto incluye también la formación del personal.
• Art. 29 – Sujeción a instrucciones: quien tiene acceso a datos personales está sujeto a las instrucciones del responsable, y las instrucciones presuponen que son conocidas.
• Art. 32, apartado 4 – Control de acceso: las personas con acceso a datos solo pueden actuar siguiendo instrucciones.
• Art. 39, apartado 1, letra b) – Función del DPD: el artículo 39 convierte expresamente la formación en una función del DPD: la concienciación y formación del personal que participa en las operaciones de tratamiento.

En conjunto resulta una obligación indirecta, pero sólida: no un mandato literal, sino una derivación que las autoridades de control aplican en la práctica precisamente así. La derivación detallada figura en el artículo Obligación de formación en el RGPD.

¿Qué debe incluir la instrucción?

Una instrucción que, llegado el caso, resista ante una autoridad de control abarca más que un módulo de vídeo con una prueba tipo test al final. En cuanto al contenido, deben incluirse como mínimo los siguientes temas:

• Principios básicos del tratamiento de datos: licitud, limitación de la finalidad, minimización de datos
• Derechos de los interesados y el curso interno de las solicitudes
• Actuación ante una violación de la seguridad de los datos, con vías de notificación y plazos
• Trato con los encargados del tratamiento y el principio de consultar datos solo cuando exista una necesidad real
• Riesgos prácticos y específicos de cada función: phishing e ingeniería social, contraseñas seguras, dispositivos móviles, supresión de datos una vez cumplida la finalidad

Es importante la relación con la propia empresa. Una mera lectura de la ley sin ejemplos prácticos cumple solo formalmente la finalidad de concienciación del art. 39, apartado 1, letra b), RGPD. Quien vincula los contenidos con procesos reales de la empresa —por ejemplo, el sistema CRM, la comunicación con los clientes o el manejo de documentación de candidatos— llega realmente a los empleados y puede documentarlo así también en la prueba.

¿Cómo se desarrolla una instrucción en protección de datos?

En la práctica, el desarrollo puede condensarse en cuatro pasos:

1. Definir los contenidos: elegir los temas y los ejemplos prácticos adecuados a la propia empresa.
2. Impartir la instrucción: transmitir los contenidos, en sesión presencial, módulo de vídeo o curso en línea.
3. Hacer confirmar la participación: recabar una firma o un certificado digital de cada persona.
4. Archivar la prueba y fijar el intervalo de repetición: conservar la documentación y planificar con firmeza la siguiente fecha.

¿Cómo documento correctamente la prueba?

La prueba es el verdadero núcleo de la responsabilidad proactiva del art. 5, apartado 2, RGPD: no la instrucción en sí, sino el comprobante de que tuvo lugar. La tabla de abajo muestra qué datos debe contener por persona una prueba sólida. Un envío masivo por correo electrónico con archivo adjunto y sin respuesta de los empleados, en cambio, no es una prueba, porque no demuestra que la persona haya tomado realmente conocimiento de los contenidos.

Además, la prueba debe mantenerse actualizada. Una instrucción única en el momento de la contratación cubre a los nuevos empleados, pero pierde valor cuando cambian los procesos, las herramientas o la situación de riesgo, por ejemplo por un nuevo software o una aplicación de IA en la empresa. En la práctica se ha establecido una repetición anual, documentada con el mismo contenido mínimo que la instrucción inicial. Una instrucción en protección de datos en línea simplifica precisamente esta parte, porque los contenidos, la participación y las marcas de tiempo se registran automáticamente por persona.

¿Basta con un formulario modelo?

Un formulario modelo para la instrucción, para imprimir y con campo de firma, es una herramienta para la documentación, no para la instrucción en sí. Quien se limita a hacer rellenar y firmar un modelo de instrucción en protección de datos sin que los contenidos se hayan transmitido realmente genera una prueba sin acción subyacente. En caso de litigio, por ejemplo tras una brecha de datos, una autoridad de control no comprueba solo si existe un formulario, sino si los contenidos que allí se afirman se transmitieron de forma plausible.

Un modelo sirve, por tanto, como marco para la documentación: qué campos necesita una prueba completa, en qué orden, con qué plazo de conservación. Pero no sustituye la reflexión de los empleados sobre los temas de la sección anterior. Un formato digital que reúne en un solo paso los contenidos, la participación y la marca de tiempo cierra esta laguna de forma más fiable que un formulario en papel, que en teoría también puede firmarse sin haberlo leído.

Preguntas frecuentes (FAQ)

¿Está legalmente prescrita la instrucción en protección de datos?

No como norma propia, pero en el resultado sí: varias disposiciones del RGPD actúan conjuntamente y fundamentan, en suma, una obligación sólida. Los distintos artículos se detallan en la sección anterior.

¿Tengo que documentarlo?

Sí. Sin documentación no puede cumplirse la responsabilidad proactiva del art. 5, apartado 2, RGPD: la disposición exige expresamente poder demostrar el cumplimiento de los principios. Una instrucción oral o registrada de forma imprecisa no basta para ello.

¿Con qué frecuencia debe repetirse la instrucción?

Como estándar práctico se considera un repaso anual; no está fijado legalmente. Además, determinados acontecimientos provocan una instrucción extraordinaria: nuevas herramientas o software, un proceso reorganizado con acceso a datos, el uso de una aplicación de IA o un incidente de seguridad.

¿Quién debe ser instruido?

Toda persona con acceso a datos personales: no solo los empleados con contacto directo con clientes, sino también contabilidad, TI, así como becarios y personal auxiliar en cuanto entren en contacto con tales datos.

Un formulario por sí solo no genera una prueba sólida: solo lo hacen contenidos realmente transmitidos junto con una documentación limpia y nominativa. La formación básica en RGPD de Provimedia proporciona precisamente esta prueba fechada por empleado: contenidos, marcas de tiempo y certificado de participación en un solo paso.

Fuentes

• Reglamento (UE) 2016/679 (RGPD) – texto íntegro, EUR-Lex
• § 12 Arbeitsschutzgesetz (ArbSchG) – instrucción, gesetze-im-internet.de (en alemán)