Protección de datos para empleados: las 10 reglas más importantes en el día a día

La protección de datos para empleados significa sobre todo: tratar con cuidado los datos personales de clientes, compañeras y compañeros y candidatos, desde la pantalla bloqueada, pasando por el manejo consciente de las listas de distribución de correo, hasta la notificación interna de brechas de datos. Las infracciones rara vez nacen de la intención, sino del descuido: en cinco minutos sabrá cuándo bloquear la pantalla, por qué usar CCO es obligatorio y qué hacer ante una brecha de datos.

Por la redacción de Provimedia · Actualizado: julio de 2026 · Este artículo es información general y no constituye asesoramiento jurídico.

Precisamente en este descuido incide una formación en RGPD para empleados: las diez reglas siguientes son la base para actuar con seguridad en el día a día, incluso sin ser jurista.

Las 10 reglas de protección de datos más importantes para empleados

Regla 1: bloquee la pantalla en cuanto abandone su puesto

Si abandona su puesto de trabajo, aunque solo sea unos minutos, bloquee la pantalla (tecla Windows + L o Cmd+Ctrl+Q). Un equipo desbloqueado y sin vigilancia es una de las vías más frecuentes por las que personas no autorizadas acceden a datos de clientes o de personal. Esto responde al principio de integridad y confidencialidad del art. 5, apartado 1, letra f), RGPD: los datos deben protegerse frente a accesos no autorizados.

Regla 2: clean desk – no deje documentos a la vista

Las impresiones con nombres, direcciones o datos contractuales no deben quedar a la vista sobre el escritorio, sino en armarios cerrados con llave o directamente en la destructora de documentos. Quien abandona la sala o recibe una visita recoge los documentos: una medida organizativa sencilla pero eficaz en el sentido del art. 5, apartado 1, letra f), RGPD.

Regla 3: envíe siempre los correos colectivos con CCO

Cuando envíe un mensaje a varios destinatarios externos, introduzca sus direcciones en el campo CCO, no en Para ni en CC. De lo contrario, todos los destinatarios ven las direcciones de correo de los demás: eso ya es una brecha de datos, que debe comunicarse internamente y cuya obligación de notificación debe examinarse conforme al art. 33 RGPD, y que en la práctica se produce con regularidad.

Regla 4: no haga clic en enlaces ni archivos adjuntos sospechosos

Compruebe la dirección del remitente, el saludo y el destino del enlace antes de hacer clic en archivos adjuntos o enlaces, especialmente ante supuestas solicitudes urgentes de pago o de contraseña. Según la BSI (Oficina Federal alemana de Seguridad de la Información), el phishing es una de las vías de ataque más frecuentes contra los datos de las empresas; en caso de duda, es mejor consultar al departamento de TI que hacer clic.

Regla 5: no introduzca datos personales en herramientas de IA no autorizadas

Los datos de clientes, candidatos o compañeros solo pueden introducirse en herramientas de IA o de nube para las que la empresa haya celebrado un contrato de encargo del tratamiento conforme al art. 28 RGPD. Una cuenta privada de ChatGPT o una herramienta no autorizada son tabú para ello. Encontrará detalles en el artículo IA y protección de datos: reglas para ChatGPT.

Regla 6: remita de inmediato las solicitudes de los interesados

Si un cliente o candidato se pone en contacto para solicitar el acceso, la supresión o la rectificación de sus datos, remita de inmediato la solicitud al delegado de protección de datos o al departamento competente. Para responder rige en principio un plazo de un mes, que internamente se queda corto con frecuencia cuando las solicitudes se advierten tarde.

Regla 7: comunique de inmediato las brechas de datos internamente

Si se ha perdido un portátil, se ha enviado un correo al destinatario equivocado o se ha borrado un registro por error, comuníquelo de inmediato internamente, aunque el error sea incómodo. Según el art. 33 RGPD, la empresa debe notificar a la autoridad de control, sin dilación indebida y, de ser posible, en un plazo de 72 horas, las violaciones de la seguridad de los datos personales, salvo que sea improbable que supongan un riesgo para los interesados; esto solo es posible si los empleados avisan de inmediato.

Regla 8: no utilice memorias USB privadas ni herramientas no autorizadas

Las memorias USB privadas, los almacenamientos en la nube no autorizados o las aplicaciones instaladas por cuenta propia (la llamada TI en la sombra o shadow IT) escapan al control del departamento de TI y abren superficies de ataque para la pérdida de datos y el software malicioso. Utilice exclusivamente los sistemas facilitados y autorizados por la empresa.

Regla 9: facilite información solo a personas inequívocamente autorizadas

No facilite datos personales por teléfono ni por correo electrónico sin haber comprobado sin duda la identidad y la autorización de quien los solicita. Supuestos compañeros, presuntas autoridades o superiores con prisa son una puerta de entrada clásica de la ingeniería social; en caso de duda, es mejor devolver la llamada que responder de inmediato.

Regla 10: en caso de duda, pregunte al delegado de protección de datos

No todas las situaciones están claras: si puede utilizarse un nuevo software, modificarse un formulario o responderse a una solicitud. Diríjase al delegado de protección de datos o a la persona de contacto competente en lugar de decidir por su cuenta. Eso le protege tanto a usted como a la empresa.

La siguiente tabla muestra de un vistazo qué riesgo evita concretamente cada regla. Puede transmitir esta lista de comprobación tal cual a su equipo:

Preguntas frecuentes (FAQ)

¿Qué reglas de protección de datos se aplican a los empleados?

En principio, los empleados solo pueden tratar datos personales en el marco de sus funciones y siguiendo las instrucciones del empleador (arts. 29 y 32, apartado 4, RGPD). Ello incluye un trato cuidadoso de los accesos, los documentos y las listas de distribución de correo, así como la comunicación inmediata de cualquier anomalía; las diez reglas anteriores resumen los puntos más importantes para el día a día.

¿Responden personalmente los empleados por las infracciones de la protección de datos?

Las multas del art. 83 RGPD se dirigen al responsable o al encargado del tratamiento, es decir, por lo general a la empresa, y no directamente a cada empleado. Sin embargo, quien infringe de forma intencionada o por negligencia grave las normas internas debe contar con consecuencias laborales que pueden llegar al despido; en casos excepcionales también es posible una responsabilidad personal.

¿Se aplican las reglas también en el teletrabajo?

Sí, en el teletrabajo rigen las mismas obligaciones que en la oficina: el lugar de trabajo no cambia nada de la responsabilidad sobre los datos personales. También los familiares se consideran terceros desde el punto de vista de la protección de datos: bloquear la pantalla, guardar bajo llave los documentos y mantener las llamadas confidenciales fuera del alcance del oído forman parte, por tanto, del día a día también en casa.

¿Qué hago si observo una infracción de la protección de datos en mis compañeros?

Hable directamente con la compañera o el compañero siempre que sea posible, por ejemplo si observa una pantalla sin bloquear o un correo colectivo enviado de forma incorrecta. Si el incidente no puede aclararse o es más grave, comuníquelo a su superior o al delegado de protección de datos, no para delatar a nadie, sino para limitar el daño.

Estas diez reglas se leen en pocos minutos, pero se olvidan con facilidad en el día a día. La formación básica en RGPD transmite precisamente estas reglas cotidianas de forma sistemática y con ejemplos prácticos: cada participante recibe después un certificado de participación fechado como prueba para el expediente de personal o para los clientes.

Fuentes

• EUR-Lex: Reglamento (UE) 2016/679 (RGPD) – texto íntegro
• BSI: IT-Sicherheit am Arbeitsplatz (en alemán)