10 min de lectura<\/p>\n
Actualizado por \u00faltima vez: marzo de 2026 | Publicado originalmente: 2021<\/p>\n
A partir de enero de 2027, la n\u00f3mina digital ser\u00e1 obligatoria. Al mismo tiempo, las autoridades alemanas de protecci\u00f3n de datos est\u00e1n imponiendo multas r\u00e9cord: 900.000 euros solo por conservar datos durante demasiado tiempo. Quien a\u00fan gestione los expedientes de personal seg\u00fan el esquema de 2020 no solo corre el riesgo de incumplir la normativa, sino tambi\u00e9n de asumir una responsabilidad personal como director bajo el marco del NIS2.<\/b><\/p>\n Durante mucho tiempo, los expedientes de personal se consideraron un asunto exclusivo de RRHH. Esa percepci\u00f3n ha cambiado radicalmente. Tres tendencias obligan a las empresas a replantearse su manejo de los datos de empleados: la obligatoriedad de la n\u00f3mina digital a partir de 2027, la aplicaci\u00f3n m\u00e1s estricta de la normativa de protecci\u00f3n de datos y las obligaciones de notificaci\u00f3n del NIS2, que incorporan por primera vez los sistemas de RRHH al \u00e1mbito de la regulaci\u00f3n de ciberseguridad.<\/p>\n La raz\u00f3n es clara: los expedientes de personal constituyen una de las colecciones de datos m\u00e1s valiosas de cualquier empresa. Contienen cuentas bancarias, identificadores fiscales, datos de salud, evaluaciones de desempe\u00f1o: suficiente material para robo de identidad, extorsi\u00f3n o ingenier\u00eda social dirigida contra altos directivos.<\/p>\n Las esperanzas puestas en una ley espec\u00edfica sobre datos de empleados se han disipado. El Ministerio Federal de Trabajo y Asuntos Sociales present\u00f3 en octubre de 2024 un borrador de ley que pretend\u00eda establecer por primera vez reglas claras sobre datos de candidatos, vigilancia de la salud en el puesto de trabajo y decisiones de personal basadas en inteligencia artificial. Tras la ruptura de la coalici\u00f3n el 6 de noviembre de 2024, el borrador no lleg\u00f3 al Parlamento. En el actual acuerdo de coalici\u00f3n entre CDU\/CSU y SPD, este tema ni siquiera aparece.<\/p>\n En la pr\u00e1ctica, esto significa que para la protecci\u00f3n de los datos de empleados sigue aplic\u00e1ndose el art\u00edculo 26 de la Ley Federal de Protecci\u00f3n de Datos como cl\u00e1usula nacional de apertura del RGPD<\/a>. Una norma que incluso los expertos en derecho de protecci\u00f3n de datos califican de \u00abescasa\u00bb, ya que b\u00e1sicamente solo permite tratar los datos de empleados cuando sea necesario para la relaci\u00f3n laboral.<\/p>\n En cambio, la aplicaci\u00f3n del RGPD en Alemania se ha endurecido notablemente. El estudio de DLA Piper de enero de 2025 documenta multas europeas por valor de 1.200 millones de euros en 2024. En Alemania, se tramitaron 266 procedimientos con una suma total de 2,5 millones de euros. La multa individual m\u00e1s alta ascendi\u00f3 a 900.000 euros, impuesta a un proveedor de servicios que hab\u00eda almacenado datos cinco a\u00f1os m\u00e1s all\u00e1 del plazo legal sin base jur\u00eddica alguna.<\/p>\n \n \u00abLa autoridad de protecci\u00f3n de datos de Hamburgo inici\u00f3 en 2024 el doble de procedimientos sancionadores que en todo el a\u00f1o anterior. La autoridad de Sajonia alcanz\u00f3, ya en el primer semestre, el volumen total del a\u00f1o 2023.\u00bb Caso uno: Una organizaci\u00f3n cultural documentaba sistem\u00e1ticamente el estado de salud de sus empleados y su inter\u00e9s en crear un comit\u00e9 de empresa. Objetivo: facilitar despidos durante el per\u00edodo de prueba. La autoridad de protecci\u00f3n de datos impuso una multa de 215.000 euros por infracci\u00f3n del art\u00edculo 9 del RGPD (categor\u00edas especiales de datos) y del art\u00edculo 26 de la Ley Federal de Protecci\u00f3n de Datos.<\/p>\n Caso dos: Vigilancia oculta mediante c\u00e1maras integradas en enchufes, instaladas para grabar a tres pasantes sin su conocimiento ni base jur\u00eddica. Multa: 4.000 euros. Aunque el da\u00f1o econ\u00f3mico fue limitado, el da\u00f1o reputacional para la empresa fue considerable.<\/p>\n Ambos casos demuestran que las autoridades no examinan \u00fanicamente las medidas t\u00e9cnicas, sino tambi\u00e9n la intenci\u00f3n detr\u00e1s del tratamiento de los datos. Quien utilice los expedientes de personal como arma contra sus empleados pagar\u00e1 un precio m\u00faltiple.<\/p>\n No existe un plazo legal \u00fanico para \u00abel expediente de personal\u00bb. Distintos documentos est\u00e1n sujetos a distintas obligaciones de conservaci\u00f3n, lo cual constituye uno de los errores de cumplimiento m\u00e1s frecuentes. La multa de 900.000 euros por conservaci\u00f3n indebida muestra ad\u00f3nde conducen las reglas gen\u00e9ricas del tipo \u00abconservamos todo durante 10 a\u00f1os\u00bb.<\/p>\nEn resumen<\/h2>\n
\n
Por qu\u00e9 los expedientes de personal son en 2026 un tema estrat\u00e9gico de seguridad<\/h2>\n
Marco jur\u00eddico en 2026: \u00bfqu\u00e9 est\u00e1 vigente y qu\u00e9 ha fracasado?<\/h2>\n
\n
\n – Resumen de las tendencias en materia de aplicaci\u00f3n (security-insider.de, 2024)<\/cite>\n<\/p>\n<\/blockquote>\nDos casos que toda empresa deber\u00eda conocer<\/h2>\n
Plazos de conservaci\u00f3n: la tabla que debe estar en toda oficina de RRHH<\/h2>\n