Ceder datos de empleados a la gestoría: qué exige el RGPD
Enviar fichajes y nóminas a la asesoría no es una cesión de datos: es un encargo de tratamiento. Qué contrato exige el art. 28 del RGPD y qué dice el art. 33 de la LOPDGDD.
Todos los meses sale de la empresa un fichero con nombres, DNI, horas trabajadas, ausencias y a veces partes de baja, y llega a la asesoría laboral que confecciona las nóminas. En la mayoría de los casos ese envío se hace por correo, sin contrato específico y sin que nadie se haya preguntado bajo qué figura jurídica viaja.
La respuesta importa, porque determina qué documento hace falta y quién responde si algo sale mal. Y la primera sorpresa es que, bien hecho, ese envío no es una cesión de datos.
TL;DR
- El artículo 33.1 de la LOPDGDD es explícito: el acceso de un encargado a los datos necesarios para prestar un servicio al responsable no se considera comunicación de datos, siempre que se cumpla la normativa.
- La empresa es responsable del tratamiento; la gestoría, encargada. Y esa relación exige un contrato con el contenido del artículo 28.3 del RGPD.
- La gestoría no puede subcontratar a otro encargado sin autorización previa por escrito del responsable (art. 28.2 RGPD).
- Si la gestoría usa los datos para sus propias finalidades, deja de ser encargada y pasa a ser responsable, con todo lo que eso implica (art. 33.2 LOPDGDD).
- El artículo 5.1.c) del RGPD impone minimización: se envía lo adecuado, pertinente y limitado a lo necesario, no el volcado completo.
- Al terminar la relación, el responsable decide si los datos se destruyen, se devuelven o se entregan a un nuevo encargado (art. 33.3 LOPDGDD).
Cesión y encargo: la distinción que lo cambia todo
Una cesión o comunicación de datos es la transmisión a un tercero que los tratará para sus propias finalidades, y necesita su propia base de legitimación.
Un encargo de tratamiento es otra cosa: alguien trata datos por cuenta del responsable, siguiendo sus instrucciones y sin finalidades propias. El artículo 33.1 de la LOPDGDD lo dice sin rodeos:
«El acceso por parte de un encargado de tratamiento a los datos personales que resulten necesarios para la prestación de un servicio al responsable no se considerará comunicación de datos siempre que se cumpla lo establecido en el Reglamento (UE) 2016/679, en la presente ley orgánica y en sus normas de desarrollo.»
La condición está en el «siempre que». Sin contrato de encargo y sin cumplir las garantías, no hay encargo: hay un envío de datos sin cobertura.
El artículo 33.2 marca la frontera por el otro lado:
«Tendrá asimismo la consideración de responsable del tratamiento quien figurando como encargado utilizase los datos para sus propias finalidades.»
Si la asesoría aprovecha la base de empleados para ofrecerles sus propios servicios, ha cruzado la línea y responde como responsable.
Qué exige el contrato del artículo 28.3 del RGPD
El apartado 3 del artículo 28 impone que el tratamiento por el encargado se rija por un contrato u otro acto jurídico que vincule al encargado respecto del responsable y que establezca:
- El objeto, la duración, la naturaleza y la finalidad del tratamiento.
- El tipo de datos personales y las categorías de interesados.
- Las obligaciones y derechos del responsable.
Y estipular, en particular, que el encargado:
| Letra | Obligación |
|---|---|
| a) | Tratará los datos únicamente siguiendo instrucciones documentadas del responsable, incluidas las transferencias internacionales, salvo obligación legal, en cuyo caso lo informará antes |
| b) | Garantizará que las personas autorizadas se han comprometido a respetar la confidencialidad o están sujetas a obligación legal de confidencialidad |
| c) | Tomará todas las medidas de seguridad del artículo 32 |
| d) | Respetará las condiciones de los apartados 2 y 4 para recurrir a otro encargado |
| e) | Asistirá al responsable para atender las solicitudes de ejercicio de derechos de los interesados |
| f) | Ayudará al responsable a cumplir las obligaciones de los artículos 32 a 36 (seguridad, brechas, evaluaciones de impacto) |
| g) | A elección del responsable, suprimirá o devolverá todos los datos al finalizar el servicio, y suprimirá las copias, salvo obligación legal de conservación |
| h) | Pondrá a disposición del responsable toda la información necesaria para demostrar el cumplimiento y permitirá auditorías e inspecciones |
El propio apartado añade una obligación de alerta: el encargado debe informar inmediatamente al responsable si, en su opinión, una instrucción infringe el Reglamento u otras disposiciones de protección de datos.
Y el apartado 9 exige que el contrato conste por escrito, inclusive en formato electrónico.
Subencargados: la parte que casi nadie mira
El artículo 28.2 del RGPD:
«El encargado del tratamiento no recurrirá a otro encargado sin la autorización previa por escrito, específica o general, del responsable. En este último caso, el encargado informará al responsable de cualquier cambio previsto en la incorporación o sustitución de otros encargados, dando así al responsable la oportunidad de oponerse a dichos cambios.»
Esto es directamente aplicable a las gestorías, porque casi todas trabajan con software de terceros: el programa de nóminas, el alojamiento en la nube, el gestor documental. Cada uno de esos proveedores es un subencargado.
El artículo 28.4 cierra el círculo de responsabilidad:
«Si ese otro encargado incumple sus obligaciones de protección de datos, el encargado inicial seguirá siendo plenamente responsable ante el responsable del tratamiento por lo que respecta al cumplimiento de las obligaciones del otro encargado.»
Traducido: si el proveedor de software de la gestoría sufre una brecha, la gestoría responde ante la empresa. Y la empresa, como responsable, responde ante sus empleados y ante la autoridad de control.
De ahí una pregunta que conviene hacer por escrito antes de firmar: qué subencargados intervienen y dónde están alojados los datos.
Minimización: qué se envía y qué no
El artículo 5.1.c) del RGPD obliga a que los datos sean «adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados».
Aplicado al envío mensual a la asesoría, eso significa revisar el contenido del fichero:
| Dato | ¿Necesario para confeccionar la nómina? |
|---|---|
| Nombre, apellidos y DNI | Sí |
| Número de afiliación a la Seguridad Social | Sí |
| Horas ordinarias, extraordinarias y complementarias del periodo | Sí |
| Ausencias con su tipo y días | Sí |
| Diagnóstico médico de la baja | No |
| Geolocalización de cada fichaje | No |
| Dirección IP o identificador del dispositivo | No |
| Comentarios internos sobre desempeño | No |
Las cuatro últimas filas son las que más aparecen en volcados hechos sin criterio. La geolocalización y el identificador de dispositivo suelen viajar porque son columnas del export por defecto; el diagnóstico, porque alguien adjunta el parte completo en lugar del dato que hace falta.
El diagnóstico merece atención aparte: los datos de salud son categoría especial del artículo 9 del RGPD, y enviarlos sin necesidad multiplica el riesgo del envío. Lo que la asesoría necesita para la nómina es el tipo de ausencia y sus fechas, no la patología.
El planteamiento general del tratamiento de datos en el fichaje está en derechos del trabajador sobre los datos de fichaje, y el checklist para el responsable de protección de datos, en checklist RGPD del fichaje para el DPO.
Seguridad del envío
El artículo 32.1 del RGPD obliga a responsable y encargado a aplicar medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, y menciona expresamente, entre otras:
- La seudonimización y el cifrado de datos personales.
- La capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas.
- La capacidad de restaurar el acceso a los datos con rapidez tras un incidente.
- Un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas.
Un adjunto sin cifrar en un correo ordinario no cumple bien ninguna de esas cuatro. Las alternativas razonables son un canal con acceso autenticado, un fichero cifrado con clave transmitida por otro medio, o —mejor— una integración que evite el envío manual.
El artículo 32.4 añade una obligación que se olvida: tanto responsable como encargado deben tomar medidas para garantizar que cualquier persona que actúe bajo su autoridad y tenga acceso a datos personales solo pueda tratarlos siguiendo instrucciones del responsable.
Qué pasa cuando termina la relación
El artículo 28.3.g) del RGPD sitúa la decisión en el responsable: a su elección, el encargado suprimirá o devolverá todos los datos personales una vez finalice la prestación, y suprimirá las copias existentes, salvo que se requiera la conservación en virtud del Derecho de la Unión o de los Estados miembros.
El artículo 33.3 de la LOPDGDD lo desarrolla:
«El responsable del tratamiento determinará si, cuando finalice la prestación de los servicios del encargado, los datos personales deben ser destruidos, devueltos al responsable o entregados, en su caso, a un nuevo encargado. No procederá la destrucción de los datos cuando exista una previsión legal que obligue a su conservación, en cuyo caso deberán ser devueltos al responsable, que garantizará su conservación mientras tal obligación persista.»
Ese segundo párrafo conecta directamente con el registro de jornada: el artículo 34.9 del ET obliga a conservar los registros cuatro años. Si la gestoría los custodiaba y se cambia de asesoría, esos datos no se destruyen: se devuelven al responsable, que sigue obligado a conservarlos.
El artículo 33.4 permite además al encargado conservar los datos debidamente bloqueados mientras puedan derivarse responsabilidades de su relación con el responsable.
Cómo mantener ese histórico intacto en un cambio de proveedor está en conservar el registro de jornada cuatro años y en migrar de sistema de fichaje sin perder datos.
Checklist antes del próximo envío
- Contrato de encargo firmado con el contenido del artículo 28.3 del RGPD, por escrito.
- Lista de subencargados conocida y autorizada, con procedimiento de notificación de cambios y derecho de oposición.
- Contenido del fichero revisado contra el principio de minimización: fuera geolocalización, identificadores de dispositivo, diagnósticos y comentarios internos.
- Canal seguro, con cifrado, en lugar de adjunto en correo ordinario.
- Registro de actividades de tratamiento actualizado con la comunicación a la asesoría. El modelo está en registro de actividades de tratamiento del fichaje.
- Información a la plantilla sobre los destinatarios de sus datos, dentro del deber de transparencia.
- Procedimiento de salida pactado: qué ocurre con los datos al terminar y quién conserva los cuatro años del artículo 34.9 del ET.
Errores frecuentes
Trabajar sin contrato de encargo. Sin él, el envío no se ampara en el artículo 33.1 de la LOPDGDD y queda como una comunicación de datos sin base.
Dar por hecho que el contrato de servicios ya lo cubre. El artículo 28.3 exige un contenido concreto: objeto, duración, naturaleza, finalidad, tipo de datos, categorías de interesados y las ocho estipulaciones de las letras a) a h).
Ignorar a los subencargados. El software de nóminas y el alojamiento de la asesoría son subencargados, y su incorporación o sustitución requiere autorización o, al menos, notificación con derecho de oposición.
Enviar el export completo «por si acaso». El artículo 5.1.c) exige datos limitados a lo necesario. Un volcado íntegro con geolocalización no lo es.
Adjuntar el parte de baja con diagnóstico. Los datos de salud son categoría especial. Para la nómina basta el tipo de ausencia y sus fechas.
Enviar por correo sin cifrar. El artículo 32 menciona expresamente el cifrado entre las medidas apropiadas.
Dejar los datos en la gestoría al cambiar de asesoría. El responsable decide su destino, y la obligación de conservación de cuatro años del artículo 34.9 del ET sigue recayendo en la empresa.
Preguntas frecuentes
¿Enviar los datos de mis empleados a la gestoría es una cesión?
No, si la gestoría actúa como encargada del tratamiento. El artículo 33.1 de la LOPDGDD establece que el acceso del encargado a los datos necesarios para prestar el servicio no se considera comunicación de datos, siempre que se cumpla la normativa.
¿Hace falta un contrato específico?
Sí. El artículo 28.3 del RGPD exige un contrato u otro acto jurídico, por escrito, con un contenido mínimo tasado.
¿Puede la gestoría usar un software de terceros?
Sí, pero ese proveedor es un subencargado y su incorporación requiere autorización previa por escrito del responsable, específica o general. Con autorización general, la gestoría debe informar de cualquier cambio y dar oportunidad de oponerse.
¿Quién responde si hay una brecha en el proveedor de la gestoría?
La gestoría sigue siendo plenamente responsable ante la empresa por el incumplimiento del subencargado, según el artículo 28.4 del RGPD. Y la empresa, como responsable del tratamiento, responde frente a los interesados y ante la autoridad de control.
¿Qué datos puedo enviar?
Los adecuados, pertinentes y limitados a lo necesario para la finalidad, según el artículo 5.1.c) del RGPD. Para confeccionar nóminas no hacen falta geolocalizaciones, identificadores de dispositivo, diagnósticos médicos ni comentarios internos.
¿Puedo mandar el fichero por correo?
El artículo 32 obliga a medidas apropiadas al riesgo y menciona el cifrado entre ellas. Un adjunto sin cifrar en correo ordinario difícilmente cumple ese estándar cuando el fichero contiene datos identificativos de toda la plantilla.
¿Y si cambio de asesoría?
El responsable determina si los datos se destruyen, se devuelven o se entregan a un nuevo encargado. Cuando existe obligación legal de conservación —como los cuatro años del artículo 34.9 del ET— no procede la destrucción: se devuelven al responsable, que garantiza su conservación.
Cómo lo resuelve Tempika
Tempika reduce el problema de raíz: en lugar de generar un volcado mensual y enviarlo por correo, la asesoría accede con su propio usuario y ve exactamente lo que necesita para su función, sin geolocalizaciones ni datos ajenos a la nómina. Cada acceso y cada descarga quedan trazados en el audit log con quién, qué y cuándo.
Cuando el envío de fichero es imprescindible, el export sale en CSV, XML y PDF con las columnas acotadas al fin, y queda constancia de la exportación. Cada apunte se encadena mediante hash con el anterior —el verifyChain—, de modo que la asesoría recibe un dato cuya integridad puede comprobarse.
El bloque de cumplimiento y protección de datos está desarrollado en la página de cumplimiento. También puedes empezar con el plan gratuito para equipos de hasta 3 personas, sin tarjeta.
Contenido elaborado por el Equipo Tempika (Summum Marketing) con el texto del Reglamento (UE) 2016/679 y de la Ley Orgánica 3/2018 consultado en el BOE a 31 de julio de 2026. Tiene carácter informativo y no sustituye al asesoramiento jurídico especializado.
¿Lo ponemos en marcha hoy?
14 días gratis, sin tarjeta. Listo en 15 minutos.
Sin tarjeta · Sin permanencia · Baja en 1 clic