PDPA y datos de RRHH en Singapur — Lo que todo empleador debe saber

RRHH gestiona los datos más sensibles

Los departamentos de Recursos Humanos custodian la información más sensible de cualquier organización: números NRIC, detalles salariales, expedientes médicos, evaluaciones de desempeño y registros disciplinarios.

En Singapur, la Ley de Protección de Datos Personales (PDPA) regula cómo las organizaciones recopilan, utilizan y divulgan datos personales. Aunque muchas empresas se centran en el cumplimiento respecto a datos de clientes, los datos de empleados están igualmente cubiertos.

Cómo aplica la PDPA a los datos de empleados

Consentimiento presunto — pero no un cheque en blanco

La PDPA establece el concepto de "consentimiento presunto" (deemed consent) para fines relacionados con el empleo. Esto significa que no se necesita consentimiento explícito para actividades rutinarias como procesamiento de nómina, contribuciones al CPF o declaraciones fiscales ante IRAS.

Sin embargo, el consentimiento presunto no es un permiso ilimitado. Solo cubre propósitos que una persona razonable consideraría apropiados en el contexto laboral.

Actividad	¿Consentimiento presunto?	Notas
Procesamiento de nómina	Sí	Propósito estándar de empleo
Contribuciones CPF	Sí	Requerido por ley
Declaración fiscal IRAS	Sí	Requerido por ley
Fotos de empleados para marketing	No	Requiere consentimiento explícito
Compartir info médica con colegas	No	Necesita consentimiento o base legal

Obligación de notificación

Incluso cuando aplica el consentimiento presunto, los empleadores deben informar a los empleados: qué datos se recopilan, por qué y con quién pueden compartirse.

Directrices sobre NRIC — Un error común

Desde el 1 de septiembre de 2019, las directrices sobre NRIC están vigentes en Singapur.

Lo que NO debe hacerse

• Recopilar números completos de NRIC/FIN/certificado de nacimiento a menos que sea legalmente requerido
• Usar NRIC como identificador general (login de empleados, números de turno)

Lo que SÍ debe hacerse

• Recopilar solo los últimos 4 caracteres del NRIC cuando la identificación parcial sea suficiente
• Usar identificadores alternativos (número de empleado)
• Conservar el NRIC completo solo cuando la ley lo exija (CPF, IRAS, MOM)

Derechos de los empleados

Los empleados tienen derecho a:

1. Solicitar acceso a sus datos personales
2. Solicitar correcciones de datos inexactos
3. Conocer cómo se han usado o divulgado sus datos en el último año

Los empleadores deben responder a solicitudes de acceso en un plazo de 30 días.

Retención de datos — No los conserve para siempre

Tipo de datos	Período de retención sugerido	Razón
Registros salariales	5-7 años tras la salida	Requisitos de auditoría IRAS
Registros fiscales (IR8A)	5 años	Requisito IRAS
Registros CPF	5 años	Requisito CPF Board
Reclamaciones médicas	1-2 años tras la salida	Conciliación de seguros
Evaluaciones de desempeño	2-3 años tras la salida	Propósitos de referencia

Tras la salida de un empleado, debe existir un calendario de eliminación claro.

Violaciones comunes de PDPA en RRHH

1. Compartir información médica sin consentimiento — Un gerente pregunta al departamento de RRHH sobre la condición médica de un empleado y RRHH la comparte: esto es una violación
2. Nóminas visibles — Dejar recibos de sueldo impresos donde los colegas puedan verlos
3. Envío erróneo — Enviar información salarial al destinatario incorrecto constituye una filtración de datos

Compartir documentos de RRHH de forma segura

Muchas de estas violaciones ocurren porque los equipos de RRHH carecen de canales seguros para compartir documentos sensibles.

LOCK.PUB permite crear memos protegidos con contraseña para compartir de forma segura información salarial, cartas de oferta o documentación médica. En lugar de enviar por WhatsApp o correo electrónico sin protección, puede compartir un enlace seguro que solo el destinatario con la contraseña puede acceder.

Lista de verificación de cumplimiento

• Aviso de protección de datos proporcionado a todos los empleados
• Recopilación de NRIC completo limitada a propósitos legalmente requeridos
• Consentimiento obtenido para usos no estándar de datos
• Calendario de retención de datos documentado y cumplido
• Canales seguros utilizados para transmitir datos sensibles de empleados
• Personal de RRHH capacitado en obligaciones de PDPA

Costo del incumplimiento

La PDPC puede imponer multas de hasta SGD 1 millón (o 10% de la facturación anual para organizaciones con ingresos superiores a SGD 10 millones).

Puntos clave

1. La PDPA aplica a datos de empleados — el consentimiento presunto no es ilimitado
2. Deje de recopilar NRICs completos — desde septiembre 2019, prohibido salvo requisito legal
3. No conserve datos para siempre — implemente un calendario de eliminación
4. Comparta documentos de RRHH de forma segura — use LOCK.PUB para compartir con contraseña
5. Capacite a su equipo de RRHH — manejan los datos más sensibles de la organización

---

¿Necesita compartir documentos de RRHH de forma segura? Pruebe LOCK.PUB — cree memos protegidos con contraseña.