Cómo proteger los datos de empleados en plataformas de RRHH

Factorial, A3innuva, Personio, Sage HR... Cada vez más empresas gestionan nóminas y recursos humanos en la nube. Es cómodo, pero toda la información más sensible de tus empleados está concentrada en un solo lugar.

Qué datos almacenan estas plataformas

Tipo de dato	Ejemplos	Riesgo si se filtra
Identificación	DNI/NIE, dirección, teléfono	Suplantación de identidad
Retribución	Salario, bonus, retenciones	Conflictos internos, extorsión
Bancarios	Cuenta de nómina, IBAN	Fraude financiero
Salud	Bajas médicas, incapacidades	Discriminación
Evaluación	Rendimiento, sanciones	Daño reputacional

Cómo se filtran los datos de empleados

1. Cuentas de administrador compartidas

Cuando el responsable de RRHH se va, pasa las credenciales por WhatsApp al sustituto. Ese mensaje queda en el historial del chat para siempre.

2. Nóminas enviadas por email

Muchas empresas envían las nóminas por correo electrónico. Un destinatario equivocado y el salario de un empleado queda expuesto.

3. Documentación compartida con la gestoría

Enviar ficheros Excel con datos de empleados a la gestoría por email, sin cifrado ni control de acceso, es una práctica habitual y peligrosa.

4. Accesos de exempleados no revocados

Si no desactivas el acceso al sistema de RRHH el mismo día de la baja, el exempleado puede seguir consultando los datos de toda la plantilla.

Lista de verificación de seguridad de RRHH

• Autenticación en dos pasos (MFA) activada en todas las cuentas de administrador
• Revisión mensual de los registros de acceso
• Proceso de desactivación de cuentas el mismo día del cese
• Cifrado de datos al exportar nóminas
• Acceso de la gestoría limitado al mínimo necesario
• Control de acceso basado en roles (RBAC) implementado

Cómo compartir datos sensibles de forma segura

Control de acceso por roles

No compartas una cuenta de "superadministrador". Configura roles específicos: gestión de nóminas, selección de personal, solo lectura.

Activa los registros de auditoría

Saber quién accedió a qué dato y cuándo es imprescindible para responder ante incidentes.

Usa enlaces protegidos con contraseña

Cuando necesites enviar datos de nómina a tu gestoría, no adjuntes el Excel al correo. Crea una nota cifrada o un enlace protegido con contraseña en LOCK.PUB y comunica la contraseña por otro canal (por ejemplo, por teléfono). Así, aunque intercepten el correo, los datos estarán a salvo.

Traspaso de credenciales seguro

Al pasar el acceso de administrador de RRHH a un nuevo compañero, usa una nota secreta con autodestrucción en LOCK.PUB en lugar de enviar la contraseña por WhatsApp. La nota se elimina tras leerse.

Cumplimiento normativo

El RGPD impone obligaciones estrictas sobre los datos de empleados:

Obligación	Detalle	Sanción
Minimización de datos	Solo recoger lo estrictamente necesario	Hasta 20M EUR o 4% facturación
Medidas de seguridad	Cifrado, control de acceso, auditoría	Hasta 10M EUR
Evaluación de impacto	Obligatoria para tratamientos de alto riesgo	Apercibimiento + multa
Notificación de brechas	72 horas para comunicar a la AEPD	Multa + responsabilidad civil

3 acciones para hoy

1. Activa MFA — Habilita la verificación en dos pasos en todas las cuentas de RRHH ahora mismo
2. Revisa exempleados — Comprueba que todos los que se fueron en los últimos 6 meses tienen el acceso desactivado
3. Cambia tu forma de compartir — Deja de adjuntar archivos sensibles al correo. Usa LOCK.PUB para enviar enlaces protegidos con contraseña y fecha de caducidad

Los datos de tus empleados son tu mayor responsabilidad legal. Trátarlos con el cuidado que merecen.