Formació en RGPD a empleats: és obligatòria?
No són pocs els clients i possibles clients que em pregunten si la formació en RGPD a empleats és obligatòria. La confusió es fonamenta en que no poques ofertes d’aquest tipus de serveis inclouen una formació “obligatòria” per a treballadors, tractant de vendre-la com una exigència de l’RGPD.
Encara que no és objecte d’aquest post, cal recordar la tristament cèlebre “LOPD a cost 0” en què algunes empreses utilitzaven les bonificacions a les quotes de la Seguretat Social per a la formació a empleats per oferir serveis de consultoria, fet que l’AEPD s’ha ocupat de recordar la seva il·legalitat (l’últim cop al juliol de 2019).
La pregunta de totes maneres aquí és: he de formar en RGPD a empleats?
La resposta és NO, encara que, com tot a la vida, amb matisos. Vegem-los:
L’empresa responsable o encarregada del tractament ha d’assegurar la confidencialitat de les dades personals que opera (art. 5.1f del RGPD i 5 de la LOPD) i per això cal traslladar aquesta obligació als treballadors que accedeixen a aquestes dades.
Implica això necessàriament formar-los? Doncs no. El que ha de fer l’empresa és informar-los d’aquesta obligació i que s’asseguri que la comprenen. Per això, res millor que una Declaració de Confidencialitat.
Un matís important a la no obligació de formar als treballadors el podem trobar a les empreses o organitzacions que disposen d’un Delegat de Protecció de Dades, ja que entre les seves funcions hi ha: art. 39.1.b) RGPD: la “formació del personal que participa en les operacions de tractament”; en aquests casos, sí, s’exigeix una certa formalitat. Però, com ja he comentat en algun altre post, disposar d’un DPD no sempre és obligatori.
I si decideixo fer formació en RGPD a empleats, què he de tenir en compte?
Dit això, formar el personal amb accés a dades personals a la teva empresa no és mai una mala decisió ja que, als ulls de l’AEPD, pot servir per demostrar la proactivitat de l’empresa en matèria de compliment de l’RGPD i per acreditar que aquesta pren mesures per mitigar o minimitzar riscos.
En qualsevol cas, tal com ho veig jo, una bona formació en RGPD ha de complir aquests requisits:
a) No totes les empreses són iguals ni tracten el mateix tipus de dades: no són equiparables les exigències d’un hospital que les d’un taller mecànic, encara que els empleats puguin accedir a dades personals. Exigeix que adeqüin la formació al sector o tipus d’activitat de la teva empresa.
b) En les empreses grans o mitjanes no tots els departaments realitzen el mateix tractament o ús de les dades; no és comparable Recursos Humans amb Màrqueting o Atenció al Client amb IT; cerca formació adequada al lloc de treball i que aquesta tingui un sentit en el dia a dia del treballador.
En resum, fuig de les formacions generals on naveguen interminablement per principis de la protecció de dades, sense donar resposta a situacions reals dels teus empleats i que només serveixen per complir l’expedient.
c) Si et decideixes a implementar una formació, que sigui amb caràcter continuat i no una formació puntual per complir l’expedient. Els treballadors poden canviar i les realitats de la teva empresa també, per això has d’adequar la formació a aquestes circumstàncies.
En resum, si formes el teu personal, bravo per tu, però fes-ho de manera periòdica i de manera adequada al seu lloc de treball i sector de l’empresa.
Si tens preguntes sobre aquest o qualsevol altre tema, no dubtis en contactar-nos!
Informació sobre protecció de dades
Denominació social
LEGAL IT GLOBAL 2017, SLP
Finalitat
Prestar el servei.
Enviament del Boletí informatiu.
Legitimització
Compliment de la prestació de servei.
Consentiment.
Destinataris
Les teves dades no seran compartides amb cap tercer, excepte aquells proveïdors de serveis amb els que disposem d’un contracte de serveis vigent.
Drets
Pots accedir, rectificar o suprimir les dades, així com exercir els drets que s’esmenten en la nostra Política de Privacitat.
Més informació
Consulta la Política de Privacitat.
