Checklist RGPD para people analytics: cómo medir sin vigilar

Antes de recoger un solo dato, ten claro con qué legitimación lo haces y déjalo por escrito.

• Identifica la base jurídica del tratamiento (RGPD, art. 6). Para una encuesta voluntaria, lo habitual es el consentimiento; para otros tratamientos puede caber el interés legítimo, siempre con su ponderación documentada.
• Si te apoyas en el interés legítimo, realiza y guarda el juicio de ponderación: qué interés persigues, por qué no hay una vía menos invasiva y cómo no prevalece sobre los derechos de las personas.
• Refleja el tratamiento en tu registro de actividades de tratamiento.

El principio que más distingue medir de vigilar. Recoge solo lo que necesitas para el fin, y ni un dato más.

• Recoge únicamente los datos necesarios para el objetivo concreto (RGPD, art. 5). Si no vas a usar un dato para una decisión, no lo pidas.
• Evita el rastreo pasivo de correos, calendario, mensajería o accesos como sustituto de preguntar. Es lo más invasivo y lo que más riesgo legal y de confianza acarrea.
• Prefiere preguntar de forma voluntaria a observar sin avisar: además de cumplir mejor, el dato es de más calidad.

Nadie debería enterarse de que le miden por el pasillo. La transparencia es obligación legal y, a la vez, lo que desactiva el miedo.

• Entrega la información del tratamiento antes de recoger los datos: qué recoges, para qué, base jurídica, quién accede y cuánto se conserva (RGPD, art. 13).
• Explícalo en lenguaje claro, no solo en la cláusula legal. La gente responde mejor cuando entiende para qué sirve y qué no se va a hacer con sus respuestas.
• Designa o consulta a tu delegado de protección de datos (DPO) si tu organización lo tiene.

La regla de oro para que la gente confíe: los resultados se ven en conjunto, nunca señalando a una persona.

• Presenta los resultados agregados y de forma confidencial; nunca respuestas individuales atribuibles a alguien.
• Fija un umbral mínimo de grupo (por ejemplo, no mostrar un resultado por debajo de un número de respuestas) para que nadie sea identificable.
• Ten presente que el dato anónimo de verdad queda fuera del RGPD, pero casi todo el people analytics es seudonimizado (se puede reidentificar), así que el RGPD sí aplica. Habla de datos confidenciales, no de anonimato absoluto.

Participar no puede ser una trampa. La voluntariedad real es lo que separa una medición sana de un mecanismo de control.

• Haz la participación voluntaria y sin consecuencias para quien no participe.
• Si la base es el consentimiento, asegúrate de que es libre: en una relación laboral, una presión implícita lo invalida.
• Permite retirar el consentimiento con la misma facilidad con la que se dio.

En España, el comité no es un trámite opcional: es quien puede frenar o impulsar tu proyecto. Cuéntaselo pronto y bien.

• Informa a la representación legal de los trabajadores (RLT) de la implantación y características del sistema (Estatuto de los Trabajadores, art. 64).
• Llévalo al comité antes de lanzar, no después: explica el para qué, la voluntariedad y las garantías de confidencialidad.
• Apóyate en una plantilla de comunicación y anticipa sus preguntas con el kit para el comité de empresa.

Cuando el tratamiento puede entrañar un riesgo alto para las personas, hay que analizarlo antes con una evaluación de impacto.

• Valora si necesitas una evaluación de impacto relativa a la protección de datos (RGPD, art. 35), sobre todo si hay observación sistemática o evaluación a gran escala.
• En caso de duda, consúltalo con tu DPO o tu asesoría jurídica antes de empezar.
• Documenta las medidas que reducen el riesgo: minimización, confidencialidad, voluntariedad y plazos de conservación.

El cierre: garantiza los derechos de las personas, no guardes los datos más de lo necesario y blinda a quien trate los datos por ti.

• Atiende los derechos de acceso, rectificación, supresión y oposición, y explica cómo ejercerlos.
• Fija un plazo de conservación y bórralos cuando cumplan su fin; no acumules por si acaso.
• Si un proveedor trata los datos por ti, firma un contrato de encargado del tratamiento (RGPD, art. 28) y confirma dónde se alojan los datos (preferible, en la Unión Europea).