Checklist RGPD para people analytics: paquete para el DPO y el comité

Antes de recoger un solo dato, decide con tu DPO con qué legitimación lo haces y déjalo por escrito.

• No partas del consentimiento. La AEPD recuerda que en el trabajo casi nunca es válido, por el desequilibrio entre empresa y plantilla, salvo que la persona pueda negarse sin ninguna consecuencia (guía de diciembre de 2025, apartado II.2).
• Para una encuesta de clima, la base que suele estudiarse es el interés legítimo (RGPD, art. 6.1.f). Exige un juicio de ponderación por escrito: qué interés persigues, por qué no hay una vía menos invasiva y por qué no prevalece sobre los derechos de la plantilla.
• Que la encuesta sea voluntaria es una garantía, no una base jurídica. Mantenla igualmente.
• Refleja el tratamiento en tu registro de actividades de tratamiento (RGPD, art. 30).

El principio que más distingue medir de vigilar. Recoge solo lo que necesitas para el fin, y ni un dato más.

• Recoge únicamente los datos necesarios para el objetivo concreto (RGPD, art. 5.1.c). Si no vas a usar un dato para una decisión, no lo pidas.
• Pide la edad y la antigüedad por tramos, y solo los cortes (departamento, turno, centro) que vas a analizar.
• Evita el rastreo pasivo de correos, calendario, mensajería o accesos como sustituto de preguntar. Es lo más invasivo y lo que más riesgo legal y de confianza acarrea.

Nadie debería enterarse de que le miden por el pasillo. La información va antes de contestar, no después.

• Entrega la información del tratamiento antes de recoger los datos: quién trata, para qué, con qué base, quién recibe los datos, cuánto se conservan y cómo ejercer los derechos (RGPD, art. 13).
• Por capas: lo básico en la propia encuesta y el resto en un enlace (LOPDGDD, art. 11).
• El derecho de oposición aparece de forma explícita y separada del resto (RGPD, art. 21.4).
• Si la encuesta pregunta por otras personas (con quién trabajas, a quién acudes), la información cubre también a quien es nombrado (RGPD, art. 14).

Si el informe va a decir algo de personas concretas, deja escrito antes para qué se usará y quién decide.

• Como regla, nadie puede ser objeto de una decisión basada únicamente en un tratamiento automatizado que le afecte de forma significativa (RGPD, art. 22). Lo más limpio: deja escrito que las decisiones sobre personas las toman personas, con capacidad real de cambiarlas.
• Escribe para qué se usarán los nombres y para qué no. Usar los datos para algo distinto de lo anunciado choca con la limitación de la finalidad (RGPD, art. 5.1.b).

La regla para que la gente confíe: los resultados de clima se ven por grupos, nunca la respuesta de una persona.

• Nadie de la empresa ve lo que contesta cada persona. Escribe quién ve qué: proveedor, dirección, mandos y comité.
• Fija un umbral mínimo de grupo y qué cruces o restas no se harán, para que nadie sea identificable por descarte.
• Habla de confidencial, no de anónimo. El dato anónimo de verdad queda fuera del RGPD, pero casi toda encuesta con enlaces personales, recordatorios o datos de departamento y turno es reidentificable, así que el RGPD aplica.

En España, el comité es quien puede frenar o impulsar tu proyecto. Cuéntaselo pronto, por escrito y con el cuestionario delante.

• Informa al comité de la encuesta, en un momento y con un contenido que le permitan examinarla (Estatuto de los Trabajadores, arts. 64.1 y 64.6).
• Si el plan de acción cambia de forma relevante la organización del trabajo, toca informar y consultar (art. 64.5). Si los resultados se van a usar para evaluar a mandos o fijar incentivos, el comité tiene derecho a emitir informe previo (art. 64.5.f).
• Lo que entregues al comité, en forma estadística o anonimizada siempre que le permita cumplir sus funciones (guía de la AEPD, diciembre de 2025).
• Si haces evaluación de impacto, recaba la opinión de la representación cuando proceda (RGPD, art. 35.9).

Valórala con tu DPO antes de lanzar, y que quede por escrito si toca o no.

• El RGPD la exige cuando un tratamiento puede suponer un riesgo elevado para los derechos de las personas (art. 35).
• La lista de la AEPD la pide en la mayoría de los casos cuando se cumplen dos o más de sus criterios. En una encuesta de clima los que más suelen aparecer son los datos de salud, la gran escala y combinar datos de tratamientos distintos, por ejemplo con el programa de RRHH.
• Hazla antes de lanzar, no después, y documenta las medidas que reducen el riesgo: minimización, umbral mínimo de grupo, accesos y conservación.

El cierre: cuida lo que roza la salud, atiende los derechos, no guardes de más y deja atado al proveedor.

• Si la encuesta mide agotamiento o malestar, decide con tu DPO cómo se tratan esas respuestas (RGPD, art. 9) y muéstralas solo por grupos. No es un diagnóstico de nadie; quien necesite ayuda va al servicio de prevención.
• Explica cómo ejercer los derechos de acceso, rectificación, supresión y oposición.
• Fija un plazo de conservación y qué pasa después: borrado o anonimización (RGPD, art. 5.1.e).
• Firma el contrato de encargado del tratamiento con el proveedor (RGPD, art. 28) y confirma dónde están sus servidores.