Formació en RGPD a empleats: és obligatòria?

No són pocs els clients i possibles clients que em pregunten si la formació en RGPD a empleats és obligatòria. La confusió es fonamenta en que no poques ofertes d’aquest tipus de serveis inclouen una formació “obligatòria” per a treballadors, tractant de vendre-la com una exigència de l’RGPD.

Encara que no és objecte d’aquest post, cal recordar la tristament cèlebre “LOPD a cost 0” en què algunes empreses utilitzaven les bonificacions a les quotes de la Seguretat Social per a la formació a empleats per oferir serveis de consultoria, fet que l’AEPD s’ha ocupat de recordar la seva il·legalitat (l’últim cop al juliol de 2019).

La pregunta de totes maneres aquí és: he de formar en RGPD a empleats?

La resposta és NO, encara que, com tot a la vida, amb matisos. Vegem-los:

L’empresa responsable o encarregada del tractament ha d’assegurar la confidencialitat de les dades personals que opera (art. 5.1f del RGPD i 5 de la LOPD) i per això cal traslladar aquesta obligació als treballadors que accedeixen a aquestes dades.

Implica això necessàriament formar-los? Doncs no. El que ha de fer l’empresa és informar-los d’aquesta obligació i que s’asseguri que la comprenen. Per això, res millor que una Declaració de Confidencialitat.

Un matís important a la no obligació de formar als treballadors el podem trobar a les empreses o organitzacions que disposen d’un Delegat de Protecció de Dades, ja que entre les seves funcions hi ha: art. 39.1.b) RGPD: la “formació del personal que participa en les operacions de tractament”; en aquests casos, sí, s’exigeix ​​una certa formalitat. Però, com ja he comentat en algun altre post, disposar d’un DPD no sempre és obligatori.

I si decideixo fer formació en RGPD a empleats, què he de tenir en compte?

Dit això, formar el personal amb accés a dades personals a la teva empresa no és mai una mala decisió ja que, als ulls de l’AEPD, pot servir per demostrar la proactivitat de l’empresa en matèria de compliment de l’RGPD i per acreditar que aquesta pren mesures per mitigar o minimitzar riscos.

En qualsevol cas, tal com ho veig jo, una bona formació en RGPD ha de complir aquests requisits:

a) No totes les empreses són iguals ni tracten el mateix tipus de dades: no són equiparables les exigències d’un hospital que les d’un taller mecànic, encara que els empleats puguin accedir a dades personals. Exigeix ​​que adeqüin la formació al sector o tipus d’activitat de la teva empresa.

b) En les empreses grans o mitjanes no tots els departaments realitzen el mateix tractament o ús de les dades; no és comparable Recursos Humans amb Màrqueting o Atenció al Client amb IT; cerca formació adequada al lloc de treball i que aquesta tingui un sentit en el dia a dia del treballador.

En resum, fuig de les formacions generals on naveguen interminablement per principis de la protecció de dades, sense donar resposta a situacions reals dels teus empleats i que només serveixen per complir l’expedient.

c) Si et decideixes a implementar una formació, que sigui amb caràcter continuat i no una formació puntual per complir l’expedient. Els treballadors poden canviar i les realitats de la teva empresa també, per això has d’adequar la formació a aquestes circumstàncies.

En resum, si formes el teu personal, bravo per tu, però fes-ho de manera periòdica i de manera adequada al seu lloc de treball i sector de l’empresa.