Un exempleado te pide que borres sus datos: qué tienes que hacer (y qué no puedes borrar)

Una persona deja tu empresa en marzo. En junio te llega un correo de tres líneas: «Quiero que borréis todos mis datos. Gracias.»

Las tres reacciones más habituales son dejarlo en la bandeja «para cuando haya tiempo», borrarlo todo esa misma tarde para quitárselo de encima, y contestar que no se puede porque la ley obliga a guardar el registro de jornada cuatro años. Las tres están mal. Y la tercera, la que suena más responsable, es la que más se parece a una respuesta correcta sin serlo.

Este artículo va de cómo contestar bien. Si lo que buscas es qué obliga la ley en el registro horario en general, empieza por la guía del registro horario obligatorio en España.

Qué te está pidiendo exactamente

Se llama derecho de supresión, y la prensa lo bautizó como «derecho al olvido». Está en el artículo 17 del Reglamento europeo de protección de datos, y en cristiano dice esto: cuando ya no necesitas los datos de alguien para lo que los recogiste, esa persona puede exigir que los borres, y tú tienes que hacerlo «sin dilación indebida».

Fíjate en el detalle que cambia el planteamiento: no es un favor que concedes, es un derecho que ejerce. No hace falta que dé motivos, ni que esté enfadada, ni que haya firmado o dejado de firmar nada. En una relación laboral los datos no se tratan porque la persona consintiera, sino porque el contrato y la ley lo exigían; cuando el contrato termina, el motivo que sostenía muchos de esos datos se acaba con él.

Y conviene tener claro qué cuenta como «sus datos». Dato personal es cualquier información que permita saber de quién se habla: el nombre, el DNI, el correo, el teléfono, la foto de la ficha, el número de empleado, la ubicación desde la que fichaba. Lo que la ley quiere que desaparezca no es el archivo: es la posibilidad de saber quién es. Eso, que parece un matiz, es la llave de todo lo que viene después.

Por qué no puedes decir que no (ni dejarlo para luego)

El reglamento pone plazo, precio y forma. Tienes un mes para contestar desde que recibes la solicitud; se puede alargar dos más si el caso es complejo, avisando dentro del primer mes. Es gratis: solo ante una solicitud manifiestamente infundada o repetitiva puedes cobrar un canon o negarte, y demostrar que lo era es cosa tuya. Y si decides no borrar, también tienes que contestar en ese mes, decir el motivo y avisar de que la persona puede reclamar ante la Agencia Española de Protección de Datos.

La ley española añade dos cosas que las pymes suelen pasar por alto. Los medios para pedirlo tienen que ser fáciles: si tu política de privacidad dice «escribe a este correo» y la persona escribe a otro que también es tuyo, no puedes rechazarla por eso. Y la segunda es la que más duele en un expediente: demostrar que contestaste es cosa tuya. Si no guardaste el correo de respuesta, a efectos de la Agencia no contestaste.

¿Existe un «no» legítimo? Sí, y para este caso es exactamente uno: cuando otra ley te obliga a conservar esos datos, o los necesitas para defenderte en una reclamación. Pero ese «no» tiene una letra pequeña que casi nadie lee: cubre lo que esa obligación cubre, ni un dato más. Que tengas que guardar el registro de jornada no te da permiso para guardar el teléfono personal, la foto o la cuenta de acceso.

Y un punto que a veces sorprende: no hace falta que nadie lo pida. El reglamento obliga a no mantener identificable a nadie más tiempo del necesario. La solicitud de tu exempleado no crea la obligación: la pone en marcha, con fecha.

El choque aparente: borrar y guardar cuatro años

Aquí es donde se atascan la mayoría, y con razón, porque las dos obligaciones existen y las dos van en serio.

Por un lado, el Estatuto de los Trabajadores te obliga a conservar el registro de jornada durante cuatro años, a disposición de la plantilla, de sus representantes y de la Inspección de Trabajo. Un registro al que le falta la persona que se fue no es un registro completo. Por otro, esa persona tiene derecho a que dejes de tratar sus datos.

La salida no es elegir una de las dos. Es separar dos cosas que hasta ese día iban juntas: la prueba y la persona.

La prueba son los fichajes: qué día, a qué hora, entrada o salida, con su sello de integridad. Eso se guarda cuatro años porque la ley lo dice, y punto. La persona es todo lo que permite saber de quién son esos fichajes en el día a día: nombre, apellidos, DNI, contacto, foto, credenciales. Eso es lo que ya no necesitas para nada cotidiano, y lo que la persona puede exigir que desaparezca.

La propia ley española describe el mecanismo. Se llama bloqueo, y el artículo 32 de la LOPDGDD dice en qué consiste: identificar y reservar los datos que borras pero que otra norma te obliga a conservar, impedir que nadie los use ni los vea en el trabajo diario, y dejarlos disponibles solo para jueces, tribunales, la Fiscalía y las administraciones competentes, mientras dure el plazo en el que te puedan exigir responsabilidades. Pasado ese plazo, se destruyen.

Así que la respuesta correcta al correo de junio no es «no puedo» ni «hecho, borrado todo». Es esta: «Hemos eliminado tus datos identificativos y de contacto. Tus registros de jornada se conservan cuatro años porque la ley nos obliga; quedan bloqueados, sin tu nombre, y solo se recuperarían si lo pide un juzgado o la Inspección.» Y guardas esa respuesta.

«Anonimizar» no siempre quiere decir anónimo

Una advertencia honesta, porque la palabra se usa con alegría, también en nuestro propio botón. La Agencia Española de Protección de Datos y el Supervisor Europeo publicaron una lista de diez malentendidos sobre la anonimización, y el primero es confundirla con la seudonimización. Quitar el nombre y dejar un código no hace que los datos sean anónimos: si existe una forma de volver a saber quién es, siguen siendo datos personales. Solo dejan de estar bajo el reglamento cuando ya nadie puede identificar a la persona por ningún medio razonable.

¿Es un problema? Durante los cuatro años, no: un registro que nadie pudiera volver a atribuir a su persona no serviría para lo que la ley te obliga a guardarlo. Lo correcto en esta fase es seudonimizar y bloquear, con la clave a buen recaudo, y anonimizar de verdad, o borrar, al vencer el plazo. Lo que no vale es llamarlo anónimo con la clave en el cajón.

Cumplirlo a medias es no cumplirlo

Las solicitudes de supresión no suelen fallar por mala fe. Fallan porque se borra donde se mira y se queda donde no. Cuatro maneras de fallar que se repiten:

1. Quitar el nombre y dejar el resto. La ficha ya no dice cómo se llama, pero la foto sigue en el servidor, el correo personal sigue en el campo de contacto, o la cuenta con la que entraba sigue existiendo a su nombre. Eso no es una supresión: es un cambio de etiqueta. Lo aprendimos revisando nuestro propio contrato de encargado: una ficha «anonimizada» con una cuenta de acceso a nombre de la persona no está anonimizada.

2. Olvidar las copias. El Excel exportado para la gestoría, el correo con el registro adjunto, el listado impreso. La ley te obliga a comunicar la supresión a quienes cediste los datos, salvo que sea imposible o desproporcionado. Con la gestoría no es ni lo uno ni lo otro: es un correo.

3. Borrar de más. El error de la tarde de junio: eliminar a la persona con sus fichajes para «cerrar el tema». Acabas de destruir un registro que la ley te obligaba a guardar. La infracción por no llevar el registro está entre 751 y 7.500 euros, y eso es lo de menos: si un juzgado te requiere el registro en una reclamación de horas y no lo aportas, puede dar por probado lo que diga la otra parte. Lo contamos en el registro de jornada no es para el inspector, es para el juicio.

4. No poder demostrarlo. Lo hiciste, pero no hay fecha, ni motivo, ni constancia de qué se borró y qué quedó bloqueado. Ante la Agencia, la carga de probar que atendiste la solicitud es tuya, y «lo hicimos» sin papel no es prueba.

¿Y si no contestas? La persona rellena un formulario en la web de la Agencia; no necesita abogado y no le cuesta nada. A partir de ahí, no atender una solicitud es una infracción leve; si se repite, o si impides u obstaculizas el ejercicio del derecho, pasa a muy grave, y en esa misma lista están no bloquear los datos que había que bloquear y revertir a propósito una anonimización. El techo del reglamento por vulnerar los derechos de las personas son 20 millones de euros o el 4 % de la facturación. Es un techo, no una tarifa; pero la multa llega junto con la orden de cumplir, así que no contestar solo te ahorra un mes.

Y si después llega un juzgado

Esta es la pregunta que de verdad preocupa, y tiene dos escenarios.

El requerimiento llega antes de borrar. Entonces no borres. El derecho de supresión no se aplica a los datos que necesitas para una reclamación, y colaborar con los jueces y tribunales en lo que te requieran es una obligación constitucional. A la persona le contestas que sus datos quedan reservados a ese uso mientras dure el procedimiento; al juzgado, con lo que tienes.

El requerimiento llega después. Es el caso difícil, y el que separa un sistema bien hecho de un borrado a lo bruto. El juzgado no pregunta por «el empleado número 7»: pregunta por la persona con DNI tal, y quiere su registro de jornada de tal periodo. Para contestar necesitas tres cosas: saber si ese DNI estuvo en tu registro, entregar sus fichajes, y poder demostrar que son de esa persona y que no se han tocado. Si borraste el DNI sin dejar ninguna forma de volver a comprobarlo, no puedes responder ni que sí ni que no. Y «ya no lo tengo», delante de un juez y sobre un dato que la ley te obligaba a guardar, no es una respuesta que quieras dar.

Por eso el bloqueo del artículo 32 no es burocracia: es la diferencia entre poder contestar y no poder. Conservas la manera de comprobar la identidad, guardada aparte y sin uso cotidiano, para el día en que la pida quien puede pedirla.

Un último matiz: si tu registro lo lleva un proveedor de software, el requerimiento se contesta a tu nombre, porque la responsable de esos datos es tu empresa. Lo que el proveedor tiene que darte es la forma de contestar.

Cómo lo hemos resuelto en iKontrolo

Sería raro escribir todo lo anterior y no contar cómo lo hacemos nosotros, incluido lo que no cubre.

• El botón «Anonimizar» solo aparece en fichas dadas de baja. No se anonimiza a nadie en activo: su registro está vivo y sus datos hacen falta.
• Pide un motivo y lo guarda. «Solicitud de la interesada recibida el…», por ejemplo. Queda en el rastro de auditoría, con una marca de si se hizo antes de cumplir los cuatro años.
• Qué borra: nombre, apellidos, DNI, correo, teléfono, código de empleado, la foto (también del almacenamiento, no solo el enlace), el PIN y la cuenta de acceso si la tenía. La ficha pasa a llamarse «Empleado anonimizado #7».
• Qué conserva: sus fichajes, ausencias y solicitudes, ligados a esa ficha sin nombre y con sus sellos de integridad intactos. Y una huella criptográfica del DNI calculada con una clave secreta, el mecanismo que la propia AEPD describe para un seudónimo que deba poder comprobarse después. No es el DNI: con ella no se puede saber quién era. Pero si un juzgado o la Inspección traen un DNI, el panel puede decir si corresponde a alguna ficha anonimizada de la empresa. Esa comprobación pide un motivo, queda auditada, está limitada a tres cada 24 horas por empresa, y el DNI que se escribe no se guarda.
• Qué entrega: el registro de esa persona para el periodo que pidan, en un paquete con un acta en PDF y el sello de cada fichero, comprobable desde fuera con una herramienta corriente.
• Qué pasa con el tiempo: la purga automática no se puede configurar por debajo de cuatro años. Las copias de seguridad duran treinta días y, si hubiera que restaurar una, las supresiones se vuelven a aplicar.

Lo que no cubre: las copias que la empresa haya hecho fuera (un Excel exportado, un correo a la gestoría) y los datos que no viven en iKontrolo, como las nóminas o el contrato firmado, que tienen sus propios plazos. Y una cuestión de nombres: en nuestro contrato de encargado, revisado por la asesoría, esta operación no se llama anonimización sino «supresión de identificadores directos con conservación seudonimizada del registro durante el plazo legal». Es más largo y es más exacto. El botón se llama «Anonimizar» porque es lo que la gente busca.

Preguntas frecuentes

¿Puede pedir que borre sus datos alguien que sigue en plantilla?

Puede pedirlo, y tienes que contestarle en un mes igual. Pero mientras dura el contrato la mayoría de sus datos son necesarios para cumplirlo y para el registro de jornada, así que la respuesta normal será que no procede, explicando por qué. Lo que sí puede exigir en cualquier momento es que corrijas datos inexactos y que no trates los que no hacen falta.

¿Tengo que avisar a la gestoría?

Sí, si le cediste los datos, y salvo que sea imposible o desproporcionado. Un correo diciendo «esta persona ha ejercido su derecho de supresión; eliminad sus datos identificativos y de contacto y conservad solo lo que os exija vuestra normativa» cumple, y guardado te sirve de prueba.

¿Y las copias de seguridad?

Existen para restaurar el sistema, no para consultar datos. Lo que tienes que poder enseñar es un plazo corto de conservación y un procedimiento escrito para volver a aplicar la supresión si algún día restauras una copia anterior a ella.

Ya lo borré todo hace un año y ahora me lo pide un juzgado. ¿Qué hago?

Contestar la verdad y por escrito: qué se borró, cuándo, por qué y qué queda. Ocultarlo o reconstruir datos es mucho peor que reconocer el error. Y, hacia delante, cambiar el procedimiento para que la próxima supresión conserve la prueba bloqueada durante los cuatro años.

Lo que hay que llevarse

Un exempleado que pide que borres sus datos no te está poniendo en un aprieto: te está recordando una obligación que ya tenías. La respuesta buena cabe en un párrafo, se da en menos de un mes y no cuesta dinero. Borras lo que identifica a la persona, conservas bloqueada la prueba que la ley te obliga a guardar, avisas a quien le pasaste los datos, y te quedas con el papel que demuestra las tres cosas. Lo único que no se improvisa es que el sistema donde vive el registro sepa separar a la persona de la prueba, y volver a juntarlas solo cuando lo pida quien puede pedirlo.

---

En iKontrolo esa separación está construida, no prometida: una ficha dada de baja se anonimiza con un motivo, sus fichajes se quedan cuatro años con sus sellos, y ante un requerimiento con DNI el panel contesta y entrega el registro con acta. Míralo funcionando.

Este artículo tiene finalidad informativa y no constituye asesoramiento jurídico. Los plazos de conservación de otros documentos laborales (nóminas, contratos, cotizaciones) tienen sus propias normas y no se tratan aquí. Ante una solicitud concreta, consulta con tu delegado de protección de datos o con asesoría especializada.