Empleados del despacho: el compromiso de confidencialidad que todos deben firmar

Una auxiliar comenta en una cafetería, sin mala intención, que el presidente de una comunidad acumula tres recibos devueltos. Dos mesas más allá está su vecina. Nadie quería hacer daño, pero el despacho acaba de tener una brecha de confidencialidad.

La confidencialidad no puede depender del buen criterio de cada empleado. La normativa obliga a garantizarla y a poder demostrarlo, y el compromiso escrito es el papel más sencillo de conseguir y uno de los más olvidados.

Lo que dice la normativa

El deber de confidencialidad es un principio del RGPD: los datos deben tratarse de forma que se garantice su seguridad, incluida la protección contra el tratamiento no autorizado o ilícito (art. 5.1.f del RGPD (se abre en una ventana nueva)). La LOPDGDD (se abre en una ventana nueva) lo recoge en su artículo 5: obliga a responsables, encargados y a todas las personas que intervienen en cualquier fase del tratamiento, y subsiste aunque la relación con el despacho haya terminado.

Además, cuando el despacho actúa como encargado de las comunidades, el contrato debe garantizar que las personas autorizadas a tratar los datos se han comprometido a respetar la confidencialidad o están sujetas a una obligación legal equivalente (art. 28.3.b RGPD). Es decir, si una comunidad le pide cuentas, usted debe poder enseñar ese compromiso.

También hay una regla de fondo: quien actúa bajo la autoridad del responsable o del encargado y accede a datos personales solo puede tratarlos siguiendo instrucciones (art. 29 RGPD). Los empleados no deciden por su cuenta qué hacer con los datos.

Qué debe incluir el documento

Un compromiso de confidencialidad útil cabe en una o dos páginas. Debe recoger:

• Quién se compromete y con quién: nombre del empleado y del despacho.
• Qué información queda protegida: datos personales de propietarios, residentes, proveedores y clientes, pero también información de la comunidad (deudas, litigios, acuerdos pendientes de comunicar).
• Qué se prohíbe: comunicar a terceros, copiar a dispositivos personales, fotografiar pantallas, llevarse documentos, usar los datos para fines propios.
• Qué se exige: usar solo las herramientas autorizadas, comunicar de inmediato cualquier incidente, devolver o destruir lo que tenga al irse.
• Duración: durante la relación laboral y después. La obligación subsiste aunque el contrato termine.
• Consecuencias: remisión al régimen disciplinario aplicable. Sin amenazas desproporcionadas: la vía legal depende del caso.

Un detalle práctico: entregue una copia al trabajador y guarde la firmada en su expediente. Una frase suelta en el contrato de trabajo ayuda, pero un documento específico, con fecha, es mejor prueba.

A quién hay que hacérselo firmar

A todos, aunque no se lo parezca:

• Administradores y personal técnico.
• Auxiliares administrativos y recepción.
• Becarios y personal en prácticas.
• Trabajadores temporales y sustitutos de vacaciones.
• Colaboradores autónomos que trabajan para el despacho (con contrato de servicios y cláusula de confidencialidad, o de encargado si procede).

La regla útil es esta: si alguien puede ver, aunque sea de pasada, un dato de una comunidad, debe estar comprometido.

Un compromiso no basta: formar y limitar

El papel firmado demuestra que usted avisó, pero no impide el fallo. Tres medidas completan el compromiso.

Formación breve y periódica

Una hora al año, con ejemplos del día a día del despacho: el correo con copia visible a todos los vecinos, el audio de WhatsApp con datos de morosos, el expediente abierto en una pantalla que ve el visitante. Deje constancia de la asistencia.

Acceso por necesidad

Cada empleado debe poder acceder solo a las comunidades que lleva. Si todo el mundo ve todo, la confidencialidad depende de la buena fe de cada uno, y eso es mucho pedir.

Reglas sobre dispositivos y herramientas

El uso del móvil personal, de WhatsApp o del correo particular para temas de trabajo es una fuente habitual de problemas. La LOPDGDD reconoce el derecho a la intimidad en el uso de los dispositivos digitales que el empleador pone a disposición del trabajador, y le permite acceder a ellos para controlar el cumplimiento de las obligaciones laborales, con criterios de utilización establecidos y comunicados de antemano (art. 87). Escriba esas reglas y comuníquelas; no vale improvisarlas el día del problema. Si hay trabajo desde casa, vea además el teletrabajo sin abrir una brecha.

Cuando el empleado se va

La salida es el momento más delicado. Haga una lista de cierre:

1. Retire accesos al programa de gestión, al correo y a la nube el último día.
2. Recupere llaves, tarjetas, portátil y móvil de empresa.
3. Recuerde por escrito que la confidencialidad continúa.
4. Reasigne las comunidades que llevaba y deje constancia.

Y si ya hay una filtración

Hable con el empleado, documente lo sucedido y valore si hay que notificar a la AEPD o a los afectados. Para eso necesita el procedimiento de brechas que describimos en la revisión general del despacho. Las consecuencias laborales dependerán de lo que pasara y de lo que firmó el empleado.

Un ejemplo de redacción

No hace falta un texto de abogado. Una fórmula clara sirve: «Me comprometo a mantener la confidencialidad de todos los datos personales y la información de las comunidades a las que tenga acceso por mi trabajo, a utilizarlos solo para las tareas que me encomiende el despacho y a no comunicarlos a terceros. Esta obligación continuará después de terminar mi relación laboral». Adáptela a su despacho, añada las reglas internas y revísela con su asesoría laboral antes de repartirla.

En resumen

• El deber de confidencialidad existe por ley, pero usted debe poder demostrar que cada empleado lo conoce y lo ha aceptado.
• El compromiso debe ser escrito, específico y firmado por todo el personal, también el temporal.
• Complételo con formación, acceso por comunidades y reglas claras sobre móviles y correo.
• Al terminar la relación, retire accesos y recuerde que la obligación continúa.

Reúna hoy los compromisos que ya tiene firmados: lo que falte le dirá por dónde empezar.