RGPD en RH: Tratamiento de Datos de Colaboradores
El RGPD impone a los servicios de RH obligaciones estrictas sobre el tratamiento de datos personales de los colaboradores. Descubra cómo cumplir concretamente.
9 min
Guía de cumplimiento 2026
Firma electrónica y RGPD: guía para DPO
La adopción de una solución de firma electrónica plantea varias cuestiones de RGPD: ¿dónde se alojan los datos? ¿Quién puede acceder a ellos? ¿Existe riesgo de Cloud Act? Esta guía responde estas preguntas y explica cómo elegir una solución conforme al RGPD para su organización.
Actualizado el
¿Qué datos personales trata una solución de firma?
Una plataforma de firma electrónica trata varias categorías de datos personales.
- Identidad del firmante: nombre, apellido, correo electrónico, número de teléfono
- Contenido de documentos: potencialmente datos personales sensibles (contratos de trabajo, datos de salud, datos financieros)
- Datos de audit trail: dirección IP, marca de tiempo, user-agent
- Datos comportamentales: trazo de firma manuscrita en tableta (si QES biométrico)
Alojamiento y transferencias fuera de la UE
El RGPD exige que los datos personales no se transfieran fuera de la UE excepto hacia países que ofrezcan un nivel de protección adecuado o bajo garantías apropiadas (SCCs, BCRs). Para las soluciones de firma, esto significa:
- Alojamiento UE → transferencia nativa, sin trámites adicionales
- Alojamiento EE.UU. con SCCs → posible pero con riesgo residual Cloud Act
- Entidad estadounidense (Cloud Act) → riesgo no eliminable incluso con alojamiento UE
Cloud Act estadounidense y firma electrónica
El Cloud Act (2018) autoriza a las autoridades estadounidenses a acceder a datos alojados por empresas de derecho estadounidense, incluso si estos datos se almacenan en Europa. DocuSign, Adobe Sign y Dropbox Sign son empresas estadounidenses sujetas al Cloud Act. Certyneo es una entidad francesa, no sujeta a esta extraterritorialidad.
| Solution | Nivel de riesgo Cloud Act por solución |
|---|---|
| Certyneo | Sin riesgo — entidad francesa |
| Yousign | Sin riesgo — entidad francesa |
| DocuSign | Riesgo residual — entidad estadounidense |
| Adobe Acrobat Sign | Riesgo residual — entidad estadounidense |
| Dropbox Sign | Riesgo residual — entidad estadounidense |
DPA y bases legales
El tratamiento de datos por una solución de firma debe basarse en una base legal válida (contrato, interés legítimo o consentimiento). Debe celebrarse un Acuerdo de Procesamiento de Datos (DPA) con el proveedor de firma. Certyneo ofrece un DPA conforme a RGPD, firmable electrónicamente, con los elementos requeridos por el artículo 28 del RGPD.
Recomendaciones para los DPO
- 1Elija un proveedor cuya entidad legal esté domiciliada en la UE o Reino Unido (post-Brexit con decisión de adecuación)
- 2Verifique que el alojamiento sea exclusivamente en la UE, sin replicación en servidores fuera de la UE
- 3Obtenga y firme un DPA conforme al artículo 28 del RGPD
- 4Documente el análisis de impacto (AIPD) si procesa datos sensibles en sus documentos
- 5Verifique el plazo de conservación de datos y la política de eliminación al final del contrato
Preguntas RGPD sobre firma electrónica
- ¿Implica la firma electrónica un tratamiento de datos personales?
- Sí. El correo electrónico, nombre y potencialmente el número de teléfono del firmante se recopilan. El contenido de los documentos también puede contener datos personales. El proveedor de firma es un procesador según el RGPD, sujeto a las obligaciones del artículo 28.
- ¿Cumple DocuSign con el RGPD?
- DocuSign afirma ser conforme a RGPD y ofrece SCCs. Sin embargo, como empresa estadounidense, sigue sujeta al Cloud Act. La CNIL ha recordado que el Cloud Act crea un riesgo no eliminable para los datos europeos alojados por entidades estadounidenses, incluso en la UE.
- ¿Cumple Certyneo con el RGPD?
- Sí. Certyneo es una entidad francesa, alojada en la UE (IONOS Alemania), no sujeta al Cloud Act. Los datos se cifran en tránsito (TLS 1.3) y en reposo. Certyneo ofrece un DPA conforme al artículo 28 del RGPD.
- ¿Es necesario realizar una AIPD para usar una solución de firma?
- Una AIPD no es sistemáticamente requerida para firma electrónica estándar. Se requiere si firma documentos que contienen datos sensibles (salud, RR.HH. con datos sindicales, etc.) o si su uso de la firma implica perfilado o vigilancia a gran escala.
Artículos recomendados
RGPD en RH: Tratamiento de datos de empleados
El RGPD impone a los empleadores reglas estrictas sobre la recopilación y el tratamiento de datos personales de sus empleados. Descubra cómo garantizar su conformidad y evitar sanciones.
8 min
Firma electrónica RH & RGPD: guía completa 2026
Entre eIDAS, RGPD y gestión de datos personales de empleados, la firma electrónica de tus documentos RH obedece a normas estrictas. Descubre cómo mantenerte conforme.
9 min
Firma electrónica sector médico: RGPD & HDS
El sector médico está sujeto a las restricciones más estrictas en materia de conformidad digital. Descubra cómo implementar una firma electrónica legal, conforme al RGPD y certificada en HDS para sus establecimientos de salud.
9 min
RGPD en RH: Tratamiento de Datos de los Colaboradores
RGPD y recursos humanos: bases legales, registro de tratamiento, duraciones de conservación y derechos de los colaboradores en 2026.
4 min
Protección datos clientes e-commerce: Cumplimiento RGPD
Cumplimiento RGPD para e-commerçants: política de privacidad, consentimiento de cookies, seguridad de datos y contratos con proveedores firmados electrónicamente.
4 min