RGPD para HR: bajas, exits y borrado.

Las 4 bases legales que necesitas conocer

1. Ejecución de contrato (art. 6.1.b RGPD): nóminas, IRPF, contratos. Mientras dure la relación + plazos legales.
2. Obligación legal (art. 6.1.c): TC1, TC2, modelo 145. Plazos del Estatuto y de la Agencia Tributaria.
3. Interés legítimo (art. 6.1.f): histórico de evaluaciones, notas de exit interview. Hasta que prescriba.
4. Consentimiento (art. 6.1.a): foto en intranet, datos extra voluntarios. Revocable en cualquier momento.

Plazos de conservación reales (España)

• Contratos laborales: 10 años desde la baja (prescripción civil, art. 1964 CC).
• Nóminas y TC: 10 años (prescripción de la cuota a la SS, Ley 30/2015).
• Modelo 145 IRPF: 4 años (prescripción tributaria, Ley 58/2003).
• Registro de jornada: 4 años (RDL 8/2019).
• Currículums de candidatos no contratados: máximo 2 años (criterio AEPD).
• Evaluaciones de desempeño: hasta prescripción civil (4 años desde la última).
• Email corporativo: cerrado al día de la baja; backup conservado 6 meses según política interna.
• Foto en web/LinkedIn: retirada en 30 días (consentimiento revocado por la baja).

Qué tiene que pasar el día que alguien deja

1. Bloqueo inmediato de accesos (SSO, herramientas, edificios).
2. Cierre del email corporativo, forward 30 días al manager.
3. Backup de los datos de proyecto a propietario nuevo.
4. Marcado del expediente como "empleado finalizado" con fecha.
5. Activación de retención automática: el sistema marca cada dato con su plazo.
6. Eliminación de la foto y datos en publicaciones internas/externas en 30 días.
7. Notificación al exempleado de qué datos se conservan y por qué.

Derechos del exempleado

• Acceso: tiene derecho a saber qué tienes. Plazo: 1 mes.
• Rectificación: si algo está mal, lo corriges. Plazo: 1 mes.
• Supresión: solo si la base legal ya no aplica. La nómina del año pasado no se borra.
• Limitación: durante una disputa, congelas el dato.
• Portabilidad: solo para datos que el ex aportó él/ella mismo.

Sanciones reales de la AEPD en 2024–2025

Caso publicado (PS/00342/2024): empresa de 60 personas multada con 32.000€ por mantener accesibles los emails de 14 exempleados durante 18 meses tras la baja. Caso PS/00518/2024: consultora multada con 60.000€ por no responder en plazo a un derecho de acceso.