Datos de los trabajadores de tus clientes en Claude: lo que pide el RGPD a una gestoría

Un despacho contable trata sobre todo datos de sus clientes. Una gestoría con departamento laboral va más lejos: trata los datos de los trabajadores de sus clientes, personas con las que no tiene ninguna relación. Nóminas, contratos, cuentas bancarias, bajas por incapacidad temporal. Eso cambia lo que hay que tener resuelto antes de usar Claude con esos datos. Para la parte general (planes, anonimizar, qué no subir nunca) mira la guía de datos de clientes en el despacho; aquí va lo propio de la gestoría.

La gestoría es encargada; Claude sería subencargado

Cuando la gestoría lleva las nóminas de una empresa, la empresa es la responsable del tratamiento de los datos de sus trabajadores y la gestoría actúa como encargada, con un contrato de encargo (artículo 28 del RGPD). Si la gestoría sube esos datos a Claude, Anthropic pasa a tratarlos también por cuenta de la gestoría. Para eso, el artículo 28.2 pide:

• Autorización previa por escrito del cliente, específica para ese proveedor o general.
• Si es general, informar al cliente de la incorporación o sustitución de proveedores, para que pueda oponerse.
• Que el nuevo encargado asuma las mismas obligaciones de protección de datos (artículo 28.4). En Claude, eso lo cubre el acuerdo de tratamiento de datos de los planes comerciales.

En la práctica: revisa tus contratos de encargo. Muchos incluyen una autorización general a subencargados con una lista. Si no la incluyen, o la lista no menciona servicios de IA, hay que actualizarlos antes de subir datos de trabajadores.

Las bajas son datos de salud

Los datos relativos a la salud son una categoría especial (artículo 9 del RGPD). Para revisar una nómina con una incapacidad temporal basta con las fechas y el tipo de contingencia que figura en la nómina. El motivo médico, si por cualquier vía le llega a la gestoría, no se sube nunca.

Qué se sube, en qué plan

Todo lo que lleve datos personales, en un plan de empresa (Team o Enterprise) con el acuerdo de tratamiento firmado. Nada de cuentas personales, aunque sean de pago.

Si el cliente usa IA con sus trabajadores

Dos normas que la gestoría puede explicar a sus clientes:

• Estatuto de los Trabajadores, artículo 64.4.d. El comité de empresa tiene derecho a ser informado de los parámetros, reglas e instrucciones en los que se basan los algoritmos o sistemas de IA que afectan a decisiones sobre condiciones de trabajo, acceso y mantenimiento del empleo, incluida la elaboración de perfiles.
• Reglamento Europeo de IA. Los sistemas de IA para seleccionar personal o tomar decisiones sobre la relación laboral son de alto riesgo (anexo III). Tras el ómnibus digital de 2026, sus obligaciones se aplican desde el 2 de diciembre de 2027. Redactar un correo o comparar dos listados no entra ahí; decidir a quién se despide, sí.

Lo mínimo antes de empezar

1. Plan de empresa y acuerdo de tratamiento de datos.
2. Contratos de encargo revisados: autorización a subencargados.
3. Una política de una página para el equipo: qué se sube, qué no y dónde.
4. Registro de actividades de tratamiento actualizado con el nuevo proveedor.

Riesgos y límites

• Esto no es asesoramiento jurídico sobre un contrato concreto. Si la gestoría tiene delegado de protección de datos, la revisión de los contratos de encargo es suya.
• Cuentas personales. El riesgo real suele ser el personal que ya usa una IA por su cuenta con datos de clientes. La política de una página y el plan de empresa son la respuesta.
• La AEPD publicó en 2026 orientaciones sobre IA agéntica y protección de datos. Si la gestoría conecta Claude a su correo o a sus carpetas, conviene leerlas.