El 30 de junio de 2026, la Audiencia Nacional anuló la aprobación y la publicación de la Guía sobre tratamientos de control de presencia mediante sistemas biométricos de la Agencia Española de Protección de Datos (AEPD).

Ahora bien, la resolución no declara que el fichaje biométrico sea lícito ni da vía libre a las empresas para implantarlo. La Guía se anula por el procedimiento utilizado para aprobarla, no porque la Audiencia Nacional considere incorrectos sus criterios de fondo.

Te explicamos qué ha ocurrido, qué cambia realmente y qué deberían revisar las empresas que utilizan estos sistemas.

Te puede interesar: Datos biométricos: ¿Qué son y cómo tratarlos según la ley de protección de datos?

¿Qué ha ocurrido con la Guía de biometría?

La Sentencia 367/2026, de 30 de junio, de la Sala Contenciosa Administrativa de la Audiencia Nacional, estima el recurso presentado por la Asociación Española de Empresas de Seguridad y deja sin efecto la aprobación y la publicación de la Guía de biometría de la AEPD.

La Guía, publicada el 23 de noviembre de 2023, establecía los criterios de la Agencia para utilizar datos biométricos en sistemas de registro de jornada y control de acceso, tanto en el ámbito laboral como no laboral.

El documento adoptaba un enfoque restrictivo y exigía, entre otras cuestiones, analizar la necesidad y proporcionalidad del sistema, valorar alternativas menos invasivas y revisar los riesgos derivados del tratamiento.

Te puede interesar: Registra la jornada laboral en tiempo real y de forma digital

La Audiencia Nacional, sin embargo, no analiza si estos criterios son correctos o incorrectos. La cuestión que resuelve es si la AEPD podía aprobarlos mediante una guía o si, por sus efectos, debía seguir el procedimiento legal previsto para aprobar una circular.

¿Por qué la Audiencia Nacional la ha anulado?

La AEPD publicó el documento como una guía orientativa, amparándose en la disposición adicional decimoctava de la LOPDGDD, que le permite elaborar herramientas y orientaciones para facilitar el cumplimiento de la normativa.

La Audiencia Nacional recuerda, sin embargo, una regla clásica del derecho administrativo: la naturaleza de un documento no depende del nombre que le haya dado la Administración (su nomen iuris), sino de su contenido y de los efectos que produce.

La Guía no se limitaba a formular recomendaciones, sino que:

• Establecía criterios formulados en términos taxativos.
• Configuraba un marco restrictivo para implantar sistemas biométricos.
• Condicionaba las decisiones de los responsables del tratamiento.
• Contenía criterios que la AEPD utilizaba en resoluciones posteriores.
• Producía efectos sobre empresas y terceros, más allá del funcionamiento interno de la Agencia.

Te puede interesar: La AEPD publica una nueva guía sobre la utilización de los datos biométricos

Por ello, la Sala concluye que la Guía tenía, materialmente, la naturaleza de una circular de la AEPD. En consecuencia, debería haberse tramitado de acuerdo con el artículo 55 de la LOPDGDD y el artículo 6 del Estatuto de la AEPD, en lugar de aprobarse como una simple guía.

¿Qué procedimiento debería haberse seguido?

Las circulares de la AEPD fijan los criterios que seguirá la Agencia al aplicar la normativa de protección de datos. Por ello, su aprobación está sometida a un procedimiento específico con garantías de participación y control jurídico.

Entre los trámites principales, se incluyen:

• Un informe técnico que justifique la necesidad y el contenido de la circular.
• Un informe jurídico del Gabinete Jurídico de la AEPD.
• Un trámite de audiencia e información pública, con carácter general durante un mínimo de quince días hábiles.
• La posibilidad de consultar a otros organismos de la Administración afectados.
• Una memoria justificativa y el expediente completo.
• El dictamen preceptivo del Consejo de Estado.
• La aprobación de la Presidencia de la AEPD y la posterior publicación en el BOE.

El Estatuto permite reducir el plazo de audiencia hasta siete días hábiles cuando existan motivos justificados y solo permite omitirlo por razones graves de interés público, que deben motivarse expresamente.

La Guía de biometría no se tramitó mediante este procedimiento. Para la Audiencia Nacional, esta omisión no es una simple formalidad: impide que las empresas y los sectores afectados puedan participar en la elaboración de los criterios y que exista un control jurídico previo sobre su contenido.

¿Por qué esta sentencia es importante más allá de la biometría?

También fija un límite a la manera en que la AEPD puede publicar criterios que, aunque se presenten como orientaciones, instrucciones o guías, acaban condicionando las decisiones de las empresas.

Una guía puede servir para informar o facilitar el cumplimiento de la normativa. Pero, si establece criterios generales que la Agencia aplicará después en sus resoluciones, ya no actúa como una simple recomendación. En este caso, debe tramitarse con las garantías previstas para las circulares.

Esto también permite que las empresas puedan impugnar estos criterios antes de que se apliquen sanciones. En caso contrario, tendrían que esperar a recibir una sanción para poder discutir su legalidad.

¿Qué no cambia con esta sentencia?

Es importante no interpretar la resolución como una autorización general para utilizar la huella dactilar, el reconocimiento facial u otros sistemas biométricos.

La sentencia:

• No declara que el registro de jornada mediante datos biométricos sea lícito en cualquier circunstancia.
• No establece que las empresas puedan implantar estos sistemas sin una base jurídica adecuada.
• No elimina la obligación de analizar la necesidad y la proporcionalidad del tratamiento.
• No deja sin efecto los principios de minimización, protección de datos desde el diseño y seguridad.
• No excluye la necesidad de realizar una evaluación de impacto cuando el tratamiento pueda comportar un alto riesgo para los derechos y las libertades de las personas.

La Audiencia Nacional no valida ni invalida el contenido material de la Guía. Lo que concluye es que, debido a la naturaleza y los efectos de los criterios que contenía, no podía aprobarse como una simple orientación sin seguir el procedimiento previsto para las circulares.

Por tanto, la anulación del documento no elimina las obligaciones que derivan directamente del Reglamento General de Protección de Datos. El RGPD sigue protegiendo los datos biométricos cuando se tratan con la finalidad de identificar de manera unívoca a una persona, y mantiene las exigencias de licitud, necesidad, proporcionalidad, minimización y responsabilidad proactiva.

Te puede interesar: Coordinación de Actividades Empresariales (CAE) y protección de datos: ¿qué debe tenerse en cuenta para cumplir la normativa?

¿Puede la AEPD volver a aprobar estos criterios?

La AEPD podría volver a formular criterios iguales o similares, pero, si tienen la finalidad de determinar con carácter general cómo actuará la Agencia, deberá tramitarlos como una circular.

Solo después de la publicación de la circular, esta cumpliría con la obligación prevista en la LOPDGDD.

Ahora bien, seguir correctamente el procedimiento no impediría que el contenido de la futura circular pudiera ser revisado por los tribunales. La tramitación correcta resuelve el defecto procedimental apreciado en esta sentencia, pero no excluye el control judicial sobre la legalidad material de los criterios que se aprueben.

¿Qué implica para las empresas que utilizan biometría?

La desaparición de la Guía como acto aprobado y publicado no crea un vacío legal. Las empresas siguen siendo responsables de demostrar que el tratamiento biométrico cumple el RGPD y la LOPDGDD.

Cada organización debe analizar su tratamiento concreto y poder justificar por qué la biometría es necesaria para alcanzar la finalidad perseguida.

En particular, conviene revisar:

• La finalidad del sistema: debe definirse si se utiliza para registrar la jornada, controlar el acceso o cumplir otra finalidad.
• La base jurídica: debe identificarse tanto la base que legitima el tratamiento como, cuando corresponda, la excepción que permite tratar categorías especiales de datos.
• La necesidad del sistema: la empresa debe poder explicar por qué no es suficiente una tarjeta, un código personal, una aplicación u otro mecanismo menos intrusivo.
• La proporcionalidad: los beneficios del sistema deben justificar el impacto que tiene sobre la privacidad de las personas.
• La evaluación de impacto: cuando el tratamiento pueda generar un alto riesgo, la evaluación debe realizarse antes de implantarlo y debe incluir las medidas previstas para reducir esos riesgos.
• Las garantías técnicas y organizativas: debe revisarse cómo se obtienen, transforman, almacenan y eliminan los datos o las plantillas biométricas, quién tiene acceso a ellos y durante cuánto tiempo se conservan.
• La información a las personas afectadas: personas trabajadoras, clientes o usuarios deben recibir información clara sobre el tratamiento y sobre el ejercicio de sus derechos.

Te puede interesar: ¿Qué es y por qué tu empresa debe cumplir la ley de protección de datos?

El Comité Europeo de Protección de Datos sigue considerando que el uso de datos biométricos comporta riesgos elevados y que deben respetarse la licitud, la necesidad, la proporcionalidad y la minimización. Por tanto, muchas de las cautelas que aparecían en la Guía no dependían exclusivamente de aquel documento, sino que derivan del propio RGPD y de la doctrina europea.

¿Y los encargados del tratamiento?

Los proveedores de sistemas biométricos también deberían revisar los servicios que ofrecen y la documentación contractual que facilitan a sus clientes.

Que una tecnología esté disponible en el mercado no significa que pueda utilizarse legítimamente en cualquier contexto. El responsable del tratamiento debe valorar la licitud del sistema, pero el encargado también debe ofrecer garantías suficientes y aplicar las medidas técnicas y organizativas establecidas en el contrato.

Por ello, es recomendable revisar las funcionalidades del producto, la ubicación de los datos, los plazos de conservación, la gestión de las plantillas biométricas, el acceso de subcontratistas y las medidas previstas ante una posible brecha de seguridad.

Te puede interesar: ¿Cómo garantizar el cumplimiento de la ley de protección de datos en tu negocio?

La conclusión, por tanto, es clara: la sentencia modifica el valor jurídico de la Guía, pero no convierte la biometría en una opción automáticamente válida para registrar la jornada o controlar accesos.

Si la empresa no puede acreditar que el sistema es necesario, proporcional y más adecuado que las alternativas menos invasivas, debería valorar su sustitución. Y, si puede justificarlo, deberá conservar la documentación que demuestre este análisis y mantener actualizadas las medidas de seguridad y la evaluación de los riesgos.

¿Tu empresa utiliza la huella dactilar, el reconocimiento facial u otro sistema biométrico? Este es un buen momento para revisar la base jurídica, la evaluación de impacto y las alternativas menos invasivas antes de que la AEPD vuelva a fijar sus criterios mediante el procedimiento correspondiente.

La entrada La Audiencia Nacional anula la Guía de biometría de la AEPD: ¿qué cambia para tu empresa? s'ha publicat primer a On4.

El Reglamento europeo de Inteligencia Artificial (RIA) exige, en determinados casos, informar cuando una persona interactúa con un sistema de IA, identificar contenidos generados o manipulados artificialmente y advertir sobre el uso de algunas tecnologías biométricas.

Te explicamos qué cambia el 2 de agosto de 2026 y qué aspectos debes revisar en tu empresa.

¿Qué cambia a partir del 2 de agosto de 2026?

El Reglamento (UE) 2024/1689 entró en vigor el 1 de agosto de 2024, aunque su aplicación se ha establecido de manera progresiva.

Ahora, dos años después, a partir del 2 de agosto de 2026 empieza a aplicarse de manera general la mayor parte de sus disposiciones, incluidas las obligaciones de transparencia del artículo 50.

Estas obligaciones afectan especialmente a los sistemas que interactúan con personas, los contenidos generados o manipulados artificialmente, los deepfakes y determinadas herramientas biométricas.

¿Quién supervisará el cumplimiento en España?

En España, la Agencia Española de Supervisión de la Inteligencia Artificial (AESIA) tendrá un papel central en la supervisión del RIA.

Este organismo público tiene como misión contribuir a garantizar que la inteligencia artificial se desarrolle y se utilice de manera ética, segura y respetuosa con los derechos fundamentales. También tiene atribuidas funciones de inspección, comprobación y sanción en los ámbitos que determine la normativa aplicable.

Aun así, no será la única autoridad que podrá intervenir. Según el sistema, el sector y los derechos afectados, también pueden tener competencias la Agencia Española de Protección de Datos u otros organismos sectoriales.

El Código de buenas prácticas sobre transparencia

Para ayudar a las empresas a aplicar estas obligaciones, la Comisión Europea publicó el 10 de junio de 2026 el Código de buenas prácticas sobre transparencia de los contenidos generados con IA.

El Código ofrece orientaciones prácticas sobre cómo marcar y detectar los contenidos generados o manipulados artificialmente y sobre cómo etiquetar los deepfakes y determinados textos.

Te puede interesar: FAQs: Código de Buenas Prácticas sobre la Transparencia del Contenido Generado por IA

También ofrece criterios sobre la forma, la ubicación y la presentación de los avisos e incluye una propuesta de icono europeo para identificar contenidos generados con IA. El uso de este icono es opcional y, por sí solo, no acredita el cumplimiento de todas las obligaciones del RIA.

La adhesión al Código también es voluntaria. Esto significa que las empresas no están obligadas a firmarlo. Lo que sí es obligatorio escumplir el artículo 50. Las organizaciones que no se adhieran al Código deberán poder demostrar el cumplimiento mediante otras medidas adecuadas.

Te puede interesar: Preguntas y respuestas sobre el Reglamento de IA: artículo 50

Entonces, ¿hay que etiquetar todos los contenidos creados con IA?

No.

Utilizar una herramienta de inteligencia artificial para revisar un correo electrónico, preparar un documento interno, resumir información o redactar una descripción comercial no obliga automáticamente a etiquetar el resultado.

El RIA establece obligaciones distintas según la clase de contenido y el papel que asume cada empresa:

• Los proveedores de sistemas que generan textos, imágenes, audios o vídeos deben incorporar soluciones técnicas para que estos contenidos puedan detectarse como generados o manipulados mediante IA. Este marcado debe ser legible por máquina y puede consistir en metadatos, marcas digitales u otros mecanismos técnicos que permitan identificar el origen artificial del contenido.
• Por otro lado, las empresas y profesionales que utilizan estos sistemas pueden estar obligados a informar directamente a las personas en determinadas situaciones.

1| Chatbots y asistentes virtuales

Cuando un sistema de IA está diseñado para interactuar directamente con personas, ya sea por voz o por texto, estas deben ser informadas de manera clara y, como máximo, en el momento de la primera interacción, de que están interactuando con una inteligencia artificial.

2| Deepfakes

Un deepfake es un contenido que representa personas, objetos, lugares o acontecimientos reales de una manera que puede hacer creer erróneamente que es auténtico. Las empresas y profesionales que publiquen imágenes, audios o vídeos que constituyan un deepfake deben informar qué contenido ha sido generado o manipulado artificialmente y qué no es real.

Cuando se trate de una obra artística, creativa, satírica o ficticia, el aviso podrá presentarse de manera que no interfiera en la visualización o el disfrute de la obra. Esto no elimina, sin embargo, la obligación de informar.

Te puede interesar: Cómo saber si una noticia es falsa: pasos para detectar fake news

3| Textos sobre asuntos de interés público

El RIA también obliga a informar cuando se publican textos generados o manipulados con inteligencia artificial sobre cuestiones de interés público.

Sin embargo, no será necesario etiquetarlos cuando hayan pasado por un proceso de revisión humana o control editorial. Por ello, es recomendable definir quién revisa los textos, qué comprobaciones se realizan y quién asume la responsabilidad final.

4| Reconocimiento de emociones y categorización biométrica

Los sistemas de reconocimiento de emociones o de categorización biométrica pueden analizar expresiones faciales, voz, movimientos u otras características biométricas con el objetivo de inferir emociones o clasificar personas.

Las empresas que utilicen estas herramientas deben informar a las personas expuestas a su funcionamiento.

Además, cuando estos sistemas traten datos personales, también deberá cumplirse el Reglamento General de Protección de Datos y la Ley Orgánica 3/2018. Informar sobre el uso de la IA no sustituye las obligaciones relativas a la base jurídica, la minimización de datos, la seguridad y los derechos de las personas afectadas.

Te puede interesar: Datos biométricos: ¿qué son y cómo tratarlos según la ley de protección de datos?

¿Qué sanciones puede conllevar el incumplimiento?

El Reglamento de Inteligencia Artificial incorpora un régimen sancionador específico para los incumplimientos de las obligaciones que impone, incluidas las de transparencia.

El incumplimiento puede conllevar multas de hasta 15 millones de euros. Para determinar su importe, la autoridad competente deberá valorar factores como la gravedad y la duración de la infracción, el número de personas afectadas, la intencionalidad, el grado de cooperación y las medidas adoptadas para corregir el problema.

Además, también puede conllevar requerimientos, medidas correctoras, restricciones de uso o la retirada del sistema. Y, cuando el uso de la inteligencia artificial también vulnere la normativa de protección de datos, pueden existir responsabilidades adicionales en este ámbito.

Te puede interesar: EU Artificial Intelligence Act. Artículo 99. Sanciones.

Las obligaciones de transparencia no afectan a todos los usos de la inteligencia artificial, pero sí exigen que las empresas revisen con criterio cómo utilizan esta tecnología y si las personas pueden identificar correctamente cuándo están interactuando con un sistema o ante un contenido artificial.

En ON4 podemos ayudarte a identificar las herramientas de inteligencia artificial que utiliza tu empresa, analizar las obligaciones que pueden derivarse del Reglamento de Inteligencia Artificial (RIA) y orientarte sobre las medidas y procedimientos internos que será necesario implantar.

La entrada Reglamento de Inteligencia Artificial: ¿qué debe revisar tu empresa para cumplir la normativa? s'ha publicat primer a On4.

En algunas empresas, las retribuciones se han ido definiendo con el tiempo a partir de negociaciones individuales, complementos poco claros o criterios que no siempre están documentados. Esto puede dificultar la justificación de determinadas diferencias salariales.

Esto no quiere decir que toda diferencia salarial sea discriminatoria. Ahora bien, la empresa debe poder demostrar que responde a motivos objetivos, como las funciones del puesto, la responsabilidad, la experiencia o la antigüedad.

Te explicamos cuáles son las novedades más relevantes, quién deberá implementarlas y cuándo.

Te puede interesar: ¿Qué es el registro retributivo? Conoce las claves para una remuneración equitativa.

¿Qué es la transparencia salarial?

La transparencia salarial consiste en facilitar información clara y justificada sobre cómo se determina la retribución dentro de la empresa. Esto incluye aspectos como el salario base, los complementos salariales, la retribución variable, las bandas salariales, los criterios de promoción o la clasificación profesional.

La transparencia salarial no consiste en publicar salarios individuales, sino en comprobar si mujeres y hombres reciben la misma retribución por un mismo trabajo o por un trabajo de igual valor. Lo que se busca es evitar que posibles diferencias retributivas por razón de sexo queden ocultas dentro de sistemas poco claros y facilitar información suficiente para detectar desigualdades.

Te puede interesar: El reto del Plan de Igualdad: ¿por qué muchas empresas todavía no lo han implantado?

Marco legal

Con la Directiva (UE) 2023/970, la Unión Europea refuerza el principio de igualdad de retribución entre mujeres y hombres por un mismo trabajo o por un trabajo de igual valor.

En España, este principio no es nuevo. El Estatuto de los Trabajadores ya obliga a las empresas a garantizar la igualdad retributiva, y el Real Decreto 902/2020 regula instrumentos como el registro retributivo, la auditoría retributiva y la valoración de los puestos de trabajo.

Aun así, la nueva normativa europea, que ha entrado en vigor el 7 de junio de 2026, introduce cambios importantes que obligarán a muchas empresas a revisar cómo informan, documentan y justifican sus políticas salariales.

Te puede interesar: Transparencia retributiva en la UE

¿Cuáles son las principales novedades?

La Directiva europea introduce nuevas obligaciones que afectan tanto a los procesos de selección como a la relación laboral y a la información retributiva que deberán facilitar determinadas empresas.

1 | Información salarial antes de la contractación

Las personas candidatas deberán poder conocer la retribución inicial o la banda salarial inicial del puesto de trabajo antes de la contratación, por ejemplo, en la oferta de empleo o en la entrevista.

Además, para evitar que una posible desigualdad salarial previa se traslade a una nueva relación laboral, la empresa no podrá preguntar por el salario anterior o el historial retributivo de la persona candidata.

2 | Criterios objetivos para fijar salarios

Las empresas deberán disponer de criterios objetivos y neutros respecto al género para determinar la retribución, los niveles salariales y la progresión salarial.

Esto implica revisar si los salarios, complementos, incrementos o promociones responden a factores justificables como la responsabilidad, la experiencia, las funciones, las competencias o las condiciones del trabajo.

Te puede interesar: La igualdad de género, el gran reto de las empresas.

3 | Derecho de información de las personas trabajadoras

Las personas trabajadoras podrán solicitar información sobre su nivel retributivo individual y sobre los niveles retributivos medios de las personas que realizan el mismo trabajo o un trabajo de igual valor.

Esta información deberá estar desglosada por sexo y deberá facilitarse respetando la protección de los datos personales.

4 | Informes sobre la brecha salarial

Las empresas de 100 personas trabajadoras en adelante deberán informar periódicamente sobre diferentes datos retributivos, como la brecha salarial de género, los componentes variables o complementarios y la distribución de mujeres y hombres por tramos retributivos.

Los plazos previstos son:

• 250 o más personas trabajadoras: primer informe como máximo el 7 de junio de 2027 y, después, anualmente.
• De 150 a 249 personas trabajadoras: primer informe como máximo el 7 de junio de 2027 y, después, cada tres años.
• De 100 a 149 personas trabajadoras: primer informe como máximo el 7 de junio de 2031 y, después, cada tres años.

5 | Evaluación retributiva conjunta

Si se detecta una diferencia media de al menos el 5 % en una categoría de personas trabajadoras y esta diferencia no puede justificarse mediante criterios objetivos y neutros respecto al género, la empresa deberá ponerle remedio.

Si no se corrige dentro del plazo previsto, deberá realizarse una evaluación retributiva conjunta con la representación de las personas trabajadoras.

Esto no quiere decir que cualquier diferencia del 5 % sea automáticamente discriminatoria, pero sí obliga a la empresa a analizarla, justificarla o corregirla.

¿Deben implantarlo todas las empresas, independientemente de su tamaño?

Las nuevas obligaciones no afectan a todas las empresas de la misma manera.

Algunas medidas, como la transparencia en los procesos de selección, la prohibición de preguntar por el salario anterior o el derecho de información de las personas trabajadoras, sí tienen un alcance general y afectarán a todas las empresas.

Otras obligaciones, como los informes periódicos sobre la brecha salarial, se aplicarán, como hemos visto, a partir de determinados umbrales de plantilla.

Aun así, aunque una empresa no llegue a los 100 trabajadores, no queda fuera de las obligaciones en materia de igualdad retributiva, ya que en España todas las empresas deben disponer del registro retributivo.

Pero ¡cuidado! Transparencia no significa exponer datos personales

La transparencia salarial no elimina la obligación de proteger los datos personales de la plantilla.

El derecho a obtener información retributiva no permite acceder sin límites a los salarios individuales de compañeros o compañeras. Los datos deben facilitarse de forma agregada, proporcional y segura, especialmente en grupos reducidos en los que podría identificarse la retribución de una persona concreta.

Te puede interesar: Protección de datos en el Plan de Igualdad: ¿hasta dónde llega el registro retributivo?

¿Qué riesgos puede implicar no adaptarse?

No adaptarse a las obligaciones en materia de igualdad y transparencia retributiva puede implicar diferentes riesgos para la empresa. Entre los principales, destacan:

• Requerimientos de la Inspección de Trabajo.
• Sanciones administrativas, de acuerdo con la normativa sobre infracciones y sanciones en el orden social.
• Reclamaciones individuales o colectivas por discriminación salarial.
• Obligación de justificar o corregir diferencias retributivas no justificadas.
• Conflictos con la representación legal de las personas trabajadoras.
• Riesgo reputacional y pérdida de confianza interna.

Además, la nueva normativa europea refuerza los mecanismos de cumplimiento y el derecho de las personas trabajadoras a reclamar cuando consideren que se ha vulnerado el principio de igualdad retributiva.

Un sistema retributivo bien definido ayuda a reducir conflictos, mejorar la confianza interna, prevenir desigualdades y tomar decisiones más coherentes de contratación, promoción y retención del talento.

Cumplir con estas obligaciones implica revisar el registro retributivo, analizar la brecha salarial, comprobar la valoración de los puestos de trabajo, definir criterios claros de salario y promoción, adaptar los procesos de selección y revisar las políticas internas vinculadas a la retribución, la igualdad y la confidencialidad.

Aunque el plazo para transponer la Directiva (UE) 2023/970 finalizó el 7 de junio de 2026, a 11 de junio España todavía no la ha incorporado completamente a su ordenamiento jurídico. El Ministerio de Trabajo abrió una consulta pública para preparar la norma de transposición, pero esta todavía no se ha aprobado.

Te puede interesar: Todo lo que debes saber para implantar un Plan de Igualdad en tu empresa.

En ON4 te ayudamos a adaptar tu empresa a las novedades en materia de igualdad y transparencia salarial.

La entrada Novedades en igualdad y transparencia salarial: ¿qué deben tener en cuenta las empresas? s'ha publicat primer a On4.

Si la respuesta es sí, tu web está tratando datos personales. Y eso significa que no basta con tener un banner de cookies o una política de privacidad visible: hay que asegurarse de que cada tratamiento tiene una base jurídica adecuada, que el usuario recibe la información necesaria y que puedes demostrar el cumplimiento si te lo solicitan.

Muchas empresas piensan que con esto ya es suficiente. Pero, ¿realmente es así?

Te explicamos qué puntos deberías revisar para saber si tu web cumple realmente con la normativa.

El cumplimiento del RGPD en una web: más allá del banner de cookies

El Reglamento General de Protección de Datos (RGPD) no exige únicamente informar al usuario, sino gestionar correctamente todo el ciclo de vida de los datos personales: desde el momento en que se recopilan hasta que se eliminan.

Esto incluye formularios, suscripciones, herramientas de analítica, cookies, plataformas de marketing, píxeles publicitarios, chats online, pasarelas de pago, plugins o cualquier otro sistema que permita identificar a una persona, directa o indirectamente.

Por eso, una web puede tener textos legales visibles y, al mismo tiempo, no cumplir correctamente con la normativa si no existe una base jurídica adecuada, si el consentimiento no es válido o si no se controla qué hacen los terceros con los datos.

Te puede interesar: La AEPD actualiza la Guía sobre el uso de las Cookies

Errores habituales en webs que aparentan cumplir con el RGPD

Muchas empresas disponen de una web aparentemente correcta, pero con carencias importantes en materia de protección de datos. Algunos errores habituales son:

• Utilizar textos legales genéricos que no reflejen los tratamientos reales.
• Activar cookies antes de que el usuario haya dado su consentimiento.
• No ofrecer una opción clara para rechazar cookies.
• Incluir formularios sin información básica de protección de datos.
• Realizar envíos comerciales sin consentimiento válido.
• No tener contratos con proveedores que tratan datos.
• Recopilar más datos de los necesarios.
• No definir plazos de conservación.
• No tener un procedimiento para atender derechos.
• No revisar periódicamente los plugins y herramientas instaladas.

Estos errores pueden derivar en requerimientos, reclamaciones, sanciones económicas y en una pérdida de confianza por parte de clientes y usuarios. Por eso, revisar el cumplimiento de tu web no debería limitarse a “tener un banner visible”, sino a comprobar que todo el tratamiento de datos está correctamente estructurado.

Te puede interesar: ¿Cómo garantizar el cumplimiento de la ley de protección de datos en tu negocio?

¿Cómo poner a punto la protección de datos de tu web?

1 | Evalúa cuál es el punto de partida

Antes de actualizar textos legales o instalar un nuevo banner de cookies, hay que entender qué datos personales recopila realmente tu web y qué recorrido hacen dentro de la organización.

En muchas empresas, la web ha ido incorporando funcionalidades con el tiempo: formularios de contacto, suscripciones a newsletters, chats online, herramientas de analítica o píxeles publicitarios. El problema es que, a menudo, estas herramientas se instalan sin revisar qué impacto tienen en materia de protección de datos.

No es lo mismo tener una web corporativa con un formulario básico que un comercio electrónico o ecommerce con pasarelas de pago e integraciones con terceros.

Antes de actuar, hay que identificar qué datos se recopilan, con qué finalidad, durante cuánto tiempo se conservan y qué proveedores tienen acceso a ellos. El principio de responsabilidad proactiva del RGPD exige que la empresa no solo cumpla, sino que pueda demostrarlo.

Te puede interesar: Política de uso de dispositivos: por qué es imprescindible si tu empresa trata datos personales

2 | Obtén un consentimiento válido cuando sea necesario

Uno de los errores más habituales es pensar que cualquier formulario web legitima automáticamente el tratamiento de datos. Pero el RGPD establece que el consentimiento solo es válido cuando es libre, específico, informado e inequívoco.

Esto afecta especialmente a formularios comerciales, suscripciones a newsletters, cookies analíticas, píxeles publicitarios o cualquier herramienta que implique seguimiento del comportamiento del usuario.

Las casillas premarcadas, los consentimientos genéricos o los banners que dificultan rechazar cookies siguen siendo prácticas problemáticas. El usuario debe poder decidir de forma clara qué acepta y qué no.

3 | Informa con transparencia

La política de privacidad no debería ser un texto genérico copiado de otra web. Debe explicar de forma clara cómo se tratan los datos personales.

La información debe indicar, como mínimo, quién es el responsable del tratamiento, qué datos se recopilan, con qué finalidad, qué base jurídica legitima el tratamiento, durante cuánto tiempo se conservarán y si existen cesiones de datos o transferencias internacionales.

También debe explicar cómo puede ejercer sus derechos la persona usuaria y cómo puede contactar con la empresa o con el delegado de protección de datos, si lo hay.

Esta información debe estar disponible antes de que el usuario facilite sus datos, especialmente en formularios de contacto, suscripción o registro.

4 | Controla a los terceros que intervienen en tu web

Es habitual que una web utilice múltiples proveedores externos: herramientas de analítica, plataformas de newsletters, CRM, sistemas de reservas o servicios de alojamiento web… Cuando estos proveedores tratan datos personales por cuenta de la empresa, pueden actuar como encargados del tratamiento, y esto implica formalizar el correspondiente contrato de encargo del tratamiento, tal y como establece el artículo 28 del RGPD.

Además, hay que comprobar si tratan datos fuera del Espacio Económico Europeo, ya que esto puede implicar transferencias internacionales de datos y exigir garantías adicionales.

Te puede interesar: Coordinación de Actividades Empresariales (CAE) y protección de datos: qué hay que tener en cuenta para cumplir la normativa?

5 | Facilita el ejercicio de derechos

Las personas usuarias tienen derecho a acceder, rectificar, suprimir, limitar, oponerse al tratamiento o solicitar la portabilidad de sus datos personales.

Aun así, muchas webs informan sobre estos derechos dentro de la política de privacidad, pero después no tienen ningún procedimiento real para gestionar estas solicitudes.

La web debe indicar de forma clara cómo se pueden ejercer estos derechos y ofrecer un canal de contacto accesible. Además, la empresa debe definir internamente quién será responsable de gestionar estas peticiones y responder dentro de los plazos legales.

No basta con informar: hay que poder responder adecuadamente cuando llegue una solicitud.

6 | Refuerza la seguridad de la información

El RGPD obliga a aplicar medidas técnicas y organizativas adecuadas al riesgo para proteger los datos personales.

En una web, esto implica utilizar conexiones seguras, limitar accesos al panel de administración, mantener actualizados plugins y sistemas, hacer copias de seguridad y restringir el acceso únicamente al personal autorizado.

Además, el RGPD incorpora el principio de protección de datos desde el diseño y por defecto, lo que implica que la privacidad debe tenerse en cuenta desde el momento en que se crea o modifica una web.

7 | Define políticas y procesos internos

El cumplimiento normativo de la web no depende únicamente del departamento legal o de la persona que ha desarrollado la página. Marketing, ventas, administración o equipos técnicos pueden incorporar nuevas herramientas, formularios o sistemas de seguimiento sin revisar su impacto legal.

Por eso, es importante definir responsabilidades internas y revisar periódicamente cualquier cambio que afecte al tratamiento de datos.

8 | Documenta todo el cumplimiento

El RGPD se basa en el principio de responsabilidad proactiva, y eso significa que la empresa debe poder demostrar que cumple.

Esto implica conservar pruebas de los consentimientos obtenidos, los contratos con proveedores, las políticas actualizadas, los análisis de riesgos y los procedimientos internos implantados. Si una autoridad de control solicita información, no será suficiente decir que la web cumple: habrá que acreditarlo documentalmente.

Una página web que informa de forma clara, solicita solo los datos necesarios y respeta las decisiones del usuario transmite profesionalidad, seguridad y confianza.

En ON4 te ayudamos a revisar tu web, adaptar los textos legales, configurar correctamente las cookies y definir los procesos internos necesarios para que tu negocio cumpla con el RGPD.

La entrada ¿Tu web cumple realmente con el RGPD o solo lo parece? s'ha publicat primer a On4.

Esta cuestión ha sido analizada recientemente por el Tribunal Supremo en la Sentencia 1302/2024, de 21 de noviembre de 2024, en relación con el contenido del registro retributivo y los límites derivados de la protección de datos.

Este tipo de situaciones no son excepcionales. En muchas empresas, la voluntad de cumplir con la transparencia retributiva convive con la duda de si se está exponiendo información sensible de la plantilla.

En este artículo te explicamos qué dice la normativa y qué criterio fija el Tribunal Supremo.

Te puede interesar: El reto del Plan de Igualdad: por qué muchas empresas aún no lo han implantado

El registro retributivo: ¿qué exige la normativa?

El registro retributivo está regulado en el artículo 28.2 del Estatuto de los Trabajadores y desarrollado por el Real Decreto 902/2020 sobre igualdad retributiva.

Esta normativa establece que las empresas deben disponer de un registro con los valores medios de las retribuciones de su plantilla, desagregados por sexo y por puestos de trabajo de igual valor.

Esto incluye:

• Media aritmética: es la media de los salarios dentro de un mismo grupo o puesto de trabajo. Permite tener una visión general del nivel retributivo.
• Mediana: es el valor central de los salarios. Es especialmente útil porque evita distorsiones cuando hay sueldos muy altos o muy bajos.
• Conceptos salariales: el registro no solo incluye el salario base, sino también otros conceptos como complementos, variables o percepciones extrasalariales.

El objetivo no es conocer el salario de cada persona trabajadora, sino detectar posibles desigualdades retributivas entre mujeres y hombres. Tal como recuerda el Tribunal Supremo, el registro retributivo se basa en datos agregados, no en información individualizada.

Te puede interesar: ¿Qué es el registro retributivo? Conoce las claves para una remuneración equitativa

El problema: cuando el dato deja de ser anónimo

En la práctica, sin embargo, esta lógica no siempre es tan clara.

Cuando se trabaja con grupos reducidos, la media aritmética o la mediana pueden permitir identificar indirectamente el salario de una persona.

Esto es habitual en puestos de trabajo con poca plantilla, categorías muy específicas y estructuras con baja representación de uno de los sexos. En estos casos, la transparencia puede entrar en conflicto con la protección de datos personales.

El criterio del Tribunal Supremo

Esta cuestión ha sido resuelta por el Tribunal Supremo en la Sentencia 1302/2024.

El Tribunal establece que el registro retributivo:

• Debe incluir valores medios, no salarios individuales.
• No puede incorporar datos que permitan identificar personas concretas.
• Debe respetar el principio de minimización de datos.

Por tanto, el Tribunal concluye que no existe una obligación legal que justifique facilitar datos que permitan identificar la retribución individual de una persona trabajadora.

¿Cuándo se deben incluir los datos?

Más allá del marco legal, la sentencia aporta un criterio práctico clave para las empresas.

Según el caso analizado, se pueden incluir medias y medianas cuando:

• Hay tres o más personas en cada sexo dentro del puesto de trabajo.

No se deben incluir datos cuando:

• Hay una sola persona de un sexo.
• Hay una persona de cada sexo.
• Hay solo dos personas del mismo sexo.

En estos supuestos, la información deja de ser agregada y puede permitir identificar salarios individuales, lo que vulneraría la confidencialidad.

Protección de datos y Plan de Igualdad: una relación directa

El registro retributivo forma parte del Plan de Igualdad, pero eso no significa que quede fuera de la normativa de protección de datos.

De hecho, todos los datos que se incluyen son datos personales y, por tanto, deben tratarse de acuerdo con el Reglamento General de Protección de Datos (RGPD) y la Ley Orgánica 3/2018, de protección de datos personales y garantía de los derechos digitales.

Esto implica que las empresas deben:

• Tratar únicamente los datos necesarios: el registro debe contener información suficiente para analizar posibles desigualdades, pero sin incorporar datos innecesarios.
• Evitar la identificación directa o indirecta de personas: especialmente en grupos reducidos, donde una media o mediana puede revelar el salario de una persona concreta.
• Garantizar la seguridad de la información: estableciendo medidas que eviten accesos no autorizados o usos indebidos de los datos.
• Justificar cualquier tratamiento de datos personales: solo se pueden tratar datos cuando existe una base legal clara, como el cumplimiento de una obligación normativa.

El registro retributivo no legitima, por sí solo, el acceso a datos salariales individualizados, ya que la normativa exige trabajar con valores medios y respetar el principio de minimización de datos.

Te puede interesar: Cómo garantizar el cumplimiento de la ley de protección de datos en tu negocio

Las empresas deben revisar cómo están elaborando su registro retributivo y asegurarse de que los datos son realmente agregados, no se pueden identificar personas en grupos reducidos y se respeta el equilibrio entre transparencia y confidencialidad.

La falta de este equilibrio puede conllevar riesgos tanto en materia de igualdad como de protección de datos, ya sea porque el registro no permite analizar correctamente posibles desigualdades retributivas, o porque se facilitan datos que pueden llegar a identificar salarios individuales sin base legal suficiente, con el consiguiente riesgo de requerimientos o conflictos internos.

La transparencia retributiva es una obligación legal, pero no es absoluta. Según el Tribunal Supremo, debe convivir con el derecho a la protección de datos personales.

En ON4 te ayudamos a revisar tu registro retributivo y el Plan de Igualdad para garantizar que cumplen con la normativa vigente y se adaptan a la realidad de tu empresa.

Contacta con nosotros

La entrada Protección de datos en el Plan de Igualdad: ¿hasta dónde llega el registro retributivo? s'ha publicat primer a On4.

Este tipo de pronunciamientos ya no son excepcionales.

El derecho a la desconexión digital forma parte del ordenamiento jurídico español desde el año 2018. Siete años después de la entrada en vigor de la LOPDGDD, el margen de mejora en materia de desconexión digital sigue siendo amplio. La inexistencia de protocolos, su aplicación meramente formal o la falta de formación evidencian que, en muchas organizaciones, la cultura de cumplimiento en este ámbito todavía es insuficiente.

En este artículo te explicamos por qué el derecho a la desconexión digital no es una cuestión accesoria, sino una obligación legal directamente vinculada al descanso, a la intimidad y a la salud laboral.

Te puede interesar: Derecho a la desconexión digital: ¿Qué es y qué pasa si no se respeta?

El marco legal del derecho a la desconexión digital

El derecho a la desconexión digital está reconocido en el artículo 88 de la Ley Orgánica 3/2018, de protección de datos personales y garantía de los derechos digitales (LOPDGDD).

Este artículo establece que las personas trabajadoras y empleadas públicas tienen derecho a la desconexión digital fuera del tiempo de trabajo legal o convencionalmente establecido, con la finalidad de garantizar el respeto al descanso, a los permisos, a las vacaciones y a su intimidad personal y familiar.

Asimismo, la norma impone a la empresa la obligación de elaborar una política interna de desconexión digital, comunicada a la representación de las personas trabajadoras. Esta política debe definir las modalidades de ejercicio del derecho y debe incluir acciones de formación y sensibilización sobre un uso razonable de las herramientas tecnológicas.

Esta obligación es aplicable a todas las empresas, con independencia del número de personas trabajadoras en plantilla, e incluye expresamente a las personas que ocupan cargos directivos, así como a los supuestos de trabajo a distancia o teletrabajo.

Protocolo de desconexión digital y convenios colectivos

Aunque muchos convenios colectivos incorporan referencias al derecho a la desconexión digital, su regulación es a menudo genérica o limitada a una remisión a la normativa legal.

No obstante, la ausencia de regulación específica en el convenio colectivo aplicable no elimina la obligación empresarial de disponer de un protocolo de desconexión digital propio, adaptado a la organización, a la actividad y a los sistemas de trabajo existentes.

Te puede interesar: El derecho a la desconexión digital fuera del horario laboral

¿Audiencia o negociación? El criterio del Tribunal Supremo

Esta cuestión ha sido analizada recientemente por el Tribunal Supremo en la Sentencia STS 1041/2025, de 11 de noviembre de 2025 (Recurso 204/2024).

En esta resolución, el Tribunal Supremo ratifica el criterio de la Audiencia Nacional y confirma que la LOPDGDD exige de manera obligatoria el trámite de audiencia previa a la representación legal de las personas trabajadoras en la elaboración del protocolo de desconexión digital, pero no impone la obligación de negociarlo, salvo que así lo establezca expresamente el convenio colectivo aplicable.

El Tribunal señala que la política interna de desconexión digital debe atender a las exigencias legales y convencionales, pero que el cumplimiento del trámite de audiencia previa es suficiente desde el punto de vista legal cuando no existe una previsión convencional que imponga la negociación colectiva.

El derecho a la desconexión digital en el punto de mira de la Inspección de Trabajo

El derecho a la desconexión digital ha sido incorporado de manera expresa en el Plan Estratégico de la Inspección de Trabajo y Seguridad Social 2025–2027, aprobado por el Consejo de Ministros el 26 de agosto de 2025 y publicado en el Boletín Oficial del Estado el 12 de septiembre de 2025 mediante Resolución de la Secretaría de Estado de Trabajo.

Este Plan prevé actuaciones específicas en materia de desconexión digital, con una visión global que tiene en cuenta no solo el tiempo de trabajo, sino también los derechos de conciliación de la vida personal, familiar y laboral, el derecho a la intimidad y la posible exposición a riesgos psicosociales derivados de la hiperconexión.

Este contexto refuerza la idea de que la desconexión digital no es solo una cuestión organizativa, sino un elemento que puede dar lugar a actuaciones inspectoras, requerimientos formales y eventuales responsabilidades empresariales.

Te puede interesar: La conciliación, una medida clave en los Planes de Igualdad

Obligaciones legales de las empresas en materia de desconexión digital

Las empresas deben:

• Elaborar una política interna o protocolo de desconexión digital, aplicable a todas las personas trabajadoras, incluidas aquellas que ocupan cargos directivos, teniendo en cuenta lo que disponga el convenio colectivo de aplicación.
• Incluir acciones de formación y sensibilización sobre un uso razonable de las herramientas tecnológicas que evite el riesgo de fatiga informática.
• Cumplir el trámite de audiencia previa a la representación legal de las personas trabajadoras, sin que sea exigible la negociación o el acuerdo, cuando esta exista, antes de la aprobación del protocolo.

La falta de protocolo, su aplicación meramente formal o la ausencia de acciones de sensibilización pueden comportar consecuencias como requerimientos de la Inspección de Trabajo, conflictos colectivos, reclamaciones individuales y eventuales indemnizaciones por vulneración de derechos fundamentales, especialmente cuando se vinculan a la salud laboral o a los riesgos psicosociales.

Cómo se elabora un protocolo de desconexión digital

La elaboración de un protocolo de desconexión digital no consiste solo en redactar un documento, sino en analizar la realidad de la empresa, sus sistemas de trabajo y los riesgos de hiperconexión, teniendo en cuenta el convenio colectivo aplicable y el resto de políticas internas.

Desde un punto de vista de compliance laboral, es clave que el protocolo:

• Defina criterios claros sobre tiempos de disponibilidad y canales de comunicación.
• Establezca pautas específicas para mandos y cargos de responsabilidad.
• Prevea mecanismos de seguimiento y revisión.
• Incorpore acciones reales de comunicación, formación y sensibilización.

Además, el proceso debe incluir el trámite de audiencia previa con la representación legal de las personas trabajadoras y su correcta integración dentro de los sistemas internos de cumplimiento normativo.

En ON4 te ayudamos a analizar, diseñar e implantar protocolos de desconexión digital adaptados a la actividad de tu empresa.

La entrada Desconexión digital: una asignatura pendiente en compliance laboral s'ha publicat primer a On4.

Este flujo constante de certificados, formaciones, DNI, aptitudes o datos de contacto es habitual en la Coordinación de Actividades Empresariales (CAE), y esto implica tratar y compartir datos personales entre diferentes organizaciones.

Si este intercambio no se controla adecuadamente, puede comportar riesgos de cumplimiento legal. Aquí es donde la CAE y la protección de datos se encuentran. Te explicamos qué dice la normativa y qué debe tener en cuenta cualquier empresa que participa en un proceso de CAE.

Te puede interesar: ¿Cómo garantizar el cumplimiento de la ley de protección de datos en tu negocio?

Marco legal de la CAE y la protección de datos

La Coordinación de Actividades Empresariales (CAE) es una obligación legal prevista en la Ley 31/1995 de Prevención de Riesgos Laborales (LPRL) y desarrollada por el Real decreto 171/2004. Su objetivo es garantizar que todas las empresas que trabajan en un mismo centro de trabajo compartan la información necesaria para prevenir riesgos y trabajar de manera segura.

Esta coordinación implica inevitablemente intercambiar documentación y datos personales del personal que accede al centro. Por ello, la CAE también tiene un impacto directo en la protección de datos y exige cumplir los requisitos del Reglamento General de Protección de Datos (RGPD) y de la Ley Orgánica 3/2018, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD).

Te puede interesar: Documentación oficial del INSST sobre Coordinación de Actividades Empresariales

¿Qué tipo de datos se tratan en la CAE?

En un proceso de Coordinación de Actividades Empresariales, las empresas deben facilitar documentación para acreditar que el personal puede acceder y trabajar de manera segura dentro del centro.

Esto hace que la CAE implique el tratamiento de diversas categorías de datos personales:

• Datos identificativos: nombre, apellidos, DNI/NIE, pasaporte o fotografía.
• Datos laborales básicos: categoría profesional, empresa de origen, fechas de contratación o duración del servicio.
• Formación y acreditaciones: cursos de prevención de riesgos laborales, permisos, carnés profesionales o certificados requeridos para el puesto de trabajo.
• Aptitudes para el puesto de trabajo: habitualmente la conclusión del servicio de prevención (“Apta/Apta con restricciones”).
• Datos de contacto: teléfono o correo corporativo, si son necesarios para la coordinación.

El RGPD establece que solo se pueden tratar y compartir los datos estrictamente necesarios para cumplir la normativa de prevención de riesgos laborales (principio de minimización, art. 5.1.c RGPD).

¿Quién es responsable del tratamiento en un proceso de CAE?

No hay un único responsable del tratamiento por defecto. Cada empresa es responsable de los datos que trata y comparte, y por eso es esencial definir bien los roles:

1 | Empresa titular del centro de trabajo

Es responsable de los tratamientos de datos que lleva a cabo para verificar el cumplimiento de la normativa de prevención de riesgos y gestionar el acceso al centro.

2 | Empresas contratistas y subcontratistas

Son responsables de los datos de su propio personal y los comunican a la empresa principal cuando es necesario para cumplir las obligaciones de la CAE.

3 | Plataformas CAE o herramientas de gestión documental

Cuando se utiliza una plataforma digital para intercambiar documentación, esta actúa como encargada del tratamiento, tal como establece el artículo 28 del RGPD. Esto exige firmar el correspondiente contrato de encargo y verificar sus medidas de seguridad.

Errores habituales en la CAE que vulneran el RGPD (y cómo evitarlos)

En muchos centros de trabajo, la gestión de la CAE se hace de manera rápida y práctica… pero a menudo sin criterio de protección de datos. Algunos errores habituales son:

Una buena gestión de la CAE reduce riesgos, evita exposición de datos y hace el día a día mucho más ágil. Y, sobre todo, garantiza que las obligaciones de prevención y protección de datos se cumplen de manera segura y eficiente.

En ON4 te ayudamos en todo el proceso de regular la gestión de datos de manera ordenada, segura y totalmente alineada con la normativa vigente.

La entrada Coordinación de Actividades Empresariales (CAE) y protección de datos: ¿qué se debe tener en cuenta para cumplir la normativa? s'ha publicat primer a On4.

El resultado es siempre el mismo: un Plan pendiente… y un riesgo creciente para la empresa.

En este artículo analizamos por qué pasa y qué hay que tener en cuenta para implantarlo con garantías.

Te puede interesar: La igualdad de género, el gran reto de las empresas

¿Qué es exactamente un Plan de Igualdad?

Un Plan de Igualdad es un documento estratégico que contiene un conjunto de medidas para garantizar la igualdad real entre mujeres y hombres dentro de la organización. No es un formulario ni un trámite a cumplir: es un proyecto que requiere análisis, participación y seguimiento.

Según la Ley Orgánica 3/2007 y el Real Decreto 901/2020, un Plan de Igualdad debe incluir: 

• Diagnóstico completo de la situación de la empresa (y también estudio de brecha salarial).

• Objetivos y medidas para corregir desigualdades.

• Calendario de aplicación.

• Indicadores y sistemas de seguimiento.

• Protocolo de prevención del acoso sexual y por razón de sexo (obligatorio para todas las empresas, tengan Plan o no).

• Registro oficial en el REGCON (Registro y Depósito de Convenios y Acuerdos Colectivos de Trabajo). 

Es, por tanto, una herramienta de gestión que impacta en políticas de contratación, promoción, remuneración, conciliación y cultura interna.

¿Quién está obligado a tener un Plan de Igualdad?

Hay diversos supuestos en que la empresa debe elaborar e implantar un Plan de Igualdad. Según la Ley Orgánica 3/2007, modificada por el Real Decreto-ley 6/2019, y el Real Decreto 901/2020, los casos son: 

• Las empresas de 50 o más personas trabajadoras.

• Las empresas obligadas por convenio colectivo.

• Las empresas obligadas por resolución de autoridad laboral.

• Las empresas que participan en licitaciones públicas donde se requiera.

Te puede interesar: Todo lo que debes saber para implantar un Plan de Igualdad en tu empresa

Requisito técnico imprescindible: registrarlo en el REGCON

Tal como establece el RD 901/2020, un Plan de Igualdad no se considera válido hasta que no se ha registrado en el REGCON. Esto es clave porque:

• Acredita ante la Inspección de Trabajo que el Plan existe y está vigente.

• Permite acceder a ayudas y licitaciones.

• Da validez jurídica al proceso de negociación con la RLT.

El registro se realiza de manera telemática y requiere documentación detallada: diagnóstico, actas de la comisión negociadora, calendario de aplicación e indicadores de seguimiento.

¿Por qué muchas empresas todavía no han implantado el Plan de Igualdad?

A pesar de la obligatoriedad, muchas empresas, sobre todo pymes, todavía no disponen de un Plan de Igualdad. Los motivos suelen ser una combinación de factores:

1 | Desconocimiento de la normativa y de su alcance real

Una buena parte de las pymes desconocen que la ley exige tener un Plan de Igualdad. También es habitual confundir «tener un protocolo de prevención del acoso» con «tener un Plan de Igualdad». El protocolo es obligatorio para todas las empresas, pero no sustituye al Plan.

2 | Complejidad técnica del proceso 

Elaborar un Plan de Igualdad implica un trabajo exhaustivo: diagnóstico, datos desglosados por sexo, análisis de brecha salarial, negociación con la RLT, definición de medidas… Sin experiencia previa, el proceso puede resultar farragoso y bloquearse con facilidad.

3 | Falta de tiempo y recursos para priorizarlo 

El Plan de Igualdad requiere dedicación y, en empresas pequeñas, suele faltar personal especializado para asumirlo. El día a día a menudo deja poco margen para abordar un proceso técnico y estructurado. El Plan queda pendiente ante otras urgencias.

4 | Dificultad para percibir los beneficios 

Cuando una empresa ve el Plan de Igualdad como un simple trámite, es fácil que no lo priorice.

Sin embargo, un Plan bien elaborado puede aportar retención del talento, mejora del clima laboral, reducción de conflictos, relaciones laborales más equilibradas, ventaja en concursos públicos, acceso a ayudas y mejor reputación corporativa.

Te puede interesar: La conciliación, una medida clave en los Planes de Igualdad  

5 | Miedo a “no hacerlo bien” o a las obligaciones que comporta

Algunas empresas temen que el Plan implique demasiada burocracia, medidas difíciles de implementar, exigencias costosas o conflictos internos si no hay cultura de igualdad. Este miedo, sumado al desconocimiento, contribuye a posponerlo.

¿Qué consecuencias tiene no disponer de un Plan de Igualdad?

Las sanciones pueden variar en función de la gravedad de la infracción y la autoridad laboral competente. No cumplir con la obligación puede comportar:

• Sanciones económicas: Según la LISOS (Ley sobre Infracciones y Sanciones en el Orden Social), no tener Plan de Igualdad cuando es obligatorio puede suponer multas de hasta 225.018 euros en casos graves.

• Pérdida de ayudas y subvenciones públicas: Muchas administraciones requieren el Plan como requisito para acceder a programas de apoyo y contratación pública.

• Riesgo reputacional: La igualdad forma parte de la cultura corporativa y de la imagen de marca. Un incumplimiento puede afectar la confianza, la atracción de talento y la relación con clientes e instituciones.

• Limitaciones en licitaciones y concursos: Sin un Plan registrado en el REGCON, la empresa puede quedar excluida de procesos.

A pesar de la obligatoriedad y la importancia estratégica que tiene, el Plan de Igualdad continúa siendo uno de los procesos que más se retrasan dentro de las empresas. Y, más allá de la obligación legal, los Planes de Igualdad son una oportunidad para construir organizaciones más justas, transparentes y competitivas.

Si tu empresa necesita asesoramiento, en ON4 podemos acompañarte en todo el proceso: diagnóstico, elaboración, implantación y registro.

La entrada El reto del Plan de Igualdad: ¿por qué muchas empresas todavía no lo han implantado? s'ha publicat primer a On4.

Respondemos las preguntas más frecuentes para entender qué implica este cambio. 

¿Qué ha decidido la AEPD? 

La AEPD ha ordenado que se ponga fin a la comunicación y tratamiento de datos personales de empresarios autónomos provenientes del censo cameral. 

• Cámara de España debe dejar de ceder datos a Camerdata. 

• Camerdata debe dejar de tratar estos datos, eliminarlos y cesar la comunicación a empresas como Informa, Iberinform Internacional y Datacentric. 

• Informa, Iberinform Internacional y Datacentric deben suprimir los datos y no podrán volver a utilizarlos salvo que cuenten con una base legal clara del artículo 6.1 del RGPD. 

¿A quién afecta esta decisión? 

• A las empresas que utilizaban estos datos para comercializar con información empresarial. 

• A los empresarios autónomos, cuyos datos no podrán ser utilizados con fines comerciales sin su consentimiento o sin una base legal adecuada. 

¿Qué cambia? 

Algunas empresas utilizaban la información del censo de las Cámaras de Comercio con fines comerciales. A partir de ahora, los datos solo podrán usarse para la finalidad institucional prevista en la ley, como las funciones representativas de las Cámaras o la elaboración del censo electoral cameral. 

¿Por qué no pueden usarse con fines comerciales? 

• El censo cameral tiene un objetivo exclusivamente institucional y electoral, no está pensado como base de datos comercial. 

• En España no existe un marco normativo que autorice la reutilización abierta de estos datos, a diferencia de otros países de la UE. 

• El interés legítimo de las empresas no es suficiente si no está recogido en una ley ni se justifica con una evaluación rigurosa de proporcionalidad. 

¿Qué pasa con mis datos si soy autónomo? 

La AEPD protege tu derecho a que tus datos no se utilicen para fines que no podías prever. En la práctica, esto significa que: 

• No podrán comercializarse sin una base legal. 

• Solo se utilizarán para las funciones públicas de las Cámaras de Comercio. 

¿Se podrán utilizar en el futuro? 

Únicamente si se produce una reforma legal que lo autorice de manera expresa y con garantías de protección. Con la normativa actual, no está permitido. 

¿Qué deben hacer ahora las empresas sancionadas? 

• Dejar de tratar estos datos sin base legal. 

• Suprimir los datos que ya tengan. 

• Cumplir siempre con los principios del RGPD: transparencia, minimización, limitación de la finalidad y responsabilidad proactiva. 

¿Se pueden recurrir estas resoluciones? 

Sí. Las empresas sancionadas pueden presentar un recurso de reposición ante la misma AEPD o acudir directamente a la Audiencia Nacional. 

Estas resoluciones refuerzan la protección de los autónomos frente a usos comerciales no autorizados de sus datos. El mensaje de la AEPD es claro: sin base legal expresa, los datos personales no pueden utilizarse más allá de la finalidad institucional para la que fueron recogidos. 

Puedes consultar la resolución de la AEPD en este enlace: Tratamiento de datos personales de empresarios autónomos: legitimación e información 

La entrada ¿Quién ya no puede utilizar tus datos si eres autónomo?  s'ha publicat primer a On4.

Esta responsabilidad no es solo cosa del verano. Las entidades que trabajan con menores durante todo el año —ya sea a través del deporte, actividades educativas u otras propuestas— deben estar preparadas para detectar, prevenir y actuar ante cualquier forma de violencia y asegurar entornos seguros.

¿Qué debes saber?

Un marco legal claro: la Ley Orgánica 8/2021

La Ley Orgánica 8/2021, de protección integral a la infancia y la adolescencia frente a la violencia reconoce el derecho fundamental de los niños y adolescentes a crecer en entornos seguros y protegidos, libres de cualquier forma de violencia.

La ley establece que todas las entidades, empresas y profesionales que trabajen con menores deben:

• Disponer de un Protocolo de Protección a la Infancia.
• Formar adecuadamente al personal que tiene contacto directo con niños, niñas y adolescentes.
• Implementar medidas reales para prevenir y detectar situaciones de riesgo o abuso.

Además, contar con un canal de denuncias puede ser una herramienta clave para reforzar estas medidas y actuar con mayor agilidad ante cualquier situación de riesgo.

Otras normativas complementarias que refuerzan este marco legal:

• La Ley 26/2015, de modificación del sistema de protección a la infancia y la adolescencia.
• La Ley de Protección Jurídica del Menor (Ley Orgánica 1/1996), que recoge los derechos fundamentales para la infancia y adolescencia.

¿Qué es el Protocolo de Protección a la Infancia?

El Protocolo de Protección a la Infancia es un documento esencial para cualquier entidad que trabaje con menores. Incluye:

• Medidas de prevención para evitar posibles situaciones de violencia o abuso.
• Procedimientos claros para detectar situaciones de riesgo.
• Acciones para intervenir de manera adecuada ante cualquier indicio de maltrato, acoso o abuso.
• Estrategias para garantizar el respeto, la inclusión y la igualdad de oportunidades.

Este protocolo debe ser específico, adaptado a cada entidad y revisado periódicamente. Para reforzar los entornos inclusivos, es recomendable acompañarlo de un plan LGTBI que promueva la diversidad y la no discriminación.

Te puede interesar: Plan LGTBI: ¿cómo implantarlo en tu empresa?

¿A quién afecta esta normativa?

La protección de los menores es un compromiso que afecta a todas las entidades y profesionales que trabajan con niños y adolescentes, independientemente de la época del año o de la actividad. Esto incluye:

• Clubs y escuelas deportivas.
• Federaciones y asociaciones deportivas.
• Centros de ocio y entidades juveniles.
• Centros culturales, academias y escuelas de música o danza.
• Actividades extraescolares, talleres y servicios educativos complementarios.

Por ejemplo, un club de fútbol o un campamento de verano deben tener este protocolo y formar a sus monitores. La normativa no hace distinciones: la protección de los menores es esencial en cualquier contexto.

La importancia de la formación del personal

Contar con un protocolo es solo el primer paso. El personal también debe estar específicamente formado para:

• Detectar señales de alarma, como cambios en el comportamiento, lesiones recurrentes o aislamiento social.
• Fomentar un entorno de respeto y confianza.
• Activar el protocolo en caso de detectar una situación de riesgo.
• Promover la inclusión y la diversidad.

Además de cumplir con la normativa, esta formación contribuye a crear entornos más seguros y de confianza tanto para las familias como para los niños. De hecho, la formación es una herramienta clave para prevenir otros riesgos en el ámbito laboral, como el acoso laboral y sexual.

Te puede interesar: Cómo prevenir el acoso laboral y sexual en las empresas: La importancia de la formación

¿Cómo te podemos ayudar desde ON4?

En ON4 sabemos que implementar protocolos y formar al personal puede parecer un reto. Por eso, te acompañamos en todo el proceso: desde la redacción del Protocolo de Protección a la Infancia hasta su implantación y la formación de tu equipo.

Además, te asesoramos sobre la posibilidad de bonificar la formación a través de la FUNDAE, si se cumplen los requisitos. Juntos podemos garantizar que tu entidad sea un espacio seguro, inclusivo y respetuoso para todos los niños y adolescentes.

¿Quieres saber cómo implementar este protocolo en tu entidad?

La entrada Protocolo de Protección a la Infancia: ¿qué es y quién debe implantarlo? s'ha publicat primer a On4.