Expediente de personal y KVKK en Turquía: quién accede y cómo proteger datos de identidad e IBAN

Un jefe de equipo pide a un empleado su IBAN por WhatsApp para pagarle un anticipo. Otro directivo pregunta: “¿Puedo consultar los expedientes de mi equipo?”. Y un empleado se pregunta: “¿Qué hay en mi expediente y quién lo ha visto?”. Las tres preguntas llevan al mismo sitio: en Turquía, el expediente de personal no es solo una carpeta de documentos, sino un sistema de registro con datos personales, y sus reglas están en la KVKK, la ley turca de protección de datos personales (Ley n.º 6698). Este artículo explica paso a paso qué datos contiene el expediente de personal, cuándo no hace falta consentimiento, quién puede acceder a qué y cómo proteger los campos sensibles.

La obligación de la KVKK sobre el expediente de personal en Turquía consiste en que el empleador trate de forma lícita los datos de identidad, contacto, salario y salud del empleado, le informe y evite el acceso no autorizado a esos datos (arts. 4, 10 y 12 de la Ley n.º 6698).

¿Qué datos personales contiene un expediente de personal?

Consentimiento KVKK para el expediente de personal: ¿hace falta consentimiento expreso?

El punto de partida de la ley es este: los datos personales no pueden tratarse sin el consentimiento expreso del interesado. Sin embargo, el mismo artículo permite tratarlos sin consentimiento expreso si concurre alguna de ciertas condiciones. En una relación laboral destacan las siguientes (art. 5):

• Que esté expresamente previsto en las leyes.
• Que sea necesario tratar datos de las partes de un contrato, siempre que esté directamente relacionado con la celebración o la ejecución de ese contrato.
• Que sea obligatorio para que el responsable del tratamiento cumpla su obligación legal.
• Que sea obligatorio para constituir, ejercer o proteger un derecho.
• Que sea obligatorio para los intereses legítimos del responsable, siempre que no perjudique los derechos y libertades fundamentales del interesado.

Por eso, en lugar de hacer firmar un “consentimiento KVKK” genérico para cada documento, es más sólido determinar en qué condición se basa cada grupo de datos. Para los datos de categoría especial la regla es más estricta: su tratamiento está prohibido, pero es posible si concurre alguna de las condiciones enumeradas; entre ellas, que sea obligatorio para cumplir obligaciones legales en materia de empleo, seguridad y salud en el trabajo y seguridad social, y además deben adoptarse las medidas suficientes que determine el Consejo de Protección de Datos Personales (art. 6).

Aunque no se requiera consentimiento, siempre hay que informar. Al obtener los datos, el empleador informa al empleado sobre lo siguiente (art. 10):

• La identidad del responsable del tratamiento y, en su caso, de su representante.
• La finalidad con la que se tratarán los datos.
• A quién y con qué finalidad pueden transferirse los datos.
• El método de recogida de los datos y su base jurídica.
• Los derechos del empleado enumerados en el art. 11.

¿Quién puede acceder al expediente de personal?

La ley no ofrece una lista de accesos. Como principio, exige que los datos estén relacionados con la finalidad del tratamiento y sean limitados y proporcionados (art. 4), y que se evite el acceso no autorizado (art. 12). La Ley del Trabajo turca n.º 4857 también exige que el empleador use la información que obtiene sobre el empleado conforme a la buena fe y a la ley, y que no revele la información en cuya confidencialidad el empleado tenga un interés legítimo (art. 75). Todas las personas que acceden a los datos tienen un deber de confidencialidad que continúa después de dejar el puesto (art. 12 de la KVKK).

La tabla siguiente no es una regla de la ley, sino una propuesta de acceso de ejemplo basada en el principio de proporcionalidad. Adáptela a su propia organización.

¿Cómo se protegen el número de identidad turco y el IBAN del empleado?

El número de identidad turco y el IBAN no figuran en la lista de datos de categoría especial del art. 6 de la KVKK. Sin embargo, son datos personales, y el responsable del tratamiento debe adoptar las medidas técnicas y administrativas necesarias para evitar su tratamiento ilícito, el acceso no autorizado y su pérdida (art. 12). La ley prevé multas administrativas para quienes incumplan las obligaciones de seguridad de los datos (art. 18); como los importes se actualizan, consulte la cifra vigente en los anuncios de la Autoridad turca de Protección de Datos Personales.

• Enmascare el número de identidad turco y el IBAN en pantallas y listados; muestre el valor completo solo donde sea necesario.
• Vincule el acceso a roles y registre cada acceso a documentos.
• Prohíba pedir el número de identidad y el IBAN por WhatsApp o correo electrónico; defina un canal seguro.
• No incluya el número de identidad turco en los nombres de archivo.
• Revise periódicamente quién puede ver estos campos en carpetas compartidas e impresiones.
• Designe a un responsable de notificar cuanto antes al interesado y al Consejo si los datos llegan ilícitamente a manos de terceros (art. 12).

¿Qué ocurre si el empleado pregunta por sus datos o pide que se supriman?

Según el art. 11 de la KVKK, toda persona puede dirigirse al responsable del tratamiento para saber si sus datos personales se tratan y, en ese caso, obtener información sobre ellos, la finalidad del tratamiento y los terceros a quienes se transfirieron; también puede pedir que se corrijan los datos incompletos o inexactos. Ante una solicitud de supresión o destrucción, si han desaparecido todas las condiciones del tratamiento, el responsable resuelve la solicitud en un plazo máximo de treinta días e informa al interesado; si las condiciones siguen vigentes, puede rechazarla explicando el motivo (art. 12 del Reglamento turco sobre la supresión, destrucción o anonimización de datos personales). En los documentos del expediente cuyo plazo legal de conservación sigue en curso, ese plazo es el motivo del rechazo.

Lista de control KVKK para el expediente de personal

1. Enumere en un inventario escrito los grupos de datos que guarda en el expediente de personal.
2. Determine la base jurídica de cada grupo de datos: ley, contrato, obligación legal, interés legítimo o consentimiento expreso.
3. Entregue a los empleados el texto informativo al incorporarse y deje constancia de la entrega.
4. Asigne los datos de categoría especial (salud, antecedentes penales, afiliación sindical) a un grupo de permisos separado y más restringido.
5. Prepare una matriz de accesos por roles y revísela al menos una vez al año.
6. Defina reglas de enmascaramiento y de canal para campos como el número de identidad turco y el IBAN.
7. Recoja los plazos de conservación y destrucción en una política escrita.
8. Deje por escrito quién avisa a quién, y en qué plazo, en caso de brecha de datos.

¿Dónde dejan expuestos los datos de personal el expediente en papel y la carpeta compartida?

Incluso un armario cerrado con llave está abierto para cualquiera que tenga la llave, y nadie sabe quién consultó qué ni cuándo. En una carpeta compartida, un informe médico, una nómina y una declaración de IBAN pueden estar en el mismo directorio; quien abre la carpeta lo ve todo. El problema no son los empleados bienintencionados, sino que el acceso no puede escalonarse: también lo ve quien no lo necesita y, cuando hay una filtración, resulta imposible saber quién accedió.

Alcance por roles, enmascaramiento y registro de accesos en el expediente digital

YazSis KurumsalPortal incluye el módulo Expediente digital y gestión de RR. HH., en el que el acceso al expediente está controlado por permisos: RR. HH., los responsables autorizados y los empleados ven solo el alcance definido para su rol. Los campos sensibles, como el número de identidad turco y el IBAN, se enmascaran. Los accesos a documentos quedan en un registro de accesos a documentos y la plataforma mantiene además un registro de auditoría. Para el detalle de la definición de permisos, consulte la página del módulo Gestión de menús y permisos.

Estos controles le ayudan a montar un proceso orientado a la KVKK. El portal por sí solo no sustituye sus obligaciones legales: preparar el texto informativo, determinar la base jurídica de cada grupo de datos y redactar la política de conservación corresponde a la empresa. El sistema funciona en el servidor propio del cliente y los empleados acceden desde el navegador del teléfono, sin instalar ninguna aplicación.

Si quiere ver el acceso por roles, el enmascaramiento y el registro de accesos en un expediente de personal, visite la página Expediente digital y gestión de RR. HH..