Cuando un empleado deja la empresa —ya sea por despido, dimisión o fin de contrato— la relación laboral termina, pero los datos personales que has acumulado durante esa relación no desaparecen. ¿Puedes seguir guardándolos? ¿Cuánto tiempo? ¿Qué pasa si el ex empleado pide que los borres? Estas preguntas tienen respuesta clara en el RGPD, y no conocerla puede costar caro.
Qué datos del empleado tienes y con qué base legal los tratas
A lo largo de la relación laboral, tu empresa acumula una cantidad importante de datos personales del trabajador: datos identificativos, bancarios, de salud (bajas, incapacidades), datos sindicales (en algunos casos), historial de nóminas, evaluaciones de desempeño, comunicaciones internas, registros de acceso y horarios, y más.
Mientras el contrato está vigente, la base legal es la ejecución del contrato (artículo 6.1.b RGPD) y el cumplimiento de obligaciones legales (artículo 6.1.c) — Seguridad Social, Hacienda, prevención de riesgos. Cuando la relación laboral termina, esas bases se agotan. Lo que queda es una obligación de conservación limitada en el tiempo.
Qué ocurre con los datos al finalizar la relación laboral
La finalización del contrato no obliga a eliminar los datos de inmediato. La normativa laboral, fiscal y de Seguridad Social impone plazos de conservación que deben respetarse. Lo que sí cambia es que ya no puedes usar esos datos para nada que no sea cumplir esas obligaciones de conservación.
En la práctica, esto significa:
- No puedes usar los datos del ex empleado para enviarle comunicaciones no solicitadas.
- No puedes compartirlos con terceros sin base legal.
- No puedes mantener su acceso a sistemas internos activo.
- Debes bloquear los datos una vez que ya no sean necesarios para los fines para los que se recogieron, aunque aún tengas que conservarlos por obligación legal.
Cuánto tiempo conservar los datos del ex empleado
Los plazos de conservación vienen marcados por distintas normativas:
| Tipo de dato | Plazo mínimo de conservación | Normativa de referencia |
| Nóminas y cotizaciones | 4 años | Ley General de la Seguridad Social |
| Documentos fiscales (IRPF) | 4 años | Ley General Tributaria |
| Contratos de trabajo | 4 años | Estatuto de los Trabajadores |
| Datos de PRL y salud laboral | 5 años (o más en algunos casos) | Ley 31/1995 de PRL |
| Comunicaciones internas | Hasta que finalice posible reclamación | Código Civil / ET |
Durante el periodo de conservación, los datos deben estar bloqueados: disponibles solo para ser entregados a una administración pública si los solicita, pero no accesibles para uso ordinario.
Cuándo suprimir o bloquear los datos
La distinción entre bloqueo y supresión es importante:
- Bloqueo: los datos se conservan pero se restringen. Solo se pueden usar para cumplir obligaciones legales o para ejercicio/defensa de reclamaciones. Es la situación habitual durante los plazos de conservación.
- Supresión definitiva: cuando han pasado todos los plazos de conservación aplicables y no hay ninguna reclamación pendiente, los datos deben eliminarse de forma irreversible.
El proceso correcto es: finalización del contrato → bloqueo inmediato de datos no necesarios (accesos a sistemas, datos de perfil no esenciales) → conservación bloqueada durante los plazos legales → supresión definitiva al vencer el último plazo.
Derechos del ex trabajador que debes atender
El ex empleado mantiene sus derechos como interesado incluso después de dejar la empresa:
- Derecho de acceso: puede solicitar qué datos tienes sobre él. Debes responder en 30 días.
- Derecho de rectificación: si hay datos incorrectos, puedes —y debes— corregirlos.
- Derecho de supresión: puede pedirlo, pero tú puedes rechazarlo mientras estés dentro de los plazos de conservación legal obligatoria.
- Derecho de oposición: puede oponerse al tratamiento para fines que excedan la conservación obligatoria (como usar su imagen en materiales de empresa).
Ignorar estas solicitudes tiene un coste: la AEPD recibe reclamaciones de ex empleados con más frecuencia de lo que parece, y la falta de respuesta o una respuesta inadecuada es sancionable.
Acceso a sistemas y correos corporativos al salir
Este es uno de los puntos más olvidados y más problemáticos en la práctica:
- El acceso a todos los sistemas internos (correo, CRM, ERP, VPN, herramientas SaaS) debe desactivarse el mismo día de la baja.
- Las cuentas de correo corporativo no deben redirigirse indefinidamente ni mantenerse activas. Si hay redireccionamiento temporal por razones operativas, debe ser breve y documentado.
- Los contenidos del correo corporativo del empleado pueden conservarse durante los plazos de conservación legal, pero el empleado debe haber sido informado de esta posibilidad en el momento del contrato.
- Los dispositivos corporativos deben recuperarse y, si tienen datos personales del empleado, gestionarse según la política de BYOD o de devolución de equipos.
Tener un protocolo de offboarding que incluya estos pasos no es burocracia: es la diferencia entre una salida gestionada y una brecha de seguridad.
Cuánto tiempo conservar datos personales en tu empresa: ¿Cuánto tiempo tengo que conservar los datos personales?
En Ubimia Compliance este es uno de los procedimientos que más tranquilidad da a los responsables de RRHH de nuestros clientes: tener un protocolo claro para la desvinculación de empleados que incluya el tratamiento de sus datos. Sin improvisar, sin riesgos y sin que la gestión del acceso dependa de que la persona colabore.
Marco general de obligaciones RGPD: Qué es la protección de datos en España: LOPDGDD y RGPD
Gestiona los datos de empleados con seguridad jurídica → /proteccion-de-datos-para-empresas/