# Política de protección de datos del personal
Fecha del ejemplo: 22 de enero de 2028
Contexto jurídico: Inglaterra y Gales; ejemplo ficticio sujeto a UK GDPR, Data Protection Act 2018 y reglas de privacidad aplicables. La versión en español traduce el ejemplo; no sustituye la ley aplicable ni convierte el documento en un contrato regido por el Derecho español.
Partes y referencia: Northmere Foods Limited y su plantilla.
## 1. Objetivo
Northmere trata datos del personal de forma justa, lícita y transparente para nóminas, permisos, contratación, seguridad, prestaciones y cumplimiento legal. La política se aplica a empleados, trabajadores, candidatos y contratistas que manejan esos datos. El acceso se limita a una finalidad declarada y no permite reutilizar información para una decisión incompatible o sin una base legal adecuada.
## 2. Ámbito
Las personas gerentes recopilan sólo los datos necesarios, mantienen los registros exactos y utilizan los sistemas de Recursos Humanos designados. Los datos de categoría especial, incluidos los de salud y afiliación sindical, requieren una condición jurídica adicional y acceso restringido. Las personas responsables deben comprobar que la información está actualizada y corregir los errores cuando se confirmen.
## 3. Responsabilidades
El acceso se asigna según las funciones y se revisa cada seis meses. El personal utiliza autenticación multifactor, bloquea las pantallas, verifica destinatarios antes de enviar y no descarga expedientes de personal a unidades extraíbles no aprobadas. Las cuentas de personas que cambian de función o dejan la empresa se actualizan sin demora y cualquier acceso excepcional queda registrado.
## 4. Reglas específicas
El calendario de conservación mantiene registros de nómina durante siete años, expedientes de contratación no exitosa durante seis meses y pruebas de enfermedad sólo durante el periodo necesario para gestionar la ausencia. Una retención legal suspende la eliminación rutinaria. Estos periodos son reglas internas ilustrativas y deben comprobarse contra las obligaciones legales, fiscales y de cada expediente antes de aplicarse.
## 5. Denuncia
Una posible vulneración se comunica a la persona responsable de protección de datos dentro de cuatro horas. Esta evalúa la contención, registra la decisión y considera si corresponde notificar al ICO dentro de 72 horas y comunicarlo a las personas afectadas. La notificación depende de la evaluación legal y del riesgo; el aviso interno no significa que toda incidencia deba comunicarse externamente de manera automática.
## 6. Procedimiento
El personal puede pedir acceso, rectificación, limitación u oponerse al tratamiento dirigiéndose a la persona responsable de protección de datos. Las solicitudes se registran, se verifica la identidad de forma proporcional y se explican las excepciones que correspondan. Ninguna persona gerente puede obstaculizar una solicitud legal; las respuestas deben seguir los plazos y requisitos aplicables y conservar evidencia de su tramitación.
## 7. Revisión y aprobación
La persona responsable de protección de datos audita accesos dos veces al año, investiga incidentes e informa métricas al consejo. La formación es anual, los proveedores reciben instrucciones por escrito y la política se revisa cada enero o tras un cambio material de ley o sistema. El acceso a informes de auditoría se restringe y las medidas correctivas se asignan a una persona responsable y una fecha.
## Firma y formalidades
Este ejemplo completado es ficticio, educativo y no está firmado. No representa una inscripción, autorización, declaración de validez, firma, testimonio ni verificación oficial. Compruebe la ley y las formalidades aplicables antes de utilizarlo.