Agente Datos Maestros Empleados HR - RGPD art. 5/17/35, LOPDGDD | Gosign

RGPD art. 9 categorías especiales datos personales prohibición tratamiento general + excepciones art. 9.2 base legal reforzada: (1) art. 9.2.b obligaciones empresario derecho laboral + protección social ámbito Convenio Colectivo o autorizada Estado miembro + LOPDGDD art. 6 obligación legal específica; (2) art. 9.2.d derecho colectivo afiliación sindical + actividades fundación legítima + miembros + ex-miembros + contactos regulares; (3) art. 9.2.h medicina trabajo + diagnóstico médico + prestación asistencia salud + servicio prevención homologado INSST + médico trabajo + secreto profesional médico Ley 31/1995 PRL art. 22; (4) art. 9.2.f reclamaciones jurídicas + tutela judicial efectiva; (5) datos biometría reconocimiento facial + huella dactilar control acceso categorías especiales art. 9.1.d datos biométricos identificación unívoca + DPIA obligatoria art. 35 + base reforzada + comité empresa ET art. 64 + Convenio Colectivo REGCON; (6) datos salud laboral RGPD art. 9.2.h + acceso restringido servicio prevención + médico trabajo + comunicación empresa sólo aptitud puesto + RD 39/1997 reglamento servicios prevención; (7) datos afiliación sindical + opiniones políticas + creencias religiosas + orientación sexual + identidad género + características sexuales protección reforzada base legal específica + interés legítimo no aplica; (8) datos genéticos categorías especiales art. 9.1 base reforzada DPIA obligatoria; sanción AEPD art. 83.5 RGPD hasta 4% facturación mundial o 20 millones EUR. Para empresa 1.500 empleados implementación categorías especiales incluye RAT específico art. 30 + DPIA art. 35 obligatoria + Privacy by Design art. 25 + cifrado reforzado AES-256 + acceso restringido DPO + servicio prevención + Compliance Officer + audit trail Decision Layer.

RGPD art. 17 Derecho al Olvido + supresión datos personales + plazo respuesta 1 mes prorrogable 2 meses adicionales art. 12: (1) recepción solicitud empleado o ex-empleado + verificación identidad + autenticación reforzada + canal seguro + plazo respuesta 1 mes + prórroga 2 meses cuando complejidad o número solicitudes; (2) verificación causales art. 17.1 RGPD: datos no necesarios finalidad recogida + retirada consentimiento sin otra base legal + oposición tratamiento sin motivos legítimos prevalentes + tratamiento ilícito + obligación legal supresión + datos menor; (3) verificación excepciones art. 17.3 RGPD: libertad expresión información + obligación legal interés público + interés público salud + investigación archivística + reclamaciones jurídicas; (4) verificación retención justificada por base legal específica: contrato laboral 4 años obligaciones SS prescripción + 5 años LRJS Ley Reguladora Jurisdicción Social Ley 36/2011 acciones laborales + 6 años LGT Ley 58/2003 prescripción tributaria + 10 años KYC RD 304/2014 prevención blanqueo + plazo prescripción delito Código Penal + 5 años Ley 2/2023 canal denunciantes; (5) supresión cross-sistema todos sistemas (A3 + Sage + Cegid + SAP + Workday + Personio + Bizneo + Holded + Factorial + nómina + control horario + accesos + plan pensiones + canal denunciantes) mediante orquestación + verificación confirmación cada sistema; (6) comunicación destinatarios art. 19 RGPD informar destinatarios cesión cuando aplicable + sub-encargados art. 28 + transferencias internacionales; (7) registro audit trail Decision Layer + base legal supresión + plazo + responsable + sello tiempo cualificado eIDAS; (8) sanción AEPD art. 83.5 RGPD 4% facturación incumplimiento Derecho al Olvido + reclamación interesado AEPD + jurisdicción social. Para empresa 1.500 empleados con 20 solicitudes año implementación Derecho al Olvido incluye plataforma centralizada (OneTrust Privacy Office + BigID España + Collibra España) + automatización supresión cross-sistema + verificación retención + audit trail.

LOPDGDD LO 3/2018 art. 87-91 derechos digitales ámbito laboral + información trabajadores + comité empresa: (1) art. 87 derecho intimidad uso dispositivos digitales puestos disposición empleador + acceso contenidos sólo necesidades cumplimiento obligaciones laborales + protección dignidad + información política empresa expresa + Convenio Colectivo REGCON; (2) art. 88 derecho desconexión digital + horario establecido contrato + descansos + permisos + vacaciones + situaciones suspensión contractual + política empresa + Convenio Colectivo + ET art. 20 bis derechos digitales; (3) art. 89 derecho intimidad frente uso dispositivos videovigilancia grabación sonido lugar trabajo + información trabajadores + comité empresa + colocación dispositivos + RGPD art. 88 + ET art. 20.3 control empresarial; (4) art. 90 derecho intimidad frente utilización sistemas geolocalización ámbito laboral + información trabajadores + finalidad limitada + comité empresa; (5) art. 91 derechos digitales negociación colectiva Convenio Colectivo REGCON + comisión paritaria sectorial; (6) ET art. 64 derecho información comité empresa plan plantilla + estructura + datos agregados + monitorización + videovigilancia + geolocalización + desconexión digital + decisiones automatizadas significativas; (7) AEPD Plan Estratégico 2024-2027 prioriza monitorización tecnológica + biometría control acceso + sancionable AEPD art. 83.5 4% facturación + ITSS LISOS muy grave 7.501-225.018 EUR ausencia información trabajador + comité empresa. Para empresa 1.500 empleados implementación LOPDGDD art. 87-91 incluye política empresa monitorización + información trabajadores + comité empresa ET art. 64 + DPIA art. 35 + RAT art. 30 + Convenio Colectivo aplicable REGCON + audit trail Decision Layer.

RGPD art. 35 DPIA Evaluación Impacto Protección Datos obligatoria cuando tratamiento probable suponga riesgo alto derechos libertades personas físicas: (1) supuestos obligatorios DPIA art. 35.3 RGPD: evaluación sistemática aspectos personales + decisiones automatizadas significativas art. 22 + tratamiento gran escala categorías especiales art. 9 + observación sistemática gran escala zona pública; (2) supuestos AEPD lista 2018 obligatorios DPIA: tratamiento datos categorías especiales gran escala + monitorización sistemática zona accesible al público + categorías especiales menores + datos biométricos identificación unívoca + datos genéticos + transferencias internacionales no países adecuados + nuevas tecnologías; (3) plantilla AEPD guía DPIA 2023 + sistemática descripción tratamiento + finalidades + necesidad proporcionalidad + identificación riesgos derechos libertades + medidas mitigación + consulta interesados representativos + comité empresa ET art. 64 + consulta previa AEPD si riesgo residual alto art. 36 RGPD; (4) DPIA obligatoria datos canal denunciantes Ley 2/2023 + cifrado reforzado + acceso restringido + minimización + Privacy by Design; (5) DPIA obligatoria biometría reconocimiento facial + huella dactilar control acceso + base reforzada art. 9.2 + comité empresa; (6) DPIA obligatoria decisiones automatizadas significativas selección + promoción + asignación tareas + monitorización rendimiento + intervención humana significativa art. 22 + EU AI Act + AESIA + Carta Derechos Digitales Ley 12/2024; (7) DPIA obligatoria datos sanitarios PRL art. 22 + servicio prevención INSST + secreto profesional médico; (8) DPIA obligatoria gran escala empleados >1.000 + monitorización sistemática + LOPDGDD art. 87-91; (9) actualización DPIA cuando cambio significativo + revisión periódica + auditoría externa expertos independientes; sanción AEPD art. 83.4 RGPD hasta 2% facturación o 10 millones EUR ausencia DPIA + art. 83.5 hasta 4% incumplimiento medidas. Para empresa 1.500 empleados implementación DPIA incluye plataforma OneTrust Privacy Office + BigID España + Collibra España + plantilla AEPD guía 2023 + revisión DPO + Director Asesoría Jurídica + Compliance Officer + comité empresa ET art. 64.

RGPD art. 33 + 34 + Ley 7/2024 NIS2 transposición Directiva ciberseguridad obligaciones notificación brecha seguridad: (1) RGPD art. 33 notificación AEPD plazo 72h conocimiento brecha cuando riesgo derechos libertades interesados + descripción naturaleza categorías número aproximado afectados + datos contacto DPO + consecuencias probables + medidas adoptadas o propuestas; (2) RGPD art. 34 comunicación interesado plazo razonable cuando riesgo alto derechos libertades + lenguaje claro + naturaleza brecha + datos contacto DPO + consecuencias probables + medidas adoptadas; (3) excepciones art. 34.3 medidas técnicas protección hicieron datos ininteligibles + medidas posteriores garantizan riesgo no probable + esfuerzo desproporcionado comunicación individual + comunicación pública medios equivalentes; (4) Ley 7/2024 11 abril 2024 NIS2 transposición Directiva UE 2022/2555 ciberseguridad + sectores esenciales (energía + transporte + bancario + sanidad + agua + infraestructura digital + administración pública + espacial) + servicios digitales + notificación INCIBE Instituto Nacional Ciberseguridad: alerta temprana 24h + notificación incidente 72h + informe final 1 mes + información intermedia + reporte avances; (5) coordinación AEPD + INCIBE + AAI Ley 2/2023 canal denunciantes si brecha afecta dato denunciante + Fiscalía Anticorrupción si infracción penal + APDCAT/AVPD/ARM regional; (6) plan respuesta brecha + roles + responsabilidades + procedimientos + simulacros periódicos + auditoría externa expertos independientes; (7) registro brecha audit trail Decision Layer + causa + alcance + medidas correctivas + responsable + tiempo recuperación + sello tiempo cualificado eIDAS; (8) sanción AEPD art. 83.4 RGPD hasta 2% facturación o 10 millones EUR ausencia notificación + Ley 7/2024 NIS2 hasta 10 millones EUR + 2% facturación incumplimiento sectores esenciales; responsabilidad civil administradores LSC art. 226 + 236 + 237. Para empresa 1.500 empleados implementación plan respuesta incluye SIEM + IDS + monitoreo continuo + INCIBE cooperación + plantillas notificación AEPD + INCIBE + comunicación interesado + audit trail Decision Layer.

AEPD Agencia Española Protección Datos aplica RGPD art. 83 escalonadas con sanciones acumulables y coordinadas con autoridades regionales: (1) RGPD art. 83.4 hasta 2% facturación mundial o 10 millones EUR (art. 8 condiciones consentimiento menor + art. 11 tratamiento sin identificación + art. 25 Privacy by Design Default + art. 30 RAT + art. 33 notificación brecha + art. 35 DPIA + art. 37-39 DPO + art. 41-43 organismos certificación); (2) RGPD art. 83.5 hasta 4% facturación mundial o 20 millones EUR (art. 5 principios + art. 6 base legal + art. 7 condiciones consentimiento + art. 9 categorías especiales + art. 12-22 derechos interesado incluido Derecho al Olvido + decisiones automatizadas + art. 44-49 transferencias internacionales + art. 58 obligaciones autoridad); (3) sanción muy grave AEPD ausencia base legal categorías especiales art. 9 + ausencia DPIA art. 35 + ausencia RAT art. 30 + Privacy by Design art. 25 + decisión automatizada sin intervención humana significativa art. 22 + Derecho al Olvido art. 17 incumplimiento; (4) coordinación APDCAT Cataluña + AVPD País Vasco + ARM Madrid + AESIA EU AI Act + AAI Ley 2/2023 canal denunciantes + ITSS Inspección Trabajo + INCIBE Ley 7/2024 NIS2 + cooperación inter-autoridades; (5) AEPD Plan Estratégico 2024-2027 prioriza datos laborales + IA en RRHH + canal denunciantes + biometría + Carta Derechos Digitales Ley 12/2024 + sanciones reforzadas; (6) procedimiento sancionador AEPD inicio expediente + plazo 9 meses + alegaciones + propuesta resolución + resolución sancionadora + recurso reposición + recurso contencioso-administrativo Audiencia Nacional; (7) responsabilidad civil administradores LSC art. 226 deber lealtad + art. 236 responsabilidad daños + art. 237 carácter solidario. Plan acción AEPD 2024-2027 prioriza ámbito laboral + monitorización tecnológica + biometría + IA en RRHH + canal denunciantes + Carta Derechos Digitales. Empresa 1.500 empleados con incumplimientos recurrentes RGPD art. 5 + 9 + 22 + 35 sanción acumulable >5 millones EUR + reincidencia + responsabilidad civil administradores LSC + jurisdicción social tutela derechos fundamentales LRJS art. 181.

Los tres agentes operan en dominio HR español pero con focos diferentes. El Employee Data Management Agent HR (este aquí) opera plataforma centralizada datos maestros empleados España RGPD art. 5 principios + art. 6 base legal + art. 9 categorías especiales + art. 17 Derecho al Olvido + art. 22 decisiones automatizadas + art. 25 Privacy by Design + art. 28 contratos encargado tratamiento + art. 30 RAT + art. 32 medidas seguridad + art. 33 notificación brecha + art. 35 DPIA + art. 88 ámbito laboral + LOPDGDD LO 3/2018 art. 87-91 monitorización tecnológica + ET art. 17 no discriminación + art. 20 control empresarial + art. 20 bis derechos digitales + Ley 2/2023 datos canal denunciantes + Ley 12/2024 Carta Derechos Digitales + sincronización cross-sistema A3 + Sage + Cegid + SAP + Workday + Personio + Bizneo + Factorial + Derecho al Olvido cross-sistema + RAT actualizado + DPIA categorías especiales + reportes AEPD + APDCAT + AVPD + ARM. Cluster HR Operations domain. El Contract Offer Generation Agent HR (cluster Workforce Transitions) opera generación contrato laboral España ET art. 8 forma + art. 14 periodo prueba + art. 15 modalidades RDL 32/2021 + art. 17 no discriminación + art. 21 no competencia + Pay Transparency 2023/970 horquilla salarial + Ley 2/2023 cláusula canal denunciantes + Convenio Colectivo REGCON + firma electrónica cualificada eIDAS Signaturit + comunicación SEPE Contrat@. El Onboarding Workflow Agent HR opera coordinación procesos integración nuevo trabajador (alta SS TGSS + IRPF AEAT + IT + EPI + accesos + plan acogida PRL art. 19 + presentación equipo + revisión periodo prueba + objetivos primeros 90 días). Cross-reference: Employee Data Management Agent es infraestructura compartida que Contract Offer Generation Agent + Onboarding Workflow Agent + Compliance Training Agent + Payroll Processing Agent reutilizan datos maestros + RAT + DPIA + categorías especiales + Derecho al Olvido + Convenio Colectivo REGCON aplicable + comité empresa ET art. 64.