Contratar a un freelance bajo el RGPD

Cómo contratar a un freelance bajo el RGPD: guía paso a paso

Contratar a un freelance suele ser rápido. El RGPD, no.

Si tu proyecto implica nombres, direcciones de correo electrónico, facturas, identificaciones, acceso a inicios de sesión o datos de pago, ya estás tratando datos personales. Eso significa que necesitas un proceso, no una corazonada. La buena noticia es que el proceso puede ser sencillo, incluso para un equipo pequeño que contrata a un diseñador, un desarrollador o un traductor para un trabajo de dos semanas.

Esta guía sobre cómo contratar a un freelance bajo el RGPD repasa los puntos que de verdad importan en proyectos reales, no en teoría. Un proceso de incorporación más limpio hoy puede ahorrarte un lío más adelante, sobre todo cuando un cliente, un freelance y un subcontratista tocan la misma carpeta. También te ayuda a encajar desde el principio el contrato freelance RGPD en una relación de trabajo que maneje datos con criterio.

1. Entiende cuándo se aplica el RGPD a la contratación de freelancers

El RGPD se aplica cuando los datos personales se recogen, almacenan, comparten o tratan en el contexto de la UE. Un proyecto con un freelance lo activa con facilidad. Un simple correo de propuesta ya contiene un nombre y datos de contacto. Un contrato firmado añade más. Una transferencia bancaria incorpora información de pago. Tres documentos, un problema legal.

Si el freelance trabaja con datos de tu cliente, listas de clientes o archivos internos, el riesgo aumenta. Incluso una tarea pequeña de marketing puede implicar nombres de clientes y registros de campañas. Un negocio de una sola persona sigue siendo un negocio, y la ley no espera a que crezca la plantilla.

Haz una pregunta directa antes de contratar: ¿el freelance verá, guardará o moverá datos personales? Si la respuesta es sí, trata la contratación como una relación relevante para el RGPD. Ahí es donde una cadena de correos informales deja de ser suficiente.

Algunos equipos pasan esto por alto porque la tarea suena inocente. Un encargo de logo parece inocente. Una prueba pagada también. Luego el freelance necesita acceso a una lista de contactos con 120 personas, y las reglas cambian rápido.

2. Identifica los datos personales que vas a manejar

Haz una lista de cada dato que pueda pasar por el proyecto. Empieza por los datos de contacto: nombre, correo profesional, teléfono, cargo. Después pasa a contratos, facturas, datos fiscales, referencias de pago, documentos de identidad y credenciales de acceso. Cada dato tiene un propósito. Cada dato también conlleva un riesgo.

Las facturas son habituales. Los contratos también. Los documentos de identidad son más delicados. Si pides un escaneo del pasaporte solo porque “al equipo financiero le gusta así”, detente. Pregunta si ese documento es realmente necesario para el trabajo, el método de pago o una comprobación legal. A menudo, no lo es.

Los datos del freelance también pueden incluir muestras de trabajo, enlaces de perfil, direcciones IP de herramientas del proyecto y mensajes en apps de chat. Un gestor de proyecto puede pensar solo en el contrato, pero el rastro real de datos es más amplio. Un solo hilo de Slack puede contener cinco datos personales sin que nadie se dé cuenta, así que conviene documentar bien los datos personales freelancers RGPD desde el inicio.

Para una visión práctica de los registros de la plataforma, consulta todas las etiquetas del marketplace de freelancers. Puede ayudarte a pensar en categorías en lugar de en vagos “datos del proyecto”.

Anota los tipos de datos en una lista breve. Cinco líneas bastan para muchos trabajos. Si no puedes enumerar los datos, no puedes protegerlos.

3. Elige el rol correcto bajo el RGPD para tu relación

El primer rol que debes revisar es el de responsable del tratamiento. Si tu empresa decide por qué y cómo se usan los datos personales del freelance, probablemente seas el responsable. Eso es habitual cuando contratas a un freelance a través de tu propio proceso de compras o RR. HH.

El papel de encargado aparece cuando el freelance trata datos personales siguiendo tus instrucciones. Un administrador web que maneja registros de clientes para tu empresa puede encajar en ese supuesto. En ese caso, el contrato necesita especial cuidado, porque el freelance no es solo un proveedor; está tratando datos para tus fines.

Las situaciones de corresponsabilidad surgen cuando ambas partes deciden juntas la finalidad y los medios. Es menos común, pero puede aparecer en campañas con marca compartida, investigación conjunta o un proyecto de colaboración con bases de datos compartidas. Dos partes, un conjunto de decisiones, más papeleo.

No adivines. Mapea la toma de decisiones. ¿Quién elige las herramientas? ¿Quién decide el plazo de conservación? ¿Quién indica al freelance a qué datos de personas puede acceder? Las respuestas apuntan al rol. Si las respuestas están repartidas, el rol también puede estarlo.

Una prueba sencilla ayuda: si el freelance puede elegir la tarea, pero no la finalidad, normalmente tu empresa lleva la batuta. Si ambas partes deciden la finalidad, el contrato debería decirlo claramente. La ambigüedad crea confusión después, y la confusión crea retrasos.

Si quieres una lista de comprobación más amplia para contratar, cómo contratar a un freelance con seguridad es una lectura complementaria útil. El RGPD es solo una parte de la seguridad, pero es la parte que se vuelve costosa cuando se ignora.

4. Establece las cláusulas contractuales adecuadas

Un contrato de freelance debería hacer algo más que definir el precio y la fecha límite. También debe fijar las obligaciones sobre los datos. Añade cláusulas de confidencialidad, deberes de seguridad, límites de uso de datos, obligaciones de devolución y obligaciones de borrado. Si el trabajo implica datos personales, el contrato debe decir qué ocurre con esos datos de principio a fin.

La confidencialidad no es lo mismo que la protección de datos, pero ambas importan. Un freelance que promete no compartir registros de clientes con amigos también necesita instrucciones sobre almacenamiento, acceso y eliminación. Una promesa es social. La otra es operativa.

Incluye una cláusula que diga que el freelance solo puede usar los datos personales para el proyecto. Incluye también una cláusula de notificación de incidentes. Si se pierde un portátil o se vulnera una cuenta, el freelance debería avisarte rápidamente.

La devolución y el borrado de datos deben ser específicos. Indica qué debe devolverse, en qué formato y para cuándo. Luego di qué debe eliminarse. Una promesa vaga como “borramos todo” suena bien y falla cuando se pone a prueba.

Para sitios con normas públicas y expectativas de incorporación, la página de normas del sitio 24freelance.pro. freelance es un buen recordatorio de que los términos escritos importan. La misma idea se aplica a tus propios contratos.

Guarda firmas, versiones y fechas. Un contrato sin número de versión puede convertirse en un juego de adivinanzas después de una revisión. Es un detalle administrativo pequeño con una gran consecuencia.

5. Recoge y comparte solo el mínimo necesario de datos

La minimización de datos es fácil de decir y fácil de pasar por alto. Comparte solo lo que el freelance necesita para hacer el trabajo. Si un diseñador necesita un briefing de logo, no necesita archivos de nómina. Si un traductor necesita el texto original, no necesita la exportación completa de tu CRM. Una tarea, un conjunto de datos.

Pregúntate si cada elemento es necesario antes de enviarlo. No recojas un documento de identidad si basta con un número de registro de empresa. No compartas una base de datos completa de clientes cuando una muestra de 20 registros sería suficiente para probar. Las pequeñas reducciones importan.

Limitar el acceso forma parte de la misma idea. Dale al freelance acceso solo a las carpetas, tickets o sistemas que necesite. Retira el acceso al final del trabajo. Suena básico porque lo es.

Comparte la menor cantidad posible de información sensible que sea viable. Si el freelance solo necesita apellidos, no envíes también los nombres. Si solo necesita referencias de tarjeta ocultadas, no envíes el historial completo de pagos. Los detalles se propagan rápido una vez salen de tu bandeja de entrada.

Algunos equipos recogen más de la cuenta por miedo a echar algo en falta después. Eso suele crear precisamente el problema posterior. Un conjunto de archivos ligero es más fácil de explicar, proteger y borrar.

6. Establece prácticas seguras de trabajo y comunicación

La comunicación segura no necesita 10 herramientas. Necesita hábitos claros. Usa el correo corporativo para los mensajes del proyecto cuando sea posible. Evita enviar archivos adjuntos sensibles a través de cuentas personales aleatorias. Si el archivo importa, el canal también importa.

Para compartir archivos, usa enlaces controlados con fecha de caducidad si tu sistema lo permite. Protege con contraseña los archivos comprimidos sensibles cuando haga falta y envía la contraseña por un canal separado. Esa pequeña separación reduce el riesgo. También evita que un correo reenviado se convierta en una entrega completa de datos.

La protección del dispositivo importa si el freelance trabaja con datos de clientes o archivos internos. Pide bloqueo de pantalla, software actualizado y protección básica contra malware. Si el proyecto es de alto riesgo, exige trabajar solo desde un dispositivo seguro. Un portátil perdido puede afectar a muchas personas.

Ten cuidado con el wifi público, los equipos compartidos y los espacios abiertos de trabajo colaborativo. Un freelance que trabaja desde una cafetería puede hacer un trabajo excelente. Pero una sesión iniciada que se deja abierta en un equipo compartido puede exponer un proyecto en minutos. No es dramático. Es común.

Si el proyecto implica sistemas en la nube, compara tu configuración de acceso con lo básico que cubre la tecnología de computación en la nube. Los permisos de acceso, la titularidad de las cuentas y la ubicación del almacenamiento afectan al tratamiento bajo el RGPD.

No envíes datos sensibles en hilos largos de chat si tienes un portal seguro disponible. El chat está bien para recordatorios. El chat es débil para conservar registros. Guarda el registro donde puedas encontrarlo después y mantén el riesgo bajo control.

7. Gestiona correctamente el almacenamiento, la conservación y el borrado

La conservación es donde muchos proyectos con freelancers se desvían. Alguien guarda el contrato “por si acaso”. Otra persona conserva la factura para siempre. Alguien copia archivos en tres carpetas y se olvida de la más antigua. Eso no es una estrategia.

Define plazos de conservación para cada tipo de registro. Los contratos pueden necesitar más tiempo de almacenamiento que los archivos de trabajo. Las facturas quizá deban conservarse por motivos fiscales o contables. Los borradores, exportaciones temporales y archivos de prueba normalmente no tienen razón para quedarse una vez termina el proyecto.

Archiva lo que necesites y elimina lo que no. Archivar mantiene disponibles los registros legales y contables sin dejar los datos activos del proyecto en circulación. El borrado debe ser real, no “creo que lo quité del escritorio”. Comprueba carpetas en la nube, dispositivos sincronizados, copias de seguridad y copias locales cuando sea posible.

Pide al freelance que confirme el borrado al final del trabajo. Pon esa confirmación por escrito. Si utilizó subcontratistas o herramientas compartidas, el paso de borrado también debe cubrir esas rutas. Una copia olvidada puede arruinar toda la limpieza.

Si mantienes internamente valoraciones de freelancers, la misma disciplina se aplica al archivo de registros. Puedes leer más sobre reseñas de freelancers como parte de un hábito más amplio de registro. Las notas deben ser útiles, breves y conservarse solo el tiempo que sirvan a una finalidad clara.

Nunca conserves datos del proyecto por accidente. El accidente no es una razón legal. Es solo un problema de limpieza esperando a una fecha límite.

8. Crea una lista de comprobación sencilla de RGPD para futuras contrataciones de freelancers

Una lista de comprobación convierte un buen proceso en diez repetibles. Empieza por la incorporación: ¿este freelance necesita datos personales, sí o no? Después revisa el rol, el contrato, el conjunto mínimo de datos, el método de acceso y el plan de borrado. Seis pasos pueden cubrir la mayoría de proyectos pequeños.

Mantén la lista lo bastante breve como para que alguien la use de verdad. Un formulario de dos páginas puede funcionar. Una política de 20 páginas, normalmente no. El objetivo no es generar papeleo por sí mismo. El objetivo es cometer menos errores.

Usa la misma lista para diseñadores, desarrolladores, redactores y asistentes, y luego añade una o dos comprobaciones específicas por rol. Un desarrollador puede necesitar acceso al repositorio. Un redactor puede necesitar entrevistas fuente. Un contable puede necesitar facturas e historial de pagos. Distintos trabajos, las mismas preguntas básicas.

Guarda la lista con el contrato y el briefing del proyecto. Así el siguiente responsable puede ver qué se aprobó, qué se compartió y qué se eliminó. La documentación que falta crea trabajo extra más adelante, sobre todo si un cliente pregunta por qué se recogió un documento concreto en primer lugar.

Si quieres construir un proceso repetible para distintos tipos de freelancers, freelance para diseñadores es un buen ejemplo de cómo cambia la preparación del proyecto según el rol, mientras que los principios básicos del RGPD siguen siendo los mismos.

Un hábito práctico final: revisa la lista después de cada proyecto con una sola pregunta: “¿Qué recogimos que no necesitábamos?” Esa sola frase detecta más problemas que una carpeta llena de borradores de políticas.