Encuestas anónimas a empleados y el RGPD

¿Anónimo, confidencial o seudonimizado?

Las palabras se usan indistintamente, pero significan cosas muy distintas:

La distinción procede del propio RGPD. El considerando 26 dice que las normas no se aplican a la información anónima, y que los datos seudonimizados que con información adicional pueden volver a atribuirse a una persona sí son datos personales. La prueba es si alguien puede identificar a la persona con medios que razonablemente quepa esperar que se utilicen, teniendo en cuenta los costes, el tiempo y la tecnología disponible.

Muchas encuestas que se llaman «anónimas» son en realidad confidenciales. No es nada vergonzoso, pero entonces dígalo así. Los empleados que descubren que «anónimo» resultó ser otra cosa no vuelven a responder con sinceridad.

¿Cuándo es realmente anónima una encuesta?

Las autoridades europeas de protección de datos, reunidas en el CEPD, están elaborando nuevas directrices sobre anonimización. La versión para consulta pública se aprobó el 7 de julio de 2026 y sustituye a un dictamen de 2014. Su núcleo son tres criterios: No Record Isolation, No Linkage y No Inference. Si se cumplen los tres, los datos pueden considerarse anónimos. Traducidos a tres preguntas, que usted quiere poder responder con un «no»:

1. ¿Se puede aislar a una persona? Por ejemplo, la única mujer de más de cincuenta años del departamento de Compras.
2. ¿Se pueden vincular datos? Por ejemplo, la hora a la que llegó una respuesta con el momento en que Javier pulsó «enviar».
3. ¿Se puede deducir algo sobre alguien? Por ejemplo: si las tres personas de un equipo dieron un 3, sabe lo que opinó cada una.

En las encuestas a empleados, en la práctica falla en estos puntos:

• Grupos pequeños. Un resultado de un equipo de tres es un resultado de tres personas conocidas. No muestre desgloses por debajo de un mínimo fijo, por ejemplo cinco.
• Combinaciones de datos. Departamento, franja de edad y antigüedad quizá sean inocuos por separado; juntos, a menudo son un nombre.
• Enlaces personales. Una invitación con un enlace único por persona es práctica para los recordatorios, pero mientras ese enlace esté unido a las respuestas, la encuesta no es anónima.
• El momento. Si un administrador ve al instante quién ha participado y al instante qué respuesta ha llegado, puede poner una cosa junto a la otra.
• Respuestas abiertas. Quien escribe «desde mi vuelta después del accidente» ya se ha identificado. El texto libre nunca es anónimo por sí mismo.
• Rastros técnicos. Las direcciones IP, los datos del dispositivo y los registros pueden ser identificables, aunque el cuestionario no lo sea.

Qué exige el RGPD mientras los datos sean identificables

Incluso una encuesta que al final es anónima suele empezar con datos personales: una lista de direcciones de correo, invitaciones, recordatorios. Y una encuesta confidencial trata datos personales de principio a fin. A esos pasos se les aplica, entre otras cosas:

Una base jurídica (artículo 6). El consentimiento parece lo obvio, pero en la relación laboral rara vez funciona. El CEPD escribe que es improbable que un empleado pueda negarse libremente ante su empleador sin temor a consecuencias negativas. Por eso el consentimiento no es una base adecuada para la mayoría de los tratamientos en el trabajo. Un empleador necesitará normalmente otra base, como el interés legítimo, con una ponderación documentada entre ese interés y la privacidad de los empleados.

Informar (artículo 13). Cuente de antemano qué recoge, para qué, quién lo ve, cuánto tiempo lo conserva y qué terceros intervienen. Es también exactamente lo que los empleados necesitan para confiar en la encuesta.

Recoger lo mínimo posible. Pregunte solo por los datos que realmente necesita para el análisis.

Sin categorías especiales de datos (artículo 9). La salud, el origen étnico, la religión y la orientación sexual son categorías especiales de datos personales, que solo pueden tratarse en condiciones estrictas. No pregunte por ellas en una encuesta a empleados.

Un contrato de encargado del tratamiento (artículo 28). Si usa una plataforma externa, esta es un encargado del tratamiento, y usted deja por escrito lo que puede hacer con los datos.

Plazos de conservación. Acuerde cuánto tiempo conserva los datos, y después elimínelos o anonimícelos.

Una EIPD (artículo 35). Compruebe si hace falta una evaluación de impacto relativa a la protección de datos. En un estudio a gran escala sobre temas delicados es más probable.

Comités de empresa y representantes de los trabajadores

Según el país, los representantes de los trabajadores pueden tener voz en cómo se tratan los datos de los empleados. En los Países Bajos, por ejemplo, la Ley de comités de empresa da al comité de empresa un derecho de aprobación sobre las normas previstas de tratamiento y protección de los datos personales de los empleados (artículo 27, apartado 1, letra k), y sobre los sistemas capaces de controlar la presencia, el comportamiento o el rendimiento de los empleados (letra l). Que su encuesta entre en normas como estas depende del país y del planteamiento. Pero, más allá de la cuestión jurídica, unos representantes implicados desde el principio, que ayudan a pensar en el anonimato, son el mejor embajador que puede tener una encuesta.

Lista de comprobación para una encuesta en la que la gente confíe

Encontrará más sobre cómo montar el propio cuestionario en nuestro cuestionario de clima laboral, y sobre el eNPS como pregunta central en ¿Qué es el eNPS?.

Cómo trata ScoreStory el anonimato

Construimos ScoreStory para este tipo de estudios, así que es razonable preguntar qué hacemos exactamente. Si configura un estudio como anónimo, ocurre lo siguiente:

• Ningún nombre ni dirección de correo junto a las conversaciones. Tampoco si un participante se nombra a sí mismo, y no se pueden añadir después.
• El vínculo se elimina, no se protege. Al terminar una conversación, la referencia a la invitación, y por tanto a la dirección de correo, se borra de la base de datos en la siguiente ronda.
• La participación va 72 horas por detrás. Usted sí ve que alguien ha participado, pero eso se actualiza una vez cada 72 horas en una sola ronda, con la misma hora para todos los de esa ronda. Así no puede vincular una conversación entrante con quien acaba de terminar.
• Los grupos pequeños quedan ocultos. Si filtra por un dato que comparten menos de cinco participantes, no verá resultados.
• El participante mantiene el control. Al final, cada participante recibe un código de eliminación para hacer borrar más tarde su propia conversación. Nosotros no guardamos ese código, así que solo el participante puede hacerlo.
• La configuración se bloquea en cuanto participa la primera persona, para que el anonimato no pueda cambiar a mitad del estudio.

Y los límites, porque existen: si en una ronda de 72 horas solo se desvincula a una persona, con esa ronda sigue siendo identificable. Un filtro de periodo muy corto puede aislar una conversación. Y lo que alguien escribe queda tal como lo escribió. Para nosotros, anónimo significa por tanto: no identificable a través del sistema.

Los datos se guardan en servidores en los Países Bajos. Para la conversación en sí, cada organización elige su modelo de lenguaje. Por defecto es ahora Claude, de Anthropic, una empresa estadounidense; esa transferencia está cubierta por las cláusulas contractuales tipo de la UE y, cuando procede, por el Marco de Privacidad de Datos UE-EE. UU. Si elige Mistral, una empresa francesa, ningún dato de las conversaciones va a un modelo de IA fuera de la UE, tampoco en la conversión de voz a texto. Todos los terceros, y lo que ven, figuran en nuestra política de privacidad.