Formación sobre el RGPD para el personal: qué esperan la ley británica y la ICO

La formación en protección de datos es la que la mayoría de las empresas asume como "un requisito del RGPD". La ley es menos directa que eso, pero las expectativas de la ICO son específicas. Esto es lo que dicen el RGPD del Reino Unido y la ICO, citado de legislation.gov.uk y ico.org.uk el 19 de octubre de 2026. La ICO señala que estas páginas están en revisión tras la Ley de Uso y Acceso a Datos. Es un resumen, no un asesoramiento legal.

Puntos clave

• No existe un artículo independiente de "formar a todo el personal", pero las obligaciones de seguridad del RGPD del Reino Unido lo convierten en la vía esperada.
• Inducción antes de acceso: la ICO espera formación antes de que el personal gestione la información personal.
• Repaso a intervalos apropiados; sin número fijo.
• Una prueba de conocimientos con una nota mínima de aprobado, dice el ICO.
• Todos, incluidos altos directivos, personal temporal y contratado.

Lo que dice el RGPD del Reino Unido

El artículo 32(4) establece que el responsable y el procesador "deberán tomar medidas para garantizar que cualquier persona física que actúe bajo la autoridad del responsable o del procesador que tenga acceso a datos personales no los procese salvo por instrucciones del responsable". Cuando hay un responsable de protección de datos, el artículo 39 incluye entre sus tareas el seguimiento del cumplimiento, "incluyendo la asignación de responsabilidades, la sensibilización y la formación del personal implicado en las operaciones de procesamiento". La guía de seguridad de datos de la ICO dice: "Debe proporcionar la formación inicial y de actualización adecuada".

Lo que espera la ICO en la inducción

El kit de auditoría de la ICO sobre la formación en inducción advierte que "permitir que el personal comience a trabajar con información personal antes de realizar la formación de inducción aumenta considerablemente el riesgo de una brecha de datos personales. Esto podría vulnerar los artículos 5(1)(f) y 32 del RGPD del Reino Unido." Sus expectativas incluyen:

• "Asegúrate de que el personal haya completado la formación de inducción antes de poder procesar información personal."
• "Exigir que todos los grados, incluidos los directivos superiores, completen la formación de inducción."
• "Impartir formación de inducción a todo el personal, incluidos voluntarios, temporales y contratados."
• Cubre "gestión de solicitudes, intercambio de datos, seguridad de la información, brechas de datos personales y gestión de registros".

Entrenamiento de actualización y demostración

En la formación de actualización, el kit de herramientas dice: "Exigir al personal completar la formación de actualización en intervalos apropiados" y "Documentar cuándo recibió por última vez la formación de actualización manteniendo registros completos y actualizados." Ambas páginas también dicen: "Evaluar la comprensión del personal de la formación mediante una comprobación de conocimientos con una nota mínima de aprobado."

Así que la evidencia que busca un auditor es sencilla: quién completó qué módulo, cuándo y si lo aprobó.

Convierte tus diapositivas de protección de datos en un curso

Reigniter convierte tu mazo de protección de datos existente en un breve módulo interactivo: una voz en off, tus diapositivas y una pregunta en cada paso, como "un cliente envia un correo pidiendo sus datos: ¿qué hacéis?", con ramificaciones para respuestas incorrectas. Tu primer módulo es gratuito y se comparte por enlace. En los planes de precios de pago, los alumnos inician sesión, estableces una nota de aprobado y ves el resultado y certificado de cada persona, que es el registro que describe la ICO; consulta la formación sin LMS.

Para seguridad contra incendios, pantallas visuales, manejo manual, COSHH y inducción, consulta qué formación exige la legislación británica.