Vint estats ja tenen lleis integrals de privadesa de dades en vigor, i des de l'1 de gener de 2026 aquesta llista ha crescut per incloure Indiana, Kentucky i Rhode Island. Si dirigeixes una petita empresa i el teu model mental sobre el «compliment normatiu de privadesa de dades» encara és «això és cosa de Califòrnia, i jo no tinc 25 milions de dòlars d'ingressos, així que no m'afecta», val la pena fer-hi una segona ullada. Les normes que més importen per a un petit empresari ja no tenen a veure amb els teus clients, sinó amb els números de la Seguretat Social, les dades bancàries, les notes mèdiques i els escanejos biomètrics del rellotge fitxador dels teus propis empleats, que reposen en una carpeta (o en un tauler SaaS) en algun lloc del teu sistema de RH.
La part confusa és que aquestes lleis no tracten les «dades dels empleats» de la mateixa manera d'un estat a un altre. Califòrnia integra els registres de RH dins la seva llei general de privadesa del consumidor. Colorado i Virgínia, en canvi, exclouen majoritàriament els registres laborals dels seus estatuts amplis de privadesa, però Colorado acaba d'afegir una excepció estreta i agressiva per a les dades biomètriques que agafa per sorpresa moltes petites empreses. Si ets un comptable, un responsable d'operacions o un propietari que gestiona la nòmina, aquí tens el que realment ha canviat, a qui afecta i què fer-hi abans que una queixa d'un empleat (o l'advocat d'un demandant) ho converteixi en el teu problema.
Per què les «dades dels empleats» solien ser un punt cec
Quan els estats van començar a aprovar lleis integrals de privadesa —Virgínia i Colorado el 2021, i la majoria de la resta en els anys posteriors—, gairebé totes van adoptar una estructura similar: definir un «consumidor», atorgar-li drets (accés, supressió, correcció, exclusió de la venda de dades) i exigir a les empreses que controlen dades personals que respectin aquests drets.
Però gairebé totes aquestes lleis, excepte la de Califòrnia, defineixen explícitament el «consumidor» de manera que exclou qui actua en un context laboral. La llei de Colorado ho diu directament, i la de Virgínia també. La lògica era que les relacions laborals ja estan regulades pel dret laboral i d'ocupació, així que els legisladors no volien duplicar marcs normatius. L'efecte pràctic: un empleat a Richmond o Denver, en general, no pot invocar la llei de privadesa del consumidor del seu estat per exigir que el seu ocupador elimini el seu expedient personal, corregeixi una avaluació d'acompliment o expliqui què ha deduït sobre ell una eina interna d'anàlisi.
Califòrnia va anar en la direcció contrària. Quan l'exempció de dades dels empleats de la California Consumer Privacy Act va vèncer l'1 de gener de 2023, la California Privacy Rights Act va estendre tot el ventall de drets del consumidor —accés, supressió, correcció, exclusió i més— als empleats, als candidats a una feina i als contractistes independents. Per a un ocupador de Califòrnia cobert per la llei, un empleat ara té essencialment els mateixos drets sobre el seu expedient de RH que un client sobre el seu historial de compres.
Aquesta divisió importa perquè significa que «m'afecta a mi?» no té una única resposta a escala nacional: és una pregunta que depèn de l'estat, i cada vegada més, del tipus de dada concreta.
Califòrnia: l'únic estat on les dades de RH estan totalment incloses
Si tens empleats o contractistes que resideixen a Califòrnia, comença per aquí.
Qui hi queda cobert. La CCPA/CPRA s'aplica a qualsevol empresa amb ànim de lucre que faci negocis a Califòrnia i compleixi almenys un d'aquests tres llindars: (1) més de 25 milions de dòlars d'ingressos bruts anuals, (2) compra, ven o comparteix la informació personal de 100.000 o més consumidors o llars de Califòrnia en un any, o (3) obté el 50% o més dels seus ingressos anuals de la venda o el compartiment d'informació personal. Moltes petites empreses assumeixen que el llindar dels 25 milions de dòlars d'ingressos significa que estan exemptes, però el segon i el tercer criteri no tenen res a veure amb els ingressos, i una empresa que utilitzi píxels de publicitat digital o eines d'anàlisi que «comparteixin» dades amb tercers pot superar el llindar de 100.000 persones més ràpid del que sembla un cop es compten conjuntament empleats, candidats a una feina i visitants del lloc web.
Què cal fer ara específicament amb les dades de RH. Els ocupadors coberts han de facilitar als empleats i candidats un avís de privadesa que descrigui quines categories d'informació personal recullen i per què, atendre les sol·licituds d'accés, correcció o supressió d'informació personal (amb les excepcions legals de conservació de dades: no pots eliminar registres fiscals o de nòmina que estàs obligat a conservar) i obtenir el consentiment abans de determinats usos d'informació personal sensible, com ara números de la Seguretat Social, geolocalització precisa o dades de salut.
El canvi de 2026 a vigilar: avaluacions de risc per a eines automatitzades. Des de l'1 de gener de 2026, Califòrnia exigeix una avaluació documentada del risc de privadesa abans d'utilitzar tecnologia de presa de decisions automatitzada (ADMT) per prendre una «decisió significativa» sobre un candidat a una feina, un empleat o un contractista: pensa en programari de cribratge de currículums, puntuació d'entrevistes en vídeo o eines algorítmiques de planificació i avaluació d'acompliment. El compliment complet de l'ADMT (com ara donar als treballadors una manera d'excloure's o recórrer una decisió automatitzada) s'implementa progressivament fins a l'1 de gener de 2027, però l'obligació d'avaluació per al processament anterior a 2026 venç a finals de 2027. Si la teva empresa utilitza un sistema de seguiment de candidats amb classificació de currículums «impulsada per IA», o una eina de gestió de personal que genera automàticament puntuacions d'acompliment, aquesta és la part de la llei que és fàcil passar per alt perquè queda amagada en les eines, no en el paperam.
Colorado: els registres laborals estan exempts, excepte les dades biomètriques
La Colorado Privacy Act, igual que la de Virgínia, generalment exclou la informació sobre algú en la seva condició de candidat a una feina o empleat. Aquesta exempció continua sent la norma general. El que ha canviat és una esmena estreta però significativa: la HB24-1130, la Privacy of Biometric Identifiers and Data Act, vigent des de l'1 de juliol de 2025.
Aquesta llei elimina els llindars habituals de mida: no importa de quantes persones residents a Colorado processis dades; si reculles un identificador biomètric (un escaneig d'empremta digital, un inici de sessió amb reconeixement facial, un rellotge fitxador per geometria de la mà) d'una persona resident a Colorado, inclòs un empleat, hi quedes subjecte. Abans de recollir-lo, has de proporcionar avís i obtenir un consentiment afirmatiu, específic i informat, no una línia amagada en un manual de l'empleat. Els ocupadors només poden condicionar l'ocupació al consentiment biomètric per a finalitats de seguretat estretes, com l'accés a una instal·lació o maquinari segurs; no pots exigir-lo per fer un seguiment de la ubicació d'un empleat o controlar quant de temps passa utilitzant una aplicació. També necessites una política escrita i disponible públicament que cobreixi els calendaris de conservació, els procediments d'incidents de seguretat i les pràctiques de supressió de dades biomètriques.
A qui afecta realment: petits fabricants, magatzems, restaurants i clíniques que utilitzen rellotges fitxadors d'empremta digital o reconeixement facial en lloc de targetes identificatives —una manera habitual d'evitar el frau del fitxatge entre companys—, a més de qualsevol empresa que utilitzi accés biomètric a edificis o inicis de sessió biomètrics als terminals de punt de venda. Si aquest ets tu, el raonament de «no tenim 25 milions d'ingressos» que et protegeix de la majoria de lleis de privadesa aquí no s'aplica en absolut.
Virgínia: vigila la tendència, encara no un mandat
La Consumer Data Protection Act de Virgínia manté la seva exclusió general per als registres laborals, i el 2026 encara no existeix cap equivalent virginià a l'excepció biomètrica de Colorado. El motiu per estar-hi atent igualment és el patró: Colorado va retallar una part de l'exempció laboral quan un tipus de dada concret (les dades biomètriques) es va convertir en un risc visible. Illinois fa més d'una dècada que té una llei dedicada a la privadesa biomètrica amb dret d'acció privada, i ha generat alguns dels acords de privadesa relacionats amb l'ocupació més grans del país. Que Virgínia, o un altre estat, retalli la seva pròpia excepció de dades dels empleats —per a dades biomètriques, per a eines de contractació amb IA o per a qualsevol altra cosa— és qüestió de quan, no de si passarà. Adquirir ara l'hàbit de documentar quines dades dels empleats recullis i per què fa que no vagis d'esma quan el teu estat segueixi aquest camí.
Una llista de verificació pràctica per a petits ocupadors
No necessites un departament de compliment normatiu per fer bé les coses bàsiques:
- Fes un inventari del que recullis realment. Números de la Seguretat Social i dades bancàries per a la nòmina, informació de salut per a sol·licituds de permisos, dades biomètriques de qualsevol rellotge fitxador o sistema d'accés, i tot allò que una plataforma de RH o ATS dedueixi automàticament (com una «puntuació de compromís» o una classificació automatitzada de candidats).
- Revisa el teu rellotge fitxador. Si escaneja una empremta digital o una cara, probablement necessites una política biomètrica escrita i un consentiment documentat, independentment dels teus ingressos.
- Llegeix els contractes amb els teus proveïdors. Els proveïdors de nòmina, els serveis de verificació d'antecedents i els sistemes de seguiment de candidats haurien de comprometre's contractualment a protegir les dades que els confies: ser «compatible amb SOC 2» és un punt de partida, no un substitut d'un acord escrit de processament de dades.
- Si tens empleats a Califòrnia, crea ara el procés de sol·licituds. Algú ha de ser responsable de respondre a una sol·licitud d'accés, correcció o supressió dins el termini legal, i algú ha de saber quins registres estàs legalment obligat a conservar malgrat una sol·licitud de supressió (els registres fiscals, per exemple).
- No confiïs en «l'estat eximeix els registres laborals» com una protecció permanent. Avui és cert a la majoria d'estats, però Colorado acaba de demostrar amb quina rapidesa pot aparèixer una excepció estreta.
On encaixa la comptabilitat en la història del compliment normatiu
Res de tot això té a veure realment amb el programari de comptabilitat: es tracta de saber quines dades sensibles hi ha i on, i de poder demostrar la teva feina si algun dia un regulador o un empleat t'ho pregunta. Això és tant un problema de registres com un problema legal. Si els teus registres financers viuen en formats opacs i propietaris dispersos entre diverses eines, és realment difícil auditar qui té accés a què, o demostrar que no conserves dades més temps del que diu la teva política.
Beancount.io adopta l'enfocament contrari: comptabilitat en text pla i amb control de versions, on cada entrada és transparent, auditable i sota el teu control, sense cap proveïdor de caixa negra que retingui com a ostatge el teu historial financer. No et redactarà la política de consentiment biomètric, però si «qui pot veure aquestes dades, i durant quant de temps» és una pregunta que vols poder respondre amb claredat a tota la teva empresa, començar amb registres financers que posseeixis totalment és un bon lloc per crear aquest hàbit. Comença gratis i veu com és la comptabilitat en text pla a la pràctica.