Cuando una empresa contrata a una persona, obtiene acceso a una gran cantidad de datos personales: nombre, DNI, número de cuenta, historial laboral, datos de salud para la mutua, información sindical en algunos casos, geolocalización si se utiliza vehículo de empresa. La tentación de tratar esos datos con la misma libertad que se gestionan otros recursos internos es comprensible, pero es un error con consecuencias reales. El Reglamento (UE) 2016/679 (RGPD) y la Ley Orgánica 3/2018 de Protección de Datos y Garantía de los Derechos Digitales (LOPDGDD) establecen un marco específico para el ámbito laboral que toda empresa —con independencia de su tamaño— está obligada a respetar.
Esta guía responde, en formato de pregunta, a las dudas más frecuentes que plantean las empresas en Castilla y León y Canarias cuando intentan entender qué pueden y qué no pueden hacer con los datos de sus trabajadores.
¿Qué datos pueden tratarse y con qué base legal?
El artículo 6 del RGPD exige que todo tratamiento de datos tenga una base jurídica. En el ámbito laboral, las bases que se aplican con más frecuencia son tres:
- Ejecución del contrato (art. 6.1.b RGPD): cubre los datos necesarios para gestionar la relación laboral: nómina, cotización a la Seguridad Social, gestión de vacaciones, IT. Son tratamientos que no requieren consentimiento del trabajador porque son inherentes al contrato.
- Obligación legal (art. 6.1.c RGPD): cubre lo que impone la normativa laboral, fiscal o de prevención de riesgos: registro de jornada (art. 34.9 ET), comunicación de accidentes a la Inspección de Trabajo, conservación de nóminas durante cuatro años.
- Interés legítimo del responsable (art. 6.1.f RGPD): puede amparar algunos controles empresariales, pero exige una ponderación real entre el interés de la empresa y los derechos del trabajador. La AEPD y el Tribunal de Justicia de la UE han advertido que el interés legítimo no es una base residual que sirva para todo.
El consentimiento raramente es la base adecuada en la relación laboral. La AEPD ha señalado en múltiples resoluciones que el desequilibrio de poder entre empresa y trabajador hace que el consentimiento prestado en ese contexto difícilmente pueda considerarse libre, lo que lo invalida como base jurídica.
¿Qué información debe recibir el trabajador?
El RGPD (arts. 13-14) obliga a informar al interesado antes de iniciar el tratamiento. En la práctica, esto significa que la empresa debe entregar al trabajador —en el momento de la contratación y por escrito— una cláusula informativa que incluya:
- Identidad y datos de contacto del responsable del tratamiento.
- Finalidades del tratamiento y base jurídica de cada una.
- Destinatarios o categorías de destinatarios (gestoría, mutua, Hacienda, SEPE, etc.).
- Plazo de conservación de los datos.
- Derechos del trabajador y cómo ejercerlos.
- Derecho a presentar reclamación ante la AEPD.
Esta información no puede quedar enterrada en el contrato ni estar redactada en términos genéricos. El incumplimiento de la obligación de información es, por sí solo, una infracción sancionable.
¿Qué derechos tienen los empleados sobre sus datos?
Los artículos 15 a 22 del RGPD reconocen a los trabajadores los mismos derechos que al resto de ciudadanos, con algunas particularidades en el ámbito laboral:
- Acceso (art. 15): el trabajador puede solicitar qué datos tiene la empresa sobre él y obtener una copia. El plazo de respuesta es de un mes, ampliable a tres en casos complejos o con muchas solicitudes simultáneas.
- Rectificación (art. 16): corrección de datos inexactos o incompletos. Si el trabajador detecta un error en su ficha de RRHH o en la nómina, puede exigir su corrección.
- Supresión o derecho al olvido (art. 17): limitado en el ámbito laboral por las obligaciones de conservación legal. No se pueden suprimir los datos mientras exista relación laboral ni durante los plazos legales posteriores (cuatro años para obligaciones tributarias y de Seguridad Social, por ejemplo).
- Oposición (art. 21): el trabajador puede oponerse a tratamientos basados en interés legítimo. La empresa deberá demostrar que sus motivos son imperiosos y prevalecen sobre los derechos del interesado.
- Limitación del tratamiento (art. 18): mientras se resuelve una controversia sobre exactitud o licitud del tratamiento, el trabajador puede pedir que los datos queden bloqueados.
- Portabilidad (art. 20): aplicable cuando el tratamiento se basa en el consentimiento o en el contrato y se realiza por medios automatizados. Permite al trabajador recibir sus datos en formato estructurado para trasladarlos a otro responsable.
- Decisiones automatizadas (art. 22): el trabajador tiene derecho a no ser objeto de decisiones basadas únicamente en tratamientos automatizados que produzcan efectos significativos sobre él. Aplica, por ejemplo, a sistemas de evaluación del desempeño o de gestión de ausencias totalmente automatizados.
La empresa debe responder a todos estos derechos en el plazo de un mes. No contestar, o hacerlo fuera de plazo, es una infracción directamente sancionable por la AEPD.
¿Puede la empresa controlar el correo electrónico y los dispositivos del trabajador?
Es una de las preguntas más recurrentes —y la que más resoluciones de la AEPD y sentencias del Tribunal Supremo ha generado. La respuesta no es un sí ni un no: depende de cómo se haga.
El artículo 87 de la LOPDGDD reconoce el derecho a la intimidad de los trabajadores en el uso de dispositivos digitales puestos a disposición por la empresa. Establece que los empleadores pueden fijar reglas de uso —incluido el acceso a los contenidos para verificar el cumplimiento de obligaciones laborales—, pero solo si han informado previamente a los trabajadores, con criterios claros sobre el uso permitido y la posibilidad de control.
La doctrina consolidada del Tribunal Europeo de Derechos Humanos (caso Barbulescu II, 2017) y del Tribunal Constitucional exige que el control empresarial cumpla tres requisitos:
- Idoneidad: la medida es adecuada para el fin de control legítimo.
- Necesidad: no existe otra medida menos invasiva que logre el mismo fin.
- Proporcionalidad estricta: el beneficio para la empresa supera el coste en privacidad para el trabajador.
Sin información previa y sin política de uso documentada, el control del dispositivo o del correo corporativo puede declararse nulo como prueba en un procedimiento disciplinario o judicial.
¿Cuándo es lícita la videovigilancia en el puesto de trabajo?
El artículo 89 de la LOPDGDD regula el uso de cámaras con fines de control laboral. Los requisitos son acumulativos: la empresa debe informar previamente a los trabajadores y a sus representantes de la existencia de cámaras, indicar su finalidad y ubicación; las cámaras no pueden instalarse en zonas de descanso, vestuarios, aseos ni otros espacios de intimidad; y las grabaciones solo pueden conservarse el tiempo necesario, con un máximo de un mes salvo que sean objeto de investigación disciplinaria o judicial.
El cartel informativo en lugar visible es obligatorio incluso cuando los trabajadores ya han sido informados individualmente. La AEPD ha sancionado a empresas que tenían cámaras sin señalización, aunque las usaran exclusivamente para control de accesos y no para vigilancia del rendimiento.
¿Puede la empresa usar sistemas de geolocalización en vehículos o dispositivos?
El artículo 90 de la LOPDGDD permite el uso de sistemas de geolocalización para controlar la actividad laboral de los trabajadores, pero con condiciones equivalentes a las de la videovigilancia: información previa clara (finalidad, plazo de conservación, acceso a los datos), limitación al horario laboral y proporcionalidad con el fin perseguido.
Una empresa de transporte o de atención a domicilio puede geolocalizar sus vehículos para gestionar rutas y verificar tiempos. Lo que no puede hacer es usar esos datos para sancionar al trabajador en situaciones que excedan de su jornada laboral o sin haber informado de esa posibilidad.
¿Qué ocurre con la desconexión digital?
El artículo 88 de la LOPDGDD reconoce el derecho a la desconexión digital fuera del horario laboral. Implica que la empresa no puede —ni directa ni indirectamente— exigir disponibilidad fuera de la jornada ni tratar los datos de conexión o actividad del trabajador en ese periodo. Las empresas con más de 250 trabajadores o que tengan obligación de negociar plan de igualdad deben elaborar una política interna de desconexión digital, acordada preferentemente con la representación de los trabajadores.
¿Pueden tratarse datos de salud de los empleados?
Los datos de salud son una categoría especial (art. 9 RGPD) que solo puede tratarse en supuestos tasados. En el ámbito laboral, las bases habituales son:
- Cumplimiento de obligaciones en materia de Seguridad Social y Derecho del Trabajo (art. 9.2.b).
- Medicina preventiva y laboral, valoración de la capacidad laboral del trabajador, con obligación de secreto profesional del personal sanitario (art. 9.2.h).
El responsable de RRHH no puede acceder al diagnóstico médico de un trabajador. Solo puede conocer la aptitud para el trabajo (apto/no apto, con o sin limitaciones) emitida por el servicio de prevención. Compartir más información entre departamentos internos supone una violación de la categoría especial de datos, con el agravante que ello conlleva en el régimen sancionador del artículo 83 del RGPD.
¿Qué sanciones puede imponer la AEPD?
El artículo 83 del RGPD establece un marco de sanciones en dos niveles, sin que el reglamento fije importes automáticos: la gravedad de la infracción, la intencionalidad, el número de afectados, las medidas adoptadas para mitigar el daño y la cooperación con la autoridad de control son factores que la AEPD pondera en cada expediente. Las infracciones más graves —como tratar datos sin base jurídica, vulnerar derechos de los interesados o incumplir las garantías de categorías especiales— se encuadran en el nivel superior. La AEPD publica sus resoluciones en abierto, lo que genera un riesgo reputacional adicional al puramente económico.
¿Cómo debe gestionar la empresa los datos cuando termina la relación laboral?
Al extinguirse el contrato, la empresa no puede conservar los datos del extrabajador indefinidamente. La regla general es conservar únicamente lo que exija la normativa aplicable —cuatro años para las obligaciones tributarias y de Seguridad Social, un año para las actas de infracción laboral, el plazo de prescripción de posibles reclamaciones— y suprimir o bloquear el resto. El correo corporativo del extrabajador debe desactivarse en un plazo razonable, y los mensajes almacenados no pueden consultarse sin causa justificada.
Si la empresa utiliza un sistema de videovigilancia, las grabaciones en las que aparezca el extrabajador quedan sujetas al plazo máximo de un mes, salvo que sean objeto de un procedimiento en curso.
¿Qué papel juega la asesoría o gestoría que lleva las nóminas?
Cuando una empresa externaliza la gestión laboral a una asesoría o despacho, esa empresa pasa a ser encargada del tratamiento en los términos del artículo 28 del RGPD. Eso significa que la relación debe formalizarse mediante un contrato de encargo del tratamiento que regule, como mínimo: las instrucciones del responsable, la confidencialidad del personal del encargado, las medidas de seguridad exigibles, la prohibición de subcontratación sin autorización previa, la asistencia en el ejercicio de derechos y la devolución o destrucción de los datos al término del servicio. Sin ese contrato, ambas partes están incumpliendo el RGPD.
¿Puede Summum Consultoría ayudar a mi empresa en esta materia?
El cumplimiento del RGPD en el ámbito laboral combina derecho de protección de datos, derecho del trabajo y, en muchos casos, negociación colectiva. No es una tarea que pueda resolverse con una cláusula tipo descargada de internet. Desde Summum Consultoría acompañamos a las empresas en la adecuación al RGPD y a la LOPDGDD: revisamos los tratamientos existentes, redactamos la documentación necesaria —registro de actividades, cláusulas informativas, contratos de encargo, política de uso de dispositivos— y formamos al equipo de RRHH en sus obligaciones concretas. Nuestro trabajo es ayudar a cumplir; la decisión final sobre cada tratamiento siempre corresponde a la empresa como responsable. Para cuestiones específicas de protección de datos que requieran una figura dedicada, puede interesarle conocer también nuestro servicio de Delegado de Protección de Datos externo.