La digitalización de las empresas, el uso generalizado de dispositivos electrónicos, los sistemas de geolocalización y la incorporación de herramientas de inteligencia artificial han multiplicado las posibilidades de recopilar y tratar información sobre las personas trabajadoras.
En este contexto, surge una cuestión esencial: ¿hasta dónde puede llegar una empresa en el tratamiento de los datos personales de sus empleados sin vulnerar sus derechos fundamentales?
La respuesta exige encontrar un equilibrio entre las facultades de dirección, organización y control empresarial y el derecho a la intimidad y a la protección de datos de las personas trabajadoras.
Desde AESYR Abogados analizamos las principales cuestiones que las empresas deben tener en cuenta para garantizar el cumplimiento de la normativa y evitar posibles responsabilidades.
- El tratamiento de datos personales de los trabajadores: no todo está permitido
El Reglamento General de Protección de Datos (RGPD) y la Ley Orgánica 3/2018, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), establecen el marco jurídico aplicable al tratamiento de información personal en el entorno laboral.
Una particularidad importante es que, con carácter general, la empresa no necesita recabar el consentimiento del trabajador para tratar aquellos datos que sean necesarios para ejecutar el contrato de trabajo o cumplir las obligaciones legales correspondientes.
Sin embargo, esto no significa que la empresa pueda utilizar libremente cualquier información.
Todo tratamiento debe respetar los principios de licitud, lealtad, transparencia, exactitud, limitación de la finalidad y minimización de datos. Además, la persona trabajadora debe recibir información clara sobre qué datos se recogen, para qué se utilizan, cuál es la base jurídica del tratamiento y quién puede acceder a ellos.
Por tanto, la existencia de una relación laboral no supone una renuncia a los derechos fundamentales en materia de privacidad.
- Videovigilancia y control empresarial: los límites de la supervisión
La utilización de cámaras de videovigilancia en los centros de trabajo constituye una de las cuestiones que más controversias genera.
El artículo 20.3 del Estatuto de los Trabajadores reconoce la facultad empresarial de adoptar las medidas de vigilancia y control que considere oportunas para verificar el cumplimiento de las obligaciones laborales. No obstante, estas medidas deben respetar la dignidad de las personas trabajadoras y los límites establecidos en la normativa de protección de datos.
El artículo 89 de la LOPDGDD regula específicamente el derecho a la intimidad frente al uso de dispositivos de videovigilancia y grabación de sonidos en el ámbito laboral.
La empresa debe informar previamente, de forma expresa, clara y concisa, sobre la existencia de estos sistemas y su finalidad. Asimismo, la medida debe superar los criterios de idoneidad, necesidad y proporcionalidad.
La jurisprudencia ha admitido determinados supuestos de utilización de grabaciones como prueba de incumplimientos laborales, pero ello no supone una autorización general para implantar sistemas de vigilancia indiscriminados.
La clave está en justificar la medida y evitar cualquier intromisión innecesaria en la privacidad de los trabajadores.
- Correos electrónicos y dispositivos digitales: ¿puede la empresa revisar las comunicaciones?
El uso de ordenadores, teléfonos móviles y cuentas de correo corporativas también plantea importantes interrogantes.
El artículo 87 de la LOPDGDD reconoce el derecho a la intimidad en el uso de los dispositivos digitales puestos a disposición de los trabajadores.
La empresa puede establecer criterios de utilización de estos medios y acceder a su contenido cuando resulte necesario para controlar el cumplimiento de las obligaciones laborales o garantizar la integridad de los dispositivos.
Sin embargo, debe establecer previamente las reglas de uso, informar a la plantilla y respetar las garantías legales.
La doctrina del Tribunal Europeo de Derechos Humanos, especialmente a partir del asunto Bărbulescu contra Rumanía, exige ponderar aspectos como la información previa al trabajador, el alcance de la vigilancia, la existencia de una finalidad legítima y la proporcionalidad de la medida.
En consecuencia, disponer de medios tecnológicos corporativos no significa que la empresa tenga acceso ilimitado a todas las comunicaciones de sus empleados.
- Geolocalización y registro horario: información necesaria, tratamiento limitado
Los sistemas de geolocalización permiten conocer la ubicación de determinados trabajadores durante el desarrollo de su actividad profesional. Su utilización puede estar justificada por razones organizativas o de control, pero exige cumplir las garantías previstas en el artículo 90 de la LOPDGDD.
La empresa debe informar previamente de la existencia y características de estos sistemas, así como de los derechos que asisten a las personas afectadas.
También debe limitar la recogida de información a lo estrictamente necesario para la finalidad perseguida.
Una cuestión similar aparece en los sistemas de registro de jornada. Los datos relativos a los horarios de entrada, salida y descansos constituyen datos personales y, por tanto, su tratamiento y comunicación deben respetar las exigencias del RGPD.
Aunque la representación legal de los trabajadores puede acceder a determinada información para ejercer sus funciones de vigilancia y control, dicho acceso debe estar justificado y ser proporcional a la finalidad perseguida.
- Información salarial y datos de salud: especial atención a la confidencialidad
Otros dos ámbitos especialmente sensibles son la información retributiva y los datos médicos de los trabajadores.
En materia salarial, la transparencia retributiva debe compatibilizarse con el derecho a la protección de datos personales. La información facilitada debe evitar, cuando corresponda, la identificación directa o indirecta de las retribuciones individuales de una persona trabajadora.
Por su parte, los datos relativos a la salud tienen la consideración de categorías especiales de datos personales y disfrutan de una protección reforzada.
La empresa debe limitarse a tratar la información sanitaria que resulte legalmente necesaria, sin exigir ni divulgar diagnósticos o detalles médicos que no correspondan.
En este sentido, la reforma de la gestión de los procesos de incapacidad temporal eliminó la obligación de que el trabajador entregase directamente a la empresa los partes médicos de baja, confirmación y alta.
Además, la confidencialidad debe extremarse en los procedimientos internos de investigación de acoso laboral o sexual. La identidad de las personas implicadas y la documentación relacionada con estos procedimientos no puede quedar al alcance de personas que no estén autorizadas.
- Inteligencia artificial en el trabajo: un nuevo desafío para la privacidad
La incorporación de herramientas de inteligencia artificial a los procesos de selección, evaluación del rendimiento y organización del trabajo abre un nuevo escenario jurídico.
Estos sistemas pueden tratar grandes volúmenes de información personal y utilizar algoritmos para tomar decisiones que afectan directamente a las personas trabajadoras.
El riesgo es especialmente relevante cuando los algoritmos reproducen sesgos discriminatorios relacionados con el sexo, la edad, la discapacidad o el origen de las personas.
El Reglamento Europeo de Inteligencia Artificial considera de alto riesgo determinados sistemas utilizados en el ámbito del empleo y la gestión de trabajadores.
Por ello, las empresas deben prestar especial atención a la transparencia, la supervisión humana, la calidad de los datos utilizados y la prevención de decisiones discriminatorias.
La innovación tecnológica debe avanzar de forma compatible con los derechos fundamentales.
- ¿Qué consecuencias puede tener una vulneración de la protección de datos?
El incumplimiento de la normativa puede generar importantes consecuencias para las empresas.
Entre ellas destacan las posibles sanciones administrativas, las reclamaciones de daños y perjuicios, la invalidez de determinadas medidas de control y las consecuencias laborales derivadas de la utilización de pruebas obtenidas vulnerando derechos fundamentales.
Además, la jurisprudencia ha puesto de manifiesto que incluso la divulgación no intencionada de información confidencial puede generar responsabilidad si no se han adoptado las medidas necesarias para impedir el acceso por personas no autorizadas.
Por ello, no basta con disponer de políticas internas de protección de datos: es imprescindible aplicarlas y revisarlas periódicamente.
- La prevención jurídica como herramienta de seguridad empresarial
La protección de datos en las relaciones laborales debe abordarse como una parte esencial de la gestión empresarial.
Para reducir riesgos, recomendamos:
- Revisar las políticas internas de privacidad y tratamiento de datos de la plantilla.
- Informar adecuadamente sobre los sistemas de videovigilancia, geolocalización y control digital.
- Establecer protocolos claros para el uso de dispositivos y comunicaciones corporativas.
- Limitar el acceso a información salarial, médica y a documentación de procedimientos internos.
- Revisar los sistemas de registro horario y los criterios de comunicación de datos a la representación legal.
- Evaluar los riesgos asociados a la utilización de herramientas de inteligencia artificial.
- Formar a los responsables y empleados sobre sus obligaciones de confidencialidad.
Conclusión: proteger los datos también es proteger a la empresa
El tratamiento de datos personales en el ámbito laboral requiere encontrar un equilibrio entre las necesidades organizativas de la empresa y el respeto a los derechos fundamentales de las personas trabajadoras.
La facultad empresarial de dirección y control no es ilimitada. Cada medida debe responder a una finalidad legítima, estar debidamente justificada y respetar los principios de necesidad y proporcionalidad.
En un entorno laboral cada vez más digitalizado, anticiparse a los riesgos y contar con un asesoramiento jurídico adecuado resulta fundamental.
En AESYR Abogados ayudamos a las empresas a afrontar sus obligaciones legales, prevenir conflictos y gestionar con seguridad los retos jurídicos de las relaciones laborales.
