Protección de datos personales en el trabajo derechos y obligaciones de empleados y empleadores
Un currículum, una nómina, un parte de baja, una grabación de videovigilancia o el registro de entrada a la fábrica dicen mucho más de una persona de lo que parece. En el trabajo, los datos personales circulan a diario y no siempre se tratan con el cuidado que exige la ley.
La relación laboral necesita información. La empresa debe contratar, pagar salarios, organizar turnos, cumplir obligaciones fiscales y prevenir riesgos. La plantilla, por su parte, entrega datos personales para que todo eso sea posible. El problema aparece cuando se piden más datos de los necesarios, se conservan sin límite, se comparten sin control o se usan para fines que nadie explicó.
En España, la protección de datos en el ámbito laboral se apoya sobre todo en el Reglamento General de Protección de Datos, la Ley Orgánica de Protección de Datos Personales y garantía de los derechos digitales, y la normativa laboral. Este artículo resume las reglas principales de forma práctica. Tiene finalidad informativa y no sustituye el asesoramiento jurídico para un caso concreto.
Qué datos personales se tratan en una relación laboral
Un dato personal es cualquier información que identifica o permite identificar a una persona. En el trabajo no se limita al nombre o al DNI. También incluye datos relacionados con la actividad diaria, el rendimiento, la ubicación o la salud.
Algunos ejemplos habituales son:
Datos identificativos, como nombre, dirección, teléfono, correo electrónico, DNI o NIE.
Datos económicos, como cuenta bancaria, salario, embargos o retenciones.
Datos profesionales, como historial laboral, formación, evaluaciones o sanciones.
Datos de control horario, turnos, ausencias y vacaciones.
Imágenes captadas por cámaras de seguridad.
Datos de uso de dispositivos corporativos, como accesos, registros o incidencias.
Datos de salud vinculados a bajas, reconocimientos médicos o adaptaciones del puesto.
No todos esos datos tienen el mismo nivel de riesgo. La ley protege de forma especial categorías como salud, afiliación sindical, datos biométricos, creencias, orientación sexual u origen racial o étnico. En el entorno laboral, estos datos solo pueden tratarse cuando exista una base legal clara y con garantías reforzadas.
Un ejemplo sencillo: la empresa puede necesitar saber que una persona está de baja y cuánto dura la baja a efectos organizativos y de Seguridad Social. Eso no significa que pueda pedir o difundir el diagnóstico médico entre responsables o compañeros.
La regla de partida es la minimización. La empresa debe recoger solo los datos adecuados, pertinentes y necesarios para una finalidad concreta. Si un dato no hace falta para contratar, pagar, organizar o cumplir la ley, probablemente no debe pedirse.
Las obligaciones principales de la empresa
El empleador suele actuar como responsable del tratamiento. Eso significa que decide para qué se tratan los datos y con qué medios. Esa posición trae obligaciones claras.
Informar antes de recoger o usar datos
La plantilla debe saber qué datos se tratan, para qué se usan, cuál es la base legal, cuánto tiempo se conservan, con quién se comparten y cómo ejercer sus derechos.
Esa información suele estar en cláusulas informativas, políticas internas, contratos, avisos de videovigilancia o documentos de bienvenida. No basta con textos genéricos. La información debe ser clara, accesible y comprensible.
Por ejemplo, si hay cámaras en un almacén, debe existir un aviso visible y una información ampliada disponible. Si la empresa instala una aplicación de geolocalización en vehículos o dispositivos, debe explicar su finalidad, alcance, horarios de uso y personas que accederán a los datos.
Tener una base legal para cada tratamiento
En el trabajo, muchas operaciones se basan en la ejecución del contrato laboral o en el cumplimiento de obligaciones legales. Por ejemplo, pagar la nómina, cotizar a la Seguridad Social o registrar la jornada.
Otras pueden basarse en el interés legítimo de la empresa, como proteger instalaciones o investigar una incidencia, siempre que se respeten los derechos de las personas trabajadoras y se haga una ponderación adecuada.
El consentimiento merece cuidado. En una relación laboral existe desequilibrio entre empresa y persona trabajadora. Por eso, el consentimiento no suele ser la base más adecuada si la negativa puede tener consecuencias. Debe ser libre, específico, informado y revocable. Si no puede decirse “no” sin presión, el consentimiento difícilmente será válido.
Aplicar medidas de seguridad
La empresa debe proteger los datos frente a accesos no autorizados, pérdidas, alteraciones o usos indebidos. La seguridad no es solo una cuestión informática. También afecta a papeles, conversaciones, armarios, contraseñas y permisos internos.
Medidas habituales son:
Accesos limitados según funciones.
Contraseñas seguras y autenticación cuando proceda.
Cifrado o protección de archivos sensibles.
Custodia segura de expedientes laborales.
Protocolos para enviar nóminas, partes médicos o documentación fiscal.
Formación básica a quienes tratan datos de otras personas.
Registro y gestión de brechas de seguridad.
Si se produce una brecha, como el envío de nóminas a destinatarios equivocados o el robo de un dispositivo con información laboral, la empresa debe valorar el riesgo. En ciertos casos deberá comunicarlo a la autoridad de control y a las personas afectadas.
Regular el acceso de terceros
Gestorías, mutuas, servicios de prevención, proveedores de software, empresas de mantenimiento o servicios de selección pueden acceder a datos laborales. Ese acceso debe estar respaldado por contratos y garantías.
Cuando un proveedor trata datos por cuenta de la empresa, actúa como encargado del tratamiento. Debe seguir instrucciones, aplicar medidas de seguridad y no usar los datos para fines propios. La empresa no puede desentenderse por haber externalizado el servicio.
Conservar los datos solo el tiempo necesario
No todo debe guardarse para siempre. Algunos documentos laborales tienen plazos legales de conservación por motivos fiscales, laborales o de Seguridad Social. Otros deben eliminarse cuando dejan de ser útiles.
Un currículum de una candidatura descartada, por ejemplo, no debería conservarse indefinidamente sin informar y sin una finalidad real. Las imágenes de videovigilancia también tienen límites de conservación, salvo que deban guardarse por una incidencia concreta.
Derechos de las personas trabajadoras
Las personas empleadas no pierden su privacidad al firmar un contrato. La empresa puede organizar, supervisar y controlar el trabajo, pero debe hacerlo dentro de los límites legales. La Protección de datos personales en el trabajo derechos y obligaciones de empleados y empleadores exige equilibrio entre gestión empresarial y derechos individuales.
Los derechos más relevantes son los siguientes.
Derecho de información
Antes de tratar los datos, la empresa debe explicar qué hará con ellos. Este derecho es la base de todos los demás. Si una persona no sabe que sus datos se usan, difícilmente podrá controlar ese uso.
La información debe cubrir también sistemas de control laboral, como cámaras, herramientas de registro horario, geolocalización, control de acceso o revisión de dispositivos corporativos.
Derecho de acceso
La persona trabajadora puede pedir confirmación de si la empresa trata sus datos y obtener una copia de la información. Esto puede incluir datos del expediente laboral, registros vinculados a evaluaciones, comunicaciones relevantes o información asociada a sistemas de control.
El derecho no permite acceder a datos de otras personas ni a información protegida por otros derechos. La empresa debe responder dentro de los plazos legales y de forma comprensible.
Derecho de rectificación
Si un dato es incorrecto o está desactualizado, puede pedirse su corrección. Un domicilio antiguo, una cuenta bancaria errónea o una categoría profesional mal registrada pueden generar problemas reales.
Este derecho también ayuda a evitar decisiones injustas basadas en información equivocada.
Derecho de supresión y limitación
La supresión permite pedir que se eliminen datos cuando ya no sean necesarios, se hayan tratado de forma ilícita o concurra otra causa legal. La limitación permite bloquear temporalmente el uso de ciertos datos, por ejemplo, mientras se verifica su exactitud.
En el ámbito laboral, estos derechos conviven con obligaciones de conservación. La empresa puede estar obligada a mantener ciertos documentos durante un plazo legal, aunque no pueda usarlos para cualquier finalidad.
Derecho de oposición
La persona trabajadora puede oponerse a tratamientos basados en interés legítimo cuando existan motivos relacionados con su situación particular. La empresa deberá valorar si sus motivos prevalecen.
Este derecho puede ser relevante en tratamientos de control, análisis de productividad o medidas internas que afecten de forma intensa a la privacidad.
Control empresarial y límites de la privacidad
La empresa puede controlar el cumplimiento de las obligaciones laborales. Ese poder está reconocido por la normativa laboral, pero no es absoluto. Toda medida de control debe ser proporcional, necesaria y respetuosa con la dignidad de las personas.
Videovigilancia
Las cámaras pueden usarse para seguridad o control laboral cuando exista una finalidad legítima y se informe de forma adecuada. Deben evitarse espacios de descanso, vestuarios, aseos y zonas donde la expectativa de privacidad sea alta.
Grabar sonido exige especial cautela, ya que afecta de forma más intensa a la privacidad. Solo debería plantearse en casos muy justificados.
Geolocalización
El seguimiento mediante GPS puede tener sentido en actividades con vehículos, reparto, asistencia técnica o desplazamientos. Aun así, debe limitarse a la jornada y a la finalidad informada.
Un sistema que controla la ubicación fuera del horario laboral o sin necesidad real puede resultar desproporcionado. Si el dispositivo también se usa de forma personal, la empresa debe definir límites claros.
Uso de correo, internet y dispositivos
La empresa puede establecer normas sobre el uso de equipos, correo corporativo, aplicaciones y conexión a internet. Para poder revisar o controlar esos medios, debe haber informado antes sobre las reglas de uso y los posibles controles.
No es lo mismo una revisión puntual por una incidencia grave que una vigilancia permanente e indiscriminada. Las políticas internas deben explicar qué usos se permiten, qué controles pueden aplicarse y quién puede acceder a la información.
Datos biométricos
El uso de huella dactilar, reconocimiento facial u otros datos biométricos plantea riesgos elevados. Estos datos son muy sensibles porque identifican de forma única a una persona. Si se filtran, no pueden cambiarse como una contraseña.
Por eso, su uso debe justificarse con especial rigor. Antes de implantar sistemas biométricos para fichar o acceder a instalaciones, conviene valorar alternativas menos intrusivas, como tarjetas, códigos o sistemas manuales seguros.
Obligaciones también para las personas empleadas
La protección de datos no recae solo sobre la empresa. Las personas trabajadoras también tienen deberes cuando manejan información de clientes, compañeros, proveedores o pacientes.
Algunas reglas básicas ayudan a evitar incidentes:
Usar los datos solo para tareas laborales autorizadas.
No consultar expedientes por curiosidad.
No compartir nóminas, partes médicos, evaluaciones o datos de contacto sin permiso.
Bloquear pantallas y custodiar documentos cuando haya riesgo de acceso indebido.
No reenviar información laboral a cuentas personales salvo autorización.
Comunicar pérdidas, envíos erróneos o accesos indebidos cuanto antes.
Respetar las políticas internas de seguridad y confidencialidad.
La confidencialidad no termina necesariamente al acabar la jornada. Tampoco al finalizar el contrato, si la persona ha conocido información protegida durante su trabajo.
Un caso frecuente es el uso de grupos de mensajería. Compartir datos personales de compañeros o clientes en canales no autorizados puede generar riesgos. También puede ocurrir al enviar fotografías, partes de trabajo o listados con información identificable sin valorar quién los recibirá.
Buenas prácticas para prevenir conflictos
La mejor protección no nace de documentos largos que nadie lee, sino de reglas claras y hábitos constantes. La empresa debe construir una cultura de privacidad sencilla de aplicar.
Estas medidas suelen marcar la diferencia:
Empresa | Persona trabajadora |
Explica cada tratamiento con lenguaje claro. | Lee las políticas internas antes de usar sistemas o dispositivos. |
Limita el acceso a datos según funciones reales. | No accede a datos que no necesita para su tarea. |
Revisa cámaras, GPS y controles antes de implantarlos. | Pregunta si una instrucción sobre datos no está clara. |
Forma a mandos y equipos con ejemplos prácticos. | Comunica errores o brechas sin retraso. |
Elimina datos cuando ya no son necesarios. | Evita guardar copias personales de información laboral. |
También ayuda documentar decisiones. Si la empresa implanta un sistema de control horario, una cámara o una herramienta de gestión de personal, debería dejar constancia de la finalidad, la base legal, los datos tratados, los accesos, los plazos de conservación y las medidas de seguridad.
En organizaciones con representación legal de las personas trabajadoras, ciertas medidas de control o políticas internas pueden requerir información previa o participación conforme a la normativa aplicable. Ignorar ese paso puede generar conflictos incluso cuando la finalidad empresarial sea legítima.
La privacidad laboral exige equilibrio. La empresa necesita datos para funcionar y cumplir la ley, pero debe tratarlos con transparencia, seguridad y límites. Las personas trabajadoras tienen derechos sobre su información y también responsabilidades cuando manejan datos ajenos.
La regla práctica es sencilla: pedir solo lo necesario, explicar bien el uso, proteger el acceso y revisar periódicamente si cada tratamiento sigue teniendo sentido. Cuando ese criterio guía las decisiones, se reducen riesgos legales y se refuerza la confianza dentro de la relación laboral.
Comentarios