El derecho a la protección de datos es fundamental en el ámbito laboral. Errores habituales como la falta de información a candidatos o el uso inadecuado del móvil del personal pueden conllevar sanciones importantes.
A continuación, destacamos los puntos clave que toda organización debería revisar:
1. Durante toda la relación laboral
El tratamiento de datos empieza en el proceso de selección y continúa durante toda la relación laboral, incluyendo nóminas, dispositivos, geolocalización, etc.
En general, no es necesario el consentimiento expreso si es necesario para el contrato (RGPD art. 6.1.b), pero sí debe informarse previamente de forma clara y específica sobre cómo se tratarán esos datos.
2. Uso indebido de datos
Es ilícito el uso de los datos personales con finalidades diferentes a las informadas. Por ejemplo, un tribunal en abril de 2024, consideró una vulneración grave el hecho de que una empresa utilizara el currículum vitae presentado en un proceso de selección con fines disciplinarios, tras detectar incongruencias con la vida laboral registrada en la Seguridad Social.
3. Datos especialmente protegidos
Datos como los relativos al origen étnico o racial, las opiniones políticas, las creencias religiosas o filosóficas, la afiliación sindical, la salud o la biometría, así como las relativas a la vida sexual o a la orientación sexual de una persona, sólo pueden tratarse con consentimiento expreso o por imperativo legal.
Por ejemplo: en sistemas de control horario que emplean datos biométricos (como la huella digital), se debe informar previamente y recabar el consentimiento expreso, pero también requieren una evaluación de impacto en protección de datos. En caso contrario, las sanciones económicas pueden ser muy elevadas.
Recordad, como ya os hemos informado en comunicaciones anteriores, la AEPD considera que el consentimiento no siempre es válido, ya que puede considerarse viciado por la existencia de una relación de desigualdad entre las partes, característica propia de la relación laboral.
4. Teléfono y correo personal
La empresa no puede exigir el número de teléfono personal ni incluir a empleados en grupos de WhatsApp sin el consentimiento expreso ni ofrecer una alternativa efectiva de comunicación.
Se considera abusiva y, por tanto, nula cualquier cláusula contractual mediante la cual la empresa solicite esta información con carácter general para comunicaciones relacionadas con la relación laboral, sin base legal suficiente ni consentimiento expreso.
Excepción: el Tribunal Supremo, en sentencia de abril de 2025, ha admitido la posibilidad de que la empresa utilice el número de teléfono o correo electrónico personales de la persona trabajadora sólo en casos de urgencia debidamente justificados, y siempre de forma excepcional, con el consentimiento expreso e informado de la persona afectada.
5. Encargados del tratamiento
Hay que tener contratos firmados (artículo 28 RGPD) con gestorías, servicios informáticos o proveedores entre otros, que traten datos personales por cuenta de la empresa. Sin estos contratos, la responsabilidad recae en la empresa.
6. Datos de nóminas
El tratamiento de datos como salario, cuenta bancaria, DNI, etc., requiere medidas de seguridad adecuadas para garantizar la seguridad y confidencialidad.
Externalizar este servicio no implica cesión de datos si se hace mediante un encargado debidamente contratado, y no requiere el consentimiento de la persona trabajadora.
7. Sanciones recientes impuestas por la AEPD y tribunales
- Como responsable de una brecha de seguridad provocada por la actuación negligente de un trabajador del departamento de recursos humanos, que envió por error a otro trabajador un correo electrónico con un fichero PDF no cifrado que contenía las nóminas de toda la plantilla. La sanción impuesta fue de 450.000 € (Resolución AEPD PS/00238/2024).
- Por no informar a un candidato sobre el tratamiento que se llevaría a cabo de sus datos personales contenidos en su currículum enviado a la empresa, vulnerando así el deber de información establecido por el RGPD (Resolución AEPD PS/00237/2021).
- Por utilizar el móvil personal de una persona trabajadora como herramienta de trabajo, enviándole mensajes de WhatsApp con datos de clientes, a pesar de las reiteradas negativas de la trabajadora e incluso después de la extinción de la relación laboral.
La empresa, como responsable del tratamiento, debería haber adoptado medidas técnicas y organizativas adecuadas para garantizar la seguridad de los datos. Esta garantía no se cumple cuando se envían datos de clientes a un dispositivo personal que puede no contar con medidas de seguridad adecuadas (Resoluciones AEPD PS/00505/2023 y PS/00505/2023)
- El Tribunal Superior de Justicia de Galicia (sentencia de 4 de marzo de 2024, EDJ 540047) reconoce una indemnización de 700 euros a un trabajador por vulneración de su derecho a la protección de datos, ya que no constó su consentimiento expreso para la cesión de datos a terceros (servicio de prevención y academia de formación), ni fue debidamente informado. De hecho, la academia llegó a enviarle un mensaje a través de su móvil personal por WhatsApp.
Recomendación final
Las últimas sanciones de la AEPD demuestran que muchos incumplimientos en materia de protección de datos laborales no responden a una voluntad dolosa, sino a malas prácticas internas o a la falta de formación del personal. Casos como el envío erróneo de nóminas o el uso inadecuado de WhatsApp evidencian cómo una actuación negligente puede derivar en responsabilidad para la organización.
Por ello, desde Sellarès Assessors insistimos en la importancia de formar adecuadamente a todas las personas con acceso a datos: personal, colaboradores y cargos responsables.
También es esencial disponer de protocolos claros y actualizados, como el del tratamiento de curriculums, que ya hemos compartido en comunicaciones previas.
Si aún no habéis implementado formaciones específicas o protocolos adaptados, os invitamos a solicitarnos una propuesta a medida. Os ofrecemos formación práctica en protección de datos para todos los niveles de la organización en formato e-learning y el diseño de protocolos y documentos operativos para tratamientos habituales (CVs, dispositivos personales, WhatsApp, videovigilancia…).
Os ayudamos a reforzar vuestra cultura de cumplimiento normativo y a prevenir riesgos antes de que se materialicen.
Para cualquier duda, quedamos a vuestra disposición.
Equipo de Protección de Datos – Sellarès Assessors
