La protección de datos en el ámbito laboral es uno de los frentes más activos de la AEPD. Las reclamaciones de trabajadores contra sus empresas crecieron un 49 % en 2024, superando por primera vez las 1.000 denuncias en un solo año. Y la tendencia en 2025 se ha acelerado.
El empleado es un interesado cuyos datos personales trata la empresa. Y ese tratamiento abarca mucho más que el nombre en la nómina: control horario, videovigilancia, correo electrónico corporativo, historial médico de bajas, datos sindicales, seguimiento de actividad en dispositivos de empresa y expedientes disciplinarios.
Cada uno de esos tratamientos tiene sus reglas. Y no conocerlas no exime de la sanción.
Casos reales de multas por datos de empleados
Envío masivo de nóminas al destinatario equivocado — 270.000 €
El departamento de Recursos Humanos de una empresa envió por error un correo electrónico con las nóminas de 447 trabajadores a destinatarios no autorizados. El correo contenía nombres completos, DNI, número de afiliación a la Seguridad Social y número de cuenta bancaria de casi medio millar de personas.
La AEPD tramitó el expediente sancionador y fijó una sanción de 270.000 euros, reducida por pago voluntario y reconocimiento de responsabilidad.
Qué falló: Error humano en el envío, pero la empresa no tenía procedimientos técnicos para prevenir este tipo de incidentes (como listas de distribución cerradas, doble verificación del destinatario en envíos masivos o herramientas específicas de gestión de nóminas).
Publicación de datos de empleados en tablón durante despido colectivo — 1.000 €
El presidente de un comité de empresa publicó en el tablón de anuncios de la empresa los datos personales de los trabajadores afectados por un despido colectivo, incluyendo información que quedó visible para personas externas a la empresa.
La AEPD lo sancionó con 1.000 euros. La multa fue relativamente baja porque el infractor fue el representante de los trabajadores, no la empresa. Pero la situación es un recordatorio de que los representantes sindicales tambjén están sujetos al RGPD.
Los tratamientos de datos más problemáticos en RRHH
1. Control horario y geolocalización
Desde 2019, el registro de la jornada laboral es obligatorio en España. Muchas empresas lo hacen con apps móviles que incluyen geolocalización. Para que sea legal:
- El control horario digital es perfectamente válido.
- La geolocalización en tiempo real solo es proporcionada si la función del trabajador lo justifica (transportistas, comerciales con desplazamiento).
- El empleado debe ser informado de qué datos se recogen, durante cuánto tiempo y con qué finalidad.
- Los datos de geolocalización no pueden usarse para otros fines distintos al control de presencia.
2. Videovigilancia laboral
Las cámaras en el entorno de trabajo pueden usarse para controlar el cumplimiento laboral, pero con condiciones estrictas:
- Los empleados deben ser informados previamente de la existencia de cámaras y de que se usan para control laboral.
- Las cámaras deben estar en zonas donde se desarrolla la actividad laboral, no en espacios de descanso.
- La videovigilancia encubierta solo es legal en casos muy excepcionales: sospechas fundadas de infracción grave y durante un periodo limitado.
- Las grabaciones no pueden conservarse más de 30 días salvo que exista un incidente que lo justifique.
3. Correo electrónico corporativo y dispositivos de empresa
El empleado tiene una expectativa razonable de privacidad incluso en los sistemas de la empresa. Para que la monitorización del correo corporativo o de los dispositivos de empresa sea legal:
- La empresa debe haber informado previamente y por escrito de que puede monitorizar esos sistemas.
- La política de uso aceptable de los dispositivos debe estar documentada y firmada por el empleado.
- La monitorización solo puede usarse para fines laborales legítimos, no para seguimiento personal del trabajador.
4. Datos de salud y bajas médicas
Las bajas médicas implican datos de salud, que son categoría especial. La empresa tiene derecho a conocer la situación de incapacidad temporal del trabajador (para gestionar la sustitución y la cotización), pero no el diagnóstico médico.
Un error frecuente: pedir al empleado que aporte el parte médico con el diagnóstico cuando solo se necesita el certificado de baja (que no incluye el diagnóstico). Exigir el diagnóstico es una infracción.
5. Selección de personal y CVs
Los datos de los candidatos que no son contratados deben ser eliminados en un plazo razonable (6-12 meses es la práctica habitual, aunque la normativa no fija un plazo exacto). Guardar CVs indefinidamente ‘por futuras oportunidades’ sin consentimiento del candidato es una infracción.
Si quieres conservar CVs de candidatos para futuras posiciones, necesitas su consentimiento explícito para ese fin.
6. Expedientes disciplinarios y despidos
La documentación generada en un procedimiento disciplinario (amonestaciones, comunicaciones, actas) contiene datos personales del trabajador. Ese expediente:
- Solo puede acceder a él quien tenga necesidad legítima (RRHH, dirección, legal).
- No puede compartirse con terceros sin base legal.
- Debe conservarse el tiempo necesario para la posible reclamación judicial y eliminarse después.
La guía actualizada de la AEPD sobre relaciones laborales (diciembre 2025)
La AEPD publicó en diciembre de 2025 una guía actualizada específicamente sobre protección de datos en el entorno laboral. Sus puntos clave:
- El consentimiento del trabajador no es base legal válida para la mayoría de los tratamientos laborales, porque la relación laboral crea una asimetría de poder que hace que el consentimiento no sea libre.
- La base legal principal en RRHH es la ejecución del contrato (art. 6.1.b RGPD) y el cumplimiento de obligaciones legales (art. 6.1.c).
- La empresa debe informar a cada trabajador mediante una cláusula informativa en el momento de la contratación o antes del inicio de cada nuevo tratamiento.
- El control empresarial debe ser proporcional: la medida de control más intrusiva solo es válida si no existe una menos invasiva que logre el mismo fin.
Checklist de RRHH para empresas en Valencia
- Los contratos de trabajo incluyen una cláusula informativa completa sobre protección de datos.
- Tienes documentada la política de uso de dispositivos y sistemas corporativos, firmada por los empleados.
- El control horario digital cumple con los requisitos de información al trabajador.
- La videovigilancia en el entorno laboral está correctamente señalizada y documentada.
- No solicitas diagnósticos médicos, solo partes de baja.
- Los CVs de candidatos no contratados se eliminan o cuentas con su consentimiento para conservarlos.
- Los expedientes disciplinarios solo son accesibles para las personas con necesidad legítima.
- Las nóminas y documentos con datos sensibles se envían por canales seguros con verificación de destinatario.
- Tienes un procedimiento para gestionar solicitudes de derechos de los empleados (acceso, rectificación, etc.).
En Protección de Datos Valencia ayudamos a departamentos de RRHH de empresas valencianas a revisar sus procedimientos y documentarlos correctamente. Una hora de asesoramiento puede evitar sanciones de cinco o seis cifras. Solicita una consulta gratuita.
Fuentes: Memoria AEPD 2024-2025, iberley.es (caso nóminas 270.000ª), economistjurist.es (despido colectivo 1.000ª), Guía AEPD Protección de Datos en las Relaciones Laborales (diciembre 2025)
¿Necesitas cumplir con el RGPD?
Habla con nuestros expertos en protección de datos en Valencia. Consulta gratuita y sin compromiso.