El ojo que todo lo ve no siempre puede: hasta dónde llega el control empresarial sobre el correo y los dispositivos del trabajador
Photo: Cecil W. Stoughton, Public domain, via Wikimedia Commons
El ordenador del portátil, el teléfono corporativo, la cuenta de correo con dominio de la empresa: todo parece del empleador. Y sin embargo, el derecho español ha trazado una frontera nítida entre el control legítimo de los recursos de trabajo y la vigilancia desproporcionada que convierte a la plantilla en objeto de una inspección permanente. Conocer esa frontera es hoy esencial para empresas y trabajadores por igual.
El punto de partida: el deber de diligencia frente al derecho a la intimidad
El artículo 20 del Estatuto de los Trabajadores faculta al empresario a adoptar las medidas oportunas de vigilancia y control para verificar el cumplimiento de las obligaciones laborales. Pero ese poder de dirección choca frontalmente con el derecho a la intimidad y al secreto de las comunicaciones reconocidos en la Constitución.
La clave, como ha reiterado el Tribunal Constitucional, es la proporcionalidad. El control debe ser idóneo para el fin perseguido, el menos invasivo disponible y ponderado en su alcance. Un control que va más allá de lo necesario para verificar el rendimiento o prevenir el uso abusivo de los medios informáticos se convierte en una vulneración de derechos fundamentales.
Lo que dijo el Tribunal Supremo sobre el correo corporativo
La sentencia del Tribunal Supremo de 26 de septiembre de 2007 marcó el hito en esta materia. En un caso de envío masivo de correos personales durante la jornada, el Alto Tribunal admitió que la empresa podía acceder al contenido de las comunicaciones, pero estableció condiciones concretas: el control debía realizarse en presencia del trabajador o de sus representantes legales, y debía existir una previa prohibición del uso de los medios informáticos con fines personales.
De aquella sentencia se extraen tres reglas que siguen vigentes. Primera, si la empresa prohíbe expresamente el uso personal del correo y del equipo, el margen de intimidad del trabajador en esos medios se reduce considerablemente. Segunda, si el uso personal está permitido o tolerado, la empresa solo puede controlar el volumen, el horario y los destinatarios de las comunicaciones, no su contenido. Tercera, la forma de practicar el control —quién está presente, cómo se accede, qué se documenta— condiciona la validez de la prueba obtenida.
La capa añadida del RGPD y la LOPDGDD
Desde la entrada en vigor del Reglamento General de Protección de Datos, la vigilancia empresarial debe superar además el filtro de la transparencia y la minimización. La empresa, como responsable del tratamiento, debe informar a los trabajadores de la existencia de controles, de su finalidad y de su alcance, ya sea en el contrato, en el portal del empleado o en comunicaciones internas.
La Agencia Española de Protección de Datos ha precisado en sus guías que la videovigilancia, el control de la geolocalización de flotas o el registro de la actividad en el ordenador requieren una justificación específica y proporcionada. Instalar cámaras en zonas de descanso, registrar pulsaciones de teclado de forma continua o leer comunicaciones personales sin aviso previo son prácticas que la autoridad ha sancionado reiteradamente.
Cuando la prueba se derrumba: despidos anulados por vigilancia ilícita
La jurisprudencia social ofrece ejemplos ilustrativos de controles que los tribunales no toleraron. Se han declarado nulos despidos fundados en:
- Accesos a la cuenta de correo personal del trabajador abierta en el equipo corporativo, sin consentimiento y sin presencia de representación.
- Grabaciones de vídeo practicadas durante semanas sobre un único empleado, sin incidentes previos que justificaran una vigilancia tan intensiva.
- Capturas del contenido de mensajes entre compañeros obtenidas mediante software de monitorización oculto, nunca comunicado a la plantilla.
En estos supuestos, el despido puede declararse nulo por vulneración de derechos fundamentales, con el consiguiente abono de los salarios de tramitación y, en su caso, la readmisión o la indemnización de daños y perjuicios. La prueba ilícita no solo no sirve: agrava la posición procesal de la empresa.
Recomendaciones prácticas para cada parte
Para las empresas, la receta es sencilla en su formulación y exigente en su ejecución: redactar una política de uso de medios informáticos clara y difundida, informar sobre los controles que se practican, limitarlos a lo estrictamente necesario y documentar los procedimientos de acceso, idealmente con presencia del afectado o de sus representantes.
Para los trabajadores, conviene recordar que la moderación es la mejor defensa: el uso personal del correo corporativo, aunque tolerado, nunca es completamente privado. Y cuando la vigilancia supera lo razonable —cámaras en zonas íntimas, monitorización fuera de la jornada, acceso a comunicaciones personales—, existe una vía de protección que va desde la tutela de derechos fundamentales ante los juzgados de lo social hasta la reclamación ante la Agencia de Protección de Datos.
Conclusión
El control empresarial es legítimo, pero no ilimitado. La proporcionalidad, la transparencia y el respeto a la intimidad son las tres varillas que sostienen la balanza. Cuando la empresa las ignora, la prueba que obtiene puede costarle mucho más caro que el abuso que pretendía sancionar.
