En el día a día de una PYME, es frecuente que salten las alarmas: una bajada drástica en el rendimiento de un trabajador, la sospecha de fuga de información confidencial hacia la competencia o el uso abusivo de los medios tecnológicos de la empresa para fines personales durante la jornada. Ante esta situación, la reacción natural de la gerencia suele ser acceder al ordenador corporativo o revisar la bandeja de entrada del correo electrónico del empleado para verificar qué está ocurriendo.
Sin embargo, en el Derecho Laboral español, este paso en falso puede resultar catastrófico. Un acceso indebido al equipo del trabajador no solo invalida cualquier prueba obtenida —provocando de forma automática la nulidad del despido disciplinario y obligando a la readmisión o al pago de indemnizaciones máximas—, sino que puede derivar en sanciones gravísimas por parte de la Agencia Española de Protección de Datos (AEPD) e incluso en responsabilidades penales por descubrimiento y revelación de secretos (artículo 197 del Código Penal).
Cómo vigilar los ordenadores sin arriesgar la nulidad de un despido
El artículo 20.3 del Estatuto de los Trabajadores (ET) faculta al empresario para adoptar las medidas de vigilancia y control que estime más oportunas para verificar el cumplimiento por el trabajador de sus obligaciones y deberes laborales. Asimismo, los ordenadores, portátiles y teléfonos móviles puestos a disposición de la plantilla son herramientas de trabajo de propiedad empresarial.
Ahora bien, este poder de fiscalización no es absoluto. Colisiona frontalmente con derechos fundamentales garantizados por la Constitución Española:
- El derecho a la intimidad personal (artículo 18.1 CE).
- El secreto de las comunicaciones (artículo 18.3 CE).
- El derecho a la protección de datos (artículo 18.4 CE).
El Tribunal Constitucional y el Tribunal Supremo han dejado claro que el puesto de trabajo no es un espacio libre de derechos fundamentales y que el uso de medios informáticos corporativos genera una cierta «expectativa razonable de intimidad», a menos que la empresa haya establecido previamente reglas del juego claras y transparentes.
La Doctrina Barbulescu y la doctrina del Tribunal Supremo: ¿qué exige la ley?
La jurisprudencia actual en España está fuertemente marcada por la famosa sentencia del Tribunal Europeo de Derechos Humanos (TEDH) en el Caso Bărbulescu II (2017) y por las sentencias posteriores del Tribunal Supremo. De este cuerpo doctrinal se extrae una regla de oro: la empresa solo puede controlar los equipos si ha prohibido expresamente su uso personal y ha advertido previamente de la posibilidad de supervisión.
Para que un control sobre los medios informáticos sea considerado legítimo y válido en un juicio laboral, la actuación empresarial debe superar de forma estricta el juicio de proporcionalidad, compuesto por tres requisitos acumulativos:
- Juicio de idoneidad: La medida debe ser capaz de conseguir el objetivo pretendido (verificar si existe o no la infracción laboral).
- Juicio de necesidad: Debe demostrarse que no existían otras medidas menos intrusivas para la intimidad del trabajador que permitieran obtener el mismo resultado.
- Juicio de proporcionalidad en sentido estricto: El control debe aportar más beneficios a la empresa (protección del patrimonio, confidencialidad) que perjuicios al derecho a la intimidad del empleado, limitándose estrictamente al ámbito temporal y material necesario.
El protocolo de uso informático: el documento que salva a la empresa en los tribunales
La pieza clave para eliminar la «expectativa de intimidad» y validar cualquier auditoría informática es la Política de Uso de Medios Tecnológicos o Protocolo Informático. Sin este documento previo, cualquier registro de un ordenador o correo corporativo será considerado nulo de pleno derecho.
Requisitos obligatorios de una política informática eficaz:
- Participación de la representación de los trabajadores: El artículo 64 del Estatuto de los Trabajadores exige emitir informe previo a los delegados de personal o comité de empresa antes de implantar sistemas de control del trabajo.
- Prohibición absoluta o regulación clara del uso personal: Debe especificar si los equipos, correos y acceso a Internet pueden utilizarse para asuntos ajenos a la actividad laboral o si queda totalmente prohibido.
- Aviso expreso de la facultad de control: Debe informar a la plantilla de que la empresa se reserva el derecho de supervisar, auditar y revisar el uso de los dispositivos mediante herramientas de software o registros periódicos.
- Firma y entrega por escrito: No basta con publicar la política en la intranet de la empresa. Cada trabajador debe firmar un acuse de recibo en el momento de su incorporación o en la entrega del dispositivo informático.
Herramientas de software y límites: ¿qué se puede monitorear y qué está prohibido?
No todas las tecnologías de vigilancia son admisibles ante un juez. La selección de la herramienta de control debe ajustarse siempre al criterio de mínima intromisión.
Prácticas permitidas (siempre que exista protocolo previo):
- Revisión del correo electrónico corporativo: Filtrado o búsqueda de correos mediante palabras clave vinculadas a la infracción investigada (por ejemplo, nombres de clientes, archivos confidenciales o competidores).
- Análisis del historial de navegación y tráfico de red: Comprobar los dominios visitados o el tiempo de conexión a páginas no relacionadas con el trabajo durante la jornada.
- Control de accesos y archivos: Monitorizar el volumen de descargas o la copia de información corporativa en dispositivos de almacenamiento externos (USB).
Prácticas desproporcionadas y prohibidas (riesgo de nulidad y delito):
- Keyloggers y captura continuada de pantalla: Instalar software espía que grabe cada pulsación de tecla o tome capturas continuas de la pantalla vulnera el núcleo duro de la intimidad.
- Acceso a carpetas etiquetadas como «Personal»: Si la empresa tolera cierto uso personal y el empleado guarda archivos bajo la denominación «Personal» o «Mis Documentos», su apertura directa sin garantías procesales invalida la prueba.
- Instalación de herramientas secretas sin sospecha previa: Salvo en investigaciones de delitos o faltas muy graves con indicios racionales, el espionaje indiscriminado a toda la plantilla no es admisible.
Pasos para realizar la auditoría de un equipo sin arriesgar la nulidad del despido
Si la empresa detecta indicios claros de una falta disciplinaria (por ejemplo, revelación de secretos o abandono continuado del puesto) y necesita revisar el ordenador de un empleado, debe seguir un protocolo de actuación riguroso:
- Verificación del protocolo: Comprobar que el trabajador firmó el documento de prohibición de uso personal y aviso de monitorización.
- Justificación de la sospecha: Documentar los indicios previos que motivan la revisión (quejas, caídas anormales de rendimiento, alertas de seguridad).
- Presencia del trabajador y representantes: Citar al empleado e invitar a la representación legal de los trabajadores (o a un testigo) para presenciar la apertura del equipo.
- Intervención notarial o pericial: Contar con un perito informático o requerir presencia notarial para levantar acta de la extracción de evidencias, garantizando la cadena de custodia.
- Búsqueda acotada: Realizar búsquedas por palabras clave o acotadas al periodo objeto de investigación, sin examinar contenido personal ajeno al caso.
Asesoramiento laboral preventivo para empresas y departamentos de Recursos Humanos
La línea que separa la legítima fiscalización empresarial de la vulneración de derechos fundamentales es sumamente delgada. En materia disciplinaria, una prueba informática contaminada invalida por completo la causa del despido, transformando una falta muy grave del trabajador en una contingencia económica para la empresa.
En Ofidem ayudamos a las compañías a redactar e implantar políticas de uso de medios informáticos, diseñar protocolos de auditoría conforme a la doctrina del Tribunal Supremo y gestionar la tramitación de despidos disciplinarios con plena seguridad jurídica. Puedes contactar con nosotros para escuchar tu caso.