Monitorización del ordenador del empleado: límites legales

Una de las preguntas que más se repiten en las empresas es: «¿puedo monitorizar el ordenador corporativo de mi empleado?». La respuesta corta: sí, con ciertas condiciones. Pero saltarse esas condiciones convierte una herramienta de productividad en un riesgo jurídico.

Este artículo es información general y no sustituye al asesoramiento jurídico. Consulta siempre a un asesor legal antes de cualquier implantación concreta.

El marco legal: ¿qué dicen el RGPD y la LOPDGDD?

El Reglamento General de Protección de Datos y la Ley Orgánica 3/2018 (LOPDGDD) reconocen que la actividad de una persona trabajadora en los dispositivos de la empresa también puede ser dato personal. Su artículo 87 regula expresamente el derecho a la intimidad frente al uso de dispositivos digitales en el ámbito laboral, y el artículo 20.3 del Estatuto de los Trabajadores ampara la facultad de control del empresario dentro de ciertos límites.

• Licitud y buena fe: la monitorización no puede ser secreta ni encubierta, sino apoyarse en una base jurídica conocida y legítima.
• Finalidad determinada y legítima: no vale un «por si acaso»; hay que definir un fin concreto, como la seguridad de la información, la productividad o una obligación legal.
• Proporcionalidad: no debe recogerse más dato del necesario para la finalidad (leer el contenido de mensajes privados suele ser desproporcionado).
• Limitación del plazo de conservación: los datos no deberían guardarse más tiempo del necesario para el fin perseguido.

Información previa y política interna: los dos pasos más críticos

La jurisprudencia del Tribunal Constitucional, del Tribunal Supremo y del Tribunal Europeo de Derechos Humanos (caso Bărbulescu) coincide en lo esencial: la persona trabajadora debe ser informada de forma previa y expresa sobre el control. Los registros obtenidos con una monitorización no informada pueden declararse ilícitos y perder valor probatorio en juicio.

• Información previa (arts. 13 y 14 del RGPD): qué datos, con qué finalidad, durante cuánto tiempo y por qué medio se tratan debe comunicarse por escrito.
• Política interna: el alcance del control debe documentarse en un anexo al contrato o en una política de uso de medios informáticos.
• Participación de la representación legal: cuando exista comité de empresa o delegados de personal, conviene informarles antes de implantar el control.
• Seguridad de los datos (art. 32 del RGPD): el acceso a los datos de monitorización debe limitarse a personas autorizadas y conservarse cifrado.
• Solo dispositivos corporativos: monitorizar el dispositivo personal de una persona trabajadora está sujeto a condiciones mucho más estrictas; como regla, limítate a los equipos de la empresa.

¿Cómo es en la práctica una monitorización proporcionada?

El principio de proporcionalidad significa «ver el patrón de uso» en lugar de «leer el contenido». Por ejemplo, ver cuánto tiempo se dedica a cada aplicación y cuánto a sitios ajenos al trabajo basta para la mayoría de las finalidades; acceder al contenido de mensajes privados, en cambio, suele ser desproporcionado.

• Opta por informes centrados en la duración y la categoría, no en el contenido.
• Un control limitado a la jornada laboral es más proporcionado que uno permanente.
• Restringe el acceso a personas autorizadas y conserva los datos cifrados.

Usar Spektio sobre una base lícita

En los dispositivos de la empresa, Spektio informa por categorías de los tiempos de aplicación, web y juego y del tiempo de pantalla; ofrece visibilidad de uso, no revelación de contenido. Esto encaja con un modelo de control que respeta el principio de proporcionalidad.

Montar bien la responsabilidad depende de ti: usa Spektio únicamente en equipos propiedad de la empresa, informando previamente a la plantilla y documentándolo en tu política interna. Define quién está autorizado a acceder a los datos y unos plazos de conservación razonables.