En un entorno empresarial marcado por la digitalización acelerada, en diciembre de 2025 la Agencia Española de Protección de Datos (AEPD) publicó una actualización de su guía sobre la protección de datos en las relaciones laborales, estableciendo nuevos estándares que regirán las interacciones entre empleadores y trabajadores.
Para hablar de estas actualizaciones de cumplimiento, comencemos con pequeñas preguntas que nos van a llevar a profundizar en una realidad más grande. Por ejemplo: ¿llevas meses usando el lector de huella dactilar para el registro de jornada? Funciona, es rápido y nadie se queja. Y de repente descubres que, a partir de 2026, eso ya no es legal. ¿Qué haces? O tienes una cláusula en tus contratos donde los trabajadores «consienten» el tratamiento de sus datos. Creías que con eso estabas cubierto. La AEPD acaba de decirte que no.
Estas no son situaciones hipotéticas. Son el día a día de muchas empresas que, sin mala intención, están gestionando los datos de sus equipos con prácticas que ya no encajan con la normativa vigente.
En Biplaza hemos analizado los cambios clave de la nueva guía y queremos contarles de una forma que realmente puedas aplicar. Hablemos acerca de lo que cambia en 2026 y cómo gestionarlo sin que se convierta en un problema.
PUNTOS CLAVE DEL ARTÍCULO
- El fin de la era del consentimiento. Por qué el empleador ya no puede basarse en la firma del trabajador para legitimar el tratamiento de sus datos.
- La prohibición de la biometría. Análisis del cambio de criterio de la AEPD y las alternativas legales para el control de presencia.
- Inteligencia Artificial y Algoritmos. Cómo gestionar la toma de decisiones automatizada sin incurrir en sesgos discriminatorios ni sanciones de la UE AI Act.
- Registro de Jornada Digital. Requisitos técnicos para la trazabilidad total ante la Inspección de Trabajo.
- Protección de colectivos vulnerables. Protocolos específicos para víctimas de acoso y violencia de género.
El consentimiento en el contrato ya no es suficiente.
La protección de datos no es una realidad estática, sino un derecho dinámico que se adapta a las fluctuaciones de la tecnología y las nuevas formas de prestación de servicios, como el teletrabajo y la movilidad geográfica. La base sobre la cual se construye todo el andamiaje del tratamiento de datos en el trabajo ha sufrido una transformación conceptual profunda.
Durante años, muchas empresas incluyeron en sus contratos laborales una cláusula del tipo «el trabajador consiente el tratamiento de sus datos personales para la gestión de la relación laboral». Parecía suficiente. Era sencillo. Tenías una firma. El problema es que ese consentimiento nunca fue realmente libre.
Tradicionalmente, muchas empresas confiaban en cláusulas genéricas de consentimiento insertas en el contrato laboral. Sin embargo, la doctrina establecida por el Comité Europeo de Protección de Datos (CEPD) y ratificada por la AEPD en su guía de 2025, determina que el consentimiento del afectado no es una base jurídica válida cuando se proporciona en un contexto de desequilibrio claro entre el interesado y el responsable del tratamiento.
Esto, ¿qué quiere decir?
En el ámbito de las relaciones laborales, la base jurídica principal es la ejecución del contrato de trabajo o la aplicación de medidas precontractuales. El Art. 6.1.c del RGPD permite el tratamiento de datos para el registro de jornada, la prevención de riesgos laborales o la comunicación con los representantes de las personas trabajadoras.
Como empleador o empleadora debes tratar aquellos datos estrictamente necesarios para formalizar la relación, abonar la nómina y cumplir con las obligaciones de seguridad social.
El interés legítimo, por su parte, se erige como una base complementaria pero peligrosa, ya que exige que sobre dicho interés no prevalezcan los derechos y libertades fundamentales del trabajador, lo que obliga a realizar un juicio de proporcionalidad en tres etapas: idoneidad, necesidad y proporcionalidad en sentido estricto.
¿Puede un trabajador negarse a firmar cuando necesita ese empleo? Difícilmente. Y tanto el Comité Europeo de Protección de Datos como la AEPD han sido muy claros: cuando hay una relación de poder tan evidente como la que existe entre empresa y empleado, el consentimiento no puede ser la base jurídica del tratamiento.
Esto no significa que no puedas tratar los datos de tus empleados. Significa que tienes que hacerlo con la base jurídica correcta.
¿Cuál es la correcta? Depende de qué datos y para qué fin. Lo primero que debes tener en cuenta a nivel genérico:
| Base jurídica | Cuándo aplica | Qué debes tener en cuenta |
| Ejecución del contrato | Nóminas, altas en seguridad social, gestión diaria | Solo datos imprescindibles. Nada más. |
| Obligación legal | Registro de jornada, prevención de riesgos, cotizaciones | Cita la ley que te obliga. Siempre. |
| Interés legítimo | Control de seguridad, comunicaciones internas | Requiere análisis de proporcionalidad. No es automático. |
| Consentimiento | Casos muy específicos y voluntarios | Debe ser libre, específico y revocable sin consecuencias. |
Revisa tus contratos y documentos internos. Si estás apoyando el tratamiento de datos en el consentimiento genérico del trabajador, es momento de actualizarlo.
Selección de personal: lo que puedes investigar y lo que no.
La fase previa a la contratación es el primer momento de exposición al riesgo normativo. Y es que la indagación en los perfiles de redes sociales de las personas candidatas se ha convertido en una práctica habitual pero cargada de restricciones legales.
La AEPD es taxativa: el hecho de que un perfil sea público no otorga una licencia ilimitada al empleador para tratar esos datos. La consulta solo está justificada si el puesto de trabajo requiere específicamente una revisión de la actividad profesional del candidato en redes de corte laboral (como LinkedIn) para evaluar riesgos específicos de la función, y siempre que se haya informado previamente al candidato.
El principio de minimización de datos exige que solo se soliciten aquellos datos relevantes para el desempeño del puesto. La solicitud indiscriminada de informes de vida laboral es una práctica que debe revisarse bajo el prisma de la proporcionalidad.
Aunque la empresa puede alegar un interés legítimo para verificar la veracidad de la experiencia previa, no es lícito exigir la vida laboral completa si existen medios menos invasivos, como cartas de recomendación o certificados de funciones. Además, el tratamiento de los antecedentes penales sigue estando reservado a aquellos supuestos autorizados expresamente por una ley (como el contacto con menores o la prevención del blanqueo de capitales), siendo nula cualquier cláusula contractual que lo exija fuera de estos marcos.
Un avance significativo es el control sobre las decisiones automatizadas en los procesos de selección. El uso de algoritmos de filtrado inicial (criba curricular) debe ir acompañado de mecanismos que garanticen el derecho del candidato a obtener intervención humana, expresar su punto de vista e impugnar la decisión.
Las empresas deben realizar una Evaluación de Impacto en la Protección de Datos (EIPD) antes de implementar sistemas de Inteligencia Artificial para la selección, asegurándose de que el algoritmo no contenga sesgos discriminatorios por razón de edad, género o procedencia étnica.
RECUERDA | Ningún algoritmo puede discriminar por edad, género o procedencia. Si no puedes demostrar que el tuyo no lo hace, tienes un problema.
El desarrollo de la relación laboral y la cultura de la transparencia.
Una vez establecida la relación laboral, el derecho a la protección de datos se manifiesta en la gestión cotidiana de las nóminas, la productividad y los sistemas internos.
En el caso de las nóminas, la empresa debe abstenerse de incluir información superflua. Un error común es reflejar de forma explícita la afiliación sindical o el detalle del diagnóstico médico en el recibo de salarios, documentos que el trabajador suele presentar ante terceros (entidades bancarias, arrendadores).
Las nóminas son documentos que los trabajadores presentan ante terceros: bancos, arrendadores, administraciones. Eso significa que información sensible como la afiliación sindical o el detalle de un diagnóstico médico puede quedar expuesta sin que nadie lo pretendiera.
→La recomendación es clara: identifica esos conceptos en la nómina de forma que no permitan a terceros conocer datos sensibles. Revisa cómo están reflejados en tus recibos de salarios.
Por su parte, el registro de salarios, obligatorio según el Art. 28.2 del Estatuto de los Trabajadores y el Real Decreto 902/2020, plantea desafíos de privacidad en pequeñas y medianas empresas.
Cuando una categoría profesional cuenta con un número muy reducido de personas (por ejemplo, un solo directivo hombre y una sola directiva mujer), el dato disociado se convierte por deducción en un dato personal identificable. En estos escenarios, como empleador o empleadora debes extremar las cautelas de seguridad y limitar el acceso a la representación legal de los trabajadores bajo deber de sigilo profesional.
Adiós a la huella dactilar. Qué hacer ahora.
El año 2026 marca el punto de no retorno para el uso de la biometría convencional. Tras la guía de la AEPD sobre control de presencia biométrico y diversos pronunciamientos judiciales, la huella dactilar se considera una medida desproporcionada para el registro de jornada.
Si todavía usas lectores biométricos para el registro de presencia, tienes que cambiarlo. El uso de la huella dactilar para el control horario se considera desproporcionado y, por tanto, ilícito.
La razón es simple: una huella dactilar es un dato que no puedes cambiar si hay una filtración. No es como una contraseña. El daño sería irreparable. Existen alternativas como las tarjetas RFID, los códigos PIN o las aplicaciones en dispositivos móviles que logran el mismo fin (identificar al trabajador) sin captar una característica física inmutable que, en caso de filtración, supondría un daño irreparable para la identidad del individuo.
| Sistema | Nivel de riesgo (2026) | ¿Es válido? |
| Huella dactilar | Crítico | No. Debe sustituirse. |
| Reconocimiento facial | Muy alto | Solo en infraestructuras críticas. |
| Tarjeta NFC / RFID | Bajo | Sí. Estándar recomendado. |
| PIN en dispositivo | Bajo | Sí, con medidas de seguridad. |
| App en móvil corporativo | Medio | Sí, con información previa al trabajador. |
| Geolocalización | Medio | Válida solo en horario laboral y con información previa. |
El registro de jornada digital: ya no es optativo.
El papel y el Excel tienen los días contados. La normativa exige que el registro de jornada sea íntegramente digital, con trazabilidad total y sin posibilidad de manipulación a posteriori.
Y hay algo que cambia la ecuación por completo: los inspectores de trabajo podrán consultar los registros en tiempo real y de forma remota. Sin aviso previo. Sin margen para preparar documentación.
TE PUEDE INTRESAR | Registro de Jornada Digital Obligatorio. Normativa y claves.
¿Qué debe garantizar tu sistema de registro?
- Inalterabilidad: sellado de tiempo y registros de auditoría (logs) que demuestren que el dato no ha sido modificado.
- Accesibilidad individual: cada trabajador debe poder consultar y descargar sus propios fichajes en cualquier momento.
- Seguridad: servidores europeos, cifrado de extremo a extremo y cumplimiento del RGPD.
Para las empresas acogidas a la ZEC, esto tiene además una dimensión estratégica: el registro horario digital es una de las herramientas clave para justificar ante auditorías externas que la actividad empresarial en Canarias es real y sostenida.
Cámaras, GPS y WhatsApp: tres temas que hay que tener claros.
→Videovigilancia
La instalación de cámaras en el lugar de trabajo sigue siendo lícita para el control laboral (Art. 20.3 ET), pero su implementación debe seguir el estricto marco: hay zonas donde jamás pueden instalarse: vestuarios, aseos, comedores o zonas de descanso. Aemás, el uso de videovigilancia que analice expresiones faciales o detecte fatiga se considera desproporcionado e ilícito, salvo excepciones de seguridad extrema.
La clave: carteles visibles, finalidad clara y capas de información al trabajador. Sin atajos.
→Geolocalización
El uso de sistemas GPS en vehículos o dispositivos móviles es una herramienta de optimización logística, pero su uso para el control de jornada debe ser restrictivo. La empresa no tiene legitimidad para activar la geolocalización fuera del horario laboral.
El derecho a la desconexión digital, reforzado en 2026 por la presión de la Inspección de Trabajo, prohíbe el envío de comunicaciones de trabajo fuera de la jornada oficial que exijan una respuesta inmediata, considerándose nula cualquier cláusula que obligue al trabajador a estar «localizable» de forma permanente sin una compensación específica y una base legal de guardia.
Puedes usar GPS en vehículos o móviles para optimizar rutas o controlar la jornada. Pero tienes que informar al trabajador y, fuera de horario laboral, el sistema debe estar apagado. El derecho a la desconexión digital no es solo una frase bonita: en 2026 la Inspección de Trabajo está reforzando su control sobre esto.
→WhatsApp para comunicaciones de empresa
Solo es válido si es una cuenta corporativa y si el trabajador ha sido informado de que ese canal se usa. Usar el número personal del trabajador para comunicaciones laborales obligatorias no cumple con el principio de minimización. Salvo consentimiento libre y específico.
Víctimas de acoso y violencia de género: un deber de sigilo que no admite improvisación.
La guía de la AEPD de diciembre de 2025 dedica una sección crítica a la privacidad de las víctimas de acoso en el trabajo y de las mujeres supervivientes a la violencia de género. Estas situaciones exigen un tratamiento de datos con «cautela extrema», donde la confidencialidad no es solo un deber legal, sino una medida de seguridad física para la persona trabajadora. Gestionar mal los datos de una víctima de acoso o de violencia de género puede suponer, en el peor de los casos, un riesgo físico real para esa persona.
El empleador tiene obligación legal de actuar ante una situación de acoso (Art. 14 LPRL). En estos casos, el tratamiento de los datos de la víctima no requiere su consentimiento para iniciar el procedimiento sancionador frente al acosador, pues la base jurídica es el cumplimiento de una obligación legal. Sin embargo, la identidad de la víctima solo debe revelarse ante las personas estrictamente necesarias para el esclarecimiento de los hechos.
Una buena práctica: asigna un código identificativo único a la víctima en toda la documentación interna. Solo el expediente disciplinario puede contener su nombre real.
En el caso de trabajadoras supervivientes de violencia de género, la empresa podrá tratar sus datos solo cuando sea necesario para que ejerzan sus derechos laborales: movilidad geográfica, adaptación de jornada o suspensión del contrato. Y esa información no puede aparecer en cuadrantes de turnos ni tablones accesibles por otros compañeros.
TE RECOMENDAMOS LEER | El impacto de la Ley Orgánica 10/2022 para el protocolo de acoso sexual y por razón de sexo.
Salud, wearables y el límite de lo que puedes saber sobre tu equipo.
El reconocimiento médico obligatorio existe para proteger al trabajador, no para informar al empleador. Lo que tienes derecho a saber como empresa es una sola cosa: si el trabajador es apto o no apto para el puesto. El diagnóstico concreto no es tuyo.
En 2026, la irrupción de la tecnología wearable (relojes y pulseras inteligentes) en la empresa plantea conflictos de privacidad. La monitorización continua de las constantes vitales del trabajador está prohibida si su finalidad es el control de la productividad o la vigilancia genérica de la salud. Solo se admite en casos excepcionales de riesgos específicos (como trabajadores en solitario en entornos peligrosos), siempre que los datos sean tratados por el servicio de prevención y el empleador solo reciba alertas de emergencia o valoraciones de aptitud, nunca el flujo de datos médicos en bruto.
El canal de denuncias: obligatorio y estratégico.
Si tienes más de 50 trabajadores, la Ley 2/2023 te obliga a tener un canal de denuncias. Pero más allá de la obligación, es una herramienta que, bien gestionada, protege a tu organización.
Tres cosas que no pueden fallar:
- Confidencialidad absoluta: la identidad del denunciante nunca se revela al denunciado en ninguna fase de la investigación.
- Plazos de conservación: los datos deben suprimirse en un máximo de tres meses desde su introducción, salvo que la investigación continúe en vía judicial o disciplinaria.
- Información a toda la plantilla: todos los empleados deben saber que el canal existe. A través del contrato, de circulares o del tablón digital.
TE RECOMENDAMOS LEER | Las obligaciones laborales básicas de una empresa.
Las tendencias que definirán la gestión de personas en los próximos años.
El futuro de la gestión de personas se define por cuatro ejes fundamentales que impactan directamente en la privacidad:
| Tendencia | Impacto en privacidad | Lo que recomendamos desde Biplaza |
| IA agéntica | Decisiones complejas basadas en datos masivos | Auditoría algorítmica y supervisión humana obligatoria. |
| Salud mental y riesgos psicosociales | Aumento de bajas y datos sensibles en PRL | Protocolos de confidencialidad robustos antes de actuar. |
| Selección basada en habilidades | Foco en competencias, menos en titulaciones | Minimización de datos personales en los filtros de selección. |
| Beneficios personalizados (EVP) | Datos de preferencias personales y familia | Gestión segura y transparente con finalidades muy definidas. |
En resumen: esto no va de sobrevivir a las inspecciones.
El cumplimiento de la protección de datos en el ámbito laboral puede parecer una acumulación de obligaciones.
La gestión de personas requiere líderes capaces de equilibrar la eficiencia tecnológica con la empatía humana. La transparencia retributiva y la lucha contra la brecha de género obligan a las empresas a publicar información que, bien gestionada, mejora la marca empleadora (Employer Branding), pero mal gestionada puede derivar en conflictos internos y sanciones administrativas de hasta 187.515 euros.
Pero hay otra manera de verlo.
Una empresa que gestiona bien los datos de su equipo transmite un mensaje claro: aquí se cuida a las personas. Y eso tiene un impacto directo en la confianza del equipo, en la reputación como empleador y en la seguridad jurídica del administrador societario.
No se trata de «sobrevivir» a las inspecciones. Se trata de construir una organización donde el dato sea un aliado del crecimiento sostenible.
En Biplaza, con el propósito es optimizar los procesos de gestión laboral a través de la innovación tecnológica y el asesoramiento experto, podemos acompañarte. Desde la configuración del calendario laboral hasta la implementación de planes de igualdad y protocolos de acoso, te ofrecemos servicios 360º, asegurando que cada paso legal refuerce la estructura de valor de la compañía.
Cuenta con nuestro equipo de expertos
Solicita una reunión con nuestro equipo
Preguntas frecuentes FAQS
¿Puedes pedirle el informe de vida laboral completo? Solo si es estrictamente necesario y no hay alternativas menos invasivas, como una carta de recomendación o un certificado de funciones. El principio de minimización de datos aplica también aquí.
¿Puedes usar IA para filtrar currículums? Sí, pero con condiciones. Antes de implementar cualquier sistema de cribado automatizado, debes realizar una Evaluación de Impacto en la Protección de Datos (EIPD). Y el candidato tiene derecho a que una persona revise su caso si es descartado por el algoritmo.
¿Puedes mirar el perfil de LinkedIn de un candidato? Sí, si el puesto lo justifica y si el candidato sabe que lo estás haciendo. Pero ojo: el hecho de que su perfil sea público no te da carta blanca. La AEPD es muy clara en esto.
¿Puede el trabajador negarse a un reconocimiento médico obligatorio? Sí, pero con consecuencias. Si el reconocimiento es imprescindible para evaluar los riesgos del puesto o la seguridad de terceros, la negativa puede derivar en la suspensión de sus derechos económicos o en medidas disciplinarias por incumplimiento de órdenes de seguridad.
¿Es legal usar WhatsApp para comunicaciones de trabajo? Solo si es una cuenta corporativa y si el trabajador ha sido informado previamente. Usar el número personal del trabajador para comunicaciones obligatorias vulnera el principio de minimización de datos, salvo consentimiento libre y específico.
¿Cuánto tiempo podemos conservar datos de ex-empleados? Una vez finalizada la relación laboral, los datos deben bloquearse durante el plazo de prescripción de las obligaciones tributarias (4 años) y de seguridad social. Solo pueden usarse para responder ante jueces, tribunales o administraciones públicas.
¿Podemos publicar el ranking de productividad de los comerciales en la intranet? Sí, si se basa en un interés legítimo para incentivar el rendimiento. Pero lo más prudente es identificar a los trabajadores mediante códigos, de modo que solo los interesados y RRHH conozcan el detalle individualizado.
¿Necesitamos una EIPD para la geolocalización de nuestra flota? Sí, especialmente si el sistema permite monitorización continua o análisis del comportamiento al volante. La evaluación debe valorar si existen medidas menos intrusivas para el mismo fin.
GLOSARIO DE TÉRMINOS CLAVE
• Dato biométrico: información sobre características físicas o conductuales que permiten identificar a una persona de forma única (huella dactilar, patrón facial, iris).
• EIPD (Evaluación de Impacto en la Protección de Datos): proceso preventivo obligatorio para tratamientos de alto riesgo. Identifica y mitiga riesgos antes de que ocurran.
• Minimización de datos: principio del RGPD que obliga a tratar solo los datos estrictamente necesarios para la finalidad concreta.
• Interés legítimo: base jurídica que permite tratar datos sin consentimiento cuando existe una necesidad imperiosa que no vulnera los derechos fundamentales del trabajador.
• Whistleblowing: sistema interno de denuncia confidencial de incumplimientos legales o éticos en la organización.
• Derecho a la desconexión digital: derecho del trabajador a no responder a dispositivos o comunicaciones laborales fuera de su horario de trabajo.
• Trazabilidad digital: capacidad de reconstruir el historial de un dato o proceso dentro de un sistema. Esencial para el registro de jornada en 2026.
• Categorías especiales de datos: datos con protección reforzada por su potencial discriminatorio (salud, sindicación, religión, orientación sexual, entre otros).
IMAGEN | Brett Jordan para Unsplash
