Las bases jurídicas de la licitud tratamiento de datos derivados del uso de medios tecnológicos vienen delimitadas en el artículo 87.2 LOPDP-GDD, que establece controlar el cumplimiento de obligaciones laborales y garantizar la integridad de los dispositivos digitales puestos a disposición de los trabajadores como las únicas posibilidades para el empleador de acceder a estos dispositivos.

La supervisión del debido cumplimiento de las obligaciones laborales constituye una medida necesaria para la ejecución de un contrato de trabajo, por lo que se estaría dando cumplimiento al artículo 6.1 b) RGPD para el tratamiento lícito de datos, mientras que la protección de las herramientas electrónicas o digitales de la empresa y la seguridad de red informática empresarial suponen un interés legítimo de acuerdo con el artículo 6.1 f) RGPD.

Esta delimitación contenida en el artículo 87.2 LOPDP-GDD obstaculiza el tratamiento posterior de los datos extraídos a través de los dispositivos digitales para finalidades distintas de las que el precepto establece en virtud del artículo 6.4 RGPD, ya que no es admisible reutilizar los datos obtenidos más allá del objetivo de control empresarial que justificaba el acceso a estas herramientas de trabajo, por lo que la licitud del tratamiento queda condicionada exclusivamente a los fines determinados en dicho artículo.

Ambas bases de licitud constituyen dos presupuestos de actuación autónomos, independientes el uno del otro, por lo que las medidas destinadas a la protección de los equipos informáticos de la empresa no pueden exceder de esta finalidad y de ningún modo se pueden emplear para vigilar a los trabajadores o comprobar su rendimiento. De esta forma, en el caso de implantarse medidas de monitorización para garantizar la seguridad de los equipos informáticos y de los datos manejados a través de estos, estas medidas no pueden tener como consecuencia un estado de vigilancia permanente y absoluto de la actividad en línea de los trabajadores salvo que no exista posibilidad alguna que sea menos invasiva para tal objetivo, cumpliendo así el principio de limitación de la finalidad establecido en el artículo 5.1 b) RGPD.

En ningún caso el consentimiento del interesado puede ser una vía de licitud para el tratamiento de sus datos obtenidos de medios tecnológicos de la empresa, como la autorización del trabajador para la instalación de un programa espía en su ordenador de trabajo. Antes de proceder al acceso a los dispositivos digitales con fines de control laboral, es necesario realizar una evaluación previa a la implantación de esta medida para comprobar que realmente es imprescindible para la verificación del cumplimiento de la actividad productiva, y es preciso también que se haya descartado la posibilidad de una acción supervisora menos intrusiva en la privacidad del trabajador que permita alcanzar el mismo objetivo.

La obligación de transparencia para el empresario implica el deber de informar a los trabajadores con carácter previo y de manera completa sobre la categoría de datos que pueden ser tratados, formas de control sobre los datos registrados, finalidad de la medida de vigilancia, destinatarios o categorías de destinatarios de la información que se recoja, utilización de estos datos, existencia de posibles copias de seguridad o archivos de datos y vías de ejercicio de sus derechos.

Esta medida de control empresarial debe de tener carácter excepcional y su licitud debe de estar unida a una necesidad fundada, como la obtención de pruebas o confirmación de conductas irregulares o delictivas del trabajador, o bien de actuaciones de éstos que puedan implicar la responsabilidad del empleador. En estos casos no basta con que haya meras sospechas de la comisión de un hecho ilícito, sino que debe haber indicios fundamentados que constituyan un motivo legítimo para que el empresario pueda llevar a cabo el acceso a los dispositivos digitales (Baz Rodríguez, 2019, p. 145).

Para que el tratamiento de datos extraídos de los dispositivos digitales sea lícito, además de la existencia de los presupuestos de legitimación del artículo 87.2 LOPDP-GDD, la empresa deberá establecer reglas sobre el uso de estos medios para el desarrollo de la prestación de servicios de los trabajadores con el fin de supervisar el cumplimiento de sus obligaciones y deberes dimanantes del del contrato de trabajo.

Cuando se haya admitido el uso de estos medios para fines privados, el empleador tendrá que especificar de manera precisa cuáles serán los usos autorizados y las garantías para preservar la intimidad, como los periodos temporales en los que se podrán utilizar los dispositivos para fines extralaborales. Junto a esta obligación para el empresario, el artículo 87.3 LOPDP-GDD añade la exigencia de participación de los representantes legales de los trabajadores en el establecimiento y negociación de estos criterios sin hacer ninguna otra especificación al respecto (Pérez de los Cobos Orihuel, 2019, p. 22). Por tanto, ya no basta con la mera advertencia sobre la prohibición del uso privado de los dispositivos para que sea lícito el tratamiento de datos de los trabajadores obtenidos por medio de las TICS, se refuerza la obligación de transparencia empresarial y se elevan a deber legal los criterios manifestados por la jurisprudencia anteriores a la llegada de la LOPDP-GDD.

Las STS 1323/2011 FD 3 y STS 119/2018 FD 6 señalan que los equipos informáticos puestos a disposición de los trabajadores son instrumentos de producción que pertenecen al empresario y, por tanto, puede examinar su uso de acuerdo con el artículo 20.3 TRET. Es por ello por lo que la empresa debe establecer, en primer lugar, pautas de utilización de las herramientas empresariales puestas a disposición de los trabajad ores de forma previa a su utilización y conforme al principio de buna fe, como las prohibiciones parciales o totales de su uso extralaboral.

Por otra parte, la empresa tendrá que advertir con anterioridad a los trabajadores de que se van a llevar a cabo controles de sus deberes laborales con la obligación de informar detalladamente cómo se van a efectuar y su alcance, que ha de ser siempre de la forma menos invasiva posible en el marco del derecho a la intimidad. De esta forma, si se emplean los medios digitales para fines personales cuando se ha prohibido expresamente su uso para tales razones y el trabajador tuviera conocimiento tanto de esa prohibición como del hecho de que se van a realizar acciones de supervisión empresariales de los dispositivos, no podrá aceptarse que el ejercicio de dichas acciones o controles ha vulnerado una expectativa razonable de intimidad

Siguiendo estas pautas, la STS 489/2018 FD 10 ha considerado nula la prueba obtenida para el despido cuando no se ha dado advertencia previa del registro del ordenador corporativo, aun existiendo motivos fundados de que el trabajador estaba utilizando esta herramienta de manera ilícita y realizándose el registro de forma proporcionada y de la manera menos invasiva posible para el trabajador. Esta doctrina del Tribunal Supremo ha sido avalada por el Tribunal Constitucional en la STC 241/2012 FJ 5 manifestando que corresponde a cada empresario, en el ejercicio de sus facultades organizativas, establecer la regulación de las condiciones en el uso de ordenadores u otros medios digitales por medio de diferentes instrumentos como pueden ser órdenes, instrucciones, códigos de conducta o protocolos, de forma que la empresa no quede privada de su poder de control y dirección. No obstante, estos sistemas siempre deben de formularse acorde a los derechos fundamentales de los trabajadores y deben estar dirigidos a poner en conocimiento del empresario datos o comunicaciones profesionales necesarios para el desarrollo de la actividad productiva, sin que se produzca ninguna intromisión en la mensajería o datos personales de los trabajadores.

Para que una medida empresarial restrictiva del derecho a la intimidad supere el juicio de proporcionalidad, la STC 170/2013 FJ 5 establece que los criterios necesarios en relación con la colisión entre el derecho a la intimidad y la libertad de empresa deben cumplir que la medida sea necesaria y no exista otra acción más moderada para lograr el mismo propósito, la medida sea idónea y sea susceptible de conseguir el objetivo del buen funcionamiento de la actividad empresarial, y que la medida sea equilibrada con pleno respeto a los derechos fundamentales sin exceder la finalidad de su utilización (Sáez Lara, 2017, p. 189).

La doctrina elaborada por el Tribunal Supremo y el Tribunal Constitucional se muestra acorde con los criterios establecidos por el Tribunal Europeo de Derechos Humanos (TEDH) en la Sentencia 61/2017 (Barbulescu II) respecto al control empresarial de las comunicaciones de sus empleados, en la que es necesaria una información de las modalidades de control previa, clara y concisa a los trabajadores, el alcance temporal y material del control, la justificación legítima del acceso empresarial, la valoración sobre otras medidas más respetuosas con la privacidad del trabajador, el tratamiento y finalidad de lo información recabada y transparencia en el acceso al dispositivo (apartado 121 STEDH 61/2017).

En este sentido, la STEDH 35/2018 apartados 51, 52 y 55 (caso Libert contra Francia), tuvo su origen en el despido de un trabajador por incumplir gravemente el código deontológico de la empresa al contener en su ordenador documentos falsificados que habían sido descubiertos por otro trabajador que le sustituía. En los protocolos de la empresa se había previsto la autorización para uso privado del ordenador a los trabajadores, estableciéndose unas normas como el acceso del empresario a ficheros calificados como privados en el ordenador, únicamente en caso de riesgo o acontecimiento especial. En este caso, los archivos controvertidos no estaban calificados literalmente como privados o personales, y la empresa accedió a ellos para comprobar que efectivamente se había producido un comportamiento ilícito y se había transgredido la buena fe contractual, por lo que el TEDH consideró que la empresa tenía una razón legítima para abrir esos documentos, que era asegurar el correcto uso del ordenador por parte del trabajador en ejercicio de sus funciones como vigilante de seguridad.

El uso de sistemas de grabación en el centro de trabajo encuentra su base de legitimación en el artículo 6.1 f) RGPD con la finalidad exclusiva de salvaguarda de los sistemas de producción, la protección del patrimonio empresarial y la seguridad de las personas, y a través del artículo 6.1 b) RGPD la necesidad de tratamiento de la imagen de los trabajadores para la ejecución del contrato de trabajo queda subordinada a este interés legítimo (Baz Rodríguez, 2019, p. 154).

Según el artículo 4.1 RGPD la imagen es un dato de carácter personal, por lo que el artículo 89.1 LOPDP-GDD establece que es necesario que el empresario haya informado de forma clara, precisa e inequívoca a los trabajadores y, en su caso, a sus representantes legales, de que van a ser sometidos a mecanismos de grabación y siempre con carácter previo a la instalación o puesta en funcionamiento del sistema de videovigilancia (Guindo Morales; Ortega Lozano, 2020, p. 11).

El alcance de este deber de información acompaña a los principios de transparencia y lealtad en el tratamiento de datos personales, por lo que no es suficiente con establecer un aviso genérico de que se va a vigilar a los trabajadores, sino que se deben de concretar los aspectos que establece el artículo 13 RGPD de identidad y datos del responsable del tratamiento y, en su caso, del Delegado de Protección de Datos (DPD) de la empresa, fines del tratamiento de la imagen, interés legítimo que constituye la base jurídica del tratamiento, destinatarios de los datos, plazo de conservación de éstos y derechos de los interesados conforme a los artículos 15 a 22 RGPD.

En el caso de que la seguridad sea encargada a una empresa externa dedicada al tratamiento de las imágenes de los trabajadores, el acceso a estos datos ha de estar regulado en virtud de un contrato y atendiendo a las reglas del artículo 28 RGPD. Por tanto, resultará lícito el control de la actividad productiva mediante videovigilancia siempre que se cumplan los parámetros y se produzca la debida observancia de los principios establecidos en el artículo 5 RGPD, especialmente el principio de limitación de los datos, por el cual las imágenes obtenidas a través de esta medida de control no pueden ser tratadas ulteriormente para otras finalidades distintas de aquellas que legitiman su recogida. Y también el principio de minimización de imágenes captadas por los sistemas de grabación, que deberán de ser adecuadas, pertinentes y acordes con los objetivos establecidos en base al interés legítimo empresarial. En base a esto, no resultará lícito el tratamiento de la imagen de los trabajadores con fines de gestión del empleo o para analizar su comportamiento, ni resultaría admisible el tratamiento automatizado o la elaboración de perfiles a partir de imágenes captadas por sistemas de grabación (Baz Rodríguez, 2019, p. 163).

De acuerdo con el principio de responsabilidad proactiva, el empresario tiene que aplicar medidas que hagan compatible su interés legítimo con los derechos fundamentales de los trabadores en el empleo de técnicas de videovigilancia, puesto que este mecanismo resulta intrusivo en la intimidad de los trabajadores y por ello debe mantener su carácter excepcional. Para ello deberá determinar el espacio físico en el que se va a grabar, durante cuánto tiempo y que sea el necesario para tutelar el interés legítimo del empresario. Lógicamente, no será admisible en ningún caso la instalación de dispositivos de grabación en lugares destinados al descanso o esparcimiento de trabajador como vestuarios, aseos y demás espacios de la misma naturaleza de acuerdo con el artículo 89.2 LOPDP-GDD (Pérez de los Cobos Orihuel, 2019, p. 25).

Si se descubre a través de los sistemas de grabación que un trabajador ha llevado a cabo una conducta ilícita, el artículo 89.1 LOPDP-GDD establece que se trata de un control con posterioridad a los hechos, en el cual no se omite el deber de información previa sino que se flexibiliza, y el artículo 22.4 LOPDP-GDD establece como único requisito la colocación del dispositivo en un lugar visible para los trabajadores a través de cual se informe de que su imagen va a ser tratada, quien es el responsable del tratamiento y sus derechos conforme a los artículos 15 a 22 RGPD.

Desde el punto de vista procesal, para considerar válida la prueba obtenida mediante sistemas de videovigilancia conforme al artículo 90.4 LRJS, es necesario que, además de la existencia de un objetivo fundamentado que legitime este mecanismo de control, así como el cumplimiento del deber de información a los afectados por el principio de transparencia, es preciso dicho control se realice de acuerdo con los criterios establecidos por el Tribunal Constitucional para continuar el juicio de proporcionalidad.

Así, los mecanismos de control visual deben de obedecer a una necesidad real que justifique su implantación, no bastando para ello la mera conveniencia o comodidad empresarial y siempre que no haya sido posible adoptar otra medida menos invasiva para la intimidad de los afectados. A su vez, debe ser una medida idónea para lograr el objetivo de detectar irregularidades de las cuales se tienen sospechas fundamentadas y no meras hipótesis, como la acreditación mediante auditoría de una desproporción entre lo facturado en la caja con el inventario y, por tanto, que existan motivos para suponer que se ha producido un hurto y adoptar medidas disciplinarias en ese sentido.

El principio de minimización de datos jugará un papel relevante y, además, debe ser una medida equilibrada, como que las cámaras hayan permanecido instaladas solamente unos días hasta detectar la irregularidad sospechada o que se haya grabado solo a los trabajadores que sean sospechosos de la conducta ilícita (Guindo Morales; Ortega Lozano, 2020, p. 14).

Sin embargo, el artículo 89.1 LOPDP-GDD no precisa cuál es el alcance de esos actos ilícitos para considerar válida la prueba videográfica por lo que ello debe interpretarse de acuerdo con la jurisprudencia. Así, la STS 630/2016 FD 2 ha considerado que es procedente el despido de un trabajador de una tienda de alimentación por consumir productos in situ sin abonar su importe, tras descubrirse esta conducta mediante las imágenes captadas por las cámaras de seguridad del almacén de la tienda, que era una zona restringida al público y accesible solo a los trabajadores. El Tribunal Supremo consideró que la prueba es lícita porque el almacén no es una zona en la que tengan lugar actividades referentes a la vida privada de los trabajadores, sino que es una zona de desenvolvimiento normal de la actividad de la empresa. Y, además, todos los trabajadores tenían constancia de la existencia de cámaras en el almacén mediante carteles informativos, por lo que se había cumplido el deber de información a los empleados, y la implantación de esta medida obedecía a la finalidad de combatir actividades generadoras de pérdidas económicas y para su consecución se había ajustado a las exigencias razonables del respeto a la intimidad.

Siguiendo esta línea, con la STS 77/2017 FD 2 se volvió a manifestar favorable acerca del despido de un trabajador por transgresión de la buena fe contractual, deslealtad y abuso de confianza que fue grabado mientras se apropiaba de importantes cantidades de dinero de la caja registradora que manejaba y manipulaba tickets de venta. El trabajador involucrado tenía conocimiento de la existencia de cámaras de seguridad y de su ubicación, pero la empresa no informó de la finalidad que tendría el tratamiento de las imágenes captadas. El Tribunal Supremo consideró que la instalación del sistema de videovigilancia se justificaba en el control de la seguridad de la empresa y la rápida detección de siniestros, que era una medida idónea y necesaria para control de cobros en la caja en este caso en particular, y proporcionada de acuerdo con estos fines ya que se había informado a los trabajadores de que se iba a implantar esta medida de vigilancia por razones de seguridad, expresión que incluye la detección de actos ilícitos de trabajadores y terceros pero excluye otro tipo de control ajeno a la seguridad como el rendimiento en el trabajo, cumplimiento de la jornada laboral o conversaciones con compañeros.

En el mismo sentido, la STS 96/2017 FD 2 volvió a considerar lícita la prueba videográfica cuando ésta ha sido obtenida a través de cámaras visibles para los trabajadores aun cuando no se había informado a éstos expresamente sobre la finalidad que podría tener el tratamiento de imágenes a efectos disciplinarios, como esta situación en la que se despidió al trabajador de un club deportivo por abrir el torniquete de acceso a las instalaciones para dejar paso a una persona que no era cliente ni empleada del centro y sin realizar el registro previo que tenían que hacer todos los socios del centro. En este caso, el trabajador conocía la existencia de la videocámara de seguridad situada en un lugar visible en el acceso a las instalaciones y, aunque el empresario no lo había comunicado de forma expresa, era evidente que la finalidad de las mismas residía en la protección del patrimonio empresarial y la grabación de conductas que atentasen contra la seguridad de los bienes y las personas, por lo que el Tribunal Supremo consideró que la medida fue proporcionada y no vulneraba el derecho a la intimidad (Mercader Uguina, 2018, p. 121).

Es importante señalar que la información otorgada únicamente en los términos del artículo 22.4 LOPDP-GDD solo daría lugar a que la prueba fuese lícita cuando la comisión de un acto irregular por parte de los trabajadores estuviera vinculada con la seguridad de los bienes o las personas y excediera del mero incumplimiento de sus obligaciones laborales. En cambio, si la prueba obtenida mediante videovigilancia se refiere únicamente al incumplimiento de las obligaciones propias de la relación contractual, como las ausencias en el puesto de trabajo, no bastaría como único elemento de información el dispositivo al que se refiere el artículo y se habría vulnerado el derecho a la intimidad del trabajador (López Balaguer; Ramos Moragues, 2020, p. 513).

En sintonía con la doctrina del Tribunal Supremo, la STC 29/2013 FJ 7 y 8 determinó que la instalación de un sistema de videovigilancia para comprobar el correcto desarrollo de las obligaciones propias del contrato de trabajo, requiere que previamente se hayan concretado los casos que podrían examinarse en las grabaciones, durante cuánto tiempo y la posibilidad de utilizarlas para tomar medidas disciplinarias, siendo insuficiente un mero aviso a través de carteles informativos sobre el hecho de que los trabajadores van a ser grabados, por lo que se estaría vulnerando el derecho a la protección de datos.

Esta vulneración del artículo 18.4 CE no puede entenderse cometida en el caso de la existencia de una conducta ilícita por parte de un trabajador cuando previamente a que ésta fuese captada, la empresa haya avisado mediante distintivos informativos visibles de la existencia de cámaras y su finalidad. Así ocurrió en la STC 39/2016 FJ 4 y 5, y conocido como caso Bershka, en el que la empresa tras observar que se estaban produciendo apropiaciones indebidas de dinero decidió instalar cámaras de video que enfocaban al escaparate de la tienda y a la caja registradora, con las cuales se identificó a la persona que estaba cometiendo las sustracciones, motivo por el que fue despedida. El Tribunal Constitucional consideró que la empresa cumplió el deber de información y la medida superaba el triple juicio de proporcionalidad.

Es necesario precisar que conforme a la literalidad de la ley no resultaría admisible la videovigilancia mediante cámaras ocultas, puesto que no se estaría produciendo el requisito mínimo de información que establece el artículo 89.1 LOPDP-GDD en relación con el artículo 22.4 LOPDP-GDD. En este sentido, la STEDH de 9 de enero de 2018 (caso López Ribalda y otros contra España), que se originó en una cadena de supermercados cuando la empresa descubrió a raíz de la disparidad entre los productos disponibles y la recaudación en las cajas registradoras que se habían estado produciendo sustracciones económicas. Con el fin de investigar estos hechos y permitir a la empresa tomar acciones disciplinarias, se instalaron unas cámaras visibles para empleados y clientes, así como otras cámaras que estaban ocultas y enfocaban directamente a las cajas sin que los empleados conocieran la existencia de estas últimas. A pesar de que los trabajadores involucrados admitieron los hechos, éstos impugnaron el despido por considerar que se había vulnerado su derecho a la intimidad, y el TEDH en su resolución dio la razón a los trabajadores corrigiendo a los tribunales españoles que consideraron que el despido había sido procedente, porque la imagen de los empleados obtenida a través de mecanismos de grabación implicó el tratamiento de un dato de carácter personal. Por ello, y de acuerdo con el artículo 5 de la Ley 15/1999 de Protección de Datos de Carácter Personal, vigente en el momento que tuvieron lugar los hechos, los trabajadores debían ser informados de manera clara, precisa e inequívoca de la existencia de un fichero de almacenamiento de esta información, de la finalidad de su recogida, los destinatarios de los datos, así como de sus derechos de acceso, rectificación, cancelación y oposición. Este deber de información fue incumplido por el empresario, por lo que la STEDH de 9 de enero de 2018 apartados 64, 65 y 69 afirmó que la videovigilancia no había sido proporcionada y que la empresa podría haber cubierto su interés legítimo en la protección de su propiedad informando a los trabajadores, al menos de forma general, sobre la puesta en funcionamiento de esta medida por lo que se habría dado de este modo un mecanismo de control menos intrusivo.

Sin embargo, la resolución se recurrió ante la Gran Sala del TEDH y, la STEDH de 17 de octubre de 2019 consideró que, a pesar de que solamente se había avisado a los trabajadores sobre la existencia de cámaras de seguridad que estaban a la vista, las cámaras que no se encontraban visibles estaban situadas en una zona específica del centro de trabajo que estaba abierta al público y donde tenían lugar actividades propias de las prestación de servicios, como el cobro a los clientes, respetando dependencias privadas como aseos o vestuarios donde existe una expectativa razonable de intimidad para los trabajadores. Por otra parte, la empresa tenía indicios constatados de que se habían producido robos en el supermercado que se fundamentaban en las pérdidas económicas que estaba sufriendo la empresa y que justificaban la videovigilancia encubierta. Por ello, el hecho de haber informado a la plantilla sobre la existencia de cámaras ocultas hubiera puesto en riesgo la finalidad de la medida, que era identificar a los responsables de los robos y obtener pruebas de estos actos ilícitos a efectos disciplinarios. Además, la grabación a través de este sistema duró 10 días, que fue el tiempo necesario cumplir con este propósito. Por estos motivos, la STEDH 19 de octubre 2019 apartados 123, 124, 125, 126, 127 y 128 entendió que la grabación a través de cámaras ocultas fue una medida necesaria y que no hubiera sido posible esclarecer los hechos de forma menos incisiva en para la privacidad de los empleados, entendiendo que la grabación a través de cámaras ocultas fue una medida proporcionada basada en el interés legítimo del buen funcionamiento de la empresa y que no vulneró el derecho a la intimidad de los trabajadores.

Siguiendo la doctrina más reciente del TEDH y el artículo 89.1 LOPDP-GDD, cabe entender que la videovigilancia encubierta solo resultaría admisible en determinados supuestos muy puntuales en los que existiera una ruptura previa de la seguridad en la empresa respecto a bienes materiales o sobre las personas, que la conducta ilícita detectada revistiera especial gravedad y, siempre que el hecho de aportar información a los empleados suponga un riesgo para el buen fin del objetivo que se pretende, que deber ser la seguridad de los bienes y las personas.

El artículo 89.3 LOPDP-GDD regula de manera restrictiva la utilización de sistemas de audición o grabación de sonidos en la empresa. La base de legitimación del tratamiento de datos en los que puede entra en juego la voz de los trabajadores se encuentra fundamentada, aunque de manera muy restringida, en el interés legítimo empresarial en virtud del artículo 6.1 f) RGPD.

Para que esta medida resulte admisible se han de aplicar las garantías que establece el artículo 89.1 LOPDP-GDD para la videovigilancia, por el que el control a través de mecanismos de audición sólo será factible en el caso de que existan graves riesgos para los bienes patrimoniales de la empresa o para las personas derivados de la actividad concreta que se desarrolle en el centro de trabajo, y la exigibilidad de la estricta observancia de los principios de proporcionalidad, intervención mínima, así como de limitación y minimización de los datos.

Junto a estos criterios, no es posible flexibilizar el deber de información a los trabajadores informando únicamente a través del dispositivo al que se refiere el artículo 22.4 LOPDP-GDD, sino en este caso se refuerza el principio de transparencia en el deber de información específica en los términos del artículo 13 RGPD y 11 LOPDP-GDD. Además, el artículo 89.3 LOPDP-GDD establece que los sonidos que se recojan mediante este tipo de sistemas podrán ser conservados por el periodo máximo de un mes desde su captación, salvo que estos datos fueran necesarios para demostrar que se ha producido menoscabo en la seguridad de las instalaciones o bienes de la empresa o sobre las personas (Baz Rodríguez, 2019, p. 163).

Por lo tanto, a través del artículo 89.3 LOPDP-GDD y el carácter restringido con el que regula esta medida, se puede determinar que la grabación de sonidos no resultaría admisible en ningún caso para el control ordinario de correcto mantenimiento y desarrollo de las obligaciones propias de los trabajadores derivadas del contrato de trabajo. Sin embargo, el precepto no hace alusión a la posibilidad de controlar mediante grabación de sonidos aquellas prestaciones que por su naturaleza puedan requerir este tipo de control, como empresas de venta telemática que prestan sus servicios por teléfono. Para estos supuestos, hubiera sido deseable que el precepto especificara la posible validez del control mediante grabación de sonidos de no ser posible establecer una medida menos invasiva para la privacidad de los trabajadores, siempre de acuerdo con el principio de transparencia y minimización de los datos.

Conforme a este artículo, la STC 98/2000 señaló que no puede descartarse que en los lugares del centro de trabajo donde se desarrolla la prestación de servicios pueden producirse intromisiones ilegítimas del empresario en la intimidad de los trabajadores como podría ser a través de conversaciones entre empleados y clientes, o bien entre los propios trabajadores sobre cuestiones ajenas a la actividad laboral y que se integran en la esfera de desenvolvimiento del individuo. En este caso en particular los hechos tuvieron lugar en un casino en el que se colocaron unos mecanismos de grabación de sonidos en dos zonas específicas de las instalaciones, la caja y la ruleta francesa. El Tribunal Constitucional resaltó la utilidad y conveniencia que tuvo para la empresa esta medida de control, pero ello no es motivo suficiente para que el empresario estuviese legitimado a emplear estos sistemas ya que el casino disponía de personal encargado de la seguridad en las instalaciones, así como de un circuito cerrado de televisión por lo que no ha quedado acreditado que fuera indispensable instalar este sistema de audición para mantener la seguridad del lugar. Por otra parte, este sistema permitía escuchar conversaciones privadas de forma indiscriminada de trabajadores y de clientes que eran irrelevantes para el control de las obligaciones laborales y para la seguridad de los bienes y las personas por lo que esta medida de control no superaba el triple juicio de proporcionalidad ni el principio de intervención mínima (STC 98/2000 FJ 6 y 9). Por lo tanto, la captación y grabación de sonidos no puede tener amparo en las facultades de vigilancia y control reconocidas en el artículo 20.3 TRET y supone la vulneración del derecho a la intimidad de los trabajadores regulado en el artículo 18.1 CE.

El artículo 90 LOPDP-GDD establece el derecho a la intimidad de los trabajadores en el uso de dispositivos de geolocalización y determina que el empresario podrá tratar los datos de los empleados obtenidos en la utilización de los mecanismos de geolocalización dentro del marco legal del artículo 20.3 TRET y con los límites inherentes al mismo.

La privacidad de los trabajadores es la referencia a la que ha de ceñirse la empresa para el tratamiento de datos personales sobre la localización de los trabajadores. Sin embargo, dada la gran imprecisión del precepto, resulta necesario que se complete con la remisión en bloque a la normativa sobre protección de datos, tanto RGPD como LOPDP-GDD, a la que hace referencia el artículo 20 bis TRET. Así, el empleador, como responsable del tratamiento de datos en el contexto de geolocalización, debe de obedecer los principios esenciales en esta materia regulados en el artículo 5 RGPD y que son la licitud, lealtad, transparencia, limitación de la finalidad, minimización de los datos, exactitud, limitación del plazo de conservación, integridad, confidencialidad y responsabilidad proactiva.

Por otra parte, el artículo 90 LOPDP-GDD no se ha especificado las diversas finalidades empresariales a las que puede obedecer la implantación de tecnologías de geolocalización. Por lo que hay que acudir al Comité Europeo de Protección de Datos (CEPD) para analizar la exigencia de una causa específica relacionada con la prestación laboral para que sea legítimo el empleo de sistemas de geolocalización y, que de esta manera el tratamiento de datos personales de los trabajadores relativos a su ubicación geográfica pueda justificarse cuando el control de la posición del trabajador sea parte control del transporte de personas o bienes y no se pueda desligar de esta última finalidad, cuando sea preciso para la mejora de la distribución de recursos para servicios en puntos remotos, y cuando sea necesario para la seguridad del trabajador o los bienes a su cargo como el vehículo empleado para desarrollar la prestación de servicios.

Como consecuencia de las directrices establecidas por el CEPD, el control directo hacia el trabajador mediante geolocalización tiene carácter subsidiario, pero éste no es el objetivo en sí mismo que se pretende con el empleo de estos mecanismos sino que es una consecuencia que se deriva del conjunto de actuaciones que el empresario puede llevar a cabo para el correcto desenvolvimiento de la producción. De acuerdo con este planteamiento, resultará ilícito el tratamiento de datos sobre el paradero del trabajador con el único fin de vigilar o supervisar la actividad laboral, siempre que ello pueda realizarse por otros medios.

Por lo tanto, según el artículo 6.1 b) RGPD la base de legitimación del tratamiento de estos datos en este caso se encontraría en el hecho de que éste fuese necesario para la ejecución de un contrato en el que el interesado es parte. En relación con esta finalidad, la AEPD estableció los datos que se pueden recoger mediante sistemas de GPS, como la hora de arranque, la hora de estacionamiento, los lugares de paso y paradas, la velocidad máxima y media de los vehículos, el consumo del vehículo en función de la distancia recorrida, las horas de funcionamiento, los kilómetros recorridos durante el tiempo de trabajo y la desviación de horas del vehículo en función de la configuración del horario de trabajo (Baz Rodríguez, 2020, p. 5).

La STSJ M 260/2014 FD 20 y 23 manifestó que la posibilidad de hacer un seguimiento permanente del vehículo de trabajo, más allá de su ubicación por motivos de seguridad, y que conlleve saber en todo momento dónde se encuentra exactamente el trabajador, así como el ulterior tratamiento de estos datos para una finalidad distinta de la anunciada sin que ello se haya puesto en conocimiento del interesado, tiene como consecuencia que las pruebas obtenidas mediante sistemas de geolocalización para demostrar presuntos incumplimientos contractuales del trabajador vulneran los derechos fundamentales a la intimidad y la protección de datos, por lo que deben de considerarse ilícitas y carentes de eficacia.

De acuerdo con los principios de limitación de la finalidad y minimización de datos, en ningún caso será viable el control por geolocalización de los trabajadores fuera de la jornada de trabajo en virtud del art 6.1 b) RGPD, lo cual supondría un menoscabo del derecho a la intimidad de los trabajadores. Así lo destacó la STSJ PV 5122/2011 FD 5 señalando que la implantación de un sistema de monitorización en tiempo real del vehículo particular de un trabajador durante el periodo de tiempo en el que su contrato estaba suspendido vulnera su derecho a no estar permanentemente localizado, lo cual es un elemento del derecho a la intimidad conforme el artículo 18.1 CE. Por lo que una vez finalizada la jornada laboral las facultades empresariales dimanantes del artículo 20 TRET desaparecen, y el contrato de trabajo deja de ser vinculante para las partes, añadiendo la STSJ AS 3058/2017 FD 5 que para mantener en funcionamiento un GPS fuera del tiempo de trabajo de un empleado será preciso que éste otorgue su consentimiento.

Con relación a la aportación de los trabajadores de dispositivos de su propiedad que sirvan de soporte para la puesta en marcha de sistemas de geolocalización, la empresa Telepizza decidió implantar un servicio denominado “Proyecto Tracker”, que permitía la geolocalización de pedidos por parte de los clientes desde que salía del restaurante hasta que llegaba a sus domicilios a través de una aplicación móvil que tenía acceso a la posición del trabajador. Para ello, la empresa requirió a los empleados que aportaran sus propios teléfonos móviles durante la jornada laboral con conexión de datos y en plenas condiciones de uso, lo que implicaba el tratamiento de datos personales. La SAN 13/2019 FD 6 determinó que este modelo de negocio era abusivo y vulneraba la intimidad de los trabajadores por no superar el juicio de proporcionalidad, y que la finalidad del servicio podría haberse logrado de otras formas que dieran lugar a una menor injerencia en la esfera privada de los trabajadores, como la instalación de un GPS en los vehículos donde se trasladaban los pedidos, de tal manera que no sería necesario que los empleados aportaran medios propios ni datos personales como su número de teléfono particular o su dirección de correo electrónico personal. Por otra parte, en este caso, la empresa no había informado a los trabajadores en los términos de los artículos 12 y 13 RGPD, incumpliendo el principio de transparencia que debe regir en el tratamiento de datos personales.

El artículo 90.2 LOPDP-GDD recoge también la necesaria aplicación del principio de transparencia en el uso de dispositivos de geolocalización estableciendo la obligación para el empleador de informar a los trabajadores y, en su caso, a sus representantes legales, sobre la utilización de este tipo de sistemas previamente a su implantación y de forma completa, clara, detallada e inequívoca, así como de los derechos de los trabajadores recogidos en los artículos 15 a 22 RGPD. Con esta regulación, el artículo 90.2 LOPD asimila el contenido de los artículos 13 y 14 RGPD sin que exista habilitación legal expresa que permita atenuar el requisito de información completa, como ocurría en el caso de la videovigilancia cuando se producía una conducta ilícita por parte de los trabajadores, por lo que, en el caso del control por geolocalización no es viable reducir el alcance del deber de información empresarial hacia los trabajadores, independientemente de cuál sea la causa que justifique esta medida (Baz Rodríguez, 2020, p. 7).

Sin embargo, el artículo 90.2 LOPDP-GDD no hace mención alguna la finalidad de la medida ni al posible tratamiento de los datos de localización a efectos disciplinarios. A este respecto, la STSJ M 376/2017 FD 2 establece que el derecho de los interesados a recibir información previa sobre el tratamiento de sus datos personales es contenido esencial del artículo 18.4 CE y su omisión no puede basarse en una mayor eficiencia de la facultad vigilancia del empresario. Por ello, el empresario, como responsable de tratamiento, debe garantizar suficiente información a los trabajadores sobre la instalación de dispositivos GPS, así como de la finalidad que se pretende lograr.

Para que los datos relativos a desplazamientos hechos por los trabajadores revelen su paradero durante la jornada laboral y sean considerados como prueba válida a efectos disciplinarios, es indispensable que se haya cumplido el requisito de información previa al trabajador. Por tanto, la jurisprudencia considera que es válida la prueba para el despido basada en datos personales sobre la ubicación geográfica una vez que se ha puesto en conocimiento del trabajador la transmisión de sus datos de localización como la posición en las rutas realizadas durante el tiempo de trabajo o el registro de los momentos de arranque del vehículo y sus paradas, que constituyen datos que no afectan a la intimidad personal.

Por su parte, la STS 766/2020 FD 2 manifestó el rechazo a que se produzca vulneración del derecho a la intimidad de los trabajadores cuando éstos han tenido conocimiento previo sobre la limitación del uso del vehículo a la jornada laboral, con expresa asunción de responsabilidad de su estado y quedado totalmente prohibido su uso fuera del horario de trabajo o para fines privados.

La expectativa razonable de intimidad de los trabajadores respecto al uso de dispositivos digitales en el contexto del posible uso particular que un trabajador puede hacer del vehículo que la empresa le otorga para realizar sus labores, el Tribunal Supremo que los datos obtenidos mediante GPS se refieren a la posición y al movimiento del vehículo, sin captar circunstancia personal alguna de sus ocupantes y que la instalación de este sistema tenía como finalidad garantizar la seguridad y la coordinación en el trabajo por lo que, aun estando el vehículo geolocalizado permanentemente, no resulta viable considerar que se ha lesionado el derecho a la protección de datos. Por lo tanto, no se produce menoscabo de derechos fundamentales ya que la empresa ha cumplido con el deber de información aportando instrucciones claras sobre la utilización del vehículo durante la jornada laboral y determinando expresamente su uso en exclusiva durante el tiempo de trabajo, lo que da lugar a que los datos recogidos mediante sistemas de geolocalización sean lícitos y constituyan prueba válida para fundamentar el despido.

En este sentido, el elemento central para determinar la validez de la prueba basada en el tratamiento de datos personales de localización es el cumplimiento del deber de información de forma plena y sin que sea posible realizar modulación alguna. Además, a diferencia de la videovigilancia, en cuyo caso resultaba admisible la vigilancia encubierta, aunque con muchas reservas, el control no informado a través de GPS o cualquier otro medio que permita conocer la ubicación del trabajador no es viable jurídicamente, ni siquiera de manera restringida.

Sin perjuicio del hecho de que la información a los trabajadores se tiene que aportar de manera previa a la implantación de las herramientas de geolocalización, este deber empresarial no se agota en este momento, sino que es necesario que se produzca un proceso de emisión continua de información actualizada sobre el funcionamiento de estos sistemas. Esta información tiene que hacer referencia no solo a las características o propiedades de los mecanismos de geolocalización, sino también a su finalidad, ejercicio de derechos de los trabajadores y periodo de conservación de los datos, que son aspectos que se omiten en el artículo 90 LOPDP-GDD.

El periodo de conservación de los datos ha de estar unido al principio de limitación de la finalidad, por lo que podrán conservarse como máximo el tiempo que sea necesario para lograr la finalidad por la cual se recogieron. No obstante, el CEPD ha recomendado que el plazo de conservación sea de dos meses, y si fuese necesario un periodo de tiempo superior a este, sería recomendable que los datos se convirtieran en anónimos.

En cuanto al principio de responsabilidad proactiva, por el que responsable del tratamiento de datos tiene que demostrar el cumplimiento de la normativa relativa a esta materia, tampoco se recoge en el artículo 90 LOPDP-GDD. El precepto también guarda silencio sobre la necesidad de adoptar garantías en el tratamiento de datos de localización y de consultar a las autoridades de protección de datos. En este aspecto, resultaría exigible realizar una evaluación de impacto de acuerdo con el artículo 35 RGPD en el momento en que la empresa decida poner en marcha sistemas de geolocalización prestando especial atención al artículo 35.9 RGPD, que requiere la opinión de los interesados o sus representantes acerca del tratamiento de sus datos, lo cual se traduce en el carácter preceptivo de la intervención de la negociación colectiva a través de la emisión de un informe previo de los representantes legales a la toma de decisiones empresariales respecto a los sistemas de geolocalización según el artículo 64.5 f (Baz Rodríguez, 2020, p. 8).