AEPD: Exempleados tienen derecho a acceder a sus datos personales
El despido no borra el derecho a saber qué datos te guarda la empresa
Una profesora despedida del centro de formación iLerna Online logró que la Agencia Española de Protección de Datos (AEPD) obligara a su exempresa a revelar toda la información personal que conservaba sobre ella. El caso, resuelto en la Resolución EXP202515647, establece que los registros de actividad, los metadatos y las grabaciones de videoconferencias constituyen datos personales sujetos al derecho de acceso del Reglamento General de Protección de Datos (RGPD). La doctrina afecta directamente a cualquier trabajador que quiera conocer qué huella digital ha dejado en los sistemas de su empresa.
La reclamante ejerció su derecho de acceso tras su despido, solicitando información concreta sobre su paso por la compañía. Pedía los registros de actividad y búsquedas, los informes técnicos que la empresa había utilizado para justificar la extinción de su contrato, la trazabilidad de accesos a sistemas informáticos y las grabaciones de clases por Zoom en las que aparecían su imagen y su voz.
iLerna Online opuso cuatro argumentos de defensa, todos rechazados por la AEPD. Sostuvo que el derecho de acceso no alcanzaba los datos generados durante la relación laboral, que las grabaciones eran propiedad intelectual de la empresa, que la solicitud era una maniobra para preparar una demanda laboral y que bastaba con facilitar un listado de 55 títulos de vídeo.
La AEPD amplía el concepto de dato personal a logs y metadatos laborales
La resolución se apoya en las Líneas Directrices 01/2022 del Comité Europeo de Protección de Datos (CEPD) para redefinir el alcance del dato personal en el entorno laboral. La AEPD establece que los registros de actividad, metadatos, información observada y datos inferidos tienen la condición de personales porque permiten evaluar la conducta de un trabajador y fundamentar decisiones disciplinarias.
El organismo introduce dos distinciones críticas para la práctica empresarial. Primera: el derecho de acceso exige la entrega de los datos reales procesados, no vale con descripciones generales, listados abstractos o declaraciones genéricas. Segunda: la finalidad de la solicitud es irrelevante; la empresa no puede inquirir por qué el empleado quiere sus datos, solo debe atender qué datos le solicita.
En el punto más mediático del fallo, la AEPD determina que un mero listado de nombres de archivo no satisface el artículo 15 del RGPD. La compañía debe facilitar el acceso al contenido personal contenido en esos ficheros digitales, en este caso las grabaciones con la imagen y voz de la profesora.
iLerna Online: de centro de formación a caso de referencia para compliance
iLerna Online opera en el sector de la formación profesional a distancia, un nicho donde la captación de datos del alumnado y del profesorado es intensiva. La plataforma gestiona videoconferencias, registros de conexión, evaluaciones automatizadas y trazabilidad de accesos a contenidos. Precisamente esta densidad de datos la convierte en un escenario de alto riesgo regulatorio cuando un ex trabajador ejerce sus derechos ARCO.
La estrategia defensiva de la empresa ilustra un error frecuente en el compliance de recursos humanos: confundir la titularidad de los sistemas con la titularidad de los datos personales. Que una grabación de Zoom almacene en servidores corporativos no elimina la condición de datos personales de la imagen y voz del trabajador. La propiedad intelectual sobre la producción audiovisual no supedita el derecho de acceso del RGPD.
El argumento de que la solicitud preparaba litigio laboral es especialmente significativo. La AEPD cierra la puerta a que las empresas examinen los motivos del ejercicio del derecho: la finalidad del interesado no condiciona la obligación de transparencia del responsable. Esta doctrina protege al trabajador despedido que necesita documentación para impugnar su cese, pero también al empleado en activo que investiga posibles tratamientos irregulares.
Te puede interesar
El impacto en despachos, compliance y departamentos de RRHH
La resolución EXP202515647 obliga a revisar tres áreas de la gestión de datos en empresas españolas. Los departamentos de recursos humanos deben adaptar sus protocolos de respuesta a solicitudes de acceso: ya no valen extractos resumidos ni inventarios de ficheros cuando el trabajador pide el contenido concreto.
Los responsables de compliance y protección de datos deberán auditar qué metadatos generan sus sistemas. Los logs de acceso a aplicaciones, los registros de búsqueda interna, los informes de productividad automatizados y las grabaciones de videoconferencias entran ahora en el ámbito del derecho de acceso con carácter general, no como excepción.
Para despachos de abogados, el caso ofrece un argumento sólido en reclamaciones laborales por despido improcedente. El acceso a los datos que la empresa utilizó para fundamentar la extinción permite contrastar si el procedimiento disciplinario se ajustó a los principios de proporcionalidad y transparencia. El dato de que la empresa alegó que bastaba con un listado de 55 títulos de vídeo revela una práctica extendida de cumplimiento formalista que la AEPD ha declarado insuficiente.
Calendario: plazos y próximos pasos tras la resolución
La AEPD ha ordenado a iLerna Online cumplir correctamente la solicitud de acceso, aunque la resolución no especifica plazo adicional cuando ya había transcurrido el mes legal desde la primera petición. El artículo 12.3 del RGPD establece que la información debe facilitarse sin dilación indebida y en todo caso en el plazo de un mes desde la recepción de la solicitud, prorrogable a tres meses por motivos complejos.
La empresa dispone de dos meses para interponer recurso contencioso-administrativo ante la Audiencia Nacional, el órgano jurisdiccional competente para revisar las resoluciones de la AEPD. Si no recurre, la resolución adquiere firmeza y constituye precedente administrativo vinculante para futuras reclamaciones similares.
Para el sector del legaltech, el caso activa oportunidad de desarrollo de herramientas de extracción automatizada de datos personales de sistemas corporativos. La complejidad técnica de identificar y entregar logs estructurados, metadatos de videoconferencias e informes técnicos sin incluir datos de terceros plantea un mercado de soluciones de data subject access request (DSAR) específicas para el entorno laboral español.
La pregunta que queda en el aire es si las empresas españolas están técnicamente preparadas para cumplir este estándar de transparencia cuando un ex trabajador solicita su huella digital. ¿Cuántas compañías podrían hoy mismo entregar los registros de actividad completos, con metadatos y sin datos de terceros mezclados, en el plazo de un mes?
Preguntas frecuentes
¿Puede una empresa negarse a dar los datos de videoconferencias alegando propiedad intelectual?
No. La AEPD ha establecido que la imagen y voz del trabajador contenidas en grabaciones de Zoom constituyen datos personales del artículo 15 del RGPD. La titularidad intelectual de la producción no elimina este derecho de acceso.
¿Cuánto tiempo tiene la empresa para responder a un derecho de acceso tras un despido?
El plazo general es de un mes desde la solicitud, prorrogable a tres meses si la complejidad lo justifica. El despido no modifica este plazo ni la obligación de responder, según la doctrina de la AEPD en la resolución EXP202515647.
¿Qué ocurre si la empresa solo entrega un listado de ficheros sin el contenido?
La AEPD considera insuficiente un inventario de nombres de archivo o descripciones genéricas. El derecho de acceso exige el dato real procesado, no sustitutos formales que impidan al interesado conocer la información que la empresa conserva sobre él.
Información publicada originalmente por Confilegal.