Control del Correo y Dispositivos de Empresa: Límites Legales 2026

El ordenador, el correo electrónico, el móvil y las herramientas de colaboración son propiedad de la empresa y se facilitan para trabajar. Eso no significa que la empresa pueda revisarlos libremente. En su uso confluyen el poder de control del empresario (art. 20.3 ET) y varios derechos fundamentales del trabajador: la intimidad (art. 18.1 CE), el secreto de las comunicaciones (art. 18.3 CE) y la protección de datos (art. 18.4 CE).

El art. 87 LOPDGDD, en tres reglas

El art. 20 bis ET, añadido por la misma LOPDGDD, reconoce a los trabajadores el derecho a la intimidad en el uso de los dispositivos digitales puestos a su disposición por el empleador, a la desconexión digital y a la intimidad frente a la videovigilancia y la geolocalización. Estas dos últimas materias las tratamos en la guía sobre videovigilancia y geolocalización de trabajadores.

El art. 18 ET no es la norma aplicable

El art. 18 ET regula los registros sobre la persona del trabajador, sus taquillas y efectos particulares (con presencia de un representante o de otro trabajador). El Tribunal Supremo aclaró hace años que el ordenador facilitado por la empresa no es un "efecto particular" y que su control se rige por el art. 20.3 ET, no por el art. 18. Aun así, algunas de las garantías del art. 18 (presencia de testigos, respeto a la dignidad) son buenas prácticas para acreditar cómo se hizo la revisión.

La sentencia de la Gran Sala del Tribunal Europeo de Derechos Humanos en el asunto Barbulescu c. Rumanía, de 5 de septiembre de 2017, es la referencia obligada para cualquier control de las comunicaciones electrónicas en el trabajo. Un ingeniero había creado, a petición de su empresa, una cuenta de mensajería para atender a clientes. El reglamento interno prohibía el uso personal de los recursos de la empresa. La empresa monitorizó la cuenta durante varios días, accedió al contenido de sus mensajes, incluidos algunos de carácter íntimo con familiares, y le despidió.

La Gran Sala concluyó que hubo vulneración del art. 8 del Convenio Europeo de Derechos Humanos (derecho a la vida privada y a la correspondencia), porque los tribunales nacionales no comprobaron si el trabajador había sido avisado previamente de la posibilidad, la naturaleza y el alcance de la supervisión. Lo relevante no es tanto el resultado como el catálogo de factores que estableció y que hoy aplican los tribunales españoles.

Flujo frente a contenido

El TEDH distingue entre supervisar el flujo de comunicaciones (con quién, cuándo, cuántas) y acceder a su contenido. Lo primero es menos intrusivo y puede bastar en muchos casos para verificar un incumplimiento: por ejemplo, comprobar que un trabajador ha enviado cientos de correos a la dirección de un competidor. Lo segundo requiere razones de mayor peso. Diseñar la investigación en este orden (primero metadatos, después contenido solo si es imprescindible) es la mejor forma de aplicar el test.

Antes y después de Barbulescu, los tribunales españoles han construido una doctrina propia sobre el control de los medios informáticos. Su hilo conductor es la expectativa razonable de intimidad: el grado de protección depende de lo que el trabajador podía razonablemente esperar según las reglas que la empresa había fijado y la práctica real.

La doctrina sigue evolucionando y cada caso depende de sus hechos. Antes de acceder a comunicaciones de un trabajador en un asunto con consecuencias disciplinarias, conviene contar con asesoramiento jurídico específico.

La expectativa razonable de privacidad no la decide el trabajador, sino el contexto: las reglas de la empresa, la información facilitada, la tolerancia real y el tipo de herramienta. Una misma revisión del correo puede ser lícita en una empresa e ilícita en otra, según lo que cada una haya hecho antes.

La tolerancia de hecho cuenta

Una política que prohíbe el uso personal pero que nadie respeta, con mandos que lo practican y nunca se aplica, pierde fuerza. Si durante años se ha tolerado que la plantilla use el correo de empresa para gestiones personales, el trabajador puede alegar que existía una expectativa de privacidad pese a la norma escrita. Por eso las políticas deben recordarse periódicamente y aplicarse con coherencia.

¿Prohibir o permitir el uso personal?

La ley no obliga a permitir el uso personal. La empresa puede optar por una prohibición total o por un uso personal limitado. Cada opción tiene consecuencias:

El correo corporativo con nombre y apellidos

Una dirección de correo del tipo nombre.apellido identifica a la persona y es, en sí misma, un dato personal, aunque pertenezca al dominio de la empresa. Eso no impide su control, pero refuerza la necesidad de reglas claras. Cuando la comunicación debe estar disponible para varias personas o sobrevivir a la salida de un trabajador, es preferible usar direcciones funcionales o buzones compartidos. Cuantas más comunicaciones profesionales circulen por canales de equipo, menos necesidad habrá de entrar en buzones individuales y menor será el conflicto con la intimidad.

El art. 87.3 LOPDGDD convierte en obligación lo que la jurisprudencia ya recomendaba: fijar criterios de utilización de los dispositivos digitales. Sin esa política, cualquier control posterior parte en desventaja. Con ella, la empresa dispone de una base sólida para supervisar y, en su caso, sancionar.

Contenido mínimo recomendado

• Ámbito: qué dispositivos y herramientas cubre (ordenadores, portátiles, móviles, tabletas, correo, mensajería corporativa, almacenamiento en la nube, herramientas de colaboración, aplicaciones de IA).
• Uso profesional y, en su caso, personal: si se permite el uso personal, en qué condiciones, horarios y con qué límites.
• Usos prohibidos: instalación de software no autorizado, descarga de contenidos ilícitos, uso de cuentas personales para fines de empresa, envío de información confidencial a direcciones externas, introducción de datos de clientes o empleados en herramientas no autorizadas.
• Medidas de control: qué se puede supervisar (registros de acceso, tráfico, contenido), con qué herramientas, en qué supuestos y con qué garantías.
• Procedimiento de acceso al contenido: quién lo autoriza, cómo se hace, quién está presente, cómo se documenta.
• Seguridad: contraseñas, bloqueo de pantalla, cifrado, comunicación de incidentes.
• Fin de la relación: devolución de dispositivos, tratamiento de la cuenta de correo y de los archivos personales.
• Desconexión digital: enlace con la política del art. 88 LOPDGDD.
• Consecuencias del incumplimiento: remisión al régimen disciplinario del convenio.

Cómo elaborarla y comunicarla

La política de dispositivos forma parte del sistema de protección de datos de la plantilla. Si aún no tienes el marco general ordenado, empieza por la guía de protección de datos de los empleados.

Incluso con una buena política, el acceso al correo de un trabajador concreto debe hacerse con método. El objetivo es doble: respetar sus derechos y obtener una prueba que resista un juicio. Este es un procedimiento prudente.

El acceso por razones de continuidad del negocio

No todo acceso tiene fines disciplinarios. Si un trabajador está de baja o de vacaciones y es imprescindible recuperar un correo de un cliente, la empresa puede necesitar acceder al buzón para garantizar la continuidad. La política debe prever este supuesto: preferentemente mediante respuestas automáticas, redirección de mensajes o buzones compartidos; y, si no es posible, con un acceso limitado, comunicado al trabajador y documentado.

El correo es solo una parte. Las empresas disponen hoy de herramientas que permiten conocer al detalle la actividad en el ordenador: páginas visitadas, aplicaciones usadas, tiempo de inactividad, capturas de pantalla, pulsaciones de teclado. Que sea técnicamente posible no significa que sea lícito. Los mismos criterios (información previa, finalidad, proporcionalidad) se aplican con más rigor cuanto mayor es la intrusión.

Mensajería instantánea corporativa

Las herramientas de chat corporativo (y los grupos de mensajería creados para coordinar equipos) generan un volumen enorme de comunicaciones en las que se mezclan mensajes profesionales y comentarios personales. Se les aplican las mismas reglas que al correo: política previa, aviso de posible control y acceso proporcionado. Cuando se usan aplicaciones de mensajería en móviles personales para fines de trabajo, la empresa no puede exigir acceso al teléfono, y lo recomendable es facilitar canales corporativos.

Monitorización en teletrabajo

El art. 22 de la Ley 10/2021 reconoce a la empresa la facultad de adoptar medidas de vigilancia y control en el trabajo a distancia, incluidos medios telemáticos, guardando la consideración debida a la dignidad del trabajador. El teletrabajo no habilita un control más intenso que el presencial; al contrario, el riesgo de invadir la vida privada es mayor porque el equipo está en el domicilio.

Herramientas de inteligencia artificial

La llegada de asistentes de IA a las herramientas de oficina plantea dos cuestiones. La primera es de uso: la política debe indicar qué herramientas están autorizadas y qué información puede introducirse en ellas (nunca datos personales de clientes o empleados en herramientas no autorizadas). La segunda es de control: algunas herramientas generan análisis automáticos de productividad, de sentimiento o de comportamiento. El Reglamento europeo de IA (Reglamento UE 2024/1689) prohíbe, desde febrero de 2025, los sistemas que infieren las emociones de las personas en el lugar de trabajo, salvo por razones médicas o de seguridad, y califica como de alto riesgo los sistemas usados para supervisar y evaluar el rendimiento y el comportamiento de los trabajadores.

BYOD (del inglés "bring your own device") es la práctica de usar el móvil, la tableta o el ordenador personal para trabajar. Es cómoda y ahorra costes, pero invierte la lógica del art. 87 LOPDGDD: el dispositivo no es de la empresa, sino del trabajador, y contiene su vida privada. El margen de control empresarial se reduce drásticamente.

Reglas básicas

• Voluntariedad: la empresa no puede imponer con carácter general el uso de dispositivos personales. En el trabajo a distancia, el art. 17.2 de la Ley 10/2021 lo dice expresamente: la empresa no puede exigir la instalación de programas o aplicaciones en dispositivos propiedad del trabajador ni la utilización de estos dispositivos para el trabajo a distancia.
• Sin acceso al contenido personal: la empresa solo puede gestionar la información corporativa, nunca fotos, mensajes, contactos o aplicaciones personales.
• Separación técnica: soluciones de gestión de dispositivos móviles (MDM) en modo contenedor o perfil de trabajo, que separan las aplicaciones y datos corporativos de los personales.
• Borrado selectivo: si el dispositivo se pierde o el trabajador se va, solo se borra el contenedor corporativo, nunca el dispositivo completo.
• Compensación de costes: si el uso del dispositivo personal es necesario para el trabajo, debe valorarse su compensación; en el trabajo a distancia, el art. 12 de la Ley 10/2021 garantiza que la persona no asuma gastos vinculados a su actividad.

El caso del fichaje desde el móvil personal

Registrar la jornada desde el móvil personal es una práctica extendida y, en principio, menos problemática que otras formas de BYOD: la aplicación de fichaje solo trata los datos del registro y, en su caso, la ubicación en el momento de fichar. Aun así, conviene ofrecer alternativas a quien no quiera usar su teléfono (fichaje web, quiosco, código o WhatsApp corporativo) y no solicitar permisos innecesarios. Ikelma ofrece varios métodos de fichaje para que cada empresa elija el adecuado a cada colectivo.

Un control de dispositivos mal planteado puede generar consecuencias en cuatro frentes distintos, que además pueden acumularse.

Cómo reducir el riesgo

• Política de uso aprobada con participación de los representantes y comunicada individualmente.
• Procedimiento escrito de acceso con autorización de un nivel directivo y asesoramiento jurídico.
• Separación de funciones: quien sospecha no es quien accede.
• Peritos externos para extracciones con finalidad probatoria.
• Formación a mandos y a sistemas sobre lo que no pueden hacer.
• Registro de cada acceso con causa, alcance y resultado.

Supuestos ficticios para aplicar los criterios de esta guía.

El control del correo y de los dispositivos de empresa es legítimo, pero no ilimitado. El art. 87 LOPDGDD, la doctrina Barbulescu y la jurisprudencia española coinciden en lo esencial: la empresa debe fijar antes las reglas del juego, informar de que puede controlar y cómo, y, cuando controle, hacerlo con una causa concreta, el menor grado de intrusión posible y garantías que permitan acreditar lo que se hizo.

La mayor parte de los problemas no surgen por exceso de control, sino por improvisación: la sospecha llega, no hay política, y alguien entra en un buzón sin método. Una política de uso de dispositivos elaborada con los representantes, comunicada y aplicada con coherencia es la inversión más rentable en esta materia.

Con el teletrabajo y las nuevas herramientas de monitorización, la tentación de vigilarlo todo es mayor. Pero controlar el tiempo de trabajo y los resultados suele ser suficiente y mucho más respetuoso que registrar cada clic. Un buen registro de jornada y una gestión por objetivos responden a la mayoría de las preguntas que la empresa se hace sobre el trabajo de su equipo.