Cuando la Agencia Española de Protección de Datos publicó en mayo de 2021 su Guía sobre protección de datos en las relaciones laborales, el objetivo era claro: trasladar al terreno laboral un marco normativo. El Reglamento (UE) 2016/679 (RGPD) y la Ley Orgánica 3/2018 (LOPDGDD) había nacido con una vocación generalista y no siempre fácil de aplicar en la empresa. Aquella guía aportó orden, seguridad jurídica y criterios interpretativos en un momento marcado por el teletrabajo, el control digital y la urgencia organizativa tras la pandemia.
Cuatro años después, la actualización de diciembre de 2025 parte de una premisa distinta: la digitalización ya no es coyuntural, sino estructural. Y con ella, el tratamiento de datos personales se ha convertido en un elemento central del poder de dirección, reconocido en el artículo 20 del Estatuto de los Trabajadores. Y de forma expresa, en su artículo 20 bis, que vincula dicho poder al respeto de la intimidad, la protección de datos y los derechos digitales.
Aunque la estructura formal se mantiene casi idéntica, el fondo técnico revela un endurecimiento en la fiscalización de tecnologías emergentes y una integración profunda de leyes aprobadas en el intervalo de estos cuatro años.
De interpretar la norma a gobernar el dato
La guía de 2021 tenía un marcado carácter pedagógico. Explicaba las bases jurídicas del tratamiento (art. 6 RGPD), alertaba sobre la invalidez general del consentimiento en la relación laboral, por el desequilibrio estructural entre empresa y persona trabajadora. Y recordaba que la ejecución del contrato y el cumplimiento de obligaciones legales eran los pilares de legitimación del tratamiento.
La guía de 2025 mantiene ese esquema, pero da un paso decisivo: ya no se limita a describir las bases jurídicas, sino que insiste en la responsabilidad activa del empleador (principio de accountability, art. 5.2 RGPD). El foco se desplaza del “qué puedo hacer” al “cómo debo hacerlo”, reforzando la exigencia de proporcionalidad, minimización y evaluación continua del impacto del tratamiento en los derechos fundamentales.
Decisiones automatizadas: del aviso a la advertencia clara
Uno de los avances más relevantes de la versión de 2025 es el tratamiento mucho más profundo de las decisiones automatizadas en el ámbito laboral. En 2021 se abordaban como un fenómeno emergente; en 2025 se reconocen como una realidad consolidada que afecta al acceso al empleo, la evaluación del rendimiento o la gestión de la carrera profesional.
La nueva guía conecta directamente estas prácticas con el artículo 22 del RGPD, que limita las decisiones basadas exclusivamente en tratamientos automatizados cuando producen efectos jurídicos o afectan significativamente a la persona trabajadora. Se refuerza, además, la necesidad de intervención humana, transparencia y posibilidad real de impugnación, alineándose con la doctrina del Tribunal de Justicia de la Unión Europea sobre la interpretación restrictiva de este tipo de decisiones.
De la flexibilidad al rigor técnico: ¿Qué desaparece o se sustituye?
La principal sustitución técnica ocurre en el apartado de datos biométricos (criterio sobre biometría). En 2021 se distinguía entre identificación (1 a N) y autenticación (1 a 1) para permitir ciertos usos de huella dactilar o reconocimiento facial con menores garantías. La guía de 2025 integra las Directrices 05/2022 del Comité Europeo de Protección de Datos (CEPD). Ahora, ambos procesos se consideran por defecto tratamiento de categorías especiales de datos, lo que eleva el umbral de legalidad y hace que sistemas antes permitidos sean ahora técnicamente de «alto riesgo».
En relación con los sistemas de denuncias (whistleblowing), el contenido de 2021, basado puramente en el art. 24 de la LOPDGDD , queda sustituido por un marco que integra la Ley 2/2023. Desaparece la ambigüedad sobre los plazos de conservación: la guía de 2025 es taxativa en el borrado de datos a los tres meses salvo que persista la investigación, prohibiendo expresamente su permanencia en el sistema de información interno una vez finalizada la fase preliminar.
Novedades técnicas: ¿Qué hay de nuevo en 2025?
Sobre la Inteligencia Artificial (IA) y los algoritmos, aunque ambas guías mencionan las decisiones automatizadas, la de 2025 introduce una obligación técnica de transparencia mucho más específica. Se exige informar a los representantes de los trabajadores no solo de la existencia de la IA, sino de los parámetros, reglas e instrucciones en los que se basan los sistemas que afectan a la toma de decisiones.
Asimismo, la guía de 2025 deja de ser un documento unilateral de la AEPD y se produce una participación institucional “ampliada”, incluyendo la participación del Ministerio de Trabajo y Economía Social en su elaboración. Además de la patronal (CEOE, CEPYME) y sindicatos (CCOO, UGT) , lo que le otorga un carácter de «criterio consensuado» de mayor peso administrativo.
Finalmente, se refuerza el deber técnico de las empresas de denunciar situaciones de ciberacoso en casos de violencia de género detectados en el ámbito laboral.
Control empresarial y derechos fundamentales
En materia de control de la actividad laboral —videovigilancia, geolocalización, control horario o investigación de incumplimientos— ambas guías parten de la misma base: el poder de dirección no es ilimitado y debe someterse al juicio de proporcionalidad, tal y como exige de forma reiterada el Tribunal Constitucional.
Sin embargo, la guía de 2025 refuerza una idea clave: la licitud formal no agota el análisis jurídico. Incluso cuando existe base legal o interés legítimo (art. 6.1.c y f RGPD), la empresa debe justificar que la medida es idónea, necesaria y equilibrada, conforme a la doctrina constitucional consolidada. El control tecnológico deja de analizarse como una herramienta aislada y pasa a insertarse en una reflexión más amplia sobre confianza, clima laboral y sostenibilidad organizativa.
Derechos digitales: de la proclamación a la práctica
Otro elemento diferencial es el tratamiento más operativo de los derechos digitales reconocidos en los artículos 87 a 91 de la LOPDGDD (desconexión digital, intimidad frente a dispositivos de videovigilancia, geolocalización o uso de medios digitales). Mientras la guía de 2021 explicaba su alcance normativo, la de 2025 pone el acento en su gestión efectiva, reclamando políticas internas claras, participación de la representación legal de las personas trabajadoras y coherencia entre tecnología y cultura corporativa.
Mejoras y cuestiones pendientes
En materia de registro de Jornada y geolocalización, se mejora la precisión técnica sobre el uso de medios personales para el control laboral. La guía de 2025 consolida la prohibición de imponer a la persona trabajadora el uso de su propio teléfono móvil para geolocalización o registro horario.
Por otro lado, se perfecciona el límite del «interés legítimo» en el acceso a la información en redes sociales en procesos de selección, ya no basta con que el perfil sea público. La guía de 2025 exige una vinculación técnica directa entre los datos rastreados y los riesgos específicos de la función a desempeñar, reforzando la obligación de informar de este rastreo en el propio anuncio de empleo.
En el campo de las “tareas pendientes”, a pesar de la actualización, se echa en falta una mayor profundidad técnica sobre el uso de IA generativa por parte de los empleados (como ChatGPT o similares) y cómo deben las empresas auditar técnicamente las fugas de información confidencial a través de estas herramientas.
Asimismo, y en materia de desconexión digital, aunque se menciona como un derecho consolidado, ambas guías carecen de un anexo técnico detallado sobre cómo configurar los servidores de correo o sistemas de mensajería para automatizar el bloqueo de comunicaciones fuera del horario laboral, dejando la implementación técnica en una declaración de intenciones.
Finalmente, no hay mención técnica al tratamiento de datos en nuevos entornos de trabajo virtuales o monitorización a través de avatares (metaverso), un campo que ya empieza a plantear conflictos de privacidad.
Una evolución, no una ruptura
La guía de 2025 no deroga ni desautoriza la de 2021. La complementa y la madura. No restringe nuevas facultades empresariales, pero eleva el listón de la calidad jurídica exigible. La protección de datos deja de ser un mero cumplimiento normativo para convertirse en una pieza estructural del buen gobierno de las relaciones laborales.
En definitiva, la evolución entre ambas guías refleja un cambio de paradigma: del control al equilibrio, de la vigilancia al gobierno del dato, y de la legalidad mínima a la legitimidad plena. Un mensaje claro para las organizaciones: en un entorno donde todo puede medirse, no todo debe hacerse sin límites ni sin reflexión jurídica previa.
