InicioGuía laboralMedidas de control empresarial
Datos personales que puede pedirte y guardar la empresa
La empresa solo puede pedir y guardar los datos necesarios para el contrato o los que una ley le exige: identificación, cuenta bancaria, Seguridad Social, titulación. No puede preguntar por embarazo, salud, ideología o afiliación, ni pedir antecedentes penales salvo que una ley lo prevea, como el certificado de delitos sexuales para trabajar con menores. Y no puede usar tus datos para un fin distinto del que justificó su recogida.
La empresa solo puede pedirte y guardar los datos que necesita para el contrato o que una ley le obliga a tener: tu identificación, tu número de Seguridad Social, tu cuenta bancaria para la nómina, tu titulación si el puesto la exige.
No puede preguntarte por tu embarazo, tu salud, tu ideología, tu religión o tu afiliación sindical, ni pedirte antecedentes penales salvo que una ley lo prevea, como el certificado de delitos sexuales para trabajar con menores.
Y lo que le das para una cosa no puede usarlo para otra.
Las reglas básicas
Tres normas mandan aquí:
- El Reglamento general de protección de datos: cualquier dato que la empresa trate tiene que tener una base legal (artículo 6), como el contrato o una obligación legal; solo puede recoger los datos necesarios, para fines concretos y durante el tiempo justo (artículo 5); y los datos especialmente sensibles, como la salud, la ideología, la religión, la afiliación sindical, el origen o la orientación sexual, están prohibidos salvo excepciones (artículo 9).
- La Ley Orgánica 3/2018, de protección de datos: el solo consentimiento no basta para tratar datos de ideología, afiliación, religión u orientación sexual (artículo 9), y los antecedentes penales solo pueden tratarse si lo ampara una ley (artículo 10).
- El Estatuto de los Trabajadores, que prohíbe discriminar para el empleo y una vez empleado (artículo 4.2 c).
En la selección: qué te pueden preguntar
Pueden pedirte lo que tiene que ver con el puesto: formación, experiencia, idiomas, carné de conducir si hace falta. No pueden preguntarte por tu embarazo, tus planes de tener hijos, tu salud, tu ideología, tu religión o tu afiliación.
El embarazo es el ejemplo más claro. No contratar a una candidata que había superado el proceso porque, embarazada, no podía incorporarse de inmediato es discriminación directa por razón de sexo (Constitucional, septiembre de 2019).
Y relegar a una candidata en una bolsa de trabajo por estar embarazada obligó a pagarle lo que habría cobrado (Superior de Illes Balears, marzo de 2013).
¿Y si te preguntan algo que no deberían? No hemos encontrado sentencias que digan si se puede mentir ante una pregunta ilegítima.
Lo que sí es seguro es que no tienes obligación de contestarla y que la decisión de no contratarte por ese motivo es discriminatoria.
Mentir sobre cosas que sí son relevantes para el puesto (titulación, experiencia) es otra historia y puede tener consecuencias; lo explicamos en el artículo sobre mentir en la entrevista o en el currículum.
Sobre las redes sociales de los candidatos, tampoco hay sentencias laborales. Mirar un perfil profesional público es habitual; recopilar información de tu vida privada para decidir la contratación choca con los principios de finalidad y minimización.
La vigilancia de las redes de la plantilla tiene su propio artículo.
Antecedentes penales
La regla general es que la empresa no puede pedirlos. El Supremo lo dijo incluso en la seguridad privada: una empresa de vigilancia no puede exigir a sus vigilantes declaraciones sobre antecedentes, porque ninguna ley con ese rango se lo permite (Supremo, mayo de 2022).
La gran excepción es el certificado negativo del Registro Central de Delincuentes Sexuales para profesiones con contacto habitual con menores (artículo 57 de la Ley Orgánica 8/2021): monitores, docentes, personal sanitario de pediatría, entrenadores…
- Si tu puesto entra ahí y te niegas a aportarlo, puedes perder el empleo: se confirmó la extinción del contrato de un veterinario que daba charlas a escolares y no lo entregó (Superior de Canarias, noviembre de 2024).
- Pero la empresa tiene que seguir el cauce correcto: se declaró improcedente el cese de un técnico de mantenimiento de una instalación deportiva por no presentarlo (Superior de Madrid, julio de 2020).
Y si la empresa se entera de tus antecedentes por otra vía, no puede hacerlos circular: que una condena penal de una dependienta, ajena al trabajo, pasara de una empresa del grupo a otra sin su consentimiento vulneró su intimidad, con 5.000 euros de indemnización (Superior de Andalucía, marzo de 2026).
Datos de salud
La empresa no puede conocer tu diagnóstico:
- De los reconocimientos médicos solo recibe la conclusión: apto, no apto o apto con limitaciones (artículo 22.4 de la Ley de Prevención). Por eso una carta de despido por ineptitud puede remitirse al dictamen médico sin detallar las dolencias (Superior de Murcia, febrero de 2021).
- No puede guardar los diagnósticos de tus bajas. El Constitucional ordenó suprimirlos de una base de datos de absentismo (Constitucional, noviembre de 1999).
- Sí puede pedirte un justificante de que estuviste en el médico, siempre que no revele información clínica (Superior de Castilla y León, marzo de 2023).
Las pruebas de alcohol y drogas tienen sus propias reglas, que explicamos en su artículo.
Tu móvil y tu correo personales
No pueden obligarte a darlos como canal ordinario de trabajo.
Una cláusula por la que «consentías» dar tu móvil y tu correo personales fue anulada porque, en un contrato que no se negocia, ese consentimiento no es libre (Supremo, septiembre de 2015), y en el teletrabajo la empresa tiene que darte un correo corporativo (Supremo, noviembre de 2024).
Ahora bien:
- Es válido que los facilites solo para que te localicen por urgencias del servicio (Supremo, abril de 2025).
- Si tú mismo diste tu número para asuntos de trabajo, su uso proporcionado no es ilícito (Superior de Asturias, marzo de 2022).
- Si la empresa ofrece alternativas reales (una aplicación, contacto directo con personal), no puede exigírsele un correo corporativo para todos (Audiencia Nacional, mayo de 2025).
Lo que das para una cosa no vale para otra
Es el principio de limitación de la finalidad, y es de los más útiles en la práctica:
- Una empresa usó la vida laboral que la trabajadora entregó en la selección para despedirla. La prueba se anuló, el despido fue improcedente y se le reconocieron 3.000 euros de daño moral (Superior de Castilla y León, abril de 2024).
- Un banco no podía usar los datos de la cuenta de una empleada que también era clienta para controlar su trabajo sin informarla (Supremo, marzo de 2022).
Pero atención: si la empresa prueba los hechos por otros medios, el despido puede ser procedente aunque una prueba sea ilícita (Supremo, marzo de 2022) (Superior de Navarra, marzo de 2026).
Cuándo puede comunicar tus datos y cuándo no
- A la representación legal, los datos necesarios para sus funciones: el Supremo obligó a un banco a dar a la representación el nombre de cada apunte del registro de jornada, con deber de sigilo (Supremo, septiembre de 2024). No, en cambio, los salarios individuales con nombre sin tu consentimiento (Superior de Murcia, abril de 2024). Y la representación también responde si los difunde (Superior de Madrid, enero de 2021).
- A compañeros o terceros, nada que no sea necesario. Poner el nombre y el salario de una trabajadora en la carta de despido de otro le costó a la empresa 7.501 euros (Superior de Canarias, febrero de 2026). Publicar un parte de baja en el grupo de WhatsApp de la empresa vulneró la intimidad del trabajador, con 6.000 euros de indemnización (Superior de Castilla y León, abril de 2026).
Qué puedes reclamar
Si la empresa trata datos que no debe o los usa mal, el daño moral se indemniza aunque no pruebes un perjuicio económico concreto, y las multas de la ley de infracciones sirven de referencia (Supremo, abril de 2022).
Las cantidades que se ven en los tribunales van de unos pocos miles de euros hasta cifras más altas en los casos graves.
Pasos concretos:
- Pide a la empresa, por escrito, acceso a tus datos: qué tiene, para qué y a quién los ha dado. Tiene un mes para responder.
- Si tiene datos que no debe, pide que los suprima.
- Si no responde, puedes reclamar ante la Agencia Española de Protección de Datos.
- Si hay vulneración de tus derechos, puedes presentar una demanda de tutela de derechos fundamentales y pedir una indemnización.
Preguntas frecuentes
¿Tengo que decir en la entrevista si estoy embarazada?
No. Es una pregunta discriminatoria y no tiene por qué influir en la contratación.
¿Puede la empresa pedirme el certificado de antecedentes penales?
Solo si una ley lo exige. El caso más conocido es el certificado negativo de delitos sexuales para trabajos con contacto habitual con menores.
¿Tengo que decir a la empresa qué enfermedad tengo cuando estoy de baja?
No. Desde 2023 ni siquiera hay que entregarle los partes; sí avisar de la baja. Lo que pueda conocer por la vigilancia de la salud es la conclusión de aptitud, no el diagnóstico.
¿Me pueden obligar a dar mi móvil personal?
No como canal ordinario de trabajo. Sí se admite que lo facilites para urgencias del servicio, o que la empresa lo use si tú lo diste voluntariamente para el trabajo.
¿Cuánto me pueden indemnizar si la empresa usa mal mis datos?
Depende del caso. Hay sentencias con 3.000, 5.000, 6.000 o 7.501 euros; la ley de infracciones y sanciones sirve de referencia.
Cuestiones Laborales es una web informativa: lo que explica es general y cada caso tiene sus matices. Para el tuyo, consulta siempre con un abogado o abogada laboralista o con un graduado o graduada social.
Más guías: Datos personales, derecho de acceso y algoritmos
Comentarios
Otros artículos sobre este tema.
- ArtículoSu salario en la carta de despido de su pareja: 7.501 euros por vulnerar sus datosEl Tribunal Superior de Justicia de Canarias (Las Palmas), en sentencia de 26 de febrero de 2026, condena a una empresa a pagar 7.501 euros a una trabajadora cuyo nombre y salario mes a mes aparecían, sin su consentimiento, en la carta de despido de su pareja. La empresa podía explicar el despido sin identificarla: bastaba una referencia a «otra persona del mismo puesto» o los cuadros salariales por categoría.
- Artículo¿Puede la empresa obligarme a dar mi correo personal para trabajar?Como regla general, no: la empresa debe darte los medios para trabajar, incluido un correo corporativo si hace falta, y no puede imponerte el uso de tu correo personal. El Supremo sí ha admitido que se pida el correo y el teléfono personales solo para urgencias, y la Audiencia Nacional que no haya correo corporativo si existen otras vías que no usan tus datos.
- ArtículoCómo pedir a la empresa las grabaciones y datos que tiene sobre tiTienes derecho a pedir a la empresa una copia de los datos que tiene sobre ti, incluidas las grabaciones en las que apareces. Debe contestar en un mes, que puede ampliar dos más avisándote, pero las imágenes de las cámaras se borran normalmente en un mes, así que hay que pedirlas cuanto antes. Si no responde, puedes reclamar ante la Agencia Española de Protección de Datos y, si hay pleito, pedir al juzgado que la obligue a aportarlas.
- Artículo¿Puede la empresa vigilar tus redes sociales y sancionarte por lo que publicas?La empresa puede ver y usar como prueba lo que publicas en abierto en tus redes, porque tú mismo lo has hecho público. No puede entrar en perfiles privados con engaños ni, según algunos tribunales, usar imágenes tuyas que otra persona subió sin tu consentimiento. Y que algo se vea no basta para sancionar: tiene que ser una falta, como una actividad incompatible con la baja o difundir información interna.
- ArtículoMentir en la entrevista de trabajo o en el CV: consecuencias y qué no te pueden preguntarMentir sobre la formación o la experiencia que pide el puesto puede costar el despido disciplinario por transgresión de la buena fe, e incluso la anulación del contrato. En cambio, la empresa no puede preguntar por el embarazo, los planes de tener hijos, la salud, la religión o la afiliación: no tienes obligación de contestar y no puede tener en cuenta esos datos para contratarte ni para despedirte.
- ArtículoIndemnización por difundir la baja médica en WhatsApp e insultosEl Tribunal Superior de Justicia de Castilla y León (Burgos) confirmó una condena de 6.000 euros a una empresa de Ávila y a su administrador por insultar gravemente a un repartidor delante de sus compañeros y publicar su parte de baja en el grupo de WhatsApp de la plantilla. No hizo falta probar un acoso continuado: bastaron esas dos conductas concretas.
Modelos de escritos para este caso, listos para descargar en Word y completar.
- DocumentoSolicitud a la empresa de supresión de datos personales: salud, datos difundidos o huella para ficharPara pedir a la empresa que borre los datos tuyos que no necesita o que no puede tener (diagnósticos, antecedentes, huella o rostro), que retire los que ha difundido y que no lo repita, dejando constancia de la fecha.El escrito que propone esta guía
- DocumentoSolicitud de acceso a tus datos personales en la empresa: grabaciones, GPS, correo y datos de saludPara pedir a la empresa copia de los datos personales que tiene sobre ti (imágenes de las cámaras, registros de ubicación, lo que sacó de tu correo u ordenador) y saber para qué los usa, cuánto los guarda y a quién se los ha dado.El escrito que propone esta guía
- DocumentoReclamación ante la Agencia Española de Protección de Datos contra la empresa: cámaras, audio, huella o datosPara pedir a la Agencia Española de Protección de Datos que investigue y, en su caso, sancione a tu empresa por cámaras ilegales, grabación de sonido, fichaje con huella o reconocimiento facial, difusión de tus datos o por no contestar a tu derecho de acceso.El escrito que propone esta guía
- DocumentoDemanda de tutela por vulneración de la intimidad, la propia imagen o los datos: cámaras, correo, registrosPara pedir al juzgado de lo social que declare que un control de la empresa (cámaras, grabación de sonido, revisión del correo o del ordenador, registros) o la difusión de tu imagen o tus datos vulnera tu intimidad, ordene que cese y te indemnice el daño moral.El escrito que propone esta guía
- DocumentoEscrito a la empresa negando o retirando el consentimiento para usar tu imagen: fotos, vídeos, web y redesPara dejar por escrito que no quieres salir en fotos, vídeos o campañas de la empresa, o que retiras el permiso que diste, y pedir que quiten y borren las imágenes ya publicadas.
- DocumentoEscrito a la empresa pidiendo correo o medios de trabajo corporativos en lugar de tu correo o móvil personalPara pedir a la empresa un correo, un usuario o un equipo de la empresa para trabajar y dejar constancia de que no autorizas el uso de tu correo, tu móvil o tu ordenador personales.
- DocumentoSolicitud a la empresa de que retire tus datos de la carta de despido o el expediente de otra personaPara pedir a la empresa que quite tu nombre, tu salario u otros datos tuyos de la carta de despido, la sanción o el expediente de otra persona, que no los vuelva a usar y que te conteste por escrito, dejando constancia de la fecha de tu petición.
- DocumentoSolicitud de explicación y revisión humana de una decisión automatizada: algoritmo o inteligencia artificialPara preguntar a la empresa si una decisión que te afecta (una sanción, los turnos, una evaluación, un despido) la tomó un programa, pedir que te explique la lógica aplicada y que la revise una persona con capacidad para cambiarla.
- DocumentoRetirada de la autorización para descontar la cuota sindical de la nóminaPara comunicar a la empresa que retiras tu conformidad al descuento de la cuota sindical y que deje de descontarla desde la próxima nómina, con copia al sindicato si además te das de baja.
- DocumentoAutorización a la empresa para descontar la cuota sindical en la nóminaPara dar por escrito tu conformidad a que la empresa descuente de tu nómina la cuota de tu sindicato y se la ingrese, como exige la ley, y dejar claro que solo puede usar ese dato para hacer el descuento.
- DocumentoPetición del sindicato a la empresa para que descuente la cuota sindical en nómina y la transfieraPara que el sindicato pida a la empresa, por escrito y con acuse de recibo, que descuente la cuota de sus afiliados/as que han dado su conformidad y se la ingrese en su cuenta, y para comunicar las altas y bajas.
- DocumentoProtocolo de control de alcohol y drogas en la empresa, para el informe previo de la representaciónPara que la empresa implante controles de alcohol y drogas con garantías: en qué puestos y por qué, quién hace la prueba, cómo se protege la intimidad y los datos de salud, y el informe previo de la representación de la plantilla que exige el artículo 22 de la Ley de Prevención de Riesgos Laborales.
- DocumentoRequerimiento a la empresa para que conserve las grabaciones de las cámaras de unos días concretosPara pedir a la empresa, enseguida y por escrito, que no borre las grabaciones de unos días y horas concretos porque pueden servir de prueba en un conflicto, y dejar constancia de que las pediste a tiempo.
Normas y preceptos aplicables. Despliega cada uno para leer su texto.
Artículo 9Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016 (Reglamento general de protección de datos)Prohíbe tratar datos de salud, ideología, afiliación, origen u orientación sexual salvo excepciones, entre ellas las obligaciones laborales y la medicina del trabajo.
Texto del artículoTexto consolidado vigente desde el 4 de mayo de 2016Artículo 9. Tratamiento de categorías especiales de datos personales.
1. Quedan prohibidos el tratamiento de datos personales que revelen el origen étnico o racial, las opiniones políticas, las convicciones religiosas o filosóficas, o la afiliación sindical, y el tratamiento de datos genéticos, datos biométricos dirigidos a identificar de manera unívoca a una persona física, datos relativos a la salud o datos relativos a la vida sexual o la orientación sexual de una persona física.
2. El apartado 1 no será de aplicación cuando concurra una de las circunstancias siguientes:
a) el interesado dio su consentimiento explícito para el tratamiento de dichos datos personales con uno o más de los fines especificados, excepto cuando el Derecho de la Unión o de los Estados miembros establezca que la prohibición mencionada en el apartado 1 no puede ser levantada por el interesado;
b) el tratamiento es necesario para el cumplimiento de obligaciones y el ejercicio de derechos específicos del responsable del tratamiento o del interesado en el ámbito del Derecho laboral y de la seguridad y protección social, en la medida en que así lo autorice el Derecho de la Unión o de los Estados miembros o un convenio colectivo con arreglo al Derecho de los Estados miembros que establezca garantías adecuadas del respeto de los derechos fundamentales y de los intereses del interesado;
c) el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física, en el supuesto de que el interesado no esté capacitado, física o jurídicamente, para dar su consentimiento;
d) el tratamiento es efectuado, en el ámbito de sus actividades legítimas y con las debidas garantías, por una fundación, una asociación o cualquier otro organismo sin ánimo de lucro, cuya finalidad sea política, filosófica, religiosa o sindical, siempre que el tratamiento se refiera exclusivamente a los miembros actuales o antiguos de tales organismos o a personas que mantengan contactos regulares con ellos en relación con sus fines y siempre que los datos personales no se comuniquen fuera de ellos sin el consentimiento de los interesados;
e) el tratamiento se refiere a datos personales que el interesado ha hecho manifiestamente públicos;
f) el tratamiento es necesario para la formulación, el ejercicio o la defensa de reclamaciones o cuando los tribunales actúen en ejercicio de su función judicial;
g) el tratamiento es necesario por razones de un interés público esencial, sobre la base del Derecho de la Unión o de los Estados miembros, que debe ser proporcional al objetivo perseguido, respetar en lo esencial el derecho a la protección de datos y establecer medidas adecuadas y específicas para proteger los intereses y derechos fundamentales del interesado;
h) el tratamiento es necesario para fines de medicina preventiva o laboral, evaluación de la capacidad laboral del trabajador, diagnóstico médico, prestación de asistencia o tratamiento de tipo sanitario o social, o gestión de los sistemas y servicios de asistencia sanitaria y social, sobre la base del Derecho de la Unión o de los Estados miembros o en virtud de un contrato con un profesional sanitario y sin perjuicio de las condiciones y garantías contempladas en el apartado 3;
i) el tratamiento es necesario por razones de interés público en el ámbito de la salud pública, como la protección frente a amenazas transfronterizas graves para la salud, o para garantizar elevados niveles de calidad y de seguridad de la asistencia sanitaria y de los medicamentos o productos sanitarios, sobre la base del Derecho de la Unión o de los Estados miembros que establezca medidas adecuadas y específicas para proteger los derechos y libertades del interesado, en particular el secreto profesional,
j) el tratamiento es necesario con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos, de conformidad con el artículo 89, apartado 1, sobre la base del Derecho de la Unión o de los Estados miembros, que debe ser proporcional al objetivo perseguido, respetar en lo esencial el derecho a la protección de datos y establecer medidas adecuadas y específicas para proteger los intereses y derechos fundamentales del interesado.
3. Los datos personales a que se refiere el apartado 1 podrán tratarse a los fines citados en el apartado 2, letra h), cuando su tratamiento sea realizado por un profesional sujeto a la obligación de secreto profesional, o bajo su responsabilidad, de acuerdo con el Derecho de la Unión o de los Estados miembros o con las normas establecidas por los organismos nacionales competentes, o por cualquier otra persona sujeta también a la obligación de secreto de acuerdo con el Derecho de la Unión o de los Estados miembros o de las normas establecidas por los organismos nacionales competentes.
4. Los Estados miembros podrán mantener o introducir condiciones adicionales, inclusive limitaciones, con respecto al tratamiento de datos genéticos, datos biométricos o datos relativos a la salud.
Artículo 10Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitalesSolo se pueden tratar datos de condenas penales si lo ampara una norma con rango de ley.
Texto del artículoTexto consolidado vigente desde el 7 de diciembre de 2018Artículo 10. Tratamiento de datos de naturaleza penal.
1. El tratamiento de datos personales relativos a condenas e infracciones penales, así como a procedimientos y medidas cautelares y de seguridad conexas, para fines distintos de los de prevención, investigación, detección o enjuiciamiento de infracciones penales o de ejecución de sanciones penales, solo podrá llevarse a cabo cuando se encuentre amparado en una norma de Derecho de la Unión, en esta ley orgánica o en otras normas de rango legal.
2. El registro completo de los datos referidos a condenas e infracciones penales, así como a procedimientos y medidas cautelares y de seguridad conexas a que se refiere el artículo 10 del Reglamento (UE) 2016/679, podrá realizarse conforme con lo establecido en la regulación del Sistema de registros administrativos de apoyo a la Administración de Justicia.
3. Fuera de los supuestos señalados en los apartados anteriores, los tratamientos de datos referidos a condenas e infracciones penales, así como a procedimientos y medidas cautelares y de seguridad conexas solo serán posibles cuando sean llevados a cabo por abogados y procuradores y tengan por objeto recoger la información facilitada por sus clientes para el ejercicio de sus funciones.
Artículo 5Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016 (Reglamento general de protección de datos)Principios de limitación de la finalidad, minimización y conservación limitada.
Texto del artículoTexto consolidado vigente desde el 4 de mayo de 2016Artículo 5. Principios relativos al tratamiento.
1. Los datos personales serán:
a) tratados de manera lícita, leal y transparente en relación con el interesado («licitud, lealtad y transparencia»);
b) recogidos con fines determinados, explícitos y legítimos, y no serán tratados ulteriormente de manera incompatible con dichos fines; de acuerdo con el artículo 89, apartado 1, el tratamiento ulterior de los datos personales con fines de archivo en interés público, fines de investigación científica e histórica o fines estadísticos no se considerará incompatible con los fines iniciales («limitación de la finalidad»);
c) adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados («minimización de datos»);
d) exactos y, si fuera necesario, actualizados; se adoptarán todas las medidas razonables para que se supriman o rectifiquen sin dilación los datos personales que sean inexactos con respecto a los fines para los que se tratan («exactitud»);
e) mantenidos de forma que se permita la identificación de los interesados durante no más tiempo del necesario para los fines del tratamiento de los datos personales; los datos personales podrán conservarse durante períodos más largos siempre que se traten exclusivamente con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos, de conformidad con el artículo 89, apartado 1, sin perjuicio de la aplicación de las medidas técnicas y organizativas apropiadas que impone el presente Reglamento a fin de proteger los derechos y libertades del interesado («limitación del plazo de conservación»);
f) tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»).
2. El responsable del tratamiento será responsable del cumplimiento de lo dispuesto en el apartado 1 y capaz de demostrarlo («responsabilidad proactiva»).
Artículo 6Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016 (Reglamento general de protección de datos)Bases que hacen lícito tratar datos (contrato, obligación legal, interés legítimo) y compatibilidad de fines.
Texto del artículoTexto consolidado vigente desde el 4 de mayo de 2016Artículo 6. Licitud del tratamiento.
1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
a) el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
b) el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
c) el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
d) el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
e) el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
f) el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño.
Lo dispuesto en la letra f) del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones.
2. Los Estados miembros podrán mantener o introducir disposiciones más específicas a fin de adaptar la aplicación de las normas del presente Reglamento con respecto al tratamiento en cumplimiento del apartado 1, letras c) y e), fijando de manera más precisa requisitos específicos de tratamiento y otras medidas que garanticen un tratamiento lícito y equitativo, con inclusión de otras situaciones específicas de tratamiento a tenor del capítulo IX.
3. La base del tratamiento indicado en el apartado 1, letras c) y e), deberá ser establecida por:
a) el Derecho de la Unión, o
b) el Derecho de los Estados miembros que se aplique al responsable del tratamiento.
La finalidad del tratamiento deberá quedar determinada en dicha base jurídica o, en lo relativo al tratamiento a que se refiere el apartado 1, letra e), será necesaria para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento. Dicha base jurídica podrá contener disposiciones específicas para adaptar la aplicación de normas del presente Reglamento, entre otras: las condiciones generales que rigen la licitud del tratamiento por parte del responsable; los tipos de datos objeto de tratamiento; los interesados afectados; las entidades a las que se pueden comunicar datos personales y los fines de tal comunicación; la limitación de la finalidad; los plazos de conservación de los datos, así como las operaciones y los procedimientos del tratamiento, incluidas las medidas para garantizar un tratamiento lícito y equitativo, como las relativas a otras situaciones específicas de tratamiento a tenor del capítulo IX. El Derecho de la Unión o de los Estados miembros cumplirá un objetivo de interés público y será proporcional al fin legítimo perseguido.
4. Cuando el tratamiento para otro fin distinto de aquel para el que se recogieron los datos personales no esté basado en el consentimiento del interesado o en el Derecho de la Unión o de los Estados miembros que constituya una medida necesaria y proporcional en una sociedad democrática para salvaguardar los objetivos indicados en el artículo 23, apartado 1, el responsable del tratamiento, con objeto de determinar si el tratamiento con otro fin es compatible con el fin para el cual se recogieron inicialmente los datos personales, tendrá en cuenta, entre otras cosas:
a) cualquier relación entre los fines para los cuales se hayan recogido los datos personales y los fines del tratamiento ulterior previsto;
b) el contexto en que se hayan recogido los datos personales, en particular por lo que respecta a la relación entre los interesados y el responsable del tratamiento;
c) la naturaleza de los datos personales, en concreto cuando se traten categorías especiales de datos personales, de conformidad con el artículo 9, o datos personales relativos a condenas e infracciones penales, de conformidad con el artículo 10;
d) las posibles consecuencias para los interesados del tratamiento ulterior previsto;
e) la existencia de garantías adecuadas, que podrán incluir el cifrado o la seudonimización.
Artículo 9Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitalesEl solo consentimiento no basta para tratar datos de ideología, afiliación, religión, orientación sexual u origen.
Texto del artículoTexto consolidado vigente desde el 7 de diciembre de 2018Artículo 9. Categorías especiales de datos.
1. A los efectos del artículo 9.2.a) del Reglamento (UE) 2016/679, a fin de evitar situaciones discriminatorias, el solo consentimiento del afectado no bastará para levantar la prohibición del tratamiento de datos cuya finalidad principal sea identificar su ideología, afiliación sindical, religión, orientación sexual, creencias u origen racial o étnico.
Lo dispuesto en el párrafo anterior no impedirá el tratamiento de dichos datos al amparo de los restantes supuestos contemplados en el artículo 9.2 del Reglamento (UE) 2016/679, cuando así proceda.
2. Los tratamientos de datos contemplados en las letras g), h) e i) del artículo 9.2 del Reglamento (UE) 2016/679 fundados en el Derecho español deberán estar amparados en una norma con rango de ley, que podrá establecer requisitos adicionales relativos a su seguridad y confidencialidad.
En particular, dicha norma podrá amparar el tratamiento de datos en el ámbito de la salud cuando así lo exija la gestión de los sistemas y servicios de asistencia sanitaria y social, pública y privada, o la ejecución de un contrato de seguro del que el afectado sea parte.
Artículo 22.4Ley 31/1995, de 8 de noviembre, de Prevención de Riesgos LaboralesLa empresa solo recibe la conclusión sobre la aptitud, no el diagnóstico.
Texto del apartado citadoTexto consolidado vigente desde el 10 de febrero de 19964. Los datos relativos a la vigilancia de la salud de los trabajadores no podrán ser usados con fines discriminatorios ni en perjuicio del trabajador.
El acceso a la información médica de carácter personal se limitará al personal médico y a las autoridades sanitarias que lleven a cabo la vigilancia de la salud de los trabajadores, sin que pueda facilitarse al empresario o a otras personas sin consentimiento expreso del trabajador.
No obstante lo anterior, el empresario y las personas u órganos con responsabilidades en materia de prevención serán informados de las conclusiones que se deriven de los reconocimientos efectuados en relación con la aptitud del trabajador para el desempeño del puesto de trabajo o con la necesidad de introducir o mejorar las medidas de protección y prevención, a fin de que puedan desarrollar correctamente sus funciones en materia preventiva.
Artículo 57Ley Orgánica 8/2021, de 4 de junio, de protección integral a la infancia y la adolescencia frente a la violenciaExige el certificado negativo de delitos sexuales para profesiones con contacto habitual con menores.
Texto del artículoTexto consolidado vigente desde el 25 de junio de 2021Artículo 57. Requisito para el acceso a profesiones, oficios y actividades que impliquen contacto habitual con personas menores de edad.
1. Será requisito para el acceso y ejercicio de cualesquiera profesiones, oficios y actividades que impliquen contacto habitual con personas menores de edad, el no haber sido condenado por sentencia firme por cualquier delito contra la libertad e indemnidad sexuales tipificados en el título VIII de la Ley Orgánica 10/1995, de 23 de noviembre, del Código Penal, así como por cualquier delito de trata de seres humanos tipificado en el título VII bis del Código Penal. A tal efecto, quien pretenda el acceso a tales profesiones, oficios o actividades deberá acreditar esta circunstancia mediante la aportación de una certificación negativa del Registro Central de delincuentes sexuales
2. A los efectos de esta ley, son profesiones, oficios y actividades que implican contacto habitual con personas menores de edad, todas aquellas, retribuidas o no, que por su propia naturaleza y esencia conllevan el trato repetido, directo y regular y no meramente ocasional con niños, niñas o adolescentes, así como, en todo caso, todas aquellas que tengan como destinatarios principales a personas menores de edad.
3. Queda prohibido que las empresas y entidades den ocupación en cualesquiera profesiones, oficios y actividades que impliquen contacto habitual con personas menores de edad a quienes tengan antecedentes en el Registro Central de Delincuentes Sexuales y de Trata de Seres Humanos.
Artículo 4.2 c)Estatuto de los TrabajadoresDerecho a no ser discriminado para el empleo ni una vez empleado.Cambio reciente: Redacción vigente desde el 30-6-2023, modificada por la Ley 4/2023, de 28 de febrero, y por el Real Decreto-ley 5/2023, de 28 de junio.
Texto del apartado citadoTexto consolidado vigente desde el 30 de junio de 20232. En la relación de trabajo, los trabajadores tienen derecho:
c) A no ser discriminadas directa o indirectamente para el empleo o, una vez empleados, por razones de estado civil, edad dentro de los límites marcados por esta ley, origen racial o étnico, condición social, religión o convicciones, ideas políticas, orientación sexual, identidad sexual, expresión de género, características sexuales, afiliación o no a un sindicato, por razón de lengua dentro del Estado español, discapacidad, así como por razón de sexo, incluido el trato desfavorable dispensado a mujeres u hombres por el ejercicio de los derechos de conciliación o corresponsabilidad de la vida familiar y laboral.
Artículo 18.4Constitución EspañolaFundamento del derecho fundamental a la protección de datos.
Texto del apartado citadoTexto consolidado vigente desde el 29 de diciembre de 19784. La ley limitará el uso de la informática para garantizar el honor y la intimidad personal y familiar de los ciudadanos y el pleno ejercicio de sus derechos.
Textos legales basados en datos de la Agencia Estatal Boletín Oficial del Estado. Se trata de un texto consolidado de carácter meramente informativo, sin valor oficial. Para el texto auténtico hay que acudir al BOE.
Textos de las normas europeas: © Unión Europea, https://eur-lex.europa.eu. Solo se considera auténtica la legislación de la Unión Europea publicada en el Diario Oficial de la Unión Europea.
Lo que han dicho los tribunales sobre cada una de las cuestiones de este artículo.
¿Qué datos puede pedir la empresa en la selección y cuáles no?
- 30 sep 2019Tribunal ConstitucionalNo contratar a una candidata que había superado el proceso porque, por su embarazo o maternidad, no podía incorporarse de inmediato es discriminación directa por razón de sexo.Es la doctrina de referencia: el embarazo no puede influir en la contratación, aunque se disfrace de necesidad de incorporación inmediata.Derechos fundamentales y derecho europeo · ganó la persona trabajadora
- 25 mar 2013TSJ Illes BalearsNula la postergación de una candidata en la bolsa de un hospital por estar embarazada, con condena a pagarle los salarios, cotizaciones y prestaciones que habría cobrado.Muestra que en el acceso al empleo la discriminación probada también se resarce económicamente.Un caso real · ganó la persona trabajadora
¿Cuándo puede la empresa pedir antecedentes penales?
- 12 may 2022Tribunal SupremoUna empresa de seguridad no puede exigir a los vigilantes que se incorporan declaraciones sobre la ausencia de antecedentes penales, porque no hay una norma con rango de ley que lo permita.Fija la regla general: sin ley que lo habilite, la empresa no puede pedir antecedentes penales, ni siquiera en un sector sensible.Doctrina de referencia · ganó la persona trabajadora · comentada en la newsletter
- 21 nov 2024TSJ CanariasUn veterinario que daba charlas a escolares se negó a aportar el certificado negativo de delitos sexuales alegando protección de datos; se confirmó la extinción por ineptitud sobrevenida porque su puesto implicaba contacto habitual con menores.Cuando la ley exige el certificado, negarse a aportarlo puede costar el empleo.Un caso real · ganó la empresa
- 16 jul 2020TSJ MadridImprocedente la extinción del contrato de un técnico de mantenimiento de una instalación deportiva acordada por no presentar el certificado de delitos sexuales.La empresa no puede cesar sin más por no aportar el certificado: tiene que seguir el cauce correcto.Un caso real · ganó la persona trabajadora
¿Qué datos de salud puede conocer la empresa?
- 8 nov 1999Tribunal ConstitucionalGuardar los diagnósticos médicos de las bajas en una base de datos de absentismo vulnera la intimidad y la protección de datos; ordenó suprimirlos.Base de que la empresa no puede conservar el diagnóstico de las bajas de su plantilla.Derechos fundamentales y derecho europeo · ganó la persona trabajadora
- 23 feb 2021TSJ MurciaEn un despido por ineptitud, la carta puede remitirse al dictamen de vigilancia de la salud sin detallar las dolencias, porque la empresa solo conoce la conclusión de aptitud.Ilustra el reparto: la empresa sabe si eres apto, no el diagnóstico.Un caso real · ganó la empresa
- 31 mar 2023TSJ Castilla y LeónEs válido exigir desde el primer día un justificante médico de las ausencias por enfermedad sin baja, siempre que acredite la ausencia sin revelar información clínica.Pedir un justificante es lícito; exigir el diagnóstico, no.Un caso real · ganó la empresa
¿Puede exigirme el móvil o el correo personal y otros datos durante el contrato?
- 21 sep 2015Tribunal SupremoAnuló la cláusula de los contratos de una empresa por la que la persona trabajadora consentía dar su móvil y su correo personales para comunicaciones laborales: en un contrato de adhesión ese consentimiento no es libre.Es la sentencia de origen sobre el teléfono y el correo personales, que se sigue citando.Doctrina de referencia · ganó la persona trabajadora
- 27 nov 2024Tribunal SupremoEs contrario a derecho exigir el correo personal para trabajar: la empresa debe dar a quien teletrabaja una cuenta corporativa.Si el correo es necesario para trabajar, lo pone la empresa.Doctrina de referencia · ganó la persona trabajadora · comentada en la newsletter
- 2 abr 2025Tribunal SupremoEs válida la cláusula por la que la persona trabajadora facilita su correo y su teléfono personales solo por si hay que contactarla por urgencias del servicio.Matiza la regla: el contacto personal para urgencias es lícito; usarlo como canal ordinario, no.Criterio distinto de otro tribunal · se estimó en parte · comentada en la newsletter
- 26 may 2025Audiencia NacionalRecuerda que no es lícito exigir el correo o el móvil personales, pero desestimó la demanda porque la empresa ofrecía canales alternativos que no exigían datos personales.Muestra cuándo pierde la plantilla: si hay alternativas reales, no se puede exigir a la empresa un correo corporativo para todos.Un caso real · ganó la empresa · comentada en la newsletter
- 22 mar 2022TSJ AsturiasNo vulneró la protección de datos que la empresa usara el teléfono personal que el propio trabajador había facilitado para asuntos de trabajo, de forma proporcionada.Si das tu número voluntariamente para el trabajo, su uso para esos fines no es ilícito sin más.Un caso real · ganó la empresa
¿Puede usar datos que le di para otra cosa, por ejemplo como prueba para sancionarme?
- 8 mar 2022Tribunal SupremoEn el despido de una cajera de un banco que era también clienta, confirmó que los datos de su cuenta, recogidos para el contrato bancario, no podían usarse para controlar su trabajo sin consentimiento ni información; el despido quedó procedente por el resto de la prueba.Aplica la limitación de la finalidad en el trabajo, y muestra que la prueba ilícita no salva a quien ha cometido la falta si hay otras pruebas.Doctrina de referencia · ganó la empresa · comentada en la newsletter
- 19 abr 2024TSJ Castilla y LeónUna empresa usó la vida laboral que la trabajadora entregó en la selección como prueba para despedirla: la prueba se anuló, el despido fue improcedente y se le reconocieron 3.000 euros de daño moral.Lo que se entrega para la selección no puede reutilizarse para sancionar.Un caso real · ganó la persona trabajadora · comentada en la newsletter
- 9 mar 2026TSJ NavarraAunque la revisión de las cuentas del empleado-cliente pudiera ser ilícita, el despido fue procedente porque los hechos se probaron con el registro electrónico del banco y el reconocimiento escrito del trabajador.La prueba ilícita no protege si la falta se acredita por medios independientes.Un caso real · ganó la empresa
¿Cuándo es ilícito que la empresa comunique o difunda mis datos?
- 24 sep 2024Tribunal SupremoLa empresa debe dar a la representación legal el nombre, la provincia y la población de cada apunte del registro de jornada: es una cesión necesaria para su función de vigilancia, sujeta al deber de sigilo.Fija cuándo es lícito pasar datos a la representación: los mínimos y necesarios para una función legal.Doctrina de referencia · ganó la persona trabajadora · comentada en la newsletter
- 9 abr 2024TSJ MurciaEl derecho de información de la representación no alcanza los salarios individuales y con nombre de cada trabajador sin su consentimiento.No todo dato personal puede pasar a la representación: depende de que sea necesario para una competencia concreta.Un caso real · ganó la empresa
- 26 feb 2026TSJ CanariasIncluir el nombre y el salario de una trabajadora en la carta de despido de otra persona vulnera su protección de datos: condena a suprimirlos e indemnizarla con 7.501 euros.Ejemplo de difusión ilícita en un documento disciplinario y de su coste.Un caso real · ganó la persona trabajadora · comentada en la newsletter
- 29 abr 2026TSJ Castilla y LeónPublicar el parte de baja de un trabajador en el grupo de WhatsApp de la empresa, junto a insultos, vulneró su intimidad y su dignidad; se mantienen los 6.000 euros de indemnización, aunque se descarta la garantía de indemnidad.Difundir datos de salud en el grupo del trabajo vulnera la intimidad aunque sea una sola vez.Un caso real · ganó la persona trabajadora · comentada en la newsletter
- 9 mar 2026TSJ AndalucíaUna condena penal de una dependienta por hechos ajenos al trabajo llegó a su empresa desde otra del grupo sin su consentimiento: se vulneró su intimidad, con 5.000 euros de indemnización, aunque el despido quedó procedente.Los datos penales no pueden circular dentro del grupo de empresas, y vulnerar el derecho no convierte por sí solo el despido en nulo.Un caso real · se estimó en parte
- 29 ene 2021TSJ MadridEl comité de empresa vulneró su deber de sigilo al facilitar a terceros copias de contratos con datos personales de la plantilla.La representación también responde de los datos que recibe.Un caso real · ganó la empresa