Sección tecnologías

Control y seguimiento empresarial, derechos digitales y protección de las personas trabajadoras: un análisis de la normativa europea y de particularidades normativas en algunos Estados miembros1

Business control and monitoring, digital rights and worker protection: an analysis of european regulations and specific regulatory features in some Member States

DOI: https://doi.org/10.69592/2952-1955-N8-JUN-2026-ART-4

Jaime Cabeza Pereiro

Catedrático de Derecho del Trabajo y Seguridad Social.

Universidade de Vigo

jcabeza@uvigo.gal

https://orcid.org/0000-0001-8847-3934

María Belén Cardona Rubert

Catedrática de Derecho del Trabajo y Seguridad Social.

Universitat de València

maria.b.cardona@uv.es |

https://orcid.org/0000-0002-9260-6207

Recibido el 21 de marzo de 2026; aceptado el 23 de marzo de 2026.

Sumario: I. JUSTIFICACIÓN. II. CONTEXTUALIZACIÓN. III. NECESIDAD DE ACTUALIZAR CONSTANTEMENTE EL RÉGIMEN LEGAL ANTE LA «DATIFICACIÓN DE LOS TRABAJADORES». IV. ELENCO DE FUENTES: CONSEJO DE EUROPA Y UNIÓN EUROPEA. V. EN PARTICULAR, EN CUANTO AL REGLAMENTO GENERAL DE PROTECCIÓN DE DATOS. VI. ALGUNAS NORMATIVAS COMPARADAS: a. El derecho francés; b. La República Federal de Alemania; c. El caso italiano. VII. UN APUNTE ADICIONAL SOBRE EL PAPEL DE LA NEGOCIACIÓN COLECTIVA Y DEL DIÁLOGO SOCIAL. VIII. CONCLUSIONES. Bibliografía.

Resumen: La vigilancia y control de las personas trabajadoras a través de los medios digitales y de la IA se ha incrementado mucho. La empresa puede tener razones justificadas para un seguimiento reforzado de la prestación laboral, incluso esporádicamente para atender fines beneficiosos para la plantilla. Pero la buena fe y la confianza entre las partes padece a causa de esta supervisión automática, que además puede ser abusiva y vulnerar derechos básicos. A este respecto, la normativa internacional, del Consejo de Europa y de la Unión Europea han establecido garantías genéricas, si bien la Directiva de trabajo en plataformas digitales puede conformar un modelo para otras específicamente laborales. En cuanto al Reglamento de Protección de Datos, la apertura que su art. 88 hace a los Derechos internos cuenta con unas pocas e insuficientes orientaciones que han desarrollado los órganos de aplicación de la normativa de la UE, y se ha de desarrollar con atención central a la necesidad de supervisión humana —art. 22— y de evaluación de impacto —art. 35—. En todo caso, el TJUE ha dictado jurisprudencia conforme a la cual las normas internas deben producir avances sustantivos en relación con el propio Reglamento. Sin embargo, hasta la actualidad sólo Finlandia ha aprobado una normativa significativa de desarrollo del art. 88, sin perjuicio de otras aproximaciones más o menos relevantes que se han producido en países tales como Alemania, Francia o Italia. Por otra parte, en todos los Estados Miembros la negociación colectiva y el diálogo social han de tener una importancia grande en los límites a la vigilancia y control digitales de las personas trabajadoras.

Palabras Claves: digitalización, protección de datos, vigilancia y control, empresario, trabajador, normativa europea.

Summary: I. JUSTIFICATION. II. CONTEXTUALISATION. III. NEED TO CONSTANTLY UPDATING THE LEGAL REGIME IN LIGHT OF THE «DATAFICATION OF WORKERS». IV. LIST OF SOURCES: COUNCIL OF EUROPE AND EUROPEAN UNION. V. IN PARTICULAR, WITH REGARD TO THE GENERAL DATA PROTECTION REGULATION. VI. SOME COMPARATIVE REGULATIONS: a. French law; b. The Federal Republic of Germany; c. The Italian case. VII. AN ADDITIONAL NOTE ON THE ROLE OF COLLECTIVE BARGAINING AND SOCIAL DIALOGUE. VIII. CONCLUSIONS. BIBLIOGRAPHY.

Abstract: The monitoring and control of workers through digital means and AI has increased significantly. Companies may have justifiable reasons for enhanced monitoring of work performance, even sporadically, to serve the interests of their employees. However, good faith and trust between the parties suffer as a result of this automated supervision, which can also be abusive and violate fundamental rights. In this regard, international, Council of Europe, and European Union regulations have established general safeguards, although the Platform Work Directive can serve as a model for other, more specific labour-related legislation. Regarding the General Data Protection Regulation (GDPR), the opening that Article 88 provides to national laws has been limited and insufficiently guided by EU regulatory bodies, and must be developed with a central focus on the need for human supervision (Article 22) and impact assessment (Article 35). In any case, the CJEU has established case law according to which national rules must produce substantive advances in relation to the Regulation itself. However, to date only Finland has approved significant legislation developing Article 88, without prejudice to other more or less relevant approaches that have occurred in countries such as Germany, France or Italy. On the other hand, collective bargaining has to be a great importance in establishing the limits of digital monitoring and surveillance of workers.

Keywords: digitisation, data protection, surveillance and control, employer, employee, European regulations.

I. Justificación

La digitalización, como fenómeno dinámico y en constante evolución, tiene repercusiones notables en toda la relación laboral, incluyendo sus estadios previos. En este estudio, el análisis se enfoca en las actividades de seguimiento y control de las personas trabajadoras por parte de la empresa, como manifestación fundamental del poder de dirección por parte de ésta.

A partir de una contextualización de estas potestades empresariales en el desarrollo de la digitalización y de la inteligencia artificial (IA), se ha planteado un conflicto de intereses y derechos. De una parte, hay que considerar las legítimas motivaciones que la parte empleadora tiene en la monitorización de los y las trabajadores, justificada por motivos relevantes en términos de Derecho y, de otra, la expectativa de las personas trabajadoras a su intimidad y a no ser constantemente supervisadas, en torno a la cual se proyectan varios derechos fundamentales. En consecuencia, las primeras páginas se dedican a describir el progresivo recurso que las empresas desarrollan a instrumentos digitales, tecnológicos y algorítmicos de control y a analizar los valores sociales y los derechos que están en juego, con la ponderación necesaria de unos y otros.

A continuación, se analizan las fuentes europeas, con referencia a las del Consejo de Europea, pero muy en particular a las de la Unión Europea. A tal efecto, el Reglamento Europeo de Protección de Datos es objeto de estudio desde la perspectiva de su impacto en la temática de la monitorización de las personas trabajadoras dentro y fuera de la empresa. A falta de una norma específica que en la UE regule los problemas de la digitalización en el contexto de la relación laboral, los mandatos del Reglamento, de aplicación directa, tienen una extraordinaria importancia.

La inexistencia de una doctrina relevante en este ámbito por parte del Comité Europeo de Protección de Datos, a salvo de alguna parca referencia, genera no pocas dudas interpretativas, al margen de alguna jurisprudencia de interés dictada por el Tribunal de Justicia de la Unión Europea —TJUE—. Además, esta doctrina del Tribunal produce que las normas internas de los Estados Miembros ganen protagonismo, a partir de la remisión que a las mismas se hace en el art. 88 del Reglamento, tal y como ha sido interpretado en algún pronunciamiento.

Por desgracia, y más allá de algún caso aislado, los Estados Miembros no han desarrollado una normativa integral en desarrollo de ese precepto, ni a nivel legal ni tampoco mediante convenios colectivos. Sin embargo, sí que han aprobado ciertas normas de interés, en particular en el tema del seguimiento y control de la actividad laboral. Como casos muy ilustrativos, en este estudio se apela a los de la República de Francia, la República Federal de Alemania y la República de Italia, pues las tres contienen reglas que acaso sean de interés en su contraste con las del Derecho interno español. Asimismo, se advierte del importante papel que en esta materia deben tener la negociación colectiva y el diálogo social, con el ejemplo de sistemas en los que ya hace algunos años se ha puesto en práctica.

II. Contextualización

El control electrónico y digital de las personas y la pesquisa de diversos aspectos de su identidad se ha convertido en uno de los asuntos más sensibles del debate público. Por supuesto, a este fenómeno no escapa el mundo de las relaciones laborales. Los avances constantes y progresivos de tipo tecnológico han posibilitado que se abran nuevos y ampliados cauces para un control sistemático, integral y particularmente reforzado hacia las personas trabajadoras. La IA y el entrenamiento de los sistemas algorítmicos empujan en esta senda, en unos términos que son comúnmente aceptados y advertidos en cuanto a su intensidad y desarrollo acelerado2. La velocidad con la que actúan y procesan big data son esenciales y consustanciales a este incremento de las posibilidades de seguimiento de las personas trabajadoras, dentro y fuera de los confines de la prestación laboral de servicios.

Los sistemas digitales, de creciente sofisticación, como por ejemplo el software de seguimiento de la productividad que analiza el desempeño de la plantilla a través de algoritmos, se han desarrollado e implantado a través de dispositivos portátiles inteligentes, como teléfonos móviles, tablets, GPS, microcámaras, brazaletes electrónicos u otros artificios de reducido tamaño que puede portar la propia persona trabajadora o que se instalan en puntos fijos o móviles. Se trata de artilugios más y más omnipresentes y potencialmente muy intrusivos, que plantean cuestionamientos importantes sobre su aceptabilidad, desde una perspectiva de política social y legislativa3. No se trata sólo de la productividad, por supuesto, sino del seguimiento practicado en tiempo real sobre la persona trabajadora, sus movimientos, su actividad on line o cualquier aspecto de la actividad laboral, ya se preste en el propio centro de trabajo, desde el hogar o desde cualquier localización más o menos circunstancial4 y de la información que se desprende del acceso a estos actos cotidianos.

Más que la velocidad y la calidad de los datos que manejan estos sistemas, importa sobre todo su capacidad transformadora. Como se ha puesto de manifiesto, abren un escenario de radical inseguridad e incertidumbre que conlleva que cualquier pronóstico sobre la evolución de la actividad productiva, más allá del cortísimo plazo, sea muy dificultoso y escasamenteconfiable. En el concreto ámbito laboral, su capacidad de rediseñar y reestructurar en profundidad las relaciones entre la empresa y sus trabajadores y trabajadoras resulta difícilmente rebatible5, hasta el punto de que debe admitirse que ha provocado la más amplia transformación de los poderes empresariales sucedida en la historia del Derecho del Trabajo6.

En esta eclosión de la tecnología al servicio de la supervisión por la empresa de las personas, que prestan servicios para ella, se plantea un equilibrio necesario entre las necesidades empresariales de control y seguimiento de una parte y los derechos a la intimidad de sus trabajadores y trabajadoras, de otra.

Ciertamente, las organizaciones productivas han incorporado de forma progresiva todas esas herramientas tecnológicas en el ejercicio de sus poderes empresariales, de modo que se ha aludido desde la doctrina a una suerte de «capitalismo digital de la vigilancia»7. Sin duda, tienen para ello buenos motivos, que se acompañan de una creciente economía, en cuanto a costes de adquisición, puesta en marcha y mantenimiento de los sistemas digitales, progresivamente más accesibles en términos de precios, incluyendo, aunque con matices, aquellos que incorporan tecnologías más avanzadas. Más allá de esa circunstancia de mercado, los motivos fundamentales son los más clásicos y se centran en la sempiterna desconfianza de los empresarios acerca de la productividad y cumplimiento de sus obligaciones por parte de quienes trabajan para ellos8 y en la voluntad de contrarrestar los comportamientos contraproducentes que sucedan en su plantilla, como todo tipo de hurtos y distracciones, el absentismo, el cyberloafing —utilización de los dispositivos digitales durante el tiempo de trabajo para fines extralaborales— y, en general, las conductas que no se dirijan estrictamente a la diligente prestación de los servicios contratados.

Por otra parte, el seguimiento del rendimiento tiene otros fines que trascienden el mantenimiento del orden y de la disciplina en la empresa. Se trata además de la detección de necesidades o de espacios de mejora organizativa y productiva, de formación y de atención a exigencias de desarrollo de aptitudes o de optimización de la seguridad y la salud en el trabajo, entre otros objetivos9. Desde esta perspectiva, puede afirmarse que existe otro haz importante de razones empresariales para someter a las personas trabajadoras a cierto nivel de monitorización en el desarrollo de sus tareas.

El control de la persona trabajadora no se limita al cumplimiento y la ejecución de la prestación laboral, sino que se proyecta mucho más allá y puede alcanzar sus pensamientos, sus sentimientos y, más en general, toda su complejidad psicológica. El seguimiento puede, además, ser de tipo predictivo, de tal forma que es posible pronosticar sus comportamientos y decisiones futuras, medir el riesgo que la empresa asume con la inversión formativa o profesional en ella o pronosticar la probabilidad de que, por ejemplo, dimita del contrato y abandone el proyecto empresarial.

Las nuevas tecnologías digitales han entrado, por tanto, en el lugar de trabajo, ampliando enormemente las posibilidades de supervisión y vigilancia de los empleados. Las tecnologías de supervisión pueden ser utilizadas con fines legítimos y positivos, por parte de los empresarios. No obstante, la versatilidad de las tecnologías digitales las hace susceptibles de ser utilizadas con los objetivos más diversos. Partiendo incluso de una intención y finalidad legítima, estamos ante tecnologías con una inconmensurable potencialidad intrusiva, por supuesto, en la mayoría de los casos, sin que el trabajador sea consciente de ello, pero, incluso, a veces sin que lo sea tampoco el empleador que auspició su implantación y utilización. Se cuestiona la aceptabilidad, tanto por empleadores como empleados, de usos que pueden comportar traspasar límites éticos.

Con la exposición constante a dispositivos inteligentes y conectados, existe el riesgo de que se acepte pasivamente el uso de datos personales, tanto dentro como fuera del lugar de trabajo, lo que comportaría una renuncia implícita a una parcela de la intimidad tutelada por la protección de datos. Estos riesgos se acentúan y pueden pasar aceptados como inherentes a la actividad laboral desarrollada, cuando la supervisión digital se realiza en el teletrabajo. La preocupación sobre la invasión de la privacidad a resultas del incremento de una supervisión digital sobre los trabajadores a distancia, que puede llegar a ser inadmisiblemente intrusiva, se extiende a cualquier escenario de las relaciones laborales, susceptible de ser monitoreado digitalmente.

III. Necesidad de actualizar constantemente el régimen legal ante la «datificación de los trabajadores»10

Por esos motivos, la adaptación del marco legal a esa intromisión cada vez más intensa es una necesidad insoslayable. No se trata sólo de la protección laboral de quienes trabajan en estas condiciones, sino también del mantenimiento de unas relaciones de confianza y buena fe entre ambas partes de la relación laboral, basadas en una transparencia informativa mínimamente aceptable11. Sólo a partir de unas condiciones adecuadamente transparentes es aceptable la supervisión y control de la actividad de trabajo. Las exigencias legales a este respecto resultan claves. Las personas trabajadoras han de conocer y entender qué datos están siendo tratados por la empresa, con qué alcance y propósitos, de qué manera están siendo gestionados y cómo quedan almacenados. Y deben tener la posibilidad de acceder a ellos continuamente.

El control digital profundiza en la asimetría de esa relación y favorece en todos los órdenes a la empresa, que maximiza sus beneficios también a través de él. Expresado en sus efectos, el impacto de este control digital es ambivalente: al margen de las buenas razones que puedan asistir a la empresa para ponerlo en marcha y desarrollarlo, hay no menos poderosos argumentos para limitarlo y establecer garantías suficientes para mantener el adecuado equilibrio de posiciones jurídicas en un contrato de trabajo marcado por una subordinación que, lejos de retroceder, avanza a pasos agigantados en el contexto de una sociedad digitalizada.

Como quiera que la relación entre una empresa y una persona trabajadora se basa en la buena fe y en la confianza recíproca, el abuso a través de los instrumentos digitales puede fácilmente producir una quiebra de una y otra. El recurso progresivo a las decisiones automatizadas incrementa de forma exponencial estos riesgos. Además, el incremento en el uso de la IA relativiza el carácter personalísimo del contrato de trabajo, produciéndose una tendencia que ha sido definida como de «datafication of workers» y que alude a la despersonalización de la relación laboral y que afectaría de lleno a pilares fundamentales de la misma como la confianza, el respeto y la dignidad humana en el lugar de trabajo, lo que podría erosionar la confianza mutua que la legislación laboral pretende preservar. Conviene subrayar que la monitorización de la prestación de servicios, que se vuelve más intrusiva y, acaso en no pocas ocasiones, injustificada en sus proporciones, participa de un clima de desconfianza sistémica en las personas trabajadoras, como si la empresa partiera de la presunción de su conducta fraudulenta12.

La empresa puede sustentar sus políticas de vigilancia y control en motivos aceptables, que van desde la protección de los activos empresariales y de los derechos de propiedad, en una suerte de «legítima defensa de la empresa» frente a posibles agresiones de sus trabajadores o trabajadoras al patrimonio empresarial, hasta el seguimiento de la prestación de servicios o de la correcta ejecución de la actividad preventiva en cuanto a la seguridad y la salud en el trabajo, o la optimización de los procesos productivos13.

A modo de premisa de partida, debe recordarse que la vigilancia del empresario es una de las manifestaciones más visibles del ejercicio de sus poderes como tal. En realidad, puede diferenciarse entre un seguimiento —monitoring— y una vigilancia —surveillance—, el primero de más amplio espectro y con objetivos más diversos y la segunda más dirigida al clásico control del cumplimiento de las tareas contratadas laboralmente.

En el seguimiento se produce una recopilación metodológica de datos relativos a las actuaciones de las personas trabajadoras, para su examen y supervisión de resultados, con finalidades diversas, que varían desde el incremento de la productividad hasta la ejecución de ciertas políticas de empresa. Puede tratarse de comprobar el cumplimiento de las instrucciones impartidas por esta, tal vez mediante una revisión del correo electrónico y de las páginas de internet visitadas, o bien a través de métodos más sofisticados, como análisis conductuales, de las emociones o de otras características personales, tal vez a través de procedimientos biométricos —y no solo con finalidades de acceso a instalaciones control horario o seguridad— o de sistemas algorítmicos de IA. Acaso puede consistir en el uso de programas corporativos de bienestar que controlen la salud de las personas trabajadoras, o de test psicométricos dedicados a la contratación o a la promoción profesional14. Es decir, en realidad constituye una aplicación de las más innovadoras tecnologías digitales a la gestión de los recursos humanos en las organizaciones productivas. No se trata solamente de la obtención de datos, sino de la respuesta a los retos de incremento de la eficiencia y del cumplimiento de los objetivos estratégicos.

En el campo de la vigilancia, las herramientas digitales —mayoritariamente las mismas que las empleadas para el seguimiento—, se destinan más bien a finalidades de mantenimiento del orden o disciplinarias, aunque también a la ejecución de ciertas políticas de empresa, en temas tales como vestimenta o interacciones con clientes o con compañeros y compañeras de trabajo. En la vigilancia están concernidos básicamente intereses de preservación y mejora de la productividad, de evitación de sustracciones, hurtos y otras defraudaciones, y de prevención de conflictos interpersonales en los entornos productivos. Se trata, en suma, de salvaguardar los intereses de la empresa15. Normalmente, estos sistemas actuarán pasivamente, en respuesta a comportamientos de las personas trabajadoras, pero también podrán hacerlo activamente, mediante alertas a la organización que desencadenarán respuestas rápidas a amenazas potenciales.

Por supuesto, las medidas de seguimiento y vigilancia de las personas trabajadoras no son propias de la digitalización, sino que la preceden. Claramente, los talleres fordistas tenían un gran interés en uno y otra, a los efectos de optimización de la producción y de la fuerza de trabajo16. Pero, evidentemente, las tecnologías de información y comunicación y la IA los han reforzado y los han generalizado, al poder desarrollarse por entidades empresariales de menor dimensión y menos recursos. Además, se desarrollan no solo en los lugares de trabajo y en el seno de las entidades productivas, sino también más allá del escenario laboral, en el contexto de la vida privada de trabajadoras y trabajadores17. Se han multiplicado las empresas especializadas en estas actividades y se ha generalizado un mercado de seguimiento y vigilancia que tiene uno de sus más importantes nichos de actividad en el ámbito laboral.

Los empleadores utilizan herramientas electrónicas de control y vigilancia, cada vez más sofisticadas, para seguir cada movimiento de sus trabajadores y predecir una amplia gama de comportamientos de los trabajadores en el lugar de trabajo. Estos sistemas permiten realizar un seguimiento de los empleados a lo largo del tiempo, tanto en el lugar de trabajo como en sus hogares, a través de diversos dispositivos, teléfonos inteligentes, ordenadores de sobremesa, tabletas, vehículos y dispositivos portátiles. Mientras algunos usos pueden ser positivos e, incluso, adecuados para preservar y tutelar la esfera de derechos del trabajador, como en supuestos en los que en el desempeño de actividades de riesgo para la integridad de los empleados, se advierta a la dirección sobre su entrada en una zona peligrosa o la comisión de algún error que pueda poner en riesgo su propia vida o integridad física, otros usos pueden no serlo, como cuando se recaban informaciones sobre su estado de ánimo, puesto que el estadio de avance de la tecnología permitiría, incluso, rastrear y analizar los pensamientos, los sentimientos, la fisiología de los trabajadores, así como predecir su comportamiento18. Las herramientas de big data y análisis de personas permiten nuevos tipos de procesamiento sistemático de datos en el trabajo, lo que permite a los empleadores obtener una imagen cada vez más detallada y sofisticada de lo que hacen los trabajadores y cómo se sienten con respecto a su trabajo.

Conviene, antes de proseguir, describir las ventajas e inconvenientes que para las empresas y para las personas trabajadoras tiene la actividad de control desempeñada por aquéllas. Para la parte empresarial, puede permitir un incremento de la productividad, mediante el análisis de las posibilidades de mejora y de las circunstancias que la impiden. Por otra parte, tiene una utilidad innegable en la preservación del patrimonio de la empresa mediante la evitación y prevención de robos, hurtos, defraudaciones o de otras conductas oportunistas que pudieran cometer miembros de la plantilla. Además, permite comprobar el grado de cumplimiento y adhesión de las personas trabajadoras a las políticas de empresa. Sin embargo, implica ciertos inconvenientes, como, por ejemplo, una probable pérdida de la confianza y de la motivación en el empresario, a causa de unas condiciones de monitorización que pueden ser percibidas como demasiado invasivas. Por otro lado, expone a un incremento de los riesgos psicosociales y en particular del estrés en las personas trabajadoras, afectadas por el mayor control de la empresa. Adicionalmente, puede suponer un incremento de costes, porque, aunque estos se hayan moderado, el recurso a ciertas tecnologías avanzadas exige una inversión en ocasiones exigente.

Por lo que respecta a las personas trabajadoras, el control puede tener ciertas ventajas. Entre otras, que los sistemas de evaluación del desempeño, de retribución y de promoción puedan percibirse como más objetivos y menos dependientes de las veleidades de los mandos jerárquicos. Es posible que mejore la seguridad y la salud en el trabajo, a causa de la identificación más acelerada de riesgos y la puesta en marcha de respuestas automáticas e inmediatas. Y que detecte necesidades formativas y de recualificación que redunden positivamente en la empleabilidad de las personas. A cambio, entraña perjuicios evidentes, sobre todo en términos de quiebra de la confianza en la empresa y de la desmotivación consiguiente19.

En todo caso, el control digital pone en riesgo ciertos derechos fundamentales básicos, en particular la dignidad y la intimidad, pero también pone en cuestión la confianza y el bienestar en las empresas. Por otra parte, comporta un cambio cualitativo en los riesgos laborales, distintos de los tradicionales, que obliga a variar la política preventiva y la planificación de prevención de riesgos.

Otra de las consecuencias del control digital es la confusión excesiva entre el tiempo de trabajo y el propio de la vida privada20. En este sentido, una necesidad muy evidente se centra en la monitorización del tiempo de trabajo, aunque tal vez no sea este el aspecto que las empresas más priorizan, puesto que en no pocas ocasiones prefieren preservar prácticas informales, contando con la disponibilidad digital de sus personas trabajadoras, incluso, fuera de las horas de trabajo. En este sentido, el derecho a desconectar emerge como una de las primeras demandas de descanso y uno de los retos normativos fundamentales en el contexto de las tecnologías de la información y de la comunicación21.

En particular, en el ámbito de los servicios que se prestan en régimen de teletrabajo, o fuera del establecimiento empresarial y a través de medios digitales, la exposición al control permanente de la empresa es mucho más habitual y sencilla, como si fuera el peaje a pagar a cambio de la flexibilidad, que supone el poder trabajar desde el domicilio propio o desde el lugar libremente elegido. En estos contextos, sería necesario que la norma legal y la jurisprudencia expresaran con particular cuidado los límites entre el poder de control, por una parte, y los derechos a la intimidad y a la protección de datos, por la otra.

Desde una perspectiva meta-jurídica, hay que partir de las cuestiones éticas que plantean el excesivo control y la supervisión digitales, y que se transforman en retos legislativos ante posibles violaciones de la intimidad y eventuales acumulaciones desproporcionadas de datos de los sujetos particulares. Las consecuencias que los excesos en la utilización de las tecnologías de la información y de la comunicación y de la IA por las empresas son potencialmente muy perjudiciales, en el contexto de la relación laboral. Por ejemplo, pueden condicionar la actitud de las personas trabajadoras a la hora de formular denuncias, en el contexto de la seguridad y la salud en el trabajo o de los mecanismos de tutela de informantes, que acaso tengan excesivas fisuras en el contexto de una monitorización constante. La amenaza de una represalia es, desde luego, más creíble en el contexto de un seguimiento constante por parte de las empresas en el que la identidad de la persona reclamante o denunciante puede ser desvelada con facilidad, sea voluntaria o involuntariamente22.

No está de más recordar que los efectos nocivos de la excesiva vigilancia de la empresa son más perniciosos en los sistemas de relaciones laborales que cuenten con una tradición más autoritaria y en los que la democracia sindical se haya desarrollado menos23. No quiere decirse que el español sea particularmente uno de ellos, pero sí que ha de reconocerse la presencia de rasgos muy unilaterales en no pocos ámbitos productivos, fácilmente identificables por la menor presencia de los sindicatos y la casi inexistencia de estructuras representativas.

A este respecto, las tecnologías digitales al servicio de la vigilancia y control pueden constituir una amenaza más o menos implícita al derecho de sindicación. Si el fortalecimiento de una y otro, producido mediante mecanismos analógicos, ya podía erosionar este derecho fundamental, con más motivo la monitorización digital se erige como un sistema muy eficaz de limitar la presencia sindical en los ámbitos productivos con mayor penetración tecnológica. Se trata de un riesgo de enorme trascendencia que hay que evaluar con la instalación de estas herramientas digitales. Los esfuerzos de sindicalización de ciertas entidades productivas pueden encontrar nuevos obstáculos en los mecanismos de control digital, y muy en particular en los de tipo predictivo y en la gestión algorítmica de la monitorización de la plantilla. Estos sistemas pueden alterar el delicado equilibrio entre derechos laborales e intereses de las empresas en beneficio de estos últimos24. A mayor abundamiento, una política confusa de control digital acaso produzca una excesiva prudencia por parte de las personas sometidas al mismo, que limite el derecho de intercambio de información confidencial entre el sindicato y las personas afiliadas, simpatizantes o beneficiarias de la acción sindical, así como la eficacia de las medidas de conflicto colectivo que puedan convocarse25.

En definitiva, dado que la utilización de la tecnología para controlar la actividad laboral conlleva un indudable incremento de la asimetría entre las partes, a favor de la parte empresarial, emerge la necesidad de normas para la protección de datos de las personas trabajadoras que reestablezcan un equilibrio justo entre los derechos fundamentales de los trabajadores y los intereses de los empleadores.

IV. Elenco de fuentes: consejo de Europa y Unión Europea

La regulación de esta materia está sometida a un desarrollo constante, como respuesta a los cambios tecnológicos acelerados y a la globalización de los mercados laborales.

Sin embargo, la supervisión de la actividad laboral y la vigilancia en el lugar de trabajo, mediante el uso de tecnologías modernas, no es un fenómeno nuevo. Las implicaciones de las tecnologías en el lugar de trabajo y la necesidad de una legislación sobre la protección de los datos de los trabajadores se vienen debatiendo, con mayor o menor intensidad, desde la década de los 70. Ahora bien, los recientes avances en las tecnologías empleadas para el control y vigilancia en el lugar de trabajo, junto con la creciente digitalización de este, han hecho que las legítimas facultades del empleador de vigilancia y control sean más omnipresentes y potencialmente más intrusivas, emergiendo el riesgo de que se traspasen, en su ejercicio, límites inaceptables, planteando nuevos retos para los legisladores.

Precisamente, la globalización está produciendo cierta convergencia de fuentes, al menos en términos de una apreciable armonización de las normativas comparadas de unos países y otros. No casualmente, las reglas de control y vigilancia del desempeño por las personas trabajadoras en la prestación de servicios han estado guiadas fundamentalmente por las prácticas de grandes corporaciones empresariales, a partir de las cuales se han decantado unas normas legales más o menos próximas26.

En el marco de la OIT hay que tener en cuenta la Recomendación práctica dictada en 1997 «Protección de los datos personales de los trabajadores», cuyos principios, incluidos en su apartado 5, conducen a una prohibición absoluta de decisiones adoptadas automáticamente. El punto de partida de la Recomendación es la disparidad de ambas partes en el contrato de trabajo, por lo que cuestiona la validez del consentimiento de la parte trabajadora, como fundamento del tratamiento de datos, y prohíbe el procesamiento de cierta información especialmente sensible.

En el contexto regional europeo es necesaria la cita del Convenio n.º 108, del Consejo de Europa, de 28 enero 1981, para la protección de las personas con respecto al tratamiento automatizado de datos de carácter personal, que insiste en el carácter legítimo, limitado por objetivos justificados, proporcionado y transparente de la gestión de estos. Este convenio ha sido modificado en el año 2018, para abordar nuevos retos en torno a la protección de datos derivados del constante avance tecnológico, de la globalización en la gestión de los mismos, y de la creciente huella de las personas individuales en el mundo digital27.

La doctrina del Tribunal Europeo de Derechos Humanos, en aplicación del art. 8 del Convenio para la protección de los derechos humanos y las libertades fundamentales de 1950, bebe de sus fuentes, en cuanto a los principios de proporcionalidad, de minimización, de transparencia, de protección de los datos personales y del derecho de acceso y rectificación28. Sin perjuicio de esa doctrina jurisprudencial, el propio Consejo ha reconocido que ni los principios del Convenio n.º 108, ni las normativas generalistas de Estados Miembros bastan para regular, adecuadamente, el tratamiento de datos en el mundo laboral. Es decir, hace tiempo que la necesidad de una norma específica está sobre el tablero29. Entretanto, en 1989 se dictó una Recomendación sobre protección de datos personales en el trabajo, que fue revisada en 2015.

Ya en cuanto a normativa de la UE, debe expresarse, antes que nada, que la monitorización en el ámbito laboral no cuenta con regulación específica, pero la normativa general sobre intimidad y protección de datos le es directamente aplicable. Hay que tener en cuenta, en este sentido, la Directiva sobre la privacidad y las comunicaciones electrónicas (Directiva 2002/58/CE, del Parlamento Europeo y del Consejo, de 12 de julio de 2002, relativa al tratamiento de los datos personales y a la protección de la intimidad en el sector de las comunicaciones electrónicas), con evidentes implicaciones en cuanto al control de las personas trabajadoras en el centro de trabajo, en particular en cuanto a sus arts. 4 —seguridad—, 5 —confidencialidad de las comunicaciones— y 6 —datos de tráfico—.

Esta inexistencia de normativa específicamente laboral sobre protección de datos es el resultado de la falta de acuerdo sobre su impulso. En sendas ocasiones, en 2001 y 2004, la Comisión Europea desarrolló varias tentativas para generar ese marco regulatorio. A tal fin, inició consultas con los interlocutores sociales a nivel de la UE, con el propósito de aprobar normativa al respecto. Se trataba de establecer un equilibrio entre los intereses legítimos de las empresas y el derecho a la intimidad de las personas trabajadoras. Sin embargo, los empleadores rechazaron en ambas ocasiones la propuesta, bajo el argumento de su carácter prematuro y el añadido de que la legislación entonces vigente —la Directiva 94/45/CE— resultaba adecuada y suficiente a los efectos de garantizar una protección, cualitativamente avanzada, del derecho a la protección de datos en el ámbito laboral. De este modo, los esfuerzos propositivos en la última década del siglo pasado fueron infructuosos30.

En definitiva, esta falta de acuerdo entre las partes y la ausencia de compromiso político, pues la propia Comisión europea no priorizó, en lo sucesivo en su agenda, la regulación específica, se mantuvieron en los años siguientes, de tal modo que la legislación europea omitió desgajar de la normativa general de protección de datos una norma específicamente laboral, y así sucedió hasta 2016, año en el que se aprueba el Reglamento General de Protección de Datos —Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE31— (en adelante, RGPD) de plena aplicación desde el 25 de mayo de 2018.

La UE, en estos últimos años, no oculta su interés en diseñar y desplegar todo su potencial regulatorio hacia el uso de la inteligencia artificial, respetuoso con los derechos fundamentales y los valores de la UE. En esta dirección, se produce un programa regulador de las instituciones europeas a la altura del reto al que se enfrentan: el desarrollo ético de la IA. Ahí se enmarcan la Estrategia Europea de IA32, el Plan coordinado sobre IA33 y, sobre todo, el Reglamento por el que se establecen normas armonizadas en materia de inteligencia artificial y se modifican determinados actos legislativos de la Unión (RIA)34. Con este bagaje, se intenta consolidar un marco jurídico propio con vocación de responder a los nuevos retos regulatorios y éticos que abre la utilización masiva de la IA en todo ámbito. La última norma, el RIA, junto a la Directiva relativa a la mejora de las condiciones laborales en las plataformas digitales35, son instrumentos que tendrán, sin duda, un impacto significativo en el diseño, la implementación y el uso de los sistemas de gestión algorítmica en el lugar de trabajo.

La introducción de los algoritmos en la gestión del personal ha revolucionado absolutamente los sistemas de trabajo y los modelos organizativos de la empresa, sobre los que planean los fantasmas de la falta de transparencia y de la discriminación —algorítmica—.

La imparable y progresiva automatización en la toma de decisiones de trascendencia laboral, exige identificar los mecanismos de protección de los derechos de las personas trabajadoras. Dicha protección pasa por la conciliación de las reglas por las que se rige la adopción de decisiones empresariales, a partir de la gestión algorítmica con las reglas que garantizan el adecuado tratamiento de datos personales. Las decisiones automáticas pueden proyectarse sobre datos que afectan a la vida íntima de las personas y que revelan informaciones tan privadas como sus relaciones personales, su religión o sus convicciones o su orientación sexual, entre otros muchos, por lo que cualquier solución debe garantizar un especial rigor y delicadeza en la salvaguarda y protección de la esfera de los derechos.

La tutela más importante proviene de la normativa de protección de datos y, a nivel europeo, esa es el RGPD, y cuya aplicación tiene que ser completada con las previsiones incluidas en el RIA, garantizando la interacción de ambas normas, cuando resulte necesario. Aunque la RIA ha sido objeto de críticas por proteger de forma inadecuada los derechos humanos en general y los derechos de los trabajadores en particular, hay que reconocer las protecciones que ofrece, aunque limitadas, para la salvaguarda de los trabajadores frente a algunos riesgos que plantean los sistemas de gestión algorítmica y de toma de decisiones automatizada. El RIA plantea un desafío en absoluto despreciable como es el de tratarse de una norma de gran complejidad, tecnológicamente avanzada, no específicamente laboral ni tan siquiera exclusivamente jurídificada. No obstante, ofrece protecciones que en conjunto tienen por objeto salvaguardar los derechos e intereses de los trabajadores ante la creciente implantación de la IA en el contexto laboral.

El RIA articula normas armonizadas para el desarrollo, la introducción en el mercado y la utilización de sistemas de IA en la Unión a partir de un enfoque basado en los riesgos y representa un avance significativo hacia la regulación de la inteligencia artificial en el contexto laboral, al que incluye, expresamente, en su ámbito de aplicación.

Con la prioridad declarada de proteger los derechos fundamentales, el reglamento clasifica las aplicaciones de IA en función de su nivel de riesgo: prohibido, alto, limitado y mínimo. Esta clasificación establece diferentes requisitos y obligaciones para los desarrolladores y usuarios de IA, incluyendo la transparencia, la rendición de cuentas y la no discriminación.

Las aplicaciones de IA prohibidas con trascendencia para el ámbito laboral son las utilizadas para inferir las emociones de una persona física en los lugares de trabajo y los sistemas de categorización biométrica que clasifiquen individualmente a las personas físicas sobre la base de sus datos biométricos para deducir o inferir, entre otros datos, su raza, opiniones políticas, afiliación sindical, convicciones religiosas o filosóficas, vida u orientación sexuales36. La prohibición implica la inaceptabilidad de estas prácticas de IA en cuanto a su introducción en el mercado, a la puesta en servicio para este fin específico y al uso de los propios sistemas de IA.

En cuanto a los sistemas de IA de alto riesgo37, es importante señalar que, según el RIA, merecen esta calificación los sistemas que tengan un efecto perjudicial considerable en la salud, la seguridad y los derechos fundamentales de las personas de la Unión38, entre los que se incluyen el derecho a la dignidad humana, el respeto de la vida privada y familiar, la protección de datos de carácter personal, la libertad de expresión y de información, la libertad de reunión y de asociación, el derecho a la no discriminación, el derecho a la educación, (…) los derechos de los trabajadores, los derechos de las personas discapacitadas, la igualdad entre hombres y mujeres39.

El Anexo III del RIA, que complementa el art. 6.2, se refiere a los sistemas de IA de alto riesgo, entre los que se incluyen los que afecten al empleo, gestión de trabajadores y acceso al autoempleo y, en concreto, se refiere a dos utilizaciones de estos sistemas: a) los destinados a la contratación y selección de personal y, en particular, para publicar anuncios de empleo específicos, analizar y filtrar las solicitudes de empleo y evaluar a los candidatos; y b) los destinados a la toma de decisiones que afecten a la iniciación, promoción y resolución de relaciones contractuales de índole laboral, para la asignación de tareas a partir de comportamientos individuales o rasgos o características personales o para supervisar y evaluar el rendimiento y el comportamiento de las personas en el marco de dichas relaciones.

Además de los requisitos exigibles a los sistemas de IA, el RIA articula un sistema de garantías, al que dedica desde el art. 8 al 15. Prevé la implantación de un sistema de gestión de riesgos, que tendrá que ser planificado y ejecutado durante todo el ciclo de vida de un sistema de IA de alto riesgo, que requerirá revisiones y actualizaciones sistemáticas periódicas (art. 9). Además, con respecto a los sistemas de IA de alto riesgo que utilizan técnicas que implican el entrenamiento de modelos de IA con datos, se desarrollarán a partir de conjuntos de datos de entrenamiento, validación y prueba de los mismos, que estarán sometidos a prácticas de gobernanza y gestión adecuadas para la finalidad prevista del sistema de IA de alto riesgo. Hay que recalcar que en el sistema de gobernanza se prevé la adopción de medidas destinadas a evitar y desterrar los sesgos y garantizar, por tanto, que los datos de entrenamiento sean representativos (art. 10).

Se complementa este sistema de garantías, por una parte, con la exigencia de documentación técnica, que deberá elaborarse antes de su introducción en el mercado o puesta en servicio, y deberá mantenerse actualizada (art. 11), la necesidad de garantizar un nivel de trazabilidad del funcionamiento del sistema (art. 12) y la transparencia suficiente y comunicación a los responsables del despliegue; (art. 13) y, por otra parte, la garantía de la supervisión humana (art. 14), aproximándose a las reglas del RGPD y a las de protección para los trabajadores de plataformas frente a decisiones alimentadas por algoritmos previstas en la Directiva relativa a la mejora de las condiciones laborales en las plataformas digitales (art. 8), puesto que una de las características típicas del trabajo en las plataformas digitales es la integración de la inteligencia artificial (IA) en la gestión del personal y la utilización común de sistemas automatizados de supervisión.

Por otro lado, se promueve la formación continua y la recapacitación como obligación de los empleadores para asegurar que los trabajadores no queden rezagados en un mercado laboral en constante evolución. Por ello, el RIA impone a los proveedores y responsables del despliegue de sistemas de IA —en el ámbito laboral, a los empleadores— la obligación de alfabetización en materia de IA (art. 3.56 y 4 RIA), es decir, el desarrollo de habilidades digitales y técnicas esenciales. Dicha obligación consiste en la adopción de medidas que garanticen que las personas a su cargo, y que se encarguen en nombre del empleador del funcionamiento y utilización de sistemas de IA, «tengan un nivel suficiente de alfabetización en materia de IA, teniendo en cuenta sus conocimientos técnicos, su experiencia, su educación y su formación, así como el contexto previsto de uso de los sistemas de IA y las personas o los grupos de personas en que se utilizarán dichos sistemas».

En cuanto al papel de la representación legal de los trabajadores, se impone a los empleadores la obligación de, con carácter previo, informar y consultar a los trabajadores o a sus representantes sobre el despliegue previsto de sistemas de IA de alto riesgo en el lugar de trabajo. Esta información se facilitará, cuando proceda, con arreglo a las normas y procedimientos establecidos en el Derecho de la Unión y nacional y conforme a las prácticas en materia de información a los trabajadores y sus representantes (art. 26.7).

Es importante señalar que el RIA no impide que la Unión o los Estados miembros mantengan o introduzcan leyes, reglamentos o disposiciones administrativas más favorables para los trabajadores en lo que respecta a la protección de sus derechos en relación con el uso de sistemas de IA por parte de los empleadores, ni que fomenten o permitan la aplicación de convenios colectivos más favorables para los trabajadores por lo que cabe auspiciar futuros desarrollos más incisivos de las previsiones referidas al ámbito laboral.

Para cerrar esta revisión sobre las protecciones que el RIA articula a favor de los trabajadores, cabe mencionar el fomento de los códigos de buenas prácticas (art. 56), como instrumento que permita garantizar un despliegue ético y confiable de la IA. Se trata de una herramienta de soft law, que para los empresarios recaería en el ámbito de la responsabilidad social40.

En definitiva, el RIA es una norma importante, de incuestionable aplicación en el ámbito de las relaciones laborales, pero que plantea no pocas dudas sobre el aterrizaje de sus previsiones al ámbito laboral.

Por su parte, la Directiva sobre el trabajo en plataformas es otra norma que ofrece una sólida protección frente a las sombras que la IA proyecta sobre la esfera de derechos de los trabajadores. A pesar de que su ámbito de aplicación se limita a las plataformas, ha mejorado, de manera significativa, las garantías previstas en el RGPD y el RIA, lo que la sitúa en un plano en el que puede servir de modelo referencial para futuros desarrollos normativos de alcance más amplio que el de las plataformas.

La Directiva pretende mejorar la protección de los datos personales de los trabajadores de plataformas mediante la promoción de la transparencia, la equidad, supervisión humana, seguridad y responsabilidad en la gestión algorítmica del trabajo en plataformas. En este sentido, impone límites en cuanto al tratamiento de datos personales relacionados con el estado emocional o psicológico, las conversaciones privadas, los datos biométricos o la predicción del ejercicio de derechos fundamentales, y el tratamiento de datos para inferir información sensible, como la afiliación sindical. La Directiva sobre plataformas también refuerza los requisitos de la evaluación de impacto relativa a la protección de datos del artículo 35 del RGPD, al clasificar el tratamiento de los datos personales de los trabajadores de plataformas mediante sistemas automatizados de toma de decisiones como de alto riesgo en el sentido del artículo 35.1, cuando «entrañe un alto riesgo para los derechos y libertades de las personas físicas». Esta clasificación impone una evaluación de impacto obligatoria que exige a los empleadores recabar la opinión de los trabajadores y sus representantes y comunicar el resultado de la misma a los representantes de los trabajadores, un requisito que no existe en el RGPD. Además, la Directiva aclara y amplía los requisitos de transparencia algorítmica. A diferencia del RGPD, las obligaciones de información previstas en la Directiva sobre el trabajo en plataformas no se limitan a la toma de decisiones exclusivamente automatizada, sino que incluyen todos los tipos de decisiones respaldadas o tomadas por sistemas automatizados de toma de decisiones. Establece requisitos de transparencia tanto a nivel individual como colectivo (art. 6). Por último, la Directiva exige la supervisión sistémica del diseño y el uso de los algoritmos de IA, así como la revisión humana de las decisiones individuales respaldadas o tomadas por dichos algoritmos.

La Directiva arma un sistema cuya finalidad es proporcionar garantías a la posición del trabajador de plataformas digitales, rebajando, en la medida de la posible, la excesiva vulnerabilidad frente a la plataforma. En el centro de dicho sistema se coloca la garantía de la intervención humana en un sistema con capacidad de generar de manera ordinaria decisiones automatizadas determinantes para la vida profesional de los trabajadores41.Se construye, así, un sistema para tutelar los derechos de las personas trabajadoras de plataformas, que se articula alrededor de un eje de garantías destinadas a: garantizar la transparencia en sistemas automatizados de supervisión o toma de decisiones (art. 6); garantizar la supervisión humana de los sistemas automatizados (art. 7); garantizar la revisión humana de las decisiones importantes (art. 8); garantizar la seguridad y salud (art. 8) y por último, garantizar los derechos de información y consulta por parte de las plataformas digitales de trabajo de la RLPT o, en su defecto, de las propias personas trabajadoras (art. 9).

Recientemente, se está discutiendo la posibilidad de aprobar una directiva específica sobre la utilización de sistemas algorítmicos en el trabajo, una iniciativa respaldada por una solicitud expresa de la Confederación Europea de Sindicatos42. Para mejorar las condiciones de trabajo y evitar los efectos negativos, el uso de estos sistemas en el lugar de trabajo debe regularse mejor y de una manera más eficaz, ya que la regulación normativa general de la IA no resulta adecuada para regular su uso en el lugar de trabajo, por ello, una directiva de la UE sobre sistemas algorítmicos en el lugar de trabajo permitiría definir las normas mínimas europeas para el diseño y el uso de sistemas algorítmicos en el contexto laboral. En este sentido, el Parlamento Europeo, en fecha 17 de diciembre de 2025, aprueba la decisión de instar a la Comisión Europea a la presentación de propuestas normativas relativas al uso de la gestión algorítmica en el entorno laboral de los Estados miembros43 y lo hace a partir de la aprobación de un informe de iniciativa legislativa44, aprobado en junio de 2025, que contiene una propuesta de resolución con recomendaciones destinadas a la Comisión sobre digitalización, inteligencia artificial y gestión algorítmica en el lugar de trabajo. El texto plantea medidas destinadas, entre otros objetivos, a reforzar y garantizar la supervisión humana en las decisiones algorítmicas; incrementar la transparencia informativa de los trabajadores; la intervención y consulta de sus representantes; la prohibición tajante de determinadas prácticas dañinas para la esfera sus derechos, como el tratamiento de datos relativos al estado emocional o psicológico; o a la neurovigilancia; o a conversaciones privadas, etc. o mejorar las medidas específicas en materia de seguridad y salud laboral.

Para finalizar, es conveniente una breve referencia al Marco Estratégico de la UE sobre salud y seguridad en el trabajo 2021-202745. Este documento pone el acento en la necesidad de que los cambios en las formas de trabajar, derivados de la digitalización, vengan acompañados de nuevas soluciones en materia de salud y seguridad en el trabajo. Estas soluciones supondrán la adecuación a nuevos escenarios, en los que se ha experimentado un incremento importante de la población que trabaja de forma remota. Como derivación clara de esos nuevos escenarios, se ha postulado la urgente necesidad de desarrollar y aplicar iniciativas legislativas a nivel de la UE para regular el control del tiempo de trabajo, así como un adecuado equilibrio entre los desarrollos tecnológicos y los derechos fundamentales en los entornos laborales. Los riesgos derivados de un control y un seguimiento excesivos, además de en otros ámbitos, impactan también desde luego en la prevención de riesgos laborales.

V. En particular, en cuanto al Reglamento General de Protección de Datos

El Reglamento General de Protección de datos establece unos mandatos que se aplican a todas las actividades de procesamiento de datos, incluyéndose, obviamente, las relativas al control y vigilancia de las personas trabajadoras. Sin embargo, su art. 88 remite a los Estados Miembros el establecimiento de reglas específicas sobre la gestión de datos en los entornos laborales, «en particular a efectos de contratación de personal, ejecución del contrato laboral, incluido el cumplimiento de las obligaciones establecidas por la ley o por el convenio colectivo, gestión, planificación y organización del trabajo, igualdad y diversidad en el lugar de trabajo, salud y seguridad en el trabajo, protección de los bienes de empleados o clientes, así como a efectos del ejercicio y disfrute, individual o colectivo, de los derechos y prestaciones relacionados con el empleo y a efectos de la extinción de la relación laboral».

Al margen de la discreta recepción que este precepto ha tenido en los veintisiete Estados Miembros, debe destacarse que la Agencia de los derechos fundamentales de la UE (FRA, según su acrónimo inglés) ha desarrollado cierta doctrina en la que, entre otros extremos, pone en entredicho la validez del consentimiento como base suficiente para ese procesamiento de datos sobre personas trabajadoras, a la vista de la desigualdad económica entre ambas partes del contrato de trabajo y su esencia inequívoca de relación de subordinación. En realidad, no es una postura intrínsecamente novedosa, sino que ya había sido expresada con claridad por el «Grupo de Protección de las Personas» del art. 29 de la Directiva 95/46/CE, cuando, en su Opinión 2/2017, sobre tratamiento de datos en el trabajo, consideró que los trabajadores rara vez están en condiciones de dar, rechazar o revocar libremente su consentimiento, dada la dependencia que resulta de la relación laboral. En realidad, del considerando 43 del propio Reglamento ya se deduce la inhabilidad del consentimiento en el marco laboral46. De este modo, las condiciones para la licitud en el tratamiento de datos que mejor se ajustan a la relación desigual entre dos partes derivada del contrato de trabajo son que ese tratamiento sea necesario para la ejecución del contrato —art. 6.1 b) RGPD— o que lo sea para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero —art. 6.1 f—.

Más allá de la base jurídica que legitima el tratamiento de los datos, un asunto sobre el que se ha pronunciado la FRA se centra en la extensión y alcance de los mismos, sobre todo en el contexto de las mayores posibilidades de comunicación y transmisión, en el entorno del internet de las cosas, que ha incrementado la capacidad de las herramientas y de los procesos de gestión de la información y ha relativizado todavía más, si cabe, la validez del consentimiento de los trabajadores y trabajadoras. En efecto, unos y otras carecen de un suficiente conocimiento de la cantidad y calidad, así como del alcance del caudal informativo que puede ser procesado acerca de múltiples circunstancias relativas a su vida privada.

Sobre estos riesgos ya advirtió hace años el «Grupo de Protección de las Personas» en la propia Opinión 2/2017, donde expresó, entre otras consideraciones que «las tecnologías modernas permiten rastrear a los empleados a lo largo del tiempo, tanto en sus lugares de trabajo como en sus hogares, a través de diversos dispositivos como teléfonos inteligentes, computadoras de escritorio, tabletas, vehículos y wearables. Si no se limita el procesamiento y este no es transparente, existe un alto riesgo de que el interés legítimo de los empleadores en mejorar la eficiencia y proteger los activos de la empresa se convierta en una vigilancia injustificable e intrusiva».

Con todo, debe recordarse que esa Opinión no es un instrumento vinculante. Ciertamente, se dirige a armonizar la aplicación de la normativa de protección de datos en los lugares de trabajo a lo largo de todos los países de la UE, pero no puede invocarse como fuente de aplicación directa ante los empresarios. Es simplemente un documento orientador. A este respecto, conviene tener en cuenta que el Comité Europeo de Protección de Datos, que ha sustituido al anterior Grupo de Protección, no ha respaldado explícitamente la Opinión 2/2017 hasta el momento, ni tampoco ha dictado orientación alguna sobre protección de datos en el trabajo.

Ahora bien, el Comité sí que ha publicado unas muy interesantes Directrices sobre el tratamiento de datos con base en el art. 6.1.f del Reglamento47, esto es, en los casos en los que «el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño».

En su párrafo 43, las Directrices reconocen que la relación entre una empresa y una persona trabajadora es específica y distinta a la que existe entre un proveedor y su cliente. Por otra parte, expresan que no todos los trabajadores y trabajadoras tienen el mismo grado de interés en el tratamiento de sus respectivos datos: «el responsable del tratamiento no debe basar su evaluación de los intereses en juego en la suposición de que todos los interesados afectados comparten los mismos intereses cuando tenga, o debería tener, indicios concretos de la existencia de intereses individuales particulares o cuando, desde una perspectiva objetiva, simplemente no sea probable que todos los interesados tengan los mismos intereses que el responsable ha asumido. Esto es especialmente cierto en el contexto de una relación laboral». Por otra parte, el párrafo 123 pone de manifiesto que, en el marco de los grupos de empresas, no necesariamente el tratamiento de datos de las personas trabajadoras encontrará acomodo en el art. 6.1 f) del Reglamento, sino que habrá que ponderar los motivos específicos y los intereses concretos en juego. Seguidamente, en su párrafo 124 pone de manifiesto el juego combinado entre el art. 88 del Reglamento y las legislaciones internas que se deriven de él48. Y en su párrafo 125 enfatiza la importancia de la información a las personas trabajadoras sobre dicho tratamiento, en particular en el seno de los grupos de empresas.

En ese sentido, es básico el principio de transparencia, proclamado en el art. 5.1 a) del Reglamento y desarrollado en los arts. 12 a 15, con particular incidencia en la información que se le ha de hacer llegar a la persona interesada cuando los datos no se han obtenido de ella misma, así como en los derechos de acceso a tales datos. Evidentemente, se trata de exigencias indispensables para que los particulares puedan ejercer el control sobre la información que se maneja sobre ellos, a los efectos de que cuenten con una razonable protección. No se trata sólo de que puedan oponerse al propio tratamiento de la misma, sino que además puedan disponer sobre su mantenimiento, modificación, borrado o rectificación.

Por otra parte, y como recuerdan las Directrices 1/2024 —párrafo 23—, en ocasiones el tratamiento es legítimo por motivos de transparencia o rendición de cuentas, como sucede, v.g., en temas retributivos. La remisión a la Directiva (UE) 2023/970 del Parlamento Europeo y del Consejo de 10 de mayo de 2023 por la que se refuerza la aplicación del principio de igualdad de retribución entre hombres y mujeres por un mismo trabajo o un trabajo de igual valor a través de medidas de transparencia retributiva y de mecanismos para su cumplimiento, puede ser, a estos efectos, un asunto muy paradigmático.

Evidentemente, las Directrices 1/2024 no se aproximan mínimamente a un análisis integral de la protección de datos en la relación laboral, como sí lo fue, en su momento y cuando menos en mayor medida, la Opinión 2/2017. En cuanto al tema específico de la vigilancia y el control en el trabajo, son especialmente poco explícitas, pese a que el interés legítimo será normalmente la base a la que habrá de apelarse.

Una importancia especial, que se proyecta de forma sobresaliente en el ámbito laboral, tiene el art. 22 del RGPD en cuanto a las decisiones individuales automatizadas referidas a la elaboración de perfiles. La prohibición de tomar decisiones basadas únicamente en tratamientos automatizados de información, con las excepciones que pueden admitirse por los estrechos cauces de los apartados 2 y 3, y con la limitación estricta del art. 22.4, produce límites a la actuación de control y vigilancia por la empresa que deberán siempre tomarse en consideración. No parece que el marco legal europeo admita, a partir de una interpretación combinada del art. 22 con el art. 9 del RGPD, y con el art. 5 del RIA, la neurovigilancia en el trabajo, así como decisiones automatizadas en relación con medidas derivadas de la supervisión y control que ejerza la empresa sin una previa intervención humana49. Como se ha puesto de manifiesto, la transparencia de los datos a partir de los cuales el algoritmo adopta sus decisiones y la protección de estos impone una interpretación normativa de tutela de los intereses de las personas trabajadoras50.

Y asimismo tiene gran relevancia, con incidencia muy importante en todo cuanto tiene que ver con el control y seguimiento de las personas trabajadoras, a través de herramientas digitales, la evaluación de impacto relativa a la protección de datos, contenida en el art. 35 del RGDP y que debería tenerse en consideración cuando se enjuicia la validez y adecuación de los mecanismos de monitorización, establecidos por la empresa, cuya puesta en marcha exige indudablemente esa previa evaluación. Y, más allá de una condición de validez, constituye una pieza clave para la revisión del sistema de control y supervisión de las personas trabajadoras y para el análisis de los riesgos que puedan suponer para ellas en los entornos en los que son monitorizadas.

No puede dejar de reconocerse, pese a la tibieza y dejación de competencias en las que la UE ha incurrido en cuanto a la regulación de la protección de datos en el ámbito de la relación laboral con esa remisión tout court a las legislaciones internas del art. 88 del RGPD, que esta norma garantiza una de las protecciones más exigentes de los datos personales en el concierto internacional. Ha sido reconocida ampliamente como la pieza legal más avanzada, integral y protectora de los derechos a la intimidad y a la protección de datos, y la más influente en otras regiones del planeta51.

El Reglamento, además, debe ser puesto en conexión con el art. 8 de la Carta de Derechos Fundamentales de la Unión Europea, de importante contenido sustantivo en una materia de evidente competencia de la Unión en los términos del art. 51.2 de la propia Carta: al margen de proclamar el derecho a la protección de los datos de carácter personal que les conciernan a las personas y a establecer que los datos «se tratarán de modo leal, para fines concretos y sobre la base del consentimiento de la persona afectada o en virtud de otro fundamento legítimo previsto por la ley», así como que «toda persona tiene derecho a acceder a los datos recogidos que la conciernan y a su rectificación», impone que el respeto a las normas de protección de datos «quedará sujeto al control de una autoridad independiente»52.

Con todo, debe insistirse en que los preceptos del RGPD no son suficientes como para colmar las necesidades de regulación en torno a la supervisión digital que desarrollan las empresas sobre las personas que prestan servicios para ellas. En ese sentido, es crucial la remisión que el art. 88 realiza a las normativas internas de los Estados Miembros. Debe concluirse que actualmente éstos no han desarrollado en toda su extensión las competencias que les otorga dicho precepto. Enseguida se abordan algunos ejemplos de legislaciones internas de algunos de ellos. Por ahora, es conveniente recordar la doctrina del Tribunal de Justicia de la UE en cuando al art. 88, plasmada, en particular, en la sentencia de 30 marzo 202353.

Se trataba de un asunto muy sencillo en su enunciado: el establecimiento en el Estado de Hesse de la enseñanza escolar durante el período de pandemia por la COVID-19 a través de videoconferencia, para lo cual se requirió el consentimiento de alumnos y alumnas mayores de edad y, en caso de minoría de edad, de progenitores o tutores, pero no del profesorado afectado. En el seno de un litigio contestando esta decisión, se planteó una cuestión prejudicial con una pregunta de largo impacto: «¿debe interpretarse el artículo 88, apartado 1, del RGPD en el sentido de que, para que una disposición legislativa constituya una norma más específica para garantizar la protección de los derechos y libertades en relación con el tratamiento de datos personales de los trabajadores en el ámbito laboral, a los efectos del citado artículo 88, apartado 1, del RGPD, debe satisfacer las exigencias impuestas por el artículo 88, apartado 2, del [RGPD] en relación con tales disposiciones?». Es decir, si necesariamente deben incluir «medidas adecuadas y específicas para preservar la dignidad humana de los interesados, así como sus intereses legítimos y sus derechos fundamentales, prestando especial atención a la transparencia del tratamiento, a la transferencia de los datos personales dentro de un grupo empresarial o de una unión de empresas dedicadas a una actividad económica conjunta y a los sistemas de supervisión en el lugar de trabajo».

Para dar respuesta a esta cuestión, el Tribunal recuerda que el concepto de persona trabajadora es muy amplio en el contexto de la UE y abarca, sin ningún género de dudas, la prestación controvertida, realizada en el seno del empleo público de naturaleza funcionarial de un Estado de la República Federal de Alemania. A partir de ahí, califica el art. 88 como una «cláusula de apertura…que confiere a los Estados miembros la facultad de establecer normas más específicas para garantizar la protección de los derechos y libertades en relación con el tratamiento de datos personales de los trabajadores en el ámbito laboral». Las particularidades de esas normas se derivan de la naturaleza especial del contrato de trabajo, como una relación de subordinación.

El Tribunal expresa que las legislaciones nacionales de desarrollo no pueden menoscabar el contenido y los objetivos del Reglamento. En este sentido, el margen de apreciación del que disponen los Estados se ve limitado porque su regulación debe incluir normas «más específicas» y su contenido debe dirigirse a proteger los derechos y libertades de los trabajadores en relación con el tratamiento de sus datos personales en el ámbito laboral. Por otra parte, las normas estatales pueden referirse a un gran número de tratamientos relacionados con el ámbito laboral, de modo que abarquen todos los fines para los que es posible efectuar el tratamiento de datos personales en el ámbito laboral. Dentro de este amplio abanico, los Estados miembros disponen de un margen de apreciación en cuanto a los tratamientos sujetos a dichas normas más específicas.

En cuanto al apartado segundo del art. 88, el Tribunal describe que, de conformidad con él, las normas internas deben tener por objeto la protección de los derechos y libertades de los trabajadores en relación con el tratamiento de sus datos personales en el ámbito laboral e incluir medidas adecuadas y específicas destinadas a proteger la dignidad humana, los intereses legítimos y los derechos fundamentales de los interesados. Además, insiste, de conformidad con el propio art. 88.2, en el tópico de la transparencia y en la necesidad de regular los sistemas de supervisión en el lugar de trabajo. Todo ello, desde luego, con una estricta observancia de los principios del art. 5 del Reglamento y de las bases para la licitud del tratamiento de su art. 6. Pero las normas internas no pueden ser meramente iterativas de ambos preceptos. Eso sí, el margen de apreciación de los Estados en desarrollo del art. 88.1 está limitado por el mandato del art. 88.1. Es decir, el art. 88.2 marca los límites de la diferenciación entre las legislaciones internas, como una especie de armonización indirecta de las mismas. Ello es así porque las diferencias que subsisten van acompañadas de garantías adecuadas y específicas destinadas a proteger los derechos y libertades de los trabajadores en relación con el tratamiento de sus datos personales en el ámbito laboral.

Por consiguiente, en cuanto al asunto concreto llamado a conocimiento del Tribunal, éste concluye que, en virtud del principio de primacía del Derecho de la Unión, en el supuesto de que el órgano jurisdiccional remitente llegase a la conclusión de que las disposiciones controvertidas en el litigio principal no respetaban las condiciones y los límites establecidos por el artículo 88 del RGPD, le correspondería, en principio, dejar inaplicadas las referidas disposiciones. De ese modo, regirían sin más las disposiciones del Reglamento. Aunque con la salvedad de que, si dichas disposiciones constituyen una base jurídica contemplada en el artículo 6, apartado 3, de dicho Reglamento, no deberá excluirse su aplicación54.

Sin duda, se trata de una doctrina muy relevante, que establece el marco regulatorio que les corresponde a los Estados Miembros, en unos términos que, desde luego, implican un importante sometimiento de las legislaciones internas a los criterios del Tribunal y una garantía de que la dispersión de las normas de los Estados Miembros en esta materia no sea excesiva. Aunque, tácitamente, parece que por esta vía se está cerrando definitivamente la puerta a la armonización del tratamiento de datos en el ámbito laboral mediante una Directiva de la UE.

Con todo, el desarrollo del art. 88 del Reglamento ha sido en los Estados Miembros francamente desigual. Al margen de las reglas de Derecho comparado que enseguida se pasan a describir y analizar, sólo un Estado Miembro, la República de Finlandia, ha aprobado una legislación que puede considerarse integral dirigida específicamente a la protección de los datos personales utilizados con fines relativos al desarrollo de la relación laboral55. Por supuesto, la mayoría de los Estados Miembros cuentan con reglas específicas que regulan el seguimiento y control de las personas trabajadoras a través de herramientas digitales, pero se trata en todo caso de normas limitadas en su ámbito de aplicación y objetivos. Además, sería necesario evaluar todas ellas desde la perspectiva de su acomodo mayor o menor a la doctrina dictada por el Tribunal de Justicia en el asunto C-34/21, ya comentado.

VI. Algunas normativas comparadas en el entorno de la Unión Europea

Los diferentes Estados miembros de la UE han ido introduciendo, en sus respectivos ordenamientos, regulaciones de la supervisión digital del trabajo. De entre todos ellos se han seleccionado, en este apartado, tres, en concreto, Francia, Alemania e Italia. Esta elección obedece a que todos ellos se han convertido por distintos motivos en referentes en cuanto a la regulación de la supervisión digital del trabajo. Así, Francia fue el primer país en reconocer legalmente el derecho a la desconexión digital en su legislación, además de contar con una dilatada trayectoria regulatoria en materia de protección de datos. No en vano fue uno de los primeros países europeos en dotarse de normativa propia sobre ella, en concreto, la Ley n.º 78-71, de 6 de enero de 1978, sobre el procesamiento de datos informáticos, los archivos y la libertad (Informatique et Libertés) y que dio origen, también tempranamente, a la autoridad reguladora CNIL (Commission Nationale de l’informatique et des Libertés). Alemania fue el primer país europeo en disponer de regulación normativa al respecto, en concreto, la Ley del Estado de Hesse (Hessen) en el año 1970 (Datenschutzgesetz), marcando un hito en Europa. Alemania cuenta con estrictas leyes de protección de datos en los diversos estados federales y los comités de empresa participan activamente en la supervisión de las tecnologías digitales. Mientras que Italia ha establecido un modelo de empleo flexible con normas claras sobre la alfabetización digital de los empleados.

a) El Derecho francés

La legislación francesa de protección de datos, que se centra en la Loi n.º 2018-493 du 20 juin 2018 relative à la protection des données personnelles, dedica un amplio espacio a la supervisión y control a través de medios digitales. De conformidad con ella —art. 8.9.º «las herramientas de acceso mediante control biométrico deben atenerse a un reglamento tipo, establecido y decidido por la agencia francesa de protección de datos, la Commission nationale de l'informatique et des libertés», previa consulta con las partes sociales—. El reglamento tipo referido a esta materia56 exige que el responsable del tratamiento justifique la necesidad de la recopilación de datos biométricos, explicando por qué el uso de otros métodos de identificación (tarjetas, contraseñas, etc.) o de medidas de seguridad organizativas y técnicas no alcanza el nivel de seguridad requerido. Además, sólo se autoriza la autenticación biométrica basada en las características morfológicas de las personas, quedando prohibidas las que exijan una muestra biológica de saliva, sangre u otros fluidos o similares. En cuanto a la elección del tipo o tipos de datos biométricos —iris, huella dactilar, patrón venoso de la mano, etc.— debe ser justificada y documentada por el empleador, incluyendo el motivo por el que se utiliza una característica biométrica en lugar de otra.

Por otra parte, y como reverso de las políticas de seguimiento y control, debe recordarse que fue en Francia donde se aprobó la primera legislación de desconexión digital, mediante la Loi n.º 2016-1088 du 8 août 2016 relative au travail, à la modernisation du dialogue social et à la sécurisation des parcours professionnels, conocida como Ley El Khomri, a causa de la ministra de Trabajo que la impulsó. Esta ley exige que las empresas con más de cincuenta personas trabajadoras negocien con su plantilla medidas para establecer mecanismos que limiten el uso de herramientas digitales, como el correo electrónico, fuera del horario laboral. El objetivo es proteger a los empleados de la intrusión del trabajo en su vida personal, lo que puede provocar agotamiento y otros problemas de salud derivados de la excesiva exposición a las herramientas digitales. Ahora bien, la falta de un cuadro sancionador mínimamente disuasorio ha condicionado excesivamente la eficacia de esta ley. Es un tópico en el que ahora no corresponde profundizar más, pero que supone uno de los grandes retos en las legislaciones comparadas, en unos tiempos en los que el abuso de lo digital difumina los límites entre la vida profesional y la vida privada.

b) La República Federal de Alemania

En el caso del sistema jurídico alemán, existe una tradición muy consolidada de respeto a los derechos relativos a la intimidad de las personas trabajadoras. No en vano se ha señalado el Estado de Hesse, como se ha dicho, como el primero en aprobar legislación sobre protección de datos y también el primero en incorporar reglas específicas relativas a tratamiento de información en el específico contexto laboral57. Como consecuencia de esa tradición, el uso de herramientas digitales está sometido a un estricto escrutinio. En cuanto al control y seguimiento de la prestación laboral, ha de responder a los principios de necesidad y de proporcionalidad, siempre justificados por razones empresariales legítimas. En concreto, la Bundesdatenschutzgesetz, en su art. 26 establece las siguientes reglas:

Parte —partía— del principio general de que los datos personales de las personas trabajadoras pueden —podían— ser utilizados para fines conectados con su relación laboral, si ello fuese necesario para la contratación, el desarrollo del contrato de trabajo o la extinción del mismo58. En cuanto al tratamiento de datos dirigido a la detección de delitos, sólo podrá ser realizado en el caso de que existan indicios fácticos documentados que justifiquen la sospecha de que la persona interesada los ha cometido en el ejercicio de su profesión, siempre y cuando el tratamiento sea necesario para esa detección y si el interés legítimo de la persona trabajadora en excluir el tratamiento no prevalece sobre el interés del empleador, atendiendo en todo caso al principio de proporcionalidad (art. 26.1). Como quiera que el principio general —la primera proposición del precepto— fue declarado inaplicable por la sentencia del Tribunal Federal de Trabajo de 8 mayo 2025, a estos efectos se aplica directamente el art. 6 del RGPD.

Por hipótesis, considera válido el consentimiento del trabajador o de la trabajadora para el tratamiento de datos, pero habrá que evaluar si se prestó libremente, teniendo en cuenta, en particular, la mayor o menor subordinación de la relación que le liga a la empresa y las circunstancias en las que lo otorgó. Se considerará válidamente emitido si consigue un beneficio económico o jurídico, o si ambas partes del contrato persiguen intereses comunes. Por lo demás, el consentimiento ha de prestarse por escrito o electrónicamente, salvo circunstancias excepcionales. La empresa deberá informar a la persona trabajadora por escrito sobre la finalidad del tratamiento de datos y sobre su derecho a revocar el consentimiento, de conformidad con el art. 7.3 del RGPD (art. 26.2).

En cuanto a las categorías especiales de datos del art. 9 del RGPD, su tratamiento sólo está permitido para fines labores cuando sea necesario para el ejercicio de derechos o el cumplimiento de obligaciones legales en virtud de la legislación laboral, de Seguridad Social y de protección social, y no existan motivos para creer que el interés legítimo del interesado en excluir el tratamiento prevalezca. Para este tipo de datos se aplica, por lo demás, la regla del art. 26.2 (art. 26.3).

El tratamiento de datos puede ser regulado en los convenios colectivos, pero en el bien entendido de que deben estar a las reglas del art. 88 del RGPD (art. 26.4). Tal vez esta regla pudiera ser declarada inaplicable en seguimiento de la STJUE de 30 marzo 2023, pero la sentencia del Tribunal Federal de Trabajo de 8 mayo 2025 elude expresamente decantarse sobre esta cuestión.

Por otra parte, sin que el apartado 5 incluya ninguna regulación específicamente sustantiva, y expresando el apartado 6 que los derechos de participación de la representación legal de las personas trabajadoras no se verán afectados, tiene gran interés la aclaración del apartado 7: «los apartados 1 a 6 también se aplicarán cuando los datos personales de los trabajadores, incluidas las categorías especiales de datos personales, se traten sin almacenarse ni estar destinados a almacenarse en un fichero». Finalmente, el apartado 8 se dedica a enumerar quiénes se consideran personas trabajadoras en el sentido de la Bundesdatenschutzgesetz, aunque no da la impresión de que pueda excluir a otras que merezcan calificarse como tales a la vista del concepto propio de «persona trabajadora» que progresivamente va elaborando el TJUE.

En fin, la introducción y utilización de sistemas digitales de control de las personas trabajadoras está sometido a aprobación por parte de los comités de empresa. En concreto, la sección 87 de la Ley de Constitución de los Comités de Empresa —Betriebsverfassungsgesetz— de 25 septiembre 2001, dedicada a los derechos de co-determinación, entre las materias para las que los prevé «en la medida en la que no están prescritos por ley o convenio colectivo», expresa —párrafo (1)6— «la introducción y uso de dispositivos técnicos diseñados para supervisar el comportamiento o el desempeño de los trabajadores». Esta capacidad dirimente de las estructuras representativas no es característica de las personas trabajadoras de los países mediterráneos, como es el caso de Francia, donde el art. L2312-8.II.4 del Code du Travail tan solo contempla el derecho del comité social et économique a ser informado y consultado sobre la introducción de nuevas tecnologías, cualquier cambio significativo que modifique las condiciones de salud y seguridad o las condiciones de trabajo. En realidad, es algo similar a lo que sucede en el ordenamiento español, a la vista del art. 64.5 f) del Estatuto de los Trabajadores, al margen de la referencia a los derechos informativos sobre parámetros, reglas e instrucciones en los que se basan los algoritmos o sistemas de inteligencia artificial que afectan a la toma de decisiones. Eso sí, ese contraste entre las mayores capacidades de los órganos representativos alemanes en relación con los franceses o con los españoles no debe soslayar la importancia de los mecanismos de participación «débiles» introducidos en estos sistemas.

c) El caso italiano

Por lo que respecta a la normativa italiana, las herramientas de control remoto sólo pueden utilizarse por motivos específicos y para finalidades legítimas, tales como necesidades organizativas o productivas, seguridad en el trabajo o protección de los activos empresariales. Su uso requiere una previa regulación en el convenio colectivo aplicable o, alternativamente, una autorización administrativa, una y otra de conformidad con la legislación de protección de datos. En concreto, el art. 4 del Statuto dei Lavoratori se expresa como sigue en su apartado 1: «los equipos audiovisuales y otras herramientas que permitan la monitorización remota de la actividad de los trabajadores podrán utilizarse exclusivamente para necesidades organizativas y de producción, seguridad laboral y protección de los activos de la empresa y podrán instalarse previo convenio colectivo celebrado por la representación sindical unitaria o por la representación sindical de empresa. Alternativamente, en el caso de empresas con unidades de producción ubicadas en diferentes provincias de la misma región o en varias regiones, dicho acuerdo podrá ser suscrito por los sindicatos comparativamente más representativos a nivel nacional. En ausencia de acuerdo, las herramientas y equipos podrán instalarse con la autorización previa de la sede territorial de la Inspección Nacional del Trabajo o, alternativamente, en el caso de empresas con unidades de producción ubicadas en la sede territorial de más de una organización laboral nacional, de la sede central de la Inspección Nacional de Trabajo…».

En realidad, se trata de un precepto característico de conformación compleja de la voluntad de la empresa, que cabe complementarse, alternativamente, con el acuerdo con la entidad sindical o con la autorización administrativa y que requiere la existencia de un previo elemento justificativo, basado en necesidades de organización o de producción, en motivos de seguridad en el trabajo o en la protección de los activos de la empresa.

Ahora bien, la regla general del art. 4.1 cuenta con la excepción señalada en el art. 4.2: «la disposición a que se refiere el apartado 1 no será de aplicación a las herramientas utilizadas por el trabajador para la prestación del trabajo ni a los instrumentos para el registro de accesos y asistencia». En esta excepción, curiosamente, no actúa ningún mecanismo de intervención sindical o administrativa, de modo que queda al albur de la empresa y del posterior control judicial. En ese sentido, cobra una relevancia mayúscula la diferencia entre instrumentos de control, que se reconducen al apartado 1 del art. 4, e instrumentos de trabajo, que quedan amparados por la regla del apartado 2. Evidentemente, corresponde a la jurisprudencia desarrollar los criterios hermenéuticos aplicables59, pero cuando los dispositivos digitales ostenten una apreciable dimensión de medio de seguimiento y control de la prestación de servicios habrá que estar a los trámites del apartado 1.

Finalmente, y de acuerdo con el apartado 3 del art. 4 del Statuto dei Lavoratori, «la información recopilada de conformidad con los apartados 1 y 2 será utilizable para todos los fines relacionados con la relación laboral, siempre que se proporcione al trabajador información adecuada sobre los métodos de utilización de las herramientas y sobre la realización de los controles, de conformidad con las disposiciones del Decreto Legislativo n.º 196, de 20 junio 2003»60. Es decir, la validez del recurso a los medios previstos en los apartados anteriores se hace depender, en todo caso, de que se haya transmitido a las personas trabajadoras afectadas dicha información relevante, a modo de condición previa al procesamiento de estos datos, que no podrá producirse sin la toma de conocimiento por parte de ellas de los contenidos informativos exigidos por el precepto.

En definitiva, el art. 4 contiene evidentemente un marco más o menos flexible para la utilización de las tecnologías digitales por parte de las empresas. No obstante, sí que se establecen importantes equilibrios cuando van a dirigirse precisamente a la supervisión y control de las personas trabajadoras. Además, la exigencia ineludible de unas obligaciones informativas por parte de la empresa introduce unas garantías que, desde luego, se sitúan en la órbita de los grandes principios del RGPD.

Asimismo, hay que tener en cuenta el tópico del smart working, introducido por la Legge n.º 81 22 maggio 2017, di misure per la tutela del lavoro autonomo non imprenditoriale e misure volte a favorire l'articolazione flessibile nei tempi e nei luoghi del lavoro subordinato. Con el establecimiento de la posibilidad de alcanzar acuerdos de trabajo flexible, se acrecienta el problema de los dispositivos de control telemáticos, cuya regulación se remite nuevamente al art. 4 del Statuto dei Lavoratori, de conformidad con su art. 2161. Este precepto implica, en consecuencia, que la autonomía individual no puede en modo alguno disponer de las garantías de dicho art. 4, a menos que sea en clave de mejora para la persona trabajadora62. Por lo demás, constituye la primera regulación italiana en tono al derecho a la desconexión digital63. El 7 diciembre 2021 fue firmado el acuerdo, de carácter tripartito, que contiene el Protocolo Nacional sobre el trabajo ágil, cuyo art. 12 se refiere a la protección de datos personales, en términos de adaptación del art. 4 a esta modalidad de trabajo.

VII. Un apunte adicional sobre el papel de la negociación colectiva y del diálogo social

Sin que a este respecto sea necesaria una referencia concreta a sistemas internos, es importante destacar ahora que el art. 88 RGPD contempla la posibilidad de que los Estados Miembros puedan establecer a través de convenios colectivos normas más específicas para garantizar la protección de los derechos y libertades en relación con el tratamiento de datos personales de los trabajadores en el ámbito laboral. Como se ha descrito, el art. 26.4 de la Betriebsverfassungsgesetz recuerda esta posibilidad, en el marco del Derecho alemán.

Hay sistemas de relaciones laborales en los que, ya hace años, la negociación colectiva ha desarrollado un importante papel en la regulación del control de la actividad laboral a través de medios digitales y, más en general, de la protección de datos de las personas trabajadoras. Ese es el caso del Reino de Bélgica, donde existe desde 1998 un convenio colectivo sobre videovigilancia y desde 2002 otro sobre control de internet y del mail de las personas trabajadoras64. En otros Estados Miembros, como el Reino de Suecia, la República de Austria, la República de Croacia, el Reino de Dinamarca, la República de Francia, la República Federal de Alemania o los Países Bajos, la negociación y la consulta colectivas sobre los mecanismos de control y supervisión empresarial están promovidas a través de la legislación estatal, reconociéndoles competencias específicas a las organizaciones sindicales y a los órganos de representación de las personas trabajadoras en la empresa65.

Desde un prisma empírico, se ha constatado una correlación positiva entre la existencia de una representación de trabajadores y trabajadoras en los centros de trabajo y la utilización de mecanismos digitales de monitorización por parte de la empresa, de modo que parece sugerirse que la negociación, fundamentalmente a nivel de empresa, ha normalizado el recurso a estas herramientas de control. En efecto, el reconocimiento de un espacio colectivo en las relaciones laborales para que haya una interlocución acerca de la digitalización en la empresa ha servido para que se atenúe la motivación negativa que pueden sufrir las personas sometidas a sistemas de supervisión potencialmente invasivos, de modo que la empresa cuenta con un incentivo adicional para su utilización66.

A este respecto bueno es traer a colación la Directiva 2002/14/CE, del Parlamento Europeo y del Consejo, de 11 de marzo de 2002, por la que se establece un marco general relativo a la información y a la consulta de los trabajadores en la Comunidad Europea. Es evidente que la introducción de herramientas de supervisión y control se encuentra dentro del ámbito de las «decisiones que pudieran provocar cambios sustanciales en cuanto a la organización del trabajo y a los contratos de trabajo» —art. 4.2 c)— de modo que, también desde esta perspectiva, deben ser objeto cuando menos de información y consulta en todos los Estados Miembros de la UE.

VIII. Conclusiones

La capacidad transformadora del poder de dirección y de los mecanismos de control y seguimiento de las personas trabajadoras por parte de la empresa que lleva ínsito el progresivo y acelerado desarrollo de la digitalización y de la IA es mayúscula. Nunca anteriormente los derechos fundamentales a la intimidad y a la protección de datos han estado tan amenazados como en la actualidad, y es seguro que lo están todavía más en el corto y en el medio plazo.

En consecuencia, es necesario revisar y reconsiderar constantemente el equilibrio de derechos entre las dos partes de la relación laboral. Es innegable que la empresarial tiene legítimas razones para desarrollar unos mecanismos de control y vigilancia, por motivos que van desde la defensa del patrimonio y de los intereses suyos ante posibles comportamientos dolosos o negligentes por parte de sus trabajadores y trabajadoras, hasta proyectar medidas de mejora de la productividad, optimizar sus recursos, detectar necesidades de perfiles profesionales o de organización de sus recursos humanos, o acaso producir mejoras en su organización y planificación de la política de seguridad y salud. Pero, en paralelo, la parte trabajadora ostenta derechos que deben ser preservados, y que trascienden los más evidentes a la intimidad y a la protección de datos, o los más clásicos a una limitación y proporción en el poder de dirección y, en particular, en el de supervisión y control. El incremento del control digital cuestiona y tensa otros derechos, como a la salud en el trabajo, a la conciliación de la vida familiar y laboral, a la limitación del tiempo de trabajo, a la libertad de expresión o, muy en concreto, a la libertad sindical. Por consiguiente, la ponderación del impacto de las tecnologías digitales en todos ellos es inexcusable. Y, ha de insistirse, esa ponderación constituye un reto duradero en el tiempo y constante hacia el futuro.

La Unión Europea ha desistido de una labor de aproximación normativa directa en cuanto a los retos digitales en el marco de la relación laboral. Por ese motivo, los preceptos del Reglamento de Protección de Datos, de aplicación general dentro y fuera del marco jurídico laboral, tienen una extraordinaria importancia y ostentan una indudable capacidad de limitar las prácticas más invasivas de las empresas, de modo que hay que tener en cuenta la aplicación e interpretación de los mismos que vayan efectuando los órganos judiciales de la UE e internos. Por desgracia, el papel que hasta la fecha ha tenido en cuanto a esta materia el Comité Europeo de Protección de Datos ha sido prácticamente irrelevante, a la espera de que dicte en el futuro unos criterios sin duda imprescindibles. Por supuesto, hay que atender, con el mismo nivel de interés, a las decisiones de las autoridades nacionales.

Ahora bien, la remisión que realiza el art. 88 RGPD a los derechos internos obliga a tenerlos muy en consideración. La interpretación que ha formulado el TJUE sobre él, que limita el margen de actuación de los Estados Miembros para que sus respectivas normativas de desarrollo se restrinjan a introducir mejoras en la protección de datos de las personas trabajadoras, y no meras reiteraciones del RGPD, pone en cuestión todas las regulaciones internas sobre la materia. No en vano, Alemania se ha visto en la tesitura de tener que reformar su legislación a causa de dicha interpretación. Pero, por otro lado, la propia doctrina del TJUE pone de relieve que la aprobación de normativa sobre la digitalización en el contexto laboral no es contingente, sino necesaria. En todo caso, si las normas nacionales fueran insuficientemente protectoras o situaran el listón de protección por debajo del RGPD, serían inaplicables y éste regiría de forma directa.

La descripción de las normas aprobadas en Francia, Alemania e Italia permite extraer algunas ideas de interés. Primeramente, que todas ellas tienen una clara vocación hacia la regulación de los límites del control y supervisión desarrollados por las empresas, con equilibrios cualitativamente distintos de los que existen en nuestra legislación de protección de datos. En segundo lugar, y, sobre todo, que los principios básicos del RGPD —transparencia, información a las personas interesadas, justificación, necesidad, minimización, proporcionalidad, derechos de acceso y rectificación …— rigen con particular intensidad cuando se trata de esas potestades de control ejercidas por la empresa. De modo que, en ese escenario, se incorporan garantías adicionales, algunas de las cuales podrían tal vez considerarse en nuestro Derecho interno, ya sea a través de una modificación legal futura, ya a través de su incorporación a la negociación colectiva. En tercero, que es claro que el consentimiento de la persona interesada nunca puede ser base legítima para la supervisión y control. Si ello pudiera discutirse en otros contextos del empleo y de la relación laboral, cuando menos en sistemas tales como el alemán, es incontestable, cuando se trata de la monitorización de trabajadores y trabajadoras.

Por último, ha de recordarse el papel de la negociación colectiva, así como de la interlocución entre las empresas y los órganos de representación laboral dentro de la empresa y en los ámbitos superiores. Pero siempre con la advertencia de que las reglas que se introduzcan han de ser, por una parte, de mejora de los estándares del RGPD y, por otra, no meras repeticiones de éste, so pena de que se declaren ineficaces e inaplicables.

Bibliografía

Abraha, H., Navigating workers' data rights in the digital age. A historical, current, and future perspective on workers' data protection. ILO Working Paper núm 149, 2025.

Burdin, G., Dughera, S., Landini, F. y Belloc, F., «Contested Transparency: Digital Monitoring Technologies and Worker Voice». En GLO Discussion Paper, Núm. 1340, 2023.

Cabeza Pereiro, J., «El necesario cambio en la jurisprudencia constitucional sobre video vigilancia y control de mensajería electrónica de los trabajadores a la vista de la doctrina del TEDH». En Temas Laborales, núm 141, 2018.

Cardona Rubert, M.B., «Gestión algorítmica y condiciones laborales de los trabajadores de plataformas: la necesaria directiva de mejora de condiciones laborales de los trabajadores de plataformas». En Documentación Laboral, núm 129, 2023

Cardona Rubert, M.B., «Europa frente al reto regulatorio de la desconexión digital». En Revista del Ministerio de Trabajo y Economía Social, núm 158, 2024.

Cardona Rubert, M.B., «Los neuroderechos laborales, ¿necesario o prescindible reconocimiento jurídico?». En Revista Laborem-SPDTSS, núm. 33, 2026.

Domalewska, D., Tišma, S. y Blazhevska, K.V., Protecting Employee Privacy and Security in the Age of Digital Performance Monitoring: A Legal Comparative Analysis of Post-Communist Countries – Poland, Croatia, and the Republic of North Macedonia, Polish Political Science Yearbook, vol. 54(2) 2025.

Lutsenko, O.Y., Hryhorenko. D.A., Tykhonovych, O.Y., Gryn, D.V. y Pavlichenko, H.V., «Legal regulation of employee monitoring in the digital age: between security and privacy». En International Journal of Law and Information Technology, núm 33, 2025.

Riccobono, A., «Capitalismo digitale e controlli sulle attività telematiche dei lavoratori». En WP CSDLE «Massimo D’Antona».IT – 458/2022.

Riso, S., (Eurofound), Employee monitoring and surveillance: The challenges of digitalisation, Publications Office of the European Union, Luxembourg, 2020.

Treu, T., «Il controllo umano delle tecnologie: regole e procedure». En WP CSDLE «Massimo D’Antona».IT – 492/2025.

Wolford, M., «Is your employer watching you? Invasive employee surveillance in the modern era». En North Carolina Journal of Law & Technology, vol. 26, n1 4, 2025.

Yaroshenko, O.M., Getman, A.P., Tkachenko, V.S., Musiienko, O.L. y Petrova, M.P, «Legal and Policy Dimensions of Using Digital Technologies to Monitor and Manage Working Time in the EU». En Információs Társadalom XXIV, núm. 4, 2024.

Zoppoli, L., «Dopo la digi-demia: quale smart working per le pubbliche amministrazioni italiane?». En WP CSDLE «Massimo D’Antona» IT – 421/2020.

Zoppoli, L., «Il diritto del lavoro dopo l’avvento dell’intelligenza artificiale: aggiornamento o stravolgimento? Qualche (utile) appunto,» WP CSDLE «Massimo D’Antona».IT – 489/2024.

---

1. 1 Este artículo se realiza en el contexto del Proyecto «Digitalización, políticas públicas de empleo inclusivas y discriminación algorítmica» (PID2024-158032OB-I00. Y del Convenio de colaboración entre Red.es y UCLM para la Implementación de los Derechos Digitales en el entorno laboral y empresarial (2023-2026).

2. 2 Vid., vg., Lutsenko, O.Y., Hryhorenko. D.A., Tykhonovych, O.Y., Gryn, D.V. y Pavlichenko, H.V., «Legal regulation of employee monitoring in the digital age: between security and privacy». En International Journal of Law and Information Technology, núm 33, 2025, pág. 3.

3. 3 Abraha, H., «Navigating workers' data rights in the digital age. A historical, current, and future perspective on workers' data protection». En ILO Working Paper núm 149, 2025, pág. 7.

4. 4 Burdin, G., Dughera, S., Landini, F. y Belloc, F., «Contested Transparency: Digital Monitoring Technologies and Worker Voice». En GLO Discussion Paper, núm. 1340, 2023, pág.1.

5. 5 TREU, T., «Il controllo umano delle tecnologie: regole e procedure». En WP CSDLE «Massimo D’Antona».IT – 492/2025, págs. 3-4.

6. 6 Con alguna mayor contención, pero de forma más expresiva, Zoppoli, L., «Il diritto del lavoro dopo l’avvento dell’intelligenza artificiale: aggiornamento o stravolgimento? Qualche (utile) appunto». En WP CSDLE «Massimo D’Antona».IT – 489/2024, pág. 4.

7. 7 Tomamos la cita de Riccobono, A., «Capitalismo digitale e controlli sulle attività telematiche dei lavoratori». En WP CSDLE «Massimo D’Antona».IT – 458/2022, pág. 3.

8. 8 Con datos concretos al respecto, Domalewska, D., Tišma, S. y Blazhevska, K.V., Protecting Employee Privacy and Security in the Age of Digital Performance Monitoring: A Legal Comparative Analysis of Post-Communist Countries – Poland, Croatia, and the Republic of North Macedonia, Polish Political Science Yearbook, vol. 54(2) 2025, pág. 52.

9. 9 Ibid.

10. 10 La formulación de «datificación de los trabajadores» deriva de una traducción literal del inglés y del término «datafication of workers», acuñado por Abraha, H., en su trabajo «Navigating workers' data right's…», op. cit., pág. 17.

11. 11 Lutsenko, O.Y., Hryhorenko. D.A., Tykhonovych, O.Y., Gryn, D.V. y Pavlichenko, H.V., «Legal regulation…», op. cit., pág. 3.

12. 12 Abraha, H., «Navigating workers' data rights…», op. cit., pág. 17.

13. 13 Sobre el particular, RISO, S.,(Eurofound), Employee monitoring and surveillance: The challenges of digitalisation, Publications Office of the European Union, Luxembourg, 2020, pág. 3.

14. 14 Sobre el monitoring, como procedimiento más integral que la surveillance, Lutsenko, O.Y., Hryhorenko. D.A., Tykhonovych, O.Y., Gryn, D.V. y Pavlichenko, H.V., «Legal regulation…» op. cit., págs. 4 y ss.

15. 15 Ibid., pág. 6.

16. 16 Véase, al respecto, Wolford, M., «Is your employer watching you? Invasive employee surveillance in the modern era». En North Carolina Journal of Law & Technology, vol. 26, núm. 1 4, 2025, págs. 622-3.

17. 17 Abraha, H., «Navigating workers' data rights…», op. cit., pág. 6.

18. 18 Vid. In extenso Cardona Rubert, M.B., «Los neuroderechos laborales, ¿necesario o prescindible reconocimiento jurídico?». En Revista Laborem, SPDTSS, núm. 33, 2026, págs. 111 y ss.

19. 19 De forma más esquemática, en términos de beneficios y perjuicios para ambas partes, Lutsenko, O.Y., Hryhorenko. D.A., Tykhonovych, O.Y., Gryn, D.V. y Pavlichenko, H.V., «Legal regulation…»op. cit., pág. 7.

20. 20 Destacando esta idea, Yaroshenko, O.M., Getman, A.P., Tkachenko, V.S., Musiienko, O.L. y Petrova, M.P, Legal and Policy Dimensions of Using Digital Technologies to Monitor and Manage Working Time in the EU, Információs Társadalom XXIV, núm. 4, 2024, pág. 69.

21. 21 Así lo expresan Yaroshenko, O.M., Getman, A.P., Tkachenko, V.S., Musiienko, O.L. y Petrova, M.P, «Legal regulation…», op. cit., pág. 73. In extenso, Cardona Rubert, M.B., «Europa frente al reto regulatorio de la desconexión digital». En Revista del Ministerio de Trabajo y Economía Social, núm 158, 2024, págs. 145 y ss.

22. 22 Sobre estos riesgos, Domalewska, D., Tišma, S. Y Blazhevska, K.V., «Protecting Employee Privacy and Security…», op. cit., pág. 52.

23. 23 En relación con los sistemas de los países que pertenecieron a la órbita soviética, ibidem., pág. 53.

24. 24 Insistiendo en esta idea, Abraha, H., «Navigating worjers’data…», op. cit., pág. 19.

25. 25 Expresando este riesgo, Domalewska, D., Tišma, S. y Blazhevska, K.V., «Protecting Employee Privacy and Security…»op. cit., pág. 52.

26. 26 En este sentido, Lutsenko, O.Y., Hryhorenko. D.A., Tykhonovych, O.Y., Gryn, D.V. y Pavlichenko, H.V., op. cit., pág. 15.

27. 27 Con algo más de detalle sobre esta reforma, DOMALEWSKA, D., TIŠMA, S. Y BLAZHEVSKA, K.V., «Protecting Employee Privacy and Security…», op. cit., pág. 56.

28. 28 Sobre esta doctrina, Cabeza Pereiro, J., «El necesario cambio en la jurisprudencia constitucional sobre video vigilancia y control de mensajería electrónica de los trabajadores a la vista de la doctrina del TEDH». Em Temas Laborales, núm 141, 2018, págs. 13 y ss.

29. 29 Abraha, H., «Navigating workers' data rights…», cit., pág. 21.

30. 30 Ibid., p. 24.

31. 31 Reglamento (UE) 2016/679, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos), de 27 de abril de 2016. DOUE de 4 de mayo de 2016

32. 32 Communication from the Commission to the European Parliament, the European Council, the Council, the European Economic and Social Committee and the Committee of the Regions. Artificial Intelligence for Europe, COM2018/237 final.

33. 33 COM (2018) 795 final, Comunicación de la Comisión, de 7 de diciembre de 2018, por la que se establece el Plan coordinado sobre la inteligencia artificial.

34. 34 Reglamento (UE) 2024/1689 del Parlamento Europeo y del Consejo, de 13 de junio de 2024, por el que se establecen normas armonizadas en materia de inteligencia artificial y por el que se modifican los Reglamentos (CE) n.º 300/2008, (UE) n.º 167/2013, (UE) n.º 168/2013, (UE) 2018/858, (UE) 2018/1139 y (UE) 2019/2144 y las Directivas 2014/90/UE, (UE) 2016/797 y (UE) 2020/1828 (Reglamento de Inteligencia Artificial). DOUE de 12 de julio de 2024.

35. 35 Directiva (UE) del Parlamento Europeo y del Consejo, de 23 de octubre de 2024, relativa a la mejora de las condiciones laborales en el trabajo en plataformas. DOUE de 11 de noviembre de 2024.

36. 36 art. 5.1, apartados f) y g).

37. 37 Arts. 6.1 y 2.

38. 38 Considerando 46.

39. 39 Considerando 48.

40. 40 La Oficina Europea de IA abrió una convocatoria de manifestaciones de interés para participar en la elaboración del primer Código de buenas prácticas de IA de uso general. El Código ha sido publicado el 10 de julio de 2025, con la finalidad de facilitar la correcta aplicación de las normas de la Ley de IA para los modelos de IA de uso general. El objetivo general del Código es mejorar el funcionamiento del mercado interior, promover la adopción de una inteligencia artificial fiable y centrada en las personas, garantizando al mismo tiempo un alto nivel de protección de la salud, la seguridad y los derechos fundamentales frente a los efectos perjudiciales de la IA en la Unión Europea. El Código de buenas prácticas de IA de uso general que ha sido suscrito por numerosas empresas proveedoras de IA, como Amazon, Google, IBM, Microsoft, entre otras, puede ser consultado en: https://digital-strategy.ec.europa.eu/en/policies/contents-code-gpai

41. 41 Cardona Rubert, M.B., «Gestión algorítmica y condiciones laborales de los trabajadores de plataformas: la necesaria directiva de mejora de condiciones laborales de los trabajadores de plataformas». En Documentación Laboral, núm 129, 2023, pág. 25.

42. 42 Resolución de la CES en la que se pide una directiva de la UE sobre sistemas algorítmicos en el trabajo. Adoptada en el Comité Ejecutivo de la CES de 6 de diciembre 2022. https://www.ccoo.es/d6ff95ef7b856958f6c3ae29d73073a7000001.pdf

43. 43 Puede consultarse la noticia en: https://www.europarl.europa.eu/news/es/press-room/20251211IPR32175/el-pleno-reclama-mas-proteccion-frente-a-la-gestion-algoritmica-en-el-trabajo

44. 44 Proyecto de Informe del Parlamento Europeo (Comisión de Empleo y Asuntos Sociales) con recomendaciones destinadas a la Comisión sobre digitalización, inteligencia artificial y gestión algorítmica en el lugar de trabajo: configuración del futuro del trabajo (2025/2080(INL)), de 26 de junio de 2025.

45. 45 Comunicación de la Comisión al Parlamento Europeo, al Consejo, al Comité Económico y Social y al Comité de las Regiones Marco Estratégico de la UE en materia de seguridad y salud en el trabajo 2021-2027. La seguridad y la salud en el trabajo en un mundo laboral en constante transformación, {SWD(2021) 148 final} - {SWD(2021) 149 final}.

46. 46 «Para garantizar que el consentimiento se haya dado libremente, este no debe constituir un fundamento jurídico válido para el tratamiento de datos de carácter personal en un caso concreto en el que exista un desequilibro claro entre el interesado y el responsable del tratamiento, en particular cuando dicho responsable sea una autoridad pública y sea por lo tanto improbable que el consentimiento se haya dado libremente en todas las circunstancias de dicha situación particular. Se presume que el consentimiento no se ha dado libremente cuando no permita autorizar por separado las distintas operaciones de tratamiento de datos personales pese a ser adecuado en el caso concreto, o cuando el cumplimiento de un contrato, incluida la prestación de un servicio, sea dependiente del consentimiento, aún cuando este no sea necesario para dicho cumplimiento».

47. 47 Directrices 1/2024, emitidas el 8 octubre 2024.

48. 48 Sobre este tema, vid. infra.

49. 49 A este respecto, en materia de neurovigilancia en el trabajo, las autoridades nacionales en materia de protección de datos ya están asumiendo expresamente esta doctrina. Véase, en tal sentido, Riccobono, A., op. cit., pág. 9. En cuanto a la interesante y pionera introducción que se está realizando de la protección frente a la neurovigilancia y neuroriesgos en general, en los ordenamientos latinoaméricanos, vid. Cardona Rubert, M.B., «Los neuroderechos laborales, ¿necesario o prescindible…», op. cit.

50. 50 En este sentido, Zoppoli, L., «Il diritto del lavoro dopo l’avvento dell’intelligenza artificiale…», op. cit., pág.13.

51. 51 Abraha, H., «Navigating workers' data rights…», op. cit., pág. 25.

52. 52 Sobre las posibilidades de actuación de las autoridades independiente, y la posibilidad de no dictar resoluciones sancionadoras, es de gran interés la STJUE de 26 septiembre 2024 (asunto C-768/21, TR y Land Hessen).

53. 53 Asunto C-34/21, Hauptpersonalrat der Lehrerinnen und Lehrer beim Hessischen Kultusministerium.

54. 54 Consecuentemente, el órgano remitente, el Tribunal de lo ContenciosoAdministrativo de Wiesbaden, por sentencia de 9 mayo 2023 declaró nulo el art. 26.1 de la Ley Federal de Protección de Datos. Lo cual dio lugar a una reforma legal que se concretó en una nueva Ley Federal de Protección de Datos -Bundesdatenschutzgesetz- cuyo art. 26 sigue regulando la protección de datos en el contexto laboral.

55. 55 En este sentido, Abraha, H., «Navigating workers' data rights…», op. cit., pág. 24.

56. 56 Délibération n.º 2019-001 du 10 janvier 2019 portant règlement type relatif à la mise en œuvre de dispositifs ayant pour finalité le contrôle d'accès par authentification biométrique aux locaux, aux appareils et aux applications informatiques sur les lieux de travail.

57. 57 Como expresa Abraha, H., «Navigating workers' data rights…», op. cit., pág. 23.

58. 58 Ha de matizarse, con todo, que esta regla, hasta aquí expresada, ha sido declarada inaplicable por sentencia del Tribunal Federal de Trabajo de 8 mayo 2025 (8AZR 209/21), en seguimiento de la STJUE de 30 marzo 2023, porque las disposiciones nacionales al amparo del art. 88 sólo son aplicables si no se limitan a repetir las disposiciones del Reglamento General de Protección de Datos. Expresa el Tribunal que «Además, deben tener como objetivo proteger los derechos y libertades de los empleados en relación con el tratamiento de sus datos personales en el contexto laboral e incluir medidas adecuadas y específicas para salvaguardar la dignidad humana, los intereses legítimos y los derechos fundamentales del interesado, en el sentido del artículo 88, apartado 2, del RGPD […] El artículo 26, apartado 1, frase 1, de la BDSG no cumple estos requisitos simplemente porque carece de medidas de protección, en el sentido del artículo 88, apartado 2, del RGPD». Ahora bien, tercia la sentencia que sólo el artículo 26, apartado 1, frase 1, de la BDSG incumple los requisitos del artículo 88, apartado 1, del RGPD. El asunto se refería a a la transferencia de datos personales de las personas trabajadoras de una empresa a un software basado en la nube llamado «Workday» que se estaba utilizando a modo de prueba en todo el grupo en el que la empleadora estaba integrada.

59. 59 Un análisis al respecto en Riccobono, A., «Capitalismo digitale e controlli…», op. cit., págs. 10 y ss.

60. 60 Codice in materia di protezione dei dati personali.

61. 61 En este sentido, Zoppoli, L., «Dopo la digi-demia: quale smart working per le pubbliche amministrazioni italiane?», WP CSDLE «Massimo D’Antona» IT – 421/2020, págs. 21 y ss.

62. 62 Así concluye Riccobono, A., «Capitalismo digitale e controlli…», op. cit., pág. 6.

63. 63 Ibid.

64. 64 Véase una referencia más concreta en Eurofound, Employee monitoring and surveillance…, cit., pág. 16.

65. 65 Ibid.

66. 66 Así lo ponen de manifiesto Burdin, G., Dughera, S., Landini, F. y Belloc, F., «Contested Transparency: Digital Monitoring Technologies and Worker Voice», op. cit., págs. 20-1.