El avance de las modalidades de trabajo a distancia, especialmente en régimen híbrido, ha planteado nuevas cuestiones jurídicas en torno a la protección de datos personales en el ámbito laboral. En este contexto, la Autoridad Catalana de Protección de Datos (en adelante APDCAT) ha emitido un Informe Jurídico, PD 13/2024, de 15 de julio de 2024, a solicitud de un Departamento de la Generalitat de Cataluña, en relación con una propuesta de Instrucción interna sobre teletrabajo.
El informe analiza exclusivamente si resulta conforme a la normativa vigente de protección de datos la previsión de exigir a los empleados públicos que trabajen en remoto mantener la cámara de vídeo encendida durante las reuniones de trabajo en formato híbrido.
Comenzamos haciendo referencia al contexto y alcance de la consulta:el Departamento solicitante incluye en su propuesta de Instrucción sobre gestión del teletrabajo una cláusula (art. 4.1, segundo párrafo) que establece la obligatoriedad de mantener la cámara encendida en las reuniones híbridas. El informe parte de una interpretación restrictiva del ámbito subjetivo de aplicación de dicha previsión, señalando que solo sería exigible al personal del propio Departamento, sin que pueda hacerse extensiva a personas externas (colaboradores, otros funcionarios, ciudadanía, etc.).
El objeto del informe es analizar la licitud del tratamiento de datos personales que supone la captación y posible grabación de la imagen y la voz de los trabajadores, conforme al Reglamento General de Protección de Datos (RGPD), la Ley Orgánica 3/2018 (LOPDGDD), la Constitución Española y demás normativa relacionada aplicable.
El informe parte de una premisa fundamental: la imagen y la voz de los trabajadores, cuando se captan, visualizan o graban durante una videoconferencia, constituyen datos personales. Este tipo de tratamiento está sujeto a las disposiciones del RGPD y de la LOPDGDD.
Además, el tratamiento puede implicar la exposición del entorno doméstico del empleado (al estar ubicado en su domicilio), afectando también al derecho a la intimidad personal y familiar, e incluso, potencialmente, al derecho a la propia imagen. Por tanto, deben respetarse no solo los principios de protección de datos, sino también los derechos fundamentales reconocidos por el ordenamiento jurídico.
La licitud del tratamiento depende de que exista una base jurídica válida, conforme al artículo 6.1 del RGPD. La APDCAT analiza tres posibles bases:
1.- Consentimiento del interesado (art. 6.1.a RGPD)
Para que el consentimiento sea válido debe ser libre, específico, informado e inequívoco. No obstante, en el ámbito laboral se reconoce una situación estructural de desequilibrio entre empleador y trabajador, lo cual puede poner en duda que el consentimiento sea realmente libre. Así lo recoge el Comité Europeo de Protección de Datos (CEPD) en sus Directrices 5/2020.
El Agencia catalana aclara que, aunque teóricamente el consentimiento puede servir de base, en este caso no es el modelo utilizado, pues se plantea una obligación general. El tratamiento basado en consentimiento solo sería válido si se ofrece una alternativa real y no se imponen consecuencias negativas por denegarlo.
2.- Ejecución de un contrato laboral (art. 6.1.b RGPD)
Esta base permite tratar datos personales cuando el tratamiento sea necesario para ejecutar un contrato en el que el interesado es parte. La APDCAT cita las Directrices 2/2019 del Comité Europeo de Protección de Datos (CEPD), que señalan que el tratamiento debe superar un test de necesidad proporcional y que no existan alternativas menos intrusivas para alcanzar el mismo fin contractual.
“Si existen otras alternativas realistas y menos intrusivas, el tratamiento no es ‘necesario’. El artículo 6.1.b no cubre tratamientos útiles, pero no objetivamente necesarios.”
El documento manifiesta que el criterio de “necesidad” en este contexto debe interpretarse de forma restrictiva y objetiva. No basta con que el tratamiento sea útil o conveniente: debe ser estrictamente imprescindible para alcanzar los fines del contrato.
De igual forma, la autoridad de control catalana indica que no se acredita que la visualización continua del trabajador sea necesaria para el desarrollo adecuado de una reunión de trabajo. Existen alternativas menos intrusivas —como la intervención por voz, el uso del chat o el control de conexión— que cumplen los objetivos sin captar la imagen de forma constante.
3.- Interés público o ejercicio de poderes públicos (art. 6.1.e RGPD)
Otra base posible sería que el tratamiento fuera necesario para el ejercicio de funciones públicas. No obstante, esta base exige que esté previsto en una norma con rango de ley y que se justifique la necesidad del tratamiento para el desempeño de la función.
La APDCAT indica que, en contextos excepcionales, como la pandemia, esta base ha sido invocada válidamente (por ejemplo, en el entorno educativo). Sin embargo, en el caso de reuniones laborales ordinarias, sin elementos excepcionales ni necesidad acreditada, no se justificaría su aplicación.
Así las cosas, la Agencia catalana observa una ausencia de justificación en la propuesta de Instrucción ya que la propuesta no va acompañada de una memoria explicativa, ni contiene una definición clara de la finalidad de la medida, ni ofrece una valoración del impacto o de la necesidad del tratamiento propuesto.
Menciona que se hace referencia genérica a que otros departamentos han adoptado medidas similares, pero considera que eso no basta como justificación jurídica ni como prueba de necesidad. Se incluye el informe del Delegado de Protección de Datos del propio Departamento, que sugiere que la base jurídica aplicable podría ser la del artículo 6.1.b RGPD. No obstante, incluso el propio DPD señala que: “No se describe con exactitud la finalidad de la medida (…) y parece que el tratamiento podría fundarse en la ejecución del contrato.”
La APDCAT concluye argumentando que no se acredita en ningún momento que la visualización continua del trabajador durante las reuniones sea una condición necesaria e imprescindible para el correcto cumplimiento de las obligaciones contractuales.
Asimismo, el informe menciona supuestos en los que la obligación de encender la cámara sí podría estar justificada bajo el artículo 6.1.b, siempre que:
- Se establezca previamente en el marco contractual.
- Se informe debidamente al trabajador.
- Se demuestre que no existen alternativas menos intrusivas.
Como ejemplos de validez, cita los siguientes:
- Casos de vídeo-atención a la ciudadanía desde oficinas públicas.
- Actividades de formación o evaluación en las que sea necesario verificar la identidad o presencia del trabajador (por ejemplo, durante un examen o una clase grabada).
- Elaboración de material didáctico audiovisual para su reutilización, cuando esto esté expresamente previsto en el contrato laboral del docente.
La APDCAT recuerda que estos ejemplos deben evaluarse de forma individualizada y no pueden extrapolarse para justificar una obligación general y permanente en todas las reuniones híbridas.
Incluso en los casos en los que pudiera concurrir una base jurídica válida (como el consentimiento en circunstancias excepcionales), el informe recuerda que deben cumplirse el resto de principios del RGPD, especialmente:
- Principio de minimización (art. 5.1.c RGPD)
El tratamiento debe limitarse a los datos “adecuados, pertinentes y limitados a lo necesario”. En este caso, la visualización constante de los trabajadores se considera una medida potencialmente excesiva.
El informe apunta que existen otras formas de participación en las reuniones (chat, voz, control de presencia en plataformas) que permiten lograr los mismos objetivos sin necesidad de captar de forma continua la imagen del trabajador.
- Entorno doméstico y privacidad reforzada
La APDCAT destaca que los trabajadores que teletrabajan desde su domicilio se encuentran en un entorno más sensible desde la perspectiva de la privacidad. La captación de imágenes puede revelar aspectos del entorno familiar o de otras personas convivientes.
Aunque existen herramientas de mitigación (fondos virtuales, desenfoques, micrófonos direccionales), el informe considera que no se ha justificado suficientemente que el beneficio de capturar esa imagen supere el coste en privacidad.
- Grabación de reuniones
Aunque la Instrucción no prevé la grabación de las reuniones, el informe señala que esta es una práctica habitual que sí implicaría un tratamiento adicional más intrusivo, y que:
- Requiere consentimiento expreso e informado.
- Debe estar justificada por una necesidad concreta, como levantar acta o conservar el contenido formativo.
- No se recomienda de forma sistemática o generalizada.
Se recuerda que la grabación aumenta el riesgo de uso indebido de la imagen o la voz de los participantes, especialmente si se difunden posteriormente.
La autoridad de control catalana concluye lo siguiente:
- La imposición general a los trabajadores del Departamento de mantener la cámara encendida en todas las reuniones híbridas no se ajusta a la normativa de protección de datos personales.
- No se ha identificado una base jurídica adecuada que legitime este tratamiento sin consentimiento, ni se ha justificado su necesidad ni proporcionalidad.
- Solo el consentimiento libre, informado y sin consecuencias negativas podría fundamentar esta medida, y solo en situaciones específicas.
- En circunstancias excepcionales y debidamente acreditadas, podrían concurrir otras bases jurídicas (art. 6.1.b o 6.1.e RGPD), pero no es el caso de la previsión general incluida en la propuesta de Instrucción.
- En cualquier caso, debe respetarse el conjunto de principios del RGPD, especialmente el de minimización y el de limitación de finalidad.
