La transformación digital ha multiplicado los riesgos asociados al tratamiento de datos personales dentro de las organizaciones. Paradójicamente, muchas de las brechas de seguridad que afectan a las empresas no tienen su origen en ataques informáticos sofisticados, sino en errores humanos cometidos durante la gestión cotidiana de la información.
Cuando estos incidentes afectan a datos personales de los trabajadores surge una cuestión especialmente delicada. Si un empleado accede a información confidencial que la propia empresa ha dejado expuesta por error y posteriormente utiliza esos datos, ¿puede ser despedido disciplinariamente? ¿O debe asumirse que la organización no puede exigir el máximo nivel de diligencia al trabajador cuando previamente incumplió sus propias obligaciones en materia de protección de datos?
Estas preguntas encuentran respuesta en la reciente Sentencia del Tribunal Superior de Justicia de Madrid 2651/2026, que analiza un supuesto especialmente ilustrativo sobre la interacción entre el Derecho Laboral y el Reglamento General de Protección de Datos (RGPD) y que vamos a proceder a desglosar a lo largo del presente artículo.
La resolución examina el despido disciplinario de un trabajador que accedió a las nóminas de sus compañeros después de que el departamento de Recursos Humanos las hubiera depositado por error en una carpeta compartida accesible para varios empleados.
El resultado resulta especialmente significativo: el despido fue declarado improcedente, no porque la conducta del trabajador fuera irrelevante, sino porque la empresa había creado previamente el riesgo que hizo posible el acceso a la información y no acreditó que la máxima sanción disciplinaria resultara proporcionada.
I. Los hechos: cuando la brecha de seguridad nace dentro de la empresa
El conflicto se originó tras un error cometido por el departamento de Recursos Humanos.
Por equivocación, se incorporó a una unidad compartida un archivo PDF que contenía las nóminas de numerosos trabajadores junto con un documento Excel en el que figuraban los salarios de prácticamente toda la plantilla del grupo empresarial. La carpeta era accesible para aproximadamente diez empleados.
Uno de ellos descargó ambos documentos, los remitió posteriormente a su correo electrónico personal y manifestó públicamente su descontento al comprobar que percibía una retribución inferior a la de algunos compañeros.
Al tener conocimiento de estos hechos, la empresa procedió a su despido disciplinario por transgresión de la buena fe contractual y utilización indebida de información confidencial.
El trabajador impugnó la decisión alegando, entre otros motivos, que el acceso a los documentos había sido posible exclusivamente por un error de la propia empresa, que nunca adoptó medida disciplinaria alguna frente a la persona responsable de la exposición de los datos.
La controversia plantea una cuestión especialmente interesante: ¿puede una organización fundamentar un despido en el uso de una información cuya disponibilidad fue consecuencia directa de un incumplimiento previo de sus obligaciones de seguridad?
II. La empresa como responsable del tratamiento.
Aunque el litigio se resuelve en el ámbito laboral, la sentencia parte de una realidad difícilmente discutible desde la perspectiva del Reglamento Europeo de Protección de datos (En adelante, RGPD).
Las nóminas contienen datos personales cuya divulgación puede afectar de forma intensa a la privacidad de los trabajadores. No se trata de categorías especiales de datos en el sentido del artículo 9 del RGPD, pero sí de información cuya confidencialidad debe preservarse mediante medidas técnicas y organizativas adecuadas.
El principio de integridad y confidencialidad, recogido en el artículo 5.1.f del RGPD, obliga al responsable del tratamiento a garantizar una seguridad adecuada frente al acceso no autorizado a los datos personales. Esa obligación se concreta posteriormente en el artículo 32 RGPD, que exige implantar medidas apropiadas para prevenir este tipo de incidentes.
En el caso analizado, el acceso no autorizado no fue consecuencia de una actuación ilícita del trabajador ni de una vulneración de sistemas informáticos. Fue la propia organización quien puso la información a disposición de varios empleados mediante una configuración incorrecta de los permisos de acceso.
La resolución recuerda implícitamente una idea esencial en materia de protección de datos: el primer responsable de preservar la confidencialidad de la información es siempre quien decide los fines y medios del tratamiento.
III. ¿Cómo debería haber actuado la empresa ante la brecha de seguridad?
Más allá del debate sobre la procedencia del despido, el caso plantea una cuestión esencial desde la perspectiva del RGPD: cómo debía haber actuado la empresa tras la exposición accidental de las nóminas de sus trabajadores.
La publicación de información salarial en una carpeta accesible para empleados que no debían disponer de ella constituye una violación de seguridad de datos personales en los términos del artículo 4.12 del RGPD. Aunque el acceso se produjera dentro de la propia organización, existió una comunicación no autorizada de información personal derivada de un fallo en la gestión de permisos.
Ante esta situación, la empresa debería haber activado su protocolo interno de gestión de brechas, analizando el alcance del incidente, identificando los accesos realizados, limitando inmediatamente los permisos y documentando las medidas adoptadas. Además, debía valorar si la brecha implicaba un riesgo para los derechos de los trabajadores y, en su caso, proceder a la notificación a la Agencia Española de Protección de Datos conforme al artículo 33 del RGPD y a la comunicación a los afectados si se valora un riesgo elevado tal y como indica el artículo 34 RGPD.
El incidente evidencia también una posible deficiencia en las medidas técnicas y organizativas implantadas por la empresa. El RGPD no exige únicamente reaccionar ante las brechas, sino prevenirlas mediante controles adecuados: correcta configuración de accesos, aplicación del principio de mínimo privilegio, revisión periódica de permisos y formación continua de los empleados.
En definitiva, la empresa centró su reacción en sancionar la consecuencia —el acceso del trabajador a una información que no debía haber visto—, pero el problema jurídico comenzó antes: en el momento en que fallaron sus propios mecanismos de protección de datos. El principio de responsabilidad proactiva del RGPD exige que las organizaciones no solo exijan confidencialidad a sus empleados, sino que creen las condiciones necesarias para que esa confidencialidad pueda cumplirse.
IV. La confidencialidad no puede descansar únicamente en una cláusula firmada años atrás
Uno de los aspectos más interesantes de la sentencia es el análisis que realiza sobre la política interna de confidencialidad.
La empresa sostenía que el trabajador había firmado un compromiso de confidencialidad varios años antes y que ello bastaba para justificar el despido.
Sin embargo, el tribunal rechaza esta interpretación.
La Sala constata que dicho documento había sido suscrito en 2018 y que desde entonces no constaban nuevas acciones formativas, recordatorios internos, actualizaciones documentales ni medidas adicionales destinadas a reforzar la cultura de protección de datos dentro de la organización.
La resolución pone de manifiesto que la obligación empresarial de informar a los trabajadores sobre las reglas de utilización de los medios tecnológicos y sobre las consecuencias derivadas de un uso inadecuado no puede satisfacerse mediante una cláusula genérica firmada muchos años antes.
Desde la perspectiva del principio de responsabilidad proactiva del artículo 5.2 del RGPD, el cumplimiento exige actuaciones continuadas y verificables, no simples documentos archivados en el expediente laboral.
V. El principio de proporcionalidad como eje del despido disciplinario
La sentencia no niega que la actuación del trabajador pudiera resultar reprochable.
Descargar información salarial ajena y reenviarla al correo personal constituye una conducta objetivamente irregular que puede comprometer la confidencialidad de datos personales.
Sin embargo, el Derecho disciplinario laboral no sanciona únicamente la existencia de una infracción, sino también su gravedad.
El Tribunal Superior de Justicia analiza conjuntamente diversas circunstancias: el acceso fue posible por un error empresarial; la conducta tuvo carácter puntual; no existió difusión a terceros ajenos a la empresa; el trabajador eliminó la documentación cuando le fue requerida; acumulaba catorce años de antigüedad sin antecedentes disciplinarios y la empresa no acreditó un perjuicio efectivo derivado de los hechos.
A ello se añadía un elemento especialmente significativo: la persona responsable de Recursos Humanos que había provocado la exposición masiva de los datos no recibió ninguna consecuencia disciplinaria.
La Sala concluye que la empresa aplicó un criterio sancionador claramente desproporcionado al reservar la máxima sanción únicamente para quien aprovechó una situación de riesgo creada por la propia organización.
VI. Transparencia retributiva y protección de datos: dos derechos llamados a convivir
Otro aspecto especialmente novedoso de la resolución es la referencia a la Directiva (UE) 2023/970 sobre transparencia retributiva.
Durante años, las empresas han considerado la información salarial como un dato cuya confidencialidad debía preservarse de manera casi absoluta.
Sin embargo, el Derecho europeo avanza hacia un modelo distinto, en el que la transparencia salarial constituye un instrumento esencial para combatir la discriminación retributiva.
La sentencia no afirma que los trabajadores puedan acceder libremente a las nóminas de sus compañeros. Lo que señala es que no puede equipararse la reacción de un empleado que descubre accidentalmente una posible desigualdad salarial con la conducta de quien obtiene deliberadamente información estratégica mediante mecanismos fraudulentos.
La resolución evidencia así la tensión creciente entre dos intereses igualmente legítimos: la protección de la privacidad individual y la necesidad de garantizar la igualdad efectiva en materia retributiva.
VII. Implicaciones prácticas para las empresas
La sentencia ofrece varias enseñanzas de enorme utilidad para responsables de recursos humanos, departamentos jurídicos y delegados de protección de datos:
En primer lugar, recuerda que los errores internos de configuración de accesos pueden generar consecuencias que trascienden el ámbito de la protección de datos y terminan condicionando incluso la validez de las decisiones disciplinarias posteriores.
En segundo lugar, pone de relieve la necesidad de revisar periódicamente las políticas internas de confidencialidad. La formación continua, las actualizaciones documentales y los controles efectivos de acceso constituyen elementos esenciales del principio de responsabilidad proactiva previsto en el RGPD.
Finalmente, la resolución subraya que el ejercicio del poder disciplinario exige mantener criterios homogéneos y proporcionados. La reacción empresarial frente a una conducta individual difícilmente puede desligarse de la valoración de los incumplimientos organizativos que hicieron posible la situación.
VIII. Protección de datos y potestad disciplinaria: responsabilidades distintas que pueden influirse mutuamente
La principal aportación de esta sentencia consiste probablemente en recordar que la protección de datos y el Derecho Laboral mantienen una relación de autonomía, pero no de aislamiento.
El incumplimiento empresarial de las obligaciones derivadas del RGPD no convierte automáticamente en lícita cualquier actuación posterior del trabajador.
Del mismo modo, una conducta objetivamente incorrecta del empleado no exonera a la empresa de responder por las deficiencias organizativas que facilitaron el acceso indebido a la información.
La potestad disciplinaria continúa existiendo, pero su ejercicio debe respetar los principios de proporcionalidad, coherencia y buena fe, especialmente cuando la organización ha contribuido decisivamente a la producción del riesgo que posteriormente pretende sancionar.
Conclusión
La Sentencia del Tribunal Superior de Justicia de Madrid ofrece una enseñanza que trasciende el caso concreto. La confidencialidad de los datos personales no puede descansar exclusivamente en el comportamiento de los trabajadores; constituye, ante todo, una obligación del responsable del tratamiento, que debe implantar medidas eficaces para impedir accesos indebidos.
Cuando la propia empresa genera una brecha interna por una deficiente gestión de permisos, resulta difícil justificar la imposición de la máxima sanción disciplinaria al trabajador sin valorar previamente su propia actuación.
La resolución no elimina el deber de confidencialidad de los empleados ni legitima el uso indiscriminado de información obtenida accidentalmente. Lo que exige es algo más elemental: que quien pretende sancionar por un incumplimiento haya observado también los estándares de diligencia que el ordenamiento jurídico le impone.
En definitiva, la sentencia recuerda que la protección de datos y el poder disciplinario no son compartimentos estancos. Ambos descansan sobre un mismo presupuesto: la exigencia de actuar conforme a la buena fe. Y esa exigencia vincula tanto a los trabajadores como, muy especialmente, a las propias empresas.
Si quieres conocer más artículos al respecto puedes encontrarlos pinchando aquí y aquí.
