La geolocalización de trabajadores es una de las áreas donde más tensión existe entre el legítimo interés empresarial en controlar el uso de sus recursos y el derecho a la intimidad del empleado. La AEPD lleva años sancionando en este ámbito, y el patrón de los expedientes es bastante consistente: no es que las empresas localicen a sus trabajadores lo que genera la infracción, sino cómo lo hacen y, sobre todo, que no informan de ello.
El artículo 90 de la LOPDGDD: la base específica para geolocalización laboral
El artículo 90 de la Ley Orgánica 3/2018 (LOPDGDD) regula específicamente los sistemas de geolocalización en el ámbito laboral. Establece que los empleadores pueden tratar datos de localización de sus trabajadores siempre que se cumplan tres condiciones: que exista una finalidad legítima relacionada con el control de la actividad laboral, que los trabajadores y sus representantes legales sean informados previamente de forma expresa, clara e inequívoca, y que esa información incluya las características esenciales del sistema: qué se registra, durante cuánto tiempo, quién tiene acceso y con qué finalidad.
La base jurídica habitual para este tratamiento es el artículo 6.1.b del RGPD (ejecución del contrato) o el artículo 6.1.f (interés legítimo), combinado con el artículo 90 LOPDGDD. El interés legítimo requiere además superar el test de ponderación: el interés de la empresa debe ser real, la geolocalización debe ser necesaria para ese interés, y el impacto sobre la privacidad del trabajador debe ser proporcional.
Qué está permitido y qué no
Rastrear un vehículo de empresa durante el horario laboral para controlar rutas, tiempos de servicio o uso del vehículo es generalmente admisible si hay información previa adecuada. El problema aparece cuando el sistema no distingue entre tiempo de trabajo y tiempo personal, o cuando el vehículo es de uso mixto.
La AEPD ha sido clara en varios pronunciamientos: la geolocalización continua fuera del horario laboral (descansos, fines de semana o periodos de baja) no tiene base jurídica suficiente en el interés legítimo empresarial. Un GPS que registra la posición del trabajador las 24 horas, siete días a la semana, sin posibilidad de desactivación fuera del horario, es un tratamiento desproporcionado que vulnera el artículo 5.1.c del RGPD (minimización de datos).
Lo mismo aplica al rastreo mediante el teléfono móvil corporativo. Si la empresa instala una aplicación de localización en el dispositivo, debe garantizar que solo opera durante el horario de trabajo y que el trabajador puede desactivarla fuera de él. Si el móvil es personal del trabajador (BYOD), la exigencia es aún mayor: necesita consentimiento explícito, que en el contexto laboral es difícil de obtener de forma genuinamente libre.
Cómo tiene que ser la información al trabajador
Este es el punto donde más expedientes se originan. La AEPD no acepta que la política de geolocalización esté enterrada en una cláusula genérica del contrato de trabajo o en un manual interno al que el trabajador accede una vez al entrar en la empresa. La información debe ser específica para el sistema de geolocalización, entregada antes de su activación y suficientemente detallada.
El contenido mínimo que debe incluir: identidad del responsable del tratamiento, finalidad concreta del sistema (control de rutas, asignación de tareas, seguridad del vehículo…), tipos de datos que se recogen (posición GPS, velocidad, paradas, tiempo de encendido…), periodicidad de la captación, tiempo de conservación de los registros, quién tiene acceso a esa información dentro de la empresa, y cómo puede el trabajador ejercer sus derechos.
Si la empresa tiene representación sindical, el artículo 90 LOPDGDD exige informar también a los representantes de los trabajadores antes de implantar el sistema.
Plazos de conservación: otro foco de sanciones
Los datos de geolocalización son datos de actividad laboral, no datos contables ni fiscales. No existe una obligación legal que exija conservarlos durante años. La AEPD ha sancionado a empresas que mantenían históricos de posicionamiento de años anteriores sin justificación. El plazo razonable suele situarse entre 30 y 90 días para los registros operativos, ampliable solo si hay un procedimiento disciplinario o litigio en curso que lo justifique.
Sectores con mayor riesgo
Transporte y logística, reparto, construcción, servicios de mantenimiento y cualquier actividad con trabajadores móviles son los sectores donde la geolocalización es más habitual y donde la AEPD concentra sus actuaciones. No porque el tratamiento sea ilegítimo en esos sectores (al contrario, suele tener una justificación operativa clara), sino porque la implementación técnica y la documentación informativa acostumbran a ser deficientes.
Una empresa de logística que instala GPS en su flota, informa correctamente a sus conductores antes de la instalación, desactiva el rastreo fuera del horario y conserva los datos el tiempo necesario no tiene ningún problema de cumplimiento. El mismo sistema implantado sin esa cadena de medidas puede acabar en un expediente sancionador.
Fuentes: Ley Orgánica 3/2018 (LOPDGDD), artículo 90; Reglamento (UE) 2016/679 (RGPD), artículos 5.1.c, 6.1.b, 6.1.f y 13; Estatuto de los Trabajadores, artículo 20.
