Política de uso del correo y los dispositivos digitales: qué exige el artículo 87 de la LOPDGDD
Qué debe contener la política que regula el correo y los dispositivos de la empresa, cómo participan los representantes de los trabajadores y cómo se comunica y se actualiza.
Casi toda empresa que pone un correo corporativo, un portátil o un móvil en manos de su plantilla necesita una política de uso. Sin ella, cualquier control posterior se apoya en una expectativa de privacidad que nadie ha delimitado, y el problema aparece justo cuando hay que explicarlo: en un despido, en una inspección de protección de datos o en una investigación interna.
Este artículo se centra en el documento: qué dice la norma, quién debe participar en su elaboración, qué contenido mínimo conviene que tenga, cómo se comunica y cómo se actualiza. No trata si la empresa puede revisar un correo concreto. Esa cuestión tiene su propia guía sobre el control del correo de un empleado, que conviene leer junto a esta. Las normas se citan a fecha de octubre de 2026. El texto es informativo y no sustituye el asesoramiento jurídico: cada política debe revisarla un abogado laboralista o la asesoría laboral de la empresa.
Qué dice la ley
Tres normas forman el marco, y cada una aporta una parte distinta. El artículo 87 de la LOPDGDD reconoce a las personas trabajadoras el derecho a la protección de su intimidad en el uso de los dispositivos digitales que pone a su disposición la empresa. Su apartado 3 es el que obliga a documentar: el empleador debe establecer criterios de utilización de esos dispositivos, y los trabajadores deben ser informados de ellos.
El mismo apartado añade dos condiciones. Los criterios deben respetar los estándares mínimos de protección de la intimidad y elaborarse con la participación de los representantes de los trabajadores. Y si la empresa admite algún uso privado, debe especificar de modo preciso los usos autorizados y establecer garantías, por ejemplo, fijando los periodos en que el dispositivo puede usarse para fines privados.
El artículo 20 bis del Estatuto de los Trabajadores reconoce el derecho a la intimidad en el uso de los dispositivos digitales que el empleador pone a disposición. El artículo 88 de la LOPDGDD regula, además, el derecho a la desconexión digital, que la política también debe abordar. Y el artículo 88 del RGPD permite a los Estados fijar normas más específicas para el ámbito laboral, con medidas que protejan la dignidad y los derechos de las personas y con atención a la transparencia y a los sistemas de supervisión en el lugar de trabajo.
Por eso la política funciona como base de cualquier control posterior. El artículo 5.2 del RGPD exige además que la empresa pueda demostrar que cumple. En la práctica, eso significa conservar el documento, sus versiones, la constancia de la consulta a los representantes y la prueba de que la plantilla lo recibió.
Participación de la representación legal
La participación de los representantes es el punto donde más empresas tropiezan, y el Tribunal Supremo ya se ha pronunciado sobre ello. La sentencia núm. 225/2024, de 6 de febrero, de la Sala de lo Social, confirmó la nulidad de una comunicación de la empresa sobre el uso de equipos informáticos y el acceso a internet. Según los comentarios de los despachos que la han analizado, la empresa la había enviado a la plantilla en enero de 2022 como un simple recordatorio, pero la comunicación aclaraba el alcance de sus facultades de acceso a los equipos.
El tribunal no aceptó la tesis del recordatorio. Consideró que la comunicación modificaba y actualizaba los criterios existentes, y que por eso debía elaborarse con los representantes de los trabajadores, aunque los criterios fueran anteriores a la LOPDGDD. Esta cita procede de comentarios de despachos, no del texto íntegro de la sentencia. Antes de usarla en un procedimiento conviene leerla en el buscador de jurisprudencia del CGPJ (CENDOJ). Un análisis publicado sobre la revisión de los códigos de uso puede leerse en el artículo de Cuatrecasas.
La lección práctica tiene dos partes. La primera: la participación no se agota con la primera versión. Hace falta también cuando se cambian los criterios, se concretan los usos, se aclaran los alcances o se actualiza el texto. La segunda: el nombre que se le da a un cambio no decide su naturaleza. Un cambio que amplía lo que la empresa puede revisar sigue siendo un cambio, aunque se presente como aclaración.
La norma habla de participación, no de aprobación. Aun así, el procedimiento de consulta debe quedar por escrito: convocatoria, texto presentado, observaciones recibidas y respuesta de la empresa. Si en la empresa no hay representantes constituidos, la consulta tiene que organizarse de otro modo. Conviene que la asesoría laboral indique cómo hacerlo y que la plantilla quede informada por escrito.
Contenido mínimo de la política
La LOPDGDD no fija un índice. Lo que exige es que existan criterios, que se especifiquen los usos autorizados y que la plantilla los conozca. Una política que sirva para algo suele responder a las preguntas de la siguiente tabla.
| Apartado | Qué debe responder |
|---|---|
| Ámbito | Qué dispositivos y cuentas cubre (correo, mensajería, portátil, móvil, cuentas en la nube, buzones compartidos) y a quién se aplica: plantilla, personal en prácticas y personal externo con cuenta de la empresa. |
| Uso profesional | Para qué se ponen a disposición los medios y qué usos están prohibidos, con su motivo. Una prohibición sin explicación se entiende peor y se cumple menos. |
| Uso privado | Si se admite, qué usos concretos, en qué periodos, con qué garantías y cómo se separa lo privado de lo profesional. Si no se admite, debe decirse sin ambigüedad. |
| Medidas de control | Qué se registra (metadatos, copias de seguridad, filtros antispam, antivirus), con qué herramienta, con qué frecuencia y en qué casos se accede al contenido. |
| Acceso y responsables | Quién puede consultar cada registro, con qué perfil, quién autoriza el acceso al contenido y cómo queda anotado. |
| Conservación | Plazos por tipo de información (correo, registros de actividad, copias de seguridad), coherentes con la configuración real. Un plazo genérico que no coincide con lo que se conserva de verdad no sirve de nada. |
| Cuentas compartidas y ausencias | Quién responde desde un buzón compartido, qué hace la respuesta automática y qué ocurre con la cuenta cuando alguien se ausenta o deja la empresa. |
| Desconexión digital | Franja de desconexión, cómo se tratan los envíos fuera de horario (por ejemplo, los programados) y qué se espera de quien recibe mensajes en ese tiempo. |
| Inteligencia artificial | Si se usan sistemas de IA sobre el correo o sobre la actividad, qué datos reciben, quién supervisa sus resultados y si existe una evaluación de impacto. |
| Incumplimiento | Qué consecuencias prevé, con remisión al régimen disciplinario del convenio aplicable, sin añadir sanciones que no estén en él. |
Cada apartado tiene que ser concreto. Una frase como «la empresa podrá revisar el correo cuando lo considere oportuno» no permite saber qué control se hace ni con qué finalidad, y una lista de prohibiciones sin ninguna explicación tampoco ayuda a demostrar nada.
La empresa decide si admite el uso privado de sus medios. Si lo admite de hecho sin escribirlo, la norma le exige especificar los usos y las garantías. Tolerarlo sin reflejarlo en el texto deja la política vacía justo en el punto más delicado.
Cómo describir las herramientas de medición
Muchas políticas hablan de «herramientas de seguridad» o de «monitorización» sin decir nada más. Una descripción útil responde a cuatro preguntas: para qué sirve la herramienta, qué datos trata, con qué nivel de detalle y quién ve el resultado.
Un ejemplo. Un sistema que analiza solo metadatos del correo (quién escribe a quién, cuándo y cuánto tarda alguien en responder) y que no lee el cuerpo de los mensajes debe decirlo con esas palabras. Si la empresa además activa la vista previa o el asunto, la política tiene que recogerlo, porque cambia el alcance del tratamiento y, con él, el análisis de proporcionalidad.
Conviene indicar también si la herramienta toma decisiones por sí sola. Si genera alertas o clasificaciones que afectan a una persona, la política debe establecer que alguien revisa el resultado antes de cualquier decisión. El artículo 22 del RGPD reconoce el derecho a no ser objeto de decisiones basadas únicamente en un tratamiento automatizado que produzca efectos jurídicos o le afecte de forma significativa.
En el caso de EmailDelDia, las métricas de correo se calculan con reglas que no usan inteligencia artificial y se pueden reproducir, y el análisis con IA es opcional y funciona con la clave de cada organización. Esa información ayuda a redactar la descripción, pero la política tiene que contar lo que la organización hace con los datos, y no solo lo que ofrece el proveedor.
Comunicarla y poder probarlo
Una política que nadie conoce no protege a la empresa ni a la plantilla. El deber de información de los artículos 13 y 14 del RGPD y el principio de responsabilidad proactiva empujan a poder demostrar qué se comunicó, a quién y cuándo.
En la práctica, la comunicación suele combinar tres pasos: entregar el documento a cada persona con acuse de recibo, publicarlo en un lugar accesible en todo momento, como la intranet o el portal del empleado, y ofrecer un resumen en lenguaje claro para quien no va a leer todas las páginas. El resumen acompaña al texto completo y no lo reemplaza.
Una cláusula en el contrato de trabajo suele quedarse corta. Puede informar de que existen criterios, pero el desarrollo de esos criterios debe estar en el documento completo, con su procedimiento de participación. Si la plantilla recibe la política en un anexo que nadie abre, la prueba de que fue informada se debilita.
Revisar y actualizar
Una política dura lo que dura la práctica que describe. Cuando cambia la herramienta, el alcance del control o los usos permitidos, el texto debe cambiar, y el cambio debe pasar por la participación de los representantes.
La pregunta práctica es cuándo una aclaración es una modificación. Como regla de prudencia, un cambio es una modificación si añade un tipo de dato, una herramienta, una persona con acceso, un plazo de conservación distinto o una posibilidad de acceso que antes no existía. Corregir una errata o mejorar la redacción sin tocar el alcance puede tratarse como mantenimiento, siempre con su registro de cambios.
La sentencia de 2024 va en esa línea: la empresa presentó un cambio como recordatorio y el tribunal lo tomó como actualización de criterios. Por eso conviene decidir la naturaleza del cambio antes de publicarlo, y dejar por escrito el criterio que se aplicó.
Como mínimo, el documento debe llevar fecha, número de versión y un registro de cambios. Hay que revisarlo cuando cambie una herramienta o se incorpore un sistema de inteligencia artificial, y con la periodicidad que fije la empresa.
Errores frecuentes
- Una cláusula genérica en el contrato, sin política separada ni participación de los representantes.
- Un texto copiado de otra empresa, con herramientas que no se usan y controles que no existen.
- Un documento que promete lo que la configuración no hace, por ejemplo, decir que no se accede al contenido cuando la herramienta sí puede hacerlo.
- Un control que la política no menciona. Si la empresa mira algo que el documento no describe, ese control no tiene base documentada.
- Prohibir el uso privado en el papel y tolerarlo en la práctica sin ninguna garantía.
- Una política sin acuse, sin difusión y sin formación, de la que nadie puede demostrar que se leyó.
Si la organización necesita explicar qué se mide en su correo, con qué permisos y con qué registro de accesos, la página de seguridad de EmailDelDia resume esos puntos. El documento que se firma sigue siendo responsabilidad de la empresa, con el asesoramiento de su abogado o de su delegado de protección de datos.
Preguntas frecuentes
¿Hace falta una política si la empresa no permite el uso personal del correo?
Sí. El artículo 87 de la LOPDGDD obliga a establecer criterios de utilización de los dispositivos digitales con independencia de que el uso privado esté permitido o prohibido. Una prohibición sin explicar qué se controla y con qué finalidad deja la política incompleta.
¿Basta con incluir la política en el contrato de trabajo?
No suele bastar. El contrato puede informar de que existen criterios, pero el documento completo debe estar disponible en todo momento, tener constancia de la entrega y poder actualizarse con participación de los representantes.
¿Qué pasa si la empresa no tiene representantes de los trabajadores?
La norma exige la participación de los representantes para elaborar los criterios. Si no hay representación constituida, no hay atajo: la asesoría laboral debe indicar cómo consultar a la plantilla y la empresa debe dejar constancia de lo que hizo.
¿Puede la empresa cambiar la política sin avisar a la plantilla?
No conviene hacerlo. Si el cambio amplía el control o los accesos, puede ser una modificación que requiere participación de los representantes y una nueva comunicación. Un ajuste de redacción que no cambia el alcance puede tratarse como mantenimiento, siempre con registro de cambios.
¿En qué se diferencia la política de uso de la evaluación de impacto?
La política dice a la plantilla qué puede hacer con los medios de la empresa y qué se controla. La evaluación de impacto analiza si el control es necesario y proporcionado y qué riesgos supone para las personas. Pueden hacer falta las dos, y ninguna legitima por sí sola un control desproporcionado.