¿Puede la empresa revisar el correo corporativo de un empleado?

La empresa puede vigilar las herramientas de trabajo que pone a disposición de su plantilla, pero no puede abrir y leer sin más el correo de una persona. Entre esas dos frases hay reglas concretas, casi todas recogidas en normas y resoluciones que se pueden consultar en el BOE, en el buscador del CGPJ (CENDOJ) o en HUDOC, la base de datos del Tribunal Europeo de Derechos Humanos.

Este artículo repasa qué permite la ley, por qué mirar metadatos y leer contenidos son cosas distintas, qué debe existir antes de cualquier control y qué no se puede hacer aunque el servidor sea de la empresa. Las normas se citan a fecha de octubre de 2026. El texto es informativo y no sustituye el asesoramiento jurídico: cada caso lo debe valorar un abogado o la asesoría laboral de la empresa.

Punto de partida: dos derechos y un poder de control

En juego hay dos derechos. El primero es el secreto de las comunicaciones, que la Constitución garantiza en su artículo 18.3 y que solo levanta una resolución judicial. El segundo es el derecho a la intimidad del artículo 18.1. El tercero es el poder de dirección de la empresa, que le permite controlar el trabajo.

Ese poder está reconocido en el Estatuto de los Trabajadores. Su artículo 20.3 permite al empresario adoptar «las medidas que estime más oportunas de vigilancia y control» para verificar el cumplimiento de las obligaciones laborales, con la consideración debida a la dignidad del trabajador. El artículo 20 bis reconoce que los trabajadores tienen derecho a la intimidad en el uso de los dispositivos digitales que la empresa les pone a disposición.

Los dos mensajes conviven, pero con condiciones. El artículo 87 de la LOPDGDD concreta esa convivencia: el empleador puede acceder a los contenidos derivados del uso de medios digitales facilitados a los trabajadores solo para comprobar el cumplimiento de sus obligaciones laborales o estatutarias y para proteger la integridad de esos dispositivos.

Metadatos y contenido: dos niveles distintos

Los metadatos describen el correo: quién lo envía, a quién, cuándo, con qué tamaño y cuánto tarda alguien en responder. El contenido es lo que se dice en el cuerpo del mensaje y en los adjuntos, y, cuando la organización lo conserva, también el asunto y la vista previa.

El Tribunal Europeo de Derechos Humanos distingue en la misma línea: importa saber si se vigiló el contenido o solo el flujo de comunicaciones, y cuántas personas accedieron a los resultados.

EmailDelDia trabaja con metadatos por defecto. El asunto y la vista previa solo se conservan si la organización cliente lo habilita, y esa decisión debe quedar documentada.

Antes del control: política de uso e información previa

Nada de esto funciona sin reglas previas. El artículo 87.3 de la LOPDGDD obliga a los empleadores a establecer criterios de utilización de los dispositivos digitales, respetando los estándares mínimos de protección de la intimidad. Los representantes de los trabajadores deben participar en su elaboración, y los trabajadores deben ser informados de esos criterios.

Si la empresa admite algún uso privado, la misma norma exige más: usos permitidos especificados de forma precisa y garantías, por ejemplo, fijando los periodos en que el dispositivo puede usarse para fines privados.

La jurisprudencia constitucional ha dado peso a las reglas expresas. En la STC 170/2013, de 7 de octubre (recurso de amparo 2907-2011), el convenio colectivo prohibía el uso extralaboral del correo electrónico, y el Tribunal concluyó que no podía existir una expectativa razonable de confidencialidad. Ese argumento tiene límites, como se verá.

El Supremo penal es más estricto con las cuentas personales. En la sentencia de la Sala Segunda con ECLI ES:TS:2021:1486, confirmó la pena de un año de prisión a un empresario que accedió reiteradamente al correo particular de un trabajador para buscar pruebas de un despido. Rechazó que lo justificara el uso compartido de contraseñas corporativas, y afirmó que la exclusión de la expectativa de privacidad «ha de ser expresa y consciente». La nota del CGPJ sobre la resolución la recoge.

Lo que exige el RGPD

Revisar el correo supone tratar datos personales, y el Reglamento (UE) 2016/679 se aplica en todo caso. Estos son los puntos que más se revisan:

• Licitud, lealtad y transparencia (artículo 5.1.a): la persona trabajadora debe saber qué se controla y para qué.
• Finalidad (artículo 5.1.b) y minimización (artículo 5.1.c): solo se trata lo necesario para el fin declarado, y no más tiempo del preciso (artículo 5.1.e).
• Base jurídica (artículo 6): según el caso, la ejecución del contrato (6.1.b), una obligación legal (6.1.c) o el interés legítimo (6.1.f). El consentimiento, en general, no sirve en el trabajo por el desequilibrio entre empresa y trabajador, como recuerda el Dictamen 2/2017 del Grupo de Trabajo del Artículo 29 (WP249), de 23 de junio de 2017.
• Información (artículos 13 y 14): hay que informar del tratamiento, su finalidad, su base y sus plazos.

El artículo 88 del RGPD permite normas más específicas para el ámbito laboral, con medidas que preserven la dignidad y los derechos de las personas y con atención a la transparencia y a los sistemas de supervisión en el lugar de trabajo. España lo desarrolla en los artículos 87 a 91 de la LOPDGDD.

Jurisprudencia que conviene conocer

TEDH, Gran Sala, Bărbulescu contra Rumanía, de 5 de septiembre de 2017 (demanda 61496/08). Es el caso de referencia. Un trabajador fue despedido tras un control de su cuenta de mensajería de la empresa, en la que encontraron conversaciones personales. La Gran Sala apreció vulneración del artículo 8 del Convenio porque los tribunales no comprobaron si el trabajador había sido avisado del control, cuáles eran sus motivos ni si existían medios menos intrusivos. La sentencia se aprobó por 11 votos contra 6, y puede consultarse en HUDOC. Sus criterios, que los tribunales nacionales deben examinar, son:

• Si el trabajador fue informado de la posibilidad del control, y de cómo.
• El alcance y el grado de intromisión: si se vigiló el contenido o solo el flujo, si alcanzó a todas las comunicaciones o a una parte, y cuántas personas accedieron a los resultados.
• Los motivos legítimos, con más peso cuando se accede al contenido.
• Si era posible alcanzar el mismo fin con medios menos intrusivos.
• Las consecuencias para el trabajador y el uso que se dio a los resultados.
• Las garantías, en particular que la empresa no llegue al contenido sin aviso previo.

STS de 8 de febrero de 2018 (recurso de casación para la unificación de doctrina 1121/2015, sentencia 119/2018). La Sala de lo Social aplicó la doctrina de Bărbulescu y la consideró, en lo sustancial, coincidente con la del Constitucional y con la del propio Supremo. Enumeró cinco cuestiones que el tribunal debe examinar: el grado de intromisión, las razones legítimas, la existencia de medios menos intrusivos, el destino dado al resultado y las garantías. En el caso concreto validó los correos (ROJ STS 594/2018, en Iberley). Los pasajes citados se recogen en un comentario de Osborne Clarke.

STC 61/2021, de 15 de marzo (recurso de amparo 6838-2019). Una trabajadora fue despedida tras la monitorización de su ordenador, que registró también mensajes de su correo personal. El Tribunal reconoció la lesión de la intimidad y del secreto de las comunicaciones (artículo 18.1 y 3 CE) y anuló la sentencia en lo relativo a la indemnización para que se dictara otra. Aceptó, además, que la nulidad de la prueba no arrastra automáticamente la calificación del despido. Hubo un voto particular discrepante. La resolución está publicada en el BOE.

Proporcionalidad: idoneidad, necesidad y proporcionalidad

La jurisprudencia laboral aplica un examen en tres pasos:

1. Idoneidad: la medida sirve para el fin concreto, por ejemplo, comprobar si salieron documentos confidenciales a un tercero.
2. Necesidad: no existe otra medida menos intrusiva que alcance el mismo fin. Antes de leer contenidos, la empresa debe preguntarse si le basta con metadatos o con la información que ya tiene.
3. Proporcionalidad en sentido estricto: el beneficio para el interés empresarial compensa la intromisión, algo que se mide con el alcance, el periodo y el número de personas con acceso.

Un ejemplo hipotético: la empresa sospecha que alguien filtra presupuestos desde un buzón compartido. Un control proporcionado empieza por los metadatos (qué mensajes salen, a qué destinatarios externos y en qué horario), limita el periodo a las fechas que encajan con la sospecha, restringe el acceso a dos o tres personas con competencia y deja por escrito por qué no bastaba con lo anterior. Un control desproporcionado revisaría todo el correo de una persona «por si acaso», durante meses y sin sospecha concreta.

Evaluación de impacto, delegado de protección de datos y representantes

El artículo 35 del RGPD exige una evaluación de impacto cuando el tratamiento puede suponer un alto riesgo. La AEPD publica una lista orientativa de tratamientos que requieren evaluación de impacto conforme al artículo 35.4, que conviene consultar en cada caso. El artículo 35.2 prevé el asesoramiento del delegado de protección de datos, si lo hay, y el 35.9 la opinión de los representantes de los trabajadores, cuando proceda.

Si el control incorpora sistemas de inteligencia artificial que afecten a las condiciones de trabajo, el artículo 64.4.d del Estatuto de los Trabajadores reconoce a los representantes el derecho a ser informados de los parámetros, reglas e instrucciones de esos algoritmos. La AEPD ha publicado, además, la guía La protección de datos en las relaciones laborales, de carácter práctico y no vinculante.

Lo que no se puede hacer

Estos son los límites que se desprenden de las normas y resoluciones citadas:

• Leer el contenido de la cuenta personal del trabajador, aunque se abra desde un equipo de la empresa. La sentencia penal de 2021 lo castiga como descubrimiento y revelación de secretos.
• Vigilar sin reglas previas. Sin política de uso y sin información a la plantilla, la expectativa de intimidad se mantiene.
• Revisar todas las comunicaciones sin sospecha concreta, porque no supera el juicio de proporcionalidad ni el principio de minimización del artículo 5.1.c del RGPD.
• Usar los datos para fines distintos de los declarados (artículo 5.1.b del RGPD).
• Tomar un dato de actividad como prueba de una falta. Que alguien tarde dos días en responder es un indicio que hay que contrastar con el contenido y con el contexto del trabajo.
• Decidir sobre una persona solo a partir de un resultado automatizado. El artículo 22 del RGPD reconoce el derecho a no ser objeto de decisiones basadas únicamente en el tratamiento automatizado con efectos jurídicos o que le afecten de forma significativa.
• Utilizar como prueba lo obtenido vulnerando derechos fundamentales. El artículo 11.1 de la Ley Orgánica del Poder Judicial establece que no surten efecto esas pruebas.

Checklist antes de revisar un correo

1. Definir por escrito el fin del control y, si la hay, la sospecha que lo motiva.
2. Comprobar que existe una política de uso aprobada, con participación de los representantes, y que la plantilla la conoce.
3. Empezar por metadatos y pasar al contenido solo si no bastan.
4. Acotar el alcance (periodo, cuentas, personas y criterios de búsqueda) y justificarlo.
5. Limitar el acceso a las personas estrictamente necesarias y documentar cada consulta.
6. Hacer la evaluación de impacto cuando proceda y consultar al delegado de protección de datos.
7. Informar a la plantilla de la existencia del control, de su finalidad y de sus plazos.
8. Revisar el resultado con un abogado antes de tomar cualquier decisión sobre la persona.

Si la organización quiere ver la actividad de su correo sin entrar en contenidos, la página de seguridad de EmailDelDia explica qué permisos se piden, cómo se separan las organizaciones y qué queda registrado en cada acceso.

Preguntas frecuentes

¿Puede la empresa leer los correos de un trabajador en su cuenta corporativa?

Puede hacerlo con una finalidad legítima, una política de uso previa, una medida proporcionada y garantías. Acceder al contenido exige más justificación que revisar metadatos. Ninguna norma permite leer de forma general el buzón de una persona.

¿Basta con que el convenio colectivo prohíba el uso personal del correo?

La prohibición expresa tiene peso, como valoró el Constitucional en la STC 170/2013, pero no convierte cualquier control en legítimo. Hay que cumplir también el deber de informar, el test de proporcionalidad y las garantías del RGPD.

¿Hace falta una evaluación de impacto para revisar el correo?

Depende del riesgo del tratamiento y del diseño del control. Si puede suponer un alto riesgo, el artículo 35 del RGPD la exige, y el delegado de protección de datos, si existe, debe asesorar sobre ella.

¿Qué ocurre si la empresa accede al correo sin cumplir estas reglas?

La prueba obtenida con vulneración de derechos fundamentales no sirve para acreditar los hechos. El despido puede seguir siendo improcedente y el trabajador puede reclamar una indemnización por la lesión, como muestra la STC 61/2021. Si el acceso fue a una cuenta personal, existe además la vía penal, como indica la sentencia del Supremo de 2021.