¿Vulnera la normativa de protección de datos (RGPD) la publicación en la intranet empresarial de un escalafón que incluye el nombre y apellidos de la plantilla, tal y como exige el convenio colectivo, o es lícito sustituirlos por un código numérico seudonimizado?
Sentencia de Tribunal Supremo del 12/03/2026 en materia de OTRAS CUESTIONES
Resumen
El Tribunal Supremo estima el recurso de casación interpuesto por la representación sindical y declara el derecho de la plantilla a la publicación del escalafón incluyendo nombres y apellidos, conforme exige el convenio colectivo. La Sala determina que el uso de códigos numéricos seudonimizados incumple el mandato de la norma paccionada. Sin embargo, para armonizar esta obligación con el principio de minimización del RGPD, el Alto Tribunal dictamina que la empresa debe restringir técnicamente el acceso a dicha información en la intranet de forma exclusiva a las personas trabajadoras afectadas, a la representación legal y sindical, y a quienes acrediten un interés legítimo.
Supuesto de hecho
- El convenio colectivo aplicable a la empresa estipula que la dirección debe confeccionar y publicar anualmente en la intranet un escalafón de la plantilla que incluya, entre otros datos, la categoría profesional, la base, y el nombre y los apellidos de cada persona trabajadora.
- El propósito legal de esta lista es servir como instrumento imperativo para regular el acceso y ordenación del personal en los supuestos de promociones, cambios de contrato, destacamentos y cambios de base, utilizándose como criterio de desempate cuando existe total igualdad entre dos personas empleadas.
- En pretendido cumplimiento de esta obligación, la empresa publicó en su intranet el listado, pero ocultó los datos de identidad sustituyéndolos por un código interno de 12 cifras, alegando la obligatoria aplicación de la normativa de protección de datos y el principio de minimización.
- La representación sindical interpuso demanda de conflicto colectivo exigiendo la publicación con los datos completos y nominales.
- La Audiencia Nacional desestimó inicialmente la demanda al apreciar una falta de acción, decisión que fue recurrida en casación para que se entrara a resolver el fondo del asunto.
Consideraciones jurídicas
- El Tribunal Supremo analiza la interacción entre la obligación normativa establecida en el convenio colectivo de publicar el escalafón incluyendo nombres y apellidos y los límites del Reglamento General de Protección de Datos (RGPD).
- En primer lugar, la Sala constata que la sustitución de la identidad de la plantilla por un código numérico (técnica de seudonimización) incumple frontalmente el mandato literal y específico del convenio colectivo, que exige incluir de forma expresa los nombres y apellidos.
- A continuación, el Tribunal examina si esta exigencia convencional pudiera ser contraria a la protección de datos. La Sala aclara que, si bien el convenio colectivo actúa como base legitimadora del tratamiento de la información (artículo 6.1.c RGPD), este debe respetar ineludiblemente las exigencias y límites de la normativa europea.
- Tratándose de datos laborales ordinarios que no pertenecen a categorías especiales de protección, el Alto Tribunal aprecia que existe un indiscutible interés legítimo (artículo 6.1.f RGPD) de la plantilla para conocer la identidad del resto de integrantes del escalafón. Dado que este listado se utiliza operativamente para dirimir procedimientos de concurrencia competitiva (como promociones o cambios de base), las personas trabajadoras precisan esta información para defender sus derechos y anticiparse o comprobar la correcta adjudicación de las plazas. Del mismo modo, la representación sindical ostenta un derecho legítimo y proporcionado a acceder a estos datos para ejercer de forma efectiva sus funciones legales de vigilancia y control del cumplimiento empresarial.
- No obstante, el Tribunal dictamina que la correcta aplicación del principio de minimización de datos no sirve de excusa para vaciar de contenido el convenio colectivo ocultando los nombres, pero sí exige modalizar la forma tecnológica en la que se exponen. Para que el tratamiento de datos sea plenamente lícito, la empresa debe implementar medidas técnicas en su intranet que garanticen que el listado completo no sea de acceso libre o indiscriminado para toda la organización, restringiéndolo estrictamente a la plantilla afectada que pueda concurrir en esos procedimientos, a sus representantes legales y a quienes tengan un interés legítimo, debiendo advertir a todos ellos de su deber de confidencialidad.
Conclusión Lexa
Una empresa no puede sustituir unilateralmente los nombres y apellidos de su plantilla por códigos numéricos (seudonimización) en un escalafón si el convenio colectivo aplicable exige expresamente la publicación de dichos datos identificativos. No obstante, dichas disposiciones del Convenio no eximen del obligado cumplimiento del resto de la normativa europea de protección de datos. En este caso, los tribunales determinan que este tratamiento de datos es plenamente conforme con el RGPD, puesto que las personas trabajadoras y la representación sindical poseen un interés legítimo innegable en conocer la identidad de los integrantes del escalafón para garantizar la transparencia en los procesos internos de promoción o concurrencia competitiva. Ahora bien, para armonizar este derecho de información con el principio de minimización de datos, la empresa está obligada a publicar los nombres, pero limitando técnicamente el acceso a dicho documento en la intranet, restringiéndolo de forma exclusiva a las personas trabajadoras directamente afectadas, a los sindicatos y a quienes acrediten un interés legítimo.
¿Te queda alguna duda? Resuélvela al momento
Enlace
Haga click en el código roj y será copiado a su portapapeles.
Péguelo en el campo Nº ROJ de la página del CENDOJ para realizar la búsqueda.