| Informe | 2016-0273 |
| Enlace | 📋 |
Resumen del informe jurídico de la AEPD (N/REF: 275653/2016)
El informe de la Agencia Española de Protección de Datos (AEPD) analiza la legalidad de que una empresa instruya a sus empleados para que envíen mensajes con datos personales de terceros —sujetos a medidas de seguridad de nivel medio— desde cuentas de correo corporativo a una cuenta de Gmail gratuita creada por la propia empresa.
Marco legal aplicable
La Ley Orgánica 15/1999 (LOPD) y su Reglamento de desarrollo (RD 1720/2007) son aplicables, ya que aunque la creación de una cuenta de correo no es en sí un tratamiento de datos, su uso sí implica el manejo de información personal.
El artículo 6 LOPD establece que el tratamiento de datos requiere consentimiento del afectado, salvo que la ley disponga lo contrario (ej.: relación laboral o contractual).
Tratamiento de datos en el ámbito laboral
El uso de cuentas corporativas para fines laborales no requiere consentimiento explícito de los empleados, ya que se considera necesario para el desarrollo de la relación laboral.
Sin embargo, la empresa asume la responsabilidad del tratamiento y debe garantizar la seguridad de los datos.
Riesgos del uso de Gmail corporativo
Problemas de privacidad: Google (propietario de Gmail) podría analizar el contenido de los correos para enviar publicidad personalizada, lo que no sería compatible con la protección de datos, ya que el usuario no consiente este uso adicional.
Falta de exigencia de «encargado del tratamiento»: Google no actúa como encargado del tratamiento (que debe cumplir estrictas condiciones de contrato y seguridad), sino como responsable directo, lo que exige consentimiento del afectado para cualquier uso de sus datos fuera del ámbito laboral.
Medidas de seguridad obligatorias
Si se usan cuentas externas, deben aplicarse medidas equivalentes a las de nivel medio (art. 97.2 RD 1720/2007), como:
Registro de salidas (fecha, destinatario, tipo de información).
Autorización expresa del responsable del fichero.
Mejora de garantías en el envío (ej.: cifrado, limitación de acceso a usuarios autorizados).
Recomendaciones de la AEPD
Evitar Gmail u otros servicios gratuitos si los datos tienen nivel medio de protección, por los riesgos de uso indebido por parte del proveedor.
Usar cuentas corporativas seguras (con autenticación robusta y cifrado) o servicios de correo con acuerdos de encargado del tratamiento.
En caso de usar Gmail, revisar las políticas de privacidad y evaluar si cumplen con la LOPD.
Impacto del RGPD (Reglamento UE 2016/679)
El nuevo RGPD (vigente desde 2018) refuerza la obligación de evaluar riesgos y aplicar medidas técnicas adecuadas (ej.: cifrado) para proteger los datos durante su transmisión.
La AEPD recuerda que, aunque no evalúa la política de Google, este servicio ha modificado sus condiciones por presión de las autoridades europeas de protección de datos.
Conclusión
La AEPD concluye que es inadecuado enviar datos de nivel medio a cuentas de Gmail con fines laborales, ya que:
Falta consentimiento para el uso adicional de datos por parte de Google.
No se garantiza el cumplimiento de las medidas de seguridad exigibles.
Existen alternativas más seguras (ej.: cuentas corporativas con protocolos adecuados).
La empresa debería revisar su procedimiento o asumir los riesgos legales derivados.