Decisión KVKK sobre el correo corporativo: qué hacer

Según el comunicado de la autoridad, las quejas y denuncias mostraron que el control del correo corporativo y de los canales de comunicación por parte de los empleadores se topaba con alegaciones de ilegalidad. La revisión del consejo constató que se vigilaban cuentas, se accedía al contenido de los mensajes, se examinaban registros de tráfico y de actividad, se aplicaban filtros y controles rutinarios, y que los datos se usaban en procesos disciplinarios y para poner fin a contratos de trabajo.

La misma constatación añade que los empleados no fueron informados de forma suficiente, clara y concreta. Nuestra lectura: la decisión mira una práctica extendida y no un caso aislado. El problema es menos el control en sí que el hecho de que el empleado no sepa lo que ocurre.

La decisión no ve en una cuenta de correo corporativa solo un medio de comunicación. La trata como una fuente de datos que contiene la red de contactos del empleado, su ritmo de trabajo y el contenido de sus mensajes. Describe el control como un tratamiento de datos personales que exige un equilibrio justo entre el poder de dirección del empleador y la intimidad, la protección de datos y la libertad de comunicación del empleado.

Hay además una diferencia entre acceso técnico y acceso jurídico. Tener acceso técnico a un dispositivo o a una red no da derecho a entrar libremente en el correo personal, la mensajería instantánea y las cuentas de redes sociales del empleado. Nuestra lectura: lo que le permite el panel de administración no es lo mismo que lo que le permite la ley.

El consejo exige la información previa y recuerda que la noción de información en la jurisprudencia del Tribunal Constitucional no es lo mismo que el deber de información (aydınlatma) de la ley KVKK. Un aviso bien hecho, que exponga con claridad y concreción la finalidad, el alcance y el método, puede cumplir esta exigencia. Una declaración general del tipo «el correo corporativo puede ser controlado» no se considera suficiente.

Según el comunicado, el aviso debe indicar con claridad y concreción los siguientes puntos. También se señala que, por la dependencia propia de la relación laboral, el consentimiento explícito no puede tratarse como base prioritaria en todos los casos; aun cuando exista consentimiento u otra condición de tratamiento, no hay control ilimitado.

• La base jurídica
• La finalidad y el alcance del control
• El método del control
• En qué casos se puede acceder al contenido
• El plazo de conservación y los derechos de la persona afectada

Según la decisión, debe distinguirse entre el uso profesional y el uso privado, y las normas del uso privado deben ser claras, comprensibles y conocidas. Incluso cuando se prohíbe el uso privado, el control sigue limitado por la proporcionalidad; cuando no se pueden separar, la facultad de control es más estrecha. La lectura del contenido debe vincularse, en principio, a una sospecha concreta o a un incidente determinado, perseguir un fin legítimo y limitarse a él; hay que evitar una revisión del contenido general, continua y sin límite.

También se espera un control gradual: si es posible un método menos intrusivo, no debe recurrirse al más pesado. Debe tenerse presente que los mensajes pueden contener datos especialmente protegidos y datos de terceros al otro lado de la correspondencia. Nuestra lectura: si se deja por escrito un orden como primero los registros y después, si hace falta, el contenido, tanto el empleado como el responsable saben qué esperar.

• Vincule el control a un incidente o a una sospecha concreta
• Pruebe primero el método menos intrusivo
• No conserve los datos más tiempo del necesario
• Limite el acceso a pocas personas con funciones asignadas y lleve un registro de accesos

El consejo pide que, al terminar la relación laboral, se vuelva a evaluar la base jurídica del tratamiento de la cuenta y de sus datos, y dice que el fin de la relación no significa que los datos queden accesibles indefinidamente. Nuestra lectura: el hábito de pensar que la persona se fue, así que el buzón se queda con nosotros es hoy una suposición difícil de defender.

En la práctica, para una pequeña empresa con Google Workspace, Microsoft 365 o correo de cPanel, esto significa un flujo escrito de salida. Vincule a ese flujo los registros de auditoría del panel de administración, el acceso basado en roles y las reglas de conservación. Cuando revise su infraestructura de correo, nuestra herramienta de comprobación DNS del correo también puede examinar los registros de correo de su dominio, y nuestro artículo del blog sobre cómo elegir un servicio de correo corporativo ayuda a elegir proveedor.

• Fije por escrito qué pasa con la cuenta de quien se va
• Mantenga la respuesta automática y el reenvío limitados a su finalidad
• Determine de antemano el plazo de conservación y elimine al vencer
• Siga las acciones de los administradores en el registro de auditoría

El error más frecuente es poner en el contrato una cláusula de una línea que dice que el correo puede ser controlado y dar el asunto por cerrado; la decisión no admite un aviso general de ese tipo. El segundo es tomar una firma de consentimiento por una base que lo cubre todo. El tercero es activar un registro amplio y permanente y no mirarlo nunca; los datos almacenados también pueden convertirse en una carga.

En un negocio llevado solo por su dueño, sin empleados, esta decisión no cambia su trabajo diario. Pero si emplea aunque sea a una persona, este marco puede aplicarse a usted; su alcance lo determina su abogado.

• Conformarse con una cláusula general de control de una línea
• Tratar el consentimiento como base de un control ilimitado
• Montar una revisión de contenido general y continua
• Dejar abierto indefinidamente el buzón de quien se fue