TL;DR para el DPD
Dos sentencias de la misma sala alemana trazan la línea: la pérdida de control sobre datos comunicados sin base jurídica es un daño indemnizable aunque sea pequeña; el retraso en responder a una solicitud de acceso, no. Quien migra un sistema de gestión de personal tiene una sola cosa que poner por escrito: por qué los datos ficticios no bastaban.
El caso
Un empleador alemán, integrado en un grupo con matriz en Estados Unidos, prepara el paso a un sistema único de gestión de personal en la nube. Entre el 24 de abril y el 18 de mayo de 2017 sube los datos de sus empleados desde su propio sistema a un espacio de la matriz, para alimentar el nuevo sistema en pruebas. El 3 de julio de 2017 firma con el comité de empresa un acuerdo de tolerancia que enumera exactamente los campos transferibles con fines de prueba: número de empleado, apellidos, nombre, fecha de alta, fecha de entrada en el grupo, centro de trabajo, sociedad, teléfono y correo electrónico profesionales. Nueve elementos. En realidad también se transfirieron salario, domicilio particular, fecha de nacimiento, estado civil, número de la seguridad social y número de identificación fiscal.
Probar con datos reales no está prohibido
"El tratamiento de datos personales para probar un nuevo software de gestión de personal puede estar justificado por el interés legítimo del empleador conforme al art. 6, apartado 1, párrafo primero, letra f), siempre que unos datos ficticios despersonalizados no basten para alcanzar la finalidad de la prueba."
Es el punto que casi todas las crónicas se saltaron. El tribunal no dijo que los datos reales en entorno de prueba estén prohibidos: dijo que el exceso no era necesario. Y lo dedujo del propio acuerdo: si las partes fijaron que nueve campos bastaban para probar, dejaron escrito que el décimo no hacía falta. El empleador se había negado a sí mismo el argumento de la necesidad.
Doscientos euros, y cómo se calcularon
El art. 82 exige tres condiciones acumulativas: una infracción, un daño —también inmaterial— y el nexo causal entre ambos. Aquí el daño es la pérdida de control sobre los datos, que cuenta incluso si es breve, siempre que el interesado la acredite. En la cuantía pesaron la sensibilidad de los datos —por debajo del umbral del art. 9—, el círculo de destinatarios, más amplio pero limitado al grupo, y la duración de la pérdida de control. No pesó la gravedad de la culpa: la función del art. 82 es compensatoria, y el tribunal excluyó que el eventual dolo aumente el importe.
El retraso en el acceso, en cambio, no paga
En la sentencia de 20 de febrero de 2025 (8 AZR 61/24) la misma sala rechazó la demanda de quien invocaba una respuesta tardía al art. 15: el retraso no produce por sí solo una pérdida de control, sino solo un aplazamiento de la información. El malestar o el estado de ánimo negativo no bastan; hace falta un temor de uso indebido concreto y revisable por el juez. Es una distinción que conviene explicar a los clientes antes de la primera solicitud: el derecho de acceso sigue siendo plenamente exigible y las autoridades lo sancionan —la decisión noruega de enero lo muestra bien—, pero la indemnización individual sigue una vía distinta y más estrecha.
El acuerdo de empresa no rebaja el nivel del RGPD
Un punto que va mucho más allá de Alemania, allí donde la negociación colectiva entra en el tratamiento de datos de los empleados. El tribunal dejó inaplicado el § 26, apartado 1, de la ley federal alemana de protección de datos porque no cumple el art. 88: una norma laboral nacional vale como disposición más específica solo si añade medidas adecuadas y específicas para salvaguardar la dignidad humana y los derechos fundamentales, no si repite el reglamento. A falta de ello, el tratamiento en el ámbito laboral se rige directamente por el RGPD.
Qué hacer ahora, en la práctica
1) En cada migración de sistema de personal, redacta una nota que diga si los datos ficticios bastan y, si no, por qué: esa nota es la defensa, no el acuerdo; 2) trata la transferencia a la matriz como una comunicación a un tercero, no como un movimiento interno; 3) la lista de campos acordada se convierte en el techo: superarla excluye la necesidad antes incluso de discutir la ponderación; 4) comprueba que los procedimientos de respuesta al art. 15 cumplen el mes al margen de la indemnización: la sanción de la autoridad y la reclamación individual son dos riesgos distintos.
¿Buscas una herramienta para tu trabajo de DPD?
DPO Workspace está creado por un DPD certificado. 30 días de prueba gratuita.
Empieza gratis
