I. Introducción
Las cuentas de correo corporativo y los dispositivos asignados a los trabajadores se utilizan para desarrollar la actividad de la empresa. También contienen información a la que el empleador puede recurrir en investigaciones internas, controles de seguridad y procesos de salida de personal. Como estas herramientas pertenecen al empleador, las empresas suelen asumir que tienen facultades ilimitadas para supervisarlas. Sin embargo, esas mismas herramientas reflejan la correspondencia de los trabajadores y, en ocasiones, sus contactos personales. Al realizar un control, el empleador debe por tanto equilibrar su poder de dirección con los derechos del trabajador a la protección de sus datos personales y a la libertad de comunicación.
El Consejo de Protección de Datos Personales de Turquía, en adelante el «Consejo», ha establecido los procedimientos y principios para lograr ese equilibrio mediante la Decisión de principio n.º 2026/2035, de 16 de septiembre de 2026, en adelante la «Decisión», publicada en el Boletín Oficial el 8 de octubre de 2026. Según la Decisión, ser propietario de las herramientas de comunicación o poder acceder a ellas técnicamente no autoriza al empleador a revisar la correspondencia de los trabajadores a su discreción. La Decisión también establece expresamente que el incumplimiento dará lugar a actuaciones administrativas contra los responsables del tratamiento. Por ello, los empleadores deben revisar sin demora sus políticas de uso, avisos de privacidad, métodos de investigación interna y prácticas relativas a las cuentas de trabajadores que han dejado la empresa.
II. Acceso técnico y facultad de control
Según el criterio del Consejo, la facultad de control del empleador deriva de las condiciones previstas en la Ley n.º 6698 de Protección de Datos Personales, en adelante la «Ley». Esas condiciones se aplican incluso cuando solo se examinan registros que muestran quién envió un correo a quién y cuándo, sin acceder al contenido de los mensajes. El Consejo considera que el tratamiento de datos de tráfico y registros constituye por sí mismo un tratamiento de datos personales, sujeto a los principios generales, las condiciones de tratamiento y las obligaciones de información y seguridad de los datos de la Ley. En función de las circunstancias del caso, los criterios de la Decisión también se aplicarán a otros canales utilizados para trabajar, como las aplicaciones de mensajería interna, los sistemas de gestión de relaciones con clientes y de solicitudes, y los espacios de chat y grabación de las plataformas de reuniones.
La distinción entre acceso técnico y facultad de control resulta aún más clara en las cuentas personales accesibles desde dispositivos de la empresa. El Consejo señala expresamente que tener permisos técnicos sobre un dispositivo, una sesión, una red o un sistema corporativo no permite al empleador acceder libremente a la correspondencia de la cuenta de correo personal, la aplicación de mensajería personal o la bandeja de mensajes de redes sociales de un trabajador.
III. Prohibición de uso privado y proporcionalidad
La Decisión admite que el empleador pueda establecer reglas sobre el uso privado de las herramientas de comunicación en ejercicio de su poder de dirección. Exige, no obstante, que las reglas sean claras, comprensibles y susceptibles de ser conocidas por los trabajadores, y que cualquier prohibición o limitación se les comunique expresamente. Prohibir el uso privado no basta por sí solo para conferir un derecho de control ilimitado.
El Consejo afirma que, incluso cuando el uso privado se haya prohibido de manera clara y con la debida información, la facultad de control sigue sujeta al principio de proporcionalidad. El empleador no puede realizar una vigilancia continua e ininterrumpida. Si el incumplimiento de la prohibición puede acreditarse sin acceder al contenido, la revisión adicional de los mensajes no se considera necesaria ni proporcionada. El margen del empleador que permite el uso privado es aún menor. Según la Decisión, cuando sea posible separar las comunicaciones profesionales de las privadas, el control debe limitarse a las profesionales. Si no pueden separarse, la facultad de control debe interpretarse de forma más restrictiva.
IV. Políticas de uso, avisos de privacidad y consentimiento explícito
Un empleador cuya política de uso o aviso de privacidad se limite a indicar que el correo corporativo puede ser supervisado no habrá informado adecuadamente al trabajador conforme a la Decisión. El Consejo considera insuficientes esas comunicaciones generales tanto como información previa como para cumplir la obligación de información sobre protección de datos. Exige que el aviso concrete la base jurídica, la finalidad y el alcance del control, si se examinan datos de tráfico o el contenido, en qué circunstancias puede accederse al contenido, el plazo de conservación y los derechos del trabajador. El Consejo exige además tener en cuenta la expectativa razonable del trabajador que no haya recibido esa información de que no se intervendrá en sus datos personales ni en su libertad de comunicación. A nuestro juicio, un aviso insuficiente hará cuestionable la licitud de los controles posteriores. El Consejo considera directamente ilícitos la vigilancia oculta sin conocimiento del trabajador y los instrumentos que registran indiscriminadamente toda su actividad.
Solicitar a los trabajadores su consentimiento explícito tampoco es, por regla general, una solución. Debido a la dependencia propia de la relación laboral y al desequilibrio de poder entre las partes, el Consejo señala que el consentimiento explícito no debe utilizarse, como regla general, como base jurídica prioritaria para controlar el correo. Admite que, según las circunstancias, el control pueda basarse en una obligación legal, la constitución, el ejercicio o la protección de un derecho, o un interés legítimo. Apoyarse en una de estas condiciones no elimina, sin embargo, los límites relativos al método de control.
V. Revisión del contenido e investigaciones internas
La limitación más concreta que la Decisión impone al empleador es la exigencia de un control gradual. El Consejo afirma que no puede emplearse un método más intrusivo si la finalidad legítima puede alcanzarse por una vía menos invasiva. Cuando el uso indebido de las herramientas de comunicación pueda prevenirse mediante medidas técnicas como el filtrado o el bloqueo, tampoco nace un derecho general de control.
Ante una sospecha, el empleador debe por ello examinar primero los datos de tráfico, en lugar de revisar todo el buzón del trabajador. Si es necesario acceder al contenido, la revisión debe limitarse a la correspondencia relacionada con la sospecha. El Consejo califica el control del contenido como la intervención más intensa en la vida privada y la libertad de comunicación del trabajador. Solo permite acceder al contenido en casos excepcionales en que los datos de tráfico sean insuficientes y el acceso resulte indispensable, exista una sospecha concreta y la revisión se limite a ella. También exige tener en cuenta las categorías especiales de datos personales y los datos de los interlocutores, limitar el acceso a los datos obtenidos a un número reducido de personas autorizadas, registrar cada acceso y sujetar a esas personas a una obligación de confidencialidad.
VI. Buzones de trabajadores que dejan la empresa
Contrariamente a lo que puede esperar un empleador que quiera mantener abierto el buzón para seguir los correos entrantes, la Decisión considera el cierre de la cuenta como regla y su mantenimiento como excepción. Al terminar la relación laboral, la cuenta debe, por regla general, cerrarse al uso del antiguo trabajador y a nuevos accesos. Los mensajes entrantes no deben ser visibles para personas ajenas, y los datos que hayan perdido su base jurídica deben destruirse. El Consejo señala que el reenvío, las respuestas automáticas, el archivo o la conservación pueden valorarse según las circunstancias del caso cuando persigan la continuidad del negocio, evitar interrupciones de la comunicación corporativa, el derecho de defensa o el cumplimiento de obligaciones legales, y sean limitados, temporales, documentados y sujetos a permisos de acceso definidos. Estas prácticas son, por tanto, una excepción que debe justificarse en cada caso, no una posibilidad general a disposición del empleador.
VII. Valoración general
Los empleadores deben tratar el control de las comunicaciones como una vía excepcional cuyas condiciones estén definidas de antemano. Las políticas de uso deben indicar expresamente si se permite el uso privado y con qué límites. Los avisos de privacidad deben actualizarse para incluir los elementos enumerados por el Consejo. Los procedimientos de investigación interna deben determinar previamente qué sospecha justifica revisar el contenido, quién lo autoriza y cuál puede ser su alcance. En los procesos de salida también deben fijarse de antemano el momento del cierre de la cuenta y la fecha de destrucción de la correspondencia que se conserve. A nuestro juicio, mantener indefinidamente abierta la cuenta de un antiguo trabajador es incompatible con la Decisión, dado que el Consejo exige una conservación limitada y temporal.
El Consejo afirma que, cuando se constate un incumplimiento de la Decisión, se adoptarán actuaciones administrativas conforme al artículo 18 de la Ley. Este artículo prevé multas administrativas separadas por incumplir la obligación de información, las obligaciones de seguridad de los datos y las decisiones del Consejo. La Decisión no regula si la correspondencia obtenida mediante el control puede utilizarse como prueba en un litigio laboral ni la validez de un despido basado en ella. Sin embargo, el empleador que se apoye en mensajes obtenidos mediante un control contrario a los criterios del Consejo puede enfrentarse a objeciones sobre ambos aspectos. Por ello, estas cuestiones deben examinarse por separado conforme al derecho laboral turco en cada expediente.
Esta traducción se ofrece únicamente con fines informativos y puede presentar diferencias respecto del texto original.
