Un despido procedente por protección de datos ya no es una hipótesis de manual. El Tribunal Superior de Justicia de Andalucía ha confirmado el despido disciplinario del responsable de informática y seguridad de un hospital que envió por correo, sin cifrar, un PDF con datos de pacientes de reproducción asistida. Hubo envíos cruzados y algunas personas vieron la información de salud de otras. La sentencia dice algo que afecta a cualquier empresa de Girona que maneje datos de clientes: el empleado que trata datos tiene deberes propios, y seguir instrucciones no basta.
Qué ha pasado: un envío masivo, una hoja de cálculo y ningún cifrado
El caso lo analiza el despacho Prodat y nos llegó a través del boletín de Derecho Digital de Uneon. La sentencia es la STSJ AND 18059/2025, de 20 de noviembre de 2025, de la Sala de lo Social. El trabajador era el responsable del área de informática y seguridad de la información de un hospital. Le encargaron enviar comunicaciones personalizadas a las personas que tenían ovocitos, embriones o esperma depositados en un banco vinculado a la unidad de reproducción. Generó los documentos a partir de una hoja de cálculo, los convirtió en PDF y los mandó por correo electrónico. Los PDF no iban cifrados. Durante el envío se cruzaron destinatarios, y varios pacientes recibieron el documento de otra persona con sus datos de salud reproductiva a la vista. La empresa lo despidió por abuso de confianza, violación de secretos de obligada reserva y ejecución deficiente del trabajo encomendado. El Juzgado de lo Social declaró el despido procedente y el TSJ lo ha confirmado.
No es la primera vez que la Sala andaluza resuelve así. En 2020, la sede de Málaga confirmó el despido de una responsable de finanzas que envió fuera de la empresa un listado con los salarios y los nombres de cuatro compañeros, aunque lo hiciera para reclamar una discriminación salarial. El criterio se repite y consolida el despido procedente por protección de datos: quien accede a datos personales por su puesto responde de lo que hace con ellos.
Por qué importa: el artículo 32.4 del RGPD, leído en las dos direcciones
El artículo 32.4 del RGPD obliga al responsable y al encargado a garantizar que cualquier persona que actúe bajo su autoridad solo trate datos siguiendo instrucciones. Hasta ahora se leía como una obligación de la empresa: formar, dar instrucciones, controlar. El tribunal lo lee también en la otra dirección. Quien participa en el tratamiento, dice la sentencia, no es una figura neutra: tiene deberes propios de diligencia y confidencialidad, debe velar por la seguridad de los datos a los que accede por su contrato de trabajo y adoptar las medidas básicas y evidentes, como el cifrado cuando resulte necesario. Lo apoya en el artículo 70.1 de la LOPDGDD, que reconoce la responsabilidad de quienes intervienen en el tratamiento, y en el deber de diligencia del artículo 5 del Estatuto de los Trabajadores. El resultado es una transgresión de la buena fe contractual del artículo 54.2.d) del Estatuto, y con ella un despido procedente por protección de datos.
Dos factores pesaron de forma decisiva. El primero, la naturaleza de los datos: información de salud reproductiva, categoría especial del artículo 9 del RGPD. El segundo, el puesto: no era un administrativo cualquiera, sino el responsable de seguridad de la información, la persona que mejor sabía que un PDF con datos de pacientes no viaja sin cifrar. Prodat subraya un matiz que conviene no perder: la responsabilidad principal sigue en la organización. La sentencia no convierte al empleado en responsable del tratamiento ante la AEPD; lo que hace es permitir que una negligencia grave e individual tenga consecuencias disciplinarias, hasta el despido procedente por protección de datos.
Qué puede hacer tu empresa hoy
Pocas pymes de Girona tienen un banco de embriones, pero casi todas tienen una hoja de cálculo con datos de clientes, pacientes, alumnos o empleados que alguien exporta y envía por correo. El riesgo es el mismo. Tres medidas concretas salen de este caso. Primera: instrucciones por escrito. Si la empresa documenta cómo se envían datos sensibles y qué se cifra, protege al negocio y también al trabajador, que sabe exactamente qué se espera de él. Segunda: cifrado por defecto en los adjuntos con datos personales, con la contraseña por otro canal. No cuesta nada y evita la mayoría de los sustos. Tercera: quitar al humano de los envíos masivos personalizados. Un flujo automatizado que genera cada documento, lo cifra, lo manda al destinatario correcto y deja registro no se equivoca de adjunto a las siete de la tarde. Y una cuarta que empieza a verse en los despachos: la misma lógica de diligencia individual se aplica cuando un empleado pega datos de clientes en una herramienta de IA que la empresa no ha autorizado.
Fuente: Prodat
Análisis Blixel
Ganar un juicio no cierra una brecha. El hospital tiene una sentencia a su favor y, al mismo tiempo, tiene pacientes que vieron los datos reproductivos de otros pacientes, una brecha de datos de salud de las que hay que notificar a la AEPD y un proceso que dependía de que una persona hiciera bien, a mano, un envío masivo desde una hoja de cálculo. Despedir al responsable corrige la conducta, no el procedimiento. Lo que nos preocupa de esta doctrina es que una empresa pequeña la lea como una vía de escape: si algo pasa, la culpa es del empleado. No funciona así. El artículo 32.4 sigue obligando a la organización a dar instrucciones y a comprobar que se cumplen; si no existen, el despido procedente por protección de datos es mucho más difícil de defender y la sanción administrativa llega igual. La lectura útil es otra. La diligencia se ha convertido en una obligación de las dos partes, y eso favorece a quien tiene los procesos claros. Para una pyme catalana el camino es corto: inventariar qué datos salen por correo, cifrar lo que sea sensible, escribir el protocolo en una página y automatizar los envíos repetitivos para que el error humano deje de ser una opción. En Blixel lo hacemos a menudo con n8n y plantillas que generan y envían documentos uno a uno, con registro de cada envío. Cuesta menos que una sola reclamación y bastante menos que un despido con juicio.
¿Quieres aplicar esto en tu empresa? En Blixel.ai te ayudamos a integrar IA con sentido común. Hablemos.
Deja una respuesta