Para analizar y dar a luz a esta cuestión nos hacemos eco de la Resolución de la Agencia Española de Protección de Datos (AEPD), de 10 de octubre de 2025, con Expediente nº EXP202515647 (SP/DOCT/130329).
En el supuesto, una profesora de Formación Profesional, se plantea tras ser despedida de forma disciplinaria, conocer los datos personales que conserva la empresa sobre ella. De esta forma, solicita el acceso a distintos datos generados en el contexto laboral, incluyendo los registros de herramientas de productividad y control (ActivTrak, NinjaOne, Google Workspace), informes técnicos o periciales utilizados para fundamentar su despido, la trazabilidad de accesos y metadatos, así como contenidos audiovisuales (clases grabadas por Zoom) donde aparecía su imagen y voz. Sin embargo, la empresa reclamada deniega el acceso a la mayor parte de la información argumentando que los datos generados en una relación laboral no están comprendidos en el derecho de acceso, que existía un litigio laboral en curso, que algunos documentos no contenían datos personales relevantes y que los vídeos incluían datos de terceros difíciles de anonimizar siendo de propiedad intelectual de la empresa.
Ante la respuesta del centro educativo, la profesora consideró que se estaba respondiendo parcialmente a su petición de acceder a conocer los datos personales (art. 13 de LO 3/2018, “Derecho de acceso”) que guardaba la empresa sobre ella y acude a la AEPD, quien resuelve a su favor estimando su reclamación al considerar infringido el art. 15 del Reglamento General de Protección de Datos, de forma que se conteste adecuadamente a su derecho, bien facilitando o denegando el acceso a sus datos.
La AEPD sitúa el procedimiento en el marco del Reglamento (UE) 2016/679 (RGPD) -SP/LEG/19835- y de la Ley Orgánica 3/2018, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD) -SP/LEG/25146-. Desde el punto de vista procedimental, se trata de un procedimiento por falta de atención de un derecho del interesado, conforme al art. 64 LOPDGDD y cuyo objeto se limita al análisis de si el responsable ha atendido el derecho correctamente.
Por lo tanto, la extinción de la relación laboral por despido no elimina los derechos como interesado en materia de protección de datos, pudiendo ejercer y conservar frente a la antigua empresa los llamados derechos “ARCO+”:
1.- Derecho de acceso (art. 15 del Reglamento (UE) 2016/679 y art. 13 de la Ley Orgánica 3/2018, de Protección de Datos Personales y garantía de los derechos digitales, “Derecho de acceso”).
El derecho de acceso tras el despido permite saber:
a) Qué datos personales conserva la empresa tras el despido (datos identificativos, de contacto, datos de nóminas, evaluaciones, videovigilancia laboral, etc..).
b) Con qué finalidad los trata o conserva (gestión laboral histórica, defensa frente a reclamaciones, cumplimiento de obligaciones legales, etc..).
c) Durante cuánto tiempo prevé mantenerlos y en qué situación (activos o bloqueados).
d) Si se han comunicado a terceros (mutuas, aseguradoras, gestorías, Administración, etc..) y, en su caso, a quién.
En este sentido, la jurisprudencia reciente refuerza la obligación de atender estas solicitudes:
– Sentencia del Tribunal Supremo, Sala Primera, de lo Civil, de 23-6-2026: Derecho de acceso a datos personales: el responsable del tratamiento deberá atender la solicitud, se haya utilizado o no el canal oficial, siempre que el interesado haya utilizado un medio que permita acreditar el envío y la recepción de la solicitud. Esto refuerza la conveniencia de usar medios fehacientes (burofax, correo certificado, etc.). (SP/SENT/1295419)
– Sentencia de Audiencia Nacional, Sala Contencioso-Administrativo, de 3-09-2025: El derecho de acceso del afectado se debe ejercitar, según la normativa reguladora, dirigiéndose a las direcciones habilitadas por el responsable, sin perjuicio de que, si se atiende de facto por otro canal, también se considere cumplido (SP/SENT/1266234).
2.- Derecho de supresión o “derecho al olvido” tras el despido (art. 17 del Reglamento (UE) 2016/679 y art. 15 de la Ley Orgánica 3/2018, “Derecho de supresión”).
Aplicado al contexto laboral, una vez extinguido el contrato, debe reconocerse el derecho a la supresión en los siguientes supuestos:
a) Cuando los datos ya no sean necesarios para la finalidad con que fueron recogidos, la empresa debe suprimir o bloquear los datos (cuando corresponda) para la gestión laboral ni para el cumplimiento de obligaciones legales.
b) Cuando se retira el consentimiento y no haya otra base jurídica para el tratamiento.
c) Cuando los datos hayan sido tratados ilícitamente.
Sin embargo, este derecho de supresión no es absoluto. La empresa puede negar o limitar la supresión cuando exista una obligación legal de conservación (laboral, fiscal, de Seguridad Social, prevención de riesgos, etc.) o cuando los datos sean necesarios para la defensa de las reclamaciones planteadas. Hay que considerar el bloqueo de datos (art. 32 de la LO 3/2018) en estos supuestos:
a) El responsable está obligado a bloquear los datos cuando proceda a su rectificación o supresión.
b) El bloqueo supone la identificación y reserva de datos, adoptando medidas técnicas y organizativas para impedir su tratamiento, incluida su visualización, salvo si se ponen a disposición de Jueces y Tribunales, Ministerio Fiscal, Administraciones Públicas competentes (autoridades de protección de datos), y solo durante el plazo de prescripción de posibles responsabilidades por el tratamiento.
c) Transcurrido ese plazo, deberá procederse a la destrucción definitiva de los datos.
En este sentido, la Audiencia Nacional precisa el alcance práctico del bloqueo estableciendo que la empresa deberá pasar de un régimen de tratamiento activo a una mera conservación bloqueada, con acceso muy restringido y solo durante los años que marque la normativa, habitualmente 3–4 años en el ámbito laboral y de Seguridad Social, y plazos mayores en materia tributaria, según el tipo de dato (SAN, Sala de lo Contencioso-Administrativo de 6-3-2025 -SP/SENT/1252302- y SAN de 13-2-2025 -SP/SENT/1249992-).
En conclusión, para hacer efectivos estos derechos frente a la empresa, sería aconsejable seguir unas pautas mínimas:
a) Dirigir un escrito al responsable del tratamiento (normalmente, la propia empresa o el grupo, a la atención del departamento de RRHH o del Delegado de Protección de Datos), indicando:
– Identificación (nombre, apellidos, DNI/NIE, antiguo puesto o número de empleado, para facilitar la localización).
– Qué derecho ejercitas (acceso, supresión, o ambos) y el alcance concreto (datos de videovigilancia, historiales disciplinarios, evaluaciones, etc.).
b) Usar un medio fehaciente: aunque la jurisprudencia del Tribunal Supremo ha flexibilizado el “canal oficial”, exigiendo solo que el medio permita acreditar el envío y la recepción (STS, Sala Primera, de lo Civil, Sección Pleno de 23-6-26, -SP/SENT/1295419-), es recomendable usar:
– Burofax con certificación de texto y acuse, carta certificada, o
– Correo electrónico a la dirección específica que la empresa indique en su política de privacidad, guardando justificante de envío y recepción.
c) La empresa dispone de un mes para contestar, con carácter general, aunque puede prorrogar otro mes, pero debe motivarlo. En caso de no contestar, responder insuficientemente (como en el supuesto de nuestro artículo) o denegar los derechos de acceso o supresión, se debe formular previamente una reclamación ante la AEPD o bien acudir a la vía judicial, si bien la doctrina del TS subraya la conveniencia de agotar antes la vía ante la AEPD.
