Apuntes| Protección de datos y protocolos de acoso: cuando el problema no es el conflicto, sino cómo se gestiona la información.

La Resolución de la Agencia Española de Protección de Datos de 26 de marzo de 2025 (expediente EXP202411409) pone el foco en un riesgo que a menudo pasa desapercibido en las empresas: la gestión de la información en los procedimientos internos, especialmente en aquellos más sensibles como los protocolos de acoso.

El caso parte de una situación relativamente habitual. Se activa un protocolo de acoso laboral, se investiga y se cierra el expediente. Hasta aquí, nada anómalo desde la lógica laboral. Sin embargo, el problema surge en el momento de comunicar el resultado.

La empresa remite la resolución identificando con nombre y apellidos a todas las personas denunciantes y denunciadas, y lo hace de forma que esa información circula entre múltiples destinatarios dentro de la organización. El resultado es inmediato: la identidad de quienes han denunciado deja de ser confidencial y pasa a ser conocida en el centro de trabajo.

A partir de ahí, la situación escala rápidamente. Reacciones en grupos de WhatsApp, exposición pública dentro de la empresa y, en al menos un caso, una baja médica por ansiedad. Es decir, el conflicto inicial no solo no se neutraliza, sino que se amplifica a través de la propia gestión empresarial de la información.

Desde el punto de vista jurídico, la clave es clara. La infracción no se produce por investigar el acoso ni por tramitar el procedimiento, sino por cómo se gestionan y comunican los datos generados en ese proceso. La AEPD considera vulnerado el principio de confidencialidad del RGPD, precisamente porque la empresa no limita el acceso a la información a lo estrictamente necesario.

Este es el punto más relevante del caso. En los protocolos de acoso, la confidencialidad no es una recomendación ni una buena práctica: es una exigencia estructural. No basta con investigar correctamente; es imprescindible diseñar cómo circula la información dentro del procedimiento.

El desenlace también es significativo. La empresa reconoce su responsabilidad y opta por el pago voluntario de la sanción, reduciendo su importe hasta 120.000 euros. Desde la lógica del procedimiento administrativo, la solución es correcta: se cierra el expediente, se asume la infracción y se cumple con la sanción.

Pero el caso deja una reflexión más incómoda. La resolución monetiza el daño desde la perspectiva administrativa, pero no repara necesariamente las consecuencias producidas en el entorno laboral ni la exposición sufrida por las personas afectadas.

En definitiva, el expediente muestra cómo una falta de diligencia —sea por desconocimiento o por una mala comprensión de las obligaciones en materia de datos— puede transformar un procedimiento diseñado para proteger en un factor adicional de riesgo.

En los procedimientos de acoso, el riesgo no está en investigar, sino en cómo se gestiona la información. Si no se limita adecuadamente quién accede a los datos, la propia actuación de la empresa puede agravar el conflicto.

[

Contenido protegido. No autorizado su uso para entrenamiento de sistemas de inteligencia artificial sin autorización expresa.