Cuando la contraseña deja de ser un detalle técnico: intimidad digital, dignidad laboral y gobernanza de los dispositivos de trabajo

Una sentencia recuerda que la contraseña no es solo una medida técnica: también puede ser una frontera de intimidad, seguridad y responsabilidad en el entorno laboral.

La sentencia del Tribunal Superior de Justicia de Madrid de 30 de marzo de 2026, identificada en fuentes abiertas como STSJ Madrid 4282/2026, ECLI:ES:TSJM:2026:4282, ofrece una lectura especialmente valiosa sobre el derecho a la intimidad en el entorno digital laboral. El caso parte de una situación aparentemente sencilla: una trabajadora recibe un ordenador corporativo, se le atribuye su guarda y custodia, pero la empresa le impide cambiar la contraseña porque el equipo debía ser utilizado también por otras personas. Además, según la información pública disponible, la trabajadora solicitó el protocolo de uso de dispositivos digitales y la empresa no se lo facilitó.

La relevancia de la sentencia no está solo en el conflicto concreto. Está en la idea que permite extraer: la intimidad digital no se vulnera únicamente cuando alguien accede a un archivo, lee un correo o revisa una carpeta. También puede verse afectada cuando la empresa diseña el entorno digital de trabajo de una forma que deja a la persona expuesta, sin control real sobre el dispositivo que se le ha asignado y sin reglas claras sobre quién puede acceder a él.

Esa es la cuestión de fondo. No estamos ante una simple discusión informática sobre si una contraseña puede o no modificarse. Estamos ante una pregunta mucho más profunda: qué significa respetar a una persona trabajadora en un entorno laboral digitalizado.

1. La intimidad digital no empieza cuando alguien abre un archivo

En muchos conflictos sobre dispositivos digitales, la conversación suele empezar demasiado tarde. Se pregunta si la empresa accedió efectivamente al contenido del ordenador, si leyó mensajes, si inspeccionó documentos o si revisó historiales.

Pero esta sentencia permite mirar antes.

El problema no está únicamente en el acceso consumado. Está también en la exposición creada por la propia organización. Cuando un ordenador se entrega a una persona bajo su guarda y custodia, pero al mismo tiempo se le impide cambiar la contraseña porque otras personas deben usarlo, la empresa crea una situación ambigua: el equipo parece individual, pero funciona como compartido; la responsabilidad parece personal, pero el control real ya no lo es; la trabajadora debe custodiar algo que, en la práctica, no puede proteger.

Ese es el matiz más interesante. La lesión de la intimidad no tiene que esperar necesariamente a que alguien lea algo. Puede empezar cuando la persona pierde el control mínimo sobre el espacio digital que la empresa le ha asignado.

En términos humanos, esto importa mucho. Porque la intimidad no es solo secreto. También es control, tranquilidad, previsibilidad y confianza. Una persona que sabe que otras pueden entrar en el ordenador asociado a su puesto, con una contraseña que no puede modificar, queda situada en un estado de exposición permanente. Aunque nadie acceda finalmente, la organización ya ha roto una frontera básica.

2. El ordenador es de la empresa, pero el entorno digital no es jurídicamente neutro

Es evidente que el ordenador corporativo pertenece a la empresa. Pero esa afirmación no resuelve el problema. Que el dispositivo sea propiedad empresarial no significa que pueda configurarse de cualquier manera.

El artículo 20 bis del Estatuto de los Trabajadores reconoce expresamente el derecho de las personas trabajadoras a la intimidad en el uso de los dispositivos digitales puestos a su disposición por el empleador. (BOE) La LOPDGDD desarrolla este derecho en su artículo 87, que reconoce la protección de la intimidad en el uso de dispositivos digitales, permite el acceso empresarial solo para finalidades concretas —control del cumplimiento laboral o garantía de integridad del dispositivo— y exige criterios de utilización, garantías e información a las personas trabajadoras. (BOE)

Por tanto, el ordenador de trabajo tiene una doble dimensión. Es una herramienta empresarial, pero también es un entorno digital de actividad personal-profesional. En él pueden existir archivos de trabajo, credenciales, trazas, sesiones abiertas, historiales, documentos temporales, comunicaciones, accesos a aplicaciones internas y, en muchos casos, zonas de uso personal tolerado o socialmente inevitable.

La empresa puede organizar sus medios. Puede establecer reglas. Puede limitar usos. Puede controlar el cumplimiento laboral dentro de los límites legales. Pero no puede ignorar que ese entorno digital está conectado con la dignidad, la privacidad y la posición jurídica de la persona trabajadora.

3. La contradicción: custodia individual sin control individual

El caso muestra una contradicción organizativa especialmente grave.

Por un lado, la empresa atribuye a la trabajadora la guarda y custodia del ordenador. Esa expresión no es neutra. Implica responsabilidad, cuidado, diligencia y cierta capacidad de control.

Por otro lado, la empresa le indica que no puede cambiar la contraseña porque el ordenador debe ser usado también por otras personas. Esa segunda instrucción destruye la lógica de la primera.

La situación puede resumirse así:

La empresa coloca así a la trabajadora en una posición difícilmente defendible: debe responder por un equipo que no controla plenamente. Y esa situación no es solo insegura; también es injusta.

Desde una perspectiva humana, esta contradicción genera una forma silenciosa de desprotección. La persona trabajadora puede preguntarse: si alguien entra, modifica, borra, consulta, descarga o utiliza algo desde ese ordenador, ¿quién responde? ¿Cómo se prueba quién hizo qué? ¿Qué ocurre si aparecen documentos, accesos o trazas que no proceden de ella? ¿Qué expectativa real de privacidad conserva?

La intimidad digital no se reduce a ocultar información. También consiste en no ser obligado a vivir profesionalmente dentro de una zona gris.

4. La contraseña como frontera jurídica, no solo como clave informática

Uno de los grandes aprendizajes de este caso es que la contraseña no debe entenderse solo como una medida técnica.

En determinados contextos, la contraseña es una frontera jurídica de intimidad, seguridad y responsabilidad. Permite separar usuarios, proteger espacios, controlar accesos, atribuir actuaciones y preservar una expectativa mínima de privacidad.

Cuando la contraseña no puede modificarse y el equipo se comparte, esa frontera se debilita. Si además no existen perfiles diferenciados, reglas de uso, registros claros o protocolo conocido, el riesgo ya no es meramente hipotético. La organización ha creado una estructura que facilita el acceso indistinto y dificulta la responsabilidad individual.

Esto conecta con una idea más amplia: en el entorno digital, muchas garantías jurídicas se materializan a través de decisiones técnicas. Un perfil de usuario, una contraseña, una política de bloqueo automático, una regla de permisos o una trazabilidad de accesos pueden parecer detalles de sistemas. Pero, en realidad, son parte de la arquitectura práctica de los derechos.

La buena gobernanza digital empieza precisamente ahí: entendiendo que las configuraciones técnicas no son neutrales. Pueden proteger a las personas o dejarlas expuestas.

5. El problema no es compartir un ordenador, sino compartirlo mal

La sentencia no debería interpretarse como una prohibición general de los ordenadores compartidos. Existen entornos donde los equipos comunes pueden ser necesarios: recepción, turnos, aulas, talleres, puestos rotatorios, dispositivos de emergencia, terminales de consulta o equipos de uso colectivo.

El problema no es compartir. El problema es compartir sin diseño.

Un equipo compartido debe nacer como equipo compartido. Debe estar configurado con perfiles diferenciados, credenciales individuales, permisos adecuados, cierre de sesión, reglas de almacenamiento, trazabilidad, instrucciones claras y medidas para evitar que una persona acceda al espacio de otra.

Lo que no resulta aceptable es entregar un ordenador bajo apariencia de uso individual, atribuir custodia a una persona concreta, impedirle modificar la contraseña y permitir simultáneamente que terceras personas lo utilicen.

La diferencia es esencial:

Por eso la cuestión no es tecnológica. Es organizativa. Y, en última instancia, es cultural.

6. Lo que debería haber hecho la empresa desde una visión GRC

Desde una visión de Gobierno, Riesgo y Cumplimiento, la empresa no debía resolver el problema con una instrucción improvisada. Debía haberlo tratado como una decisión de diseño organizativo con impacto en derechos fundamentales, seguridad de la información, protección de datos y relaciones laborales.

La respuesta adecuada habría exigido, al menos, siete actuaciones.

6.1. Gobierno: definir previamente el modelo de uso del dispositivo

La primera pregunta debía ser sencilla: ¿el ordenador es individual o compartido?

Si era individual, la trabajadora debía poder disponer de credenciales propias, contraseña modificable y control ordinario sobre su entorno.

Si era compartido, no debía atribuirse a una sola persona una custodia exclusiva incompatible con el acceso de terceros. La empresa debía documentar el modelo, explicar la necesidad del uso compartido y diseñar garantías.

La gobernanza empieza por evitar contradicciones básicas.

6.2. Riesgo: analizar el impacto sobre intimidad, trazabilidad y responsabilidad

Antes de imponer el uso compartido, la empresa debió valorar riesgos concretos:

Este análisis no tenía por qué ser complejo. Pero debía existir. Muchas vulneraciones no nacen de grandes decisiones estratégicas, sino de pequeñas instrucciones no evaluadas.

6.3. Cumplimiento: aplicar el artículo 87 LOPDGDD con seriedad

El artículo 87 LOPDGDD exige criterios de utilización, información a las personas trabajadoras y garantías de intimidad en el uso de dispositivos digitales. No basta con tener una política genérica guardada en algún repositorio. La política debe ser comprensible, aplicable y coherente con la práctica real. (BOE)

En este caso, si existía una política, debía haberse entregado. Si no existía, la empresa debía haberla elaborado antes de imponer una medida con impacto sobre el derecho a la intimidad.

El protocolo no es un documento decorativo. Es una pieza mínima de previsibilidad. Permite que la persona sepa qué puede esperar, qué puede hacer, qué límites tiene la empresa y qué garantías protegen su posición.

6.4. Seguridad: evitar contraseñas compartidas y crear usuarios diferenciados

Desde seguridad de la información, la solución razonable era evidente: usuarios individuales, contraseñas personales, permisos diferenciados, bloqueo de sesión y trazabilidad.

La contraseña común o no individualizada es una mala práctica porque debilita tres dimensiones esenciales: confidencialidad, trazabilidad y atribución de acciones.

Una empresa madura no debería resolver necesidades operativas compartiendo claves, sino diseñando accesos proporcionales a la función de cada persona.

6.5. Protección de datos: aplicar minimización, confidencialidad y privacidad desde el diseño

El caso también puede leerse desde la protección de datos. Un ordenador compartido de forma informal puede exponer datos personales de la trabajadora, de otras personas empleadas, de clientes, alumnado, proveedores u otros terceros.

La AEPD recuerda en su guía sobre protección de datos en las relaciones laborales que el contrato de trabajo no permite al empleador conocer cualquier dato personal de las personas trabajadoras y destaca la importancia de principios como minimización, proporcionalidad y confidencialidad en el entorno laboral. (Agencia Española de Protección de Datos)

La empresa debía preguntarse qué datos podían quedar accesibles en ese equipo, qué sesiones podían permanecer abiertas, qué aplicaciones estaban vinculadas al perfil de la trabajadora, qué documentos temporales podían conservarse y qué medidas impedían accesos cruzados.

6.6. Personas: escuchar la preocupación y no convertirla en conflicto

Hay un elemento humano que no debería pasar desapercibido. La trabajadora pidió el protocolo de uso de dispositivos digitales. Esa solicitud era una oportunidad para reconducir la situación.

Una organización madura no debería interpretar esa petición como una resistencia, sino como una alerta temprana. La persona estaba señalando una incertidumbre razonable: “¿cuáles son las reglas?, ¿qué puedo proteger?, ¿quién puede acceder?, ¿qué responsabilidad tengo?”.

Desde una cultura GRC sana, esas preguntas no son un problema. Son información valiosa para mejorar el sistema.

6.7. Evidencia: documentar la decisión y sus garantías

Por último, la empresa debía dejar evidencia de la decisión: necesidad del uso compartido, alternativas evaluadas, reglas de acceso, información facilitada, medidas técnicas implantadas y validación por las áreas correspondientes.

La evidencia no sirve solo para defenderse en juicio. Sirve para pensar mejor antes de actuar.

7. Una matriz sencilla de actuación correcta

La empresa podía haber evitado el conflicto con una respuesta ordenada:

Nada de esto exige una gran inversión. Exige algo más difícil: una organización que entienda que la tecnología laboral afecta a personas.

8. Las grandes lecciones de la sentencia

La sentencia deja varias lecciones que trascienden el caso concreto.

8.1. La intimidad también se vulnera por exposición

No siempre hace falta una lectura efectiva de documentos o comunicaciones. La exposición injustificada ya puede afectar a la intimidad, especialmente cuando la persona pierde el control sobre un entorno que razonablemente podía considerar asignado a ella.

Esta idea conecta con otras resoluciones recientes. Por ejemplo, el Tribunal Supremo condenó en 2025 a un despacho de abogados por vulnerar la intimidad de una empleada cuyos datos privados quedaron accesibles en una carpeta digital compartida; la nota oficial del Poder Judicial destacó que la intromisión ilegítima puede consumarse cuando datos privados quedan expuestos a terceros sin causa justificada, sin necesidad de una divulgación masiva o prolongada. (Poder Judicial)

La idea es poderosa: en el entorno digital, exponer ya puede ser lesionar.

8.2. La seguridad informática puede ser garantía de derechos fundamentales

Durante años se ha tratado la seguridad como una cuestión técnica. Pero casos como este muestran que la seguridad también protege dignidad, intimidad, confianza y responsabilidad.

Una contraseña, un perfil de usuario o un registro de acceso no son solo controles técnicos. Son mecanismos que permiten que las personas no queden expuestas, confundidas o injustamente responsabilizadas.

8.3. La gobernanza evita que las decisiones pequeñas produzcan daños grandes

Muchas organizaciones tienen políticas de privacidad, códigos éticos y modelos de cumplimiento. Pero los derechos se juegan a menudo en decisiones pequeñas: quién puede acceder a un ordenador, qué contraseña se usa, si una sesión queda abierta, quién administra permisos, si se informa o no de una regla, si una herramienta compartida está bien configurada.

El GRC no puede quedarse en el documento de alto nivel. Debe bajar al puesto de trabajo.

8.4. La responsabilidad sin control es una forma de vulnerabilidad

Una de las lecciones humanas más importantes es esta: no se debería responsabilizar a una persona de aquello que no puede controlar.

Si la trabajadora tiene la custodia formal del ordenador, debe tener medios reales para protegerlo. Si otras personas pueden acceder, la responsabilidad debe redistribuirse, documentarse y trazarse. Lo contrario genera indefensión.

Esta idea es extrapolable mucho más allá del ordenador compartido.

8.5. La confianza laboral también depende del diseño tecnológico

La tecnología puede ordenar el trabajo, pero también puede deteriorar la confianza si se impone de manera opaca. Un dispositivo mal configurado transmite un mensaje: “la organización puede entrar, otros pueden entrar, usted responde, pero no controla”.

Ese mensaje erosiona la relación laboral. Y cuando la relación ya viene marcada por un conflicto previo, como una readmisión tras despido nulo, la exigencia de cuidado institucional debería ser aún mayor.

9. Hacia dónde pueden extrapolarse estas lecciones

El caso no se agota en los ordenadores compartidos. Sus lecciones pueden proyectarse sobre muchas situaciones actuales.

9.1. Cuentas compartidas en aplicaciones corporativas

Cuando varias personas usan una misma cuenta en un CRM, ERP, LMS, plataforma de atención al cliente o sistema de gestión documental, se reproduce el mismo problema: falta de trazabilidad, acceso indistinto y atribución débil de responsabilidades.

9.2. Correos genéricos sin reglas claras

Las cuentas tipo administración@, info@, rrhh@ o soporte@ pueden ser necesarias. Pero deben gestionarse con accesos individualizados, registros y reglas claras. Una cuenta compartida no debería equivaler a una contraseña compartida.

9.3. Plataformas educativas y entornos con alumnado

En centros educativos, universidades, academias y plataformas de formación, el uso compartido de dispositivos o cuentas puede exponer datos de estudiantes, evaluaciones, comunicaciones, expedientes, grabaciones o información sensible. La lección es especialmente relevante para entornos LMS, aulas híbridas y equipos usados por varios docentes.

9.4. Teletrabajo y dispositivos híbridos

En el teletrabajo, el ordenador corporativo se convierte muchas veces en el punto de unión entre la vida laboral y el hogar. La AEPD ha advertido que los accesos remotos y la configuración de dispositivos en movilidad deben respetar los derechos digitales, incluida la intimidad en el uso de dispositivos digitales. (Agencia Española de Protección de Datos)

La necesidad de perfiles claros, seguridad, información y proporcionalidad se intensifica cuando el dispositivo sale del espacio físico de la empresa.

9.5. Inteligencia artificial y sistemas de control laboral

La misma lógica puede trasladarse a sistemas de monitorización, productividad, evaluación algorítmica o gestión automatizada del trabajo. La pregunta no debe ser solo si el sistema funciona, sino cómo afecta a la posición de la persona trabajadora: qué controla, qué sabe, qué puede impugnar, qué queda registrado y qué consecuencias se derivan.

9.6. Investigación interna y respuesta a incidentes

Cuando una empresa investiga incidentes, accesos indebidos o usos anómalos, necesita trazabilidad fiable. Si previamente ha permitido cuentas compartidas, contraseñas comunes o dispositivos mal configurados, su capacidad de investigar se debilita. La mala gobernanza previa puede destruir la evidencia posterior.

10. Una conclusión más humana

Esta sentencia nos recuerda algo sencillo: detrás de cada dispositivo hay una persona.

Una persona que trabaja, que responde, que cumple instrucciones, que puede ser evaluada, sancionada o cuestionada por lo que ocurre en su entorno digital. Por eso, cuando una empresa decide cómo se usa un ordenador, cómo se gestiona una contraseña o quién puede acceder a una herramienta, no está tomando una decisión meramente técnica. Está definiendo condiciones de confianza, responsabilidad e intimidad.

La contraseña, en este caso, deja de ser un detalle informático. Se convierte en el símbolo de una frontera mínima: la que separa un entorno asignado a una persona de un espacio abierto al uso indiferenciado de terceros.

La empresa puede organizar sus medios digitales. Puede establecer controles. Puede proteger sus sistemas. Pero debe hacerlo con reglas claras, medidas proporcionadas, diseño seguro y respeto a la dignidad de las personas trabajadoras.

La gran lección es que la intimidad digital laboral no empieza cuando alguien abre un archivo. Empieza antes, en la forma en que la organización diseña el trabajo.

Y ahí el GRC tiene una función esencial: evitar que una mala decisión tecnológica se convierta en una vulneración de derechos fundamentales.

Bibliografía y fuentes consultadas

Tribunal Superior de Justicia de Madrid. Sentencia de 30 de marzo de 2026, STSJ Madrid 4282/2026, ECLI:ES:TSJM:2026:4282. Referencia localizada a través de fuentes abiertas y enlace oficial del CENDOJ facilitado para consulta.

Boletín Oficial del Estado. Real Decreto Legislativo 2/2015, de 23 de octubre, por el que se aprueba el texto refundido de la Ley del Estatuto de los Trabajadores. Artículo 20 bis: derechos de los trabajadores a la intimidad en relación con el entorno digital y a la desconexión. (BOE)

Boletín Oficial del Estado. Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales. Artículo 87: derecho a la intimidad y uso de dispositivos digitales en el ámbito laboral. (BOE)

Agencia Española de Protección de Datos. La protección de datos en las relaciones laborales. Guía oficial sobre aplicación de la normativa de protección de datos en el entorno laboral. (Agencia Española de Protección de Datos)

Agencia Española de Protección de Datos. Recomendaciones para proteger los datos personales en situaciones de movilidad y teletrabajo. Nota técnica sobre accesos remotos, dispositivos y garantías en entornos de trabajo no presenciales. (Agencia Española de Protección de Datos)

Consejo General del Poder Judicial. Nota de prensa: “El Tribunal Supremo condena a un despacho de abogados por vulnerar la intimidad de una empleada cuyos datos estuvieron accesibles en una carpeta compartida”, 25 de marzo de 2025. (Poder Judicial)

Tribunal Supremo, Sala Segunda. Sentencia 849/2025, de 16 de octubre de 2025, sobre acceso no autorizado a contraseña de ordenador personal y delito de revelación de secretos. Referencia secundaria consultada en Tirant Prime. (prime.tirant.com)