Es legal poner un localizador en un coche de empresa

Si gestionas una flota o tienes personal que conduce vehículos de empresa, quizá te hayas preguntado si es legal instalar un localizador GPS. ¿Necesitas el consentimiento de los trabajadores? ¿Puedes monitorizar rutas fuera del horario laboral? ¿Durante cuánto tiempo puedes conservar los datos? En este artículo encontrarás una guía práctica y actualizada para cumplir con la normativa española y europea cuando decides incorporar dispositivos de geolocalización en coches de empresa.

Adelante: te explico el marco legal aplicable, en qué casos la instalación es lícita, qué debes comunicar al personal, cómo configurar la herramienta para minimizar riesgos y qué políticas internas necesitas para utilizar la geolocalización con garantías.

Marco legal en España y la UE

Normativa aplicable

La instalación y uso de localizadores en vehículos de empresa se rige por:

Reglamento (UE) 2016/679 (RGPD): fija principios y obligaciones en materia de protección de datos personales (licitud, transparencia, minimización, limitación del plazo de conservación, seguridad, etc.).
Ley Orgánica 3/2018 (LOPDGDD): su artículo 90 regula específicamente los dispositivos de geolocalización en el ámbito laboral, obligando a informar previamente sobre su existencia, finalidad y el ejercicio de derechos.
Estatuto de los Trabajadores (art. 20.3): reconoce la facultad empresarial de control para verificar el cumplimiento de obligaciones laborales, con respeto a la dignidad del trabajador.
Criterios y resoluciones de la AEPD: orientan sobre proporcionalidad, información, conservación de datos y medidas de seguridad.

Además, pueden aplicarse convenios colectivos y políticas internas que concreten usos, horarios y medidas de desconexión. En sectores regulados (transporte, seguridad, logística) puede coexistir normativa sectorial (por ejemplo, tacógrafo, tiempos de conducción y descanso) con reglas de protección de datos.

Base jurídica: interés legítimo frente a consentimiento

La base jurídica más adecuada para geolocalizar vehículos de empresa suele ser el interés legítimo del empleador (art. 6.1.f RGPD), en finalidades como la gestión de flotas, optimización de rutas, seguridad del activo, prevención del uso indebido del vehículo o acreditar el cumplimiento de encargos. No es recomendable fundamentar el tratamiento en el consentimiento del trabajador, ya que en la relación laboral no siempre se considera libre por el desequilibrio de poder.

Para invocar el interés legítimo debes realizar el test de ponderación: necesidad del tratamiento, expectativa razonable del trabajador y prevalencia del interés empresarial sobre los derechos del empleado, aplicando medidas de minimización y garantías adicionales.

Principios clave: proporcionalidad y minimización

Aunque el tratamiento sea lícito, debe respetar los principios del RGPD:

Finalidad determinada. Usa la geolocalización solo para fines definidos y legítimos (gestión de flota, seguridad, control laboral).
Minimización. Recoge solo los datos necesarios: frecuencia de muestreo adecuada, sin datos excesivos (por ejemplo, evita registrar ubicación por segundo si basta con cada 2-5 minutos).
Limitación temporal. Conserva los datos el tiempo imprescindible y luego suprime o anonimiza.
Transparencia. Informa previamente, de forma clara y accesible, a trabajadores y, cuando proceda, a sus representantes.
Seguridad. Implanta medidas técnicas y organizativas (cifrado, control de acceso, registros de actividad).

¿Cuándo es legal instalar un localizador en un coche de empresa?

Finalidades legítimas y explícitas

La instalación es, en general, lícita cuando la empresa define y comunica finalidades legítimas como:

Gestión operativa: seguimiento de rutas, estimaciones de llegada, asignación eficiente de servicios o entregas.
Seguridad: localización ante robo, asistencia en carretera, respuesta ante emergencias.
Control laboral: verificación de prestación de servicios en horario y zonas asignadas, conforme al art. 20.3 del Estatuto de los Trabajadores.
Calidad y cumplimiento: trazabilidad de servicios, auditoría de incidencias y atención al cliente.

Estas finalidades deben figurar en la política interna y en la cláusula informativa que se entrega a la plantilla.

Requisitos indispensables

Información previa y por escrito. Antes de activar los localizadores, entrega una comunicación clara sobre su uso, finalidad, base jurídica, plazos de conservación, quién accede a los datos y cómo ejercer derechos. El art. 90 LOPDGDD lo exige expresamente.
Política de flota y geolocalización. Establece reglas sobre uso del vehículo, horarios controlados, supuestos permitidos y prohibidos, acceso a datos, y protocolo disciplinario. Incluye anexos de aceptación y recepción de la información.
Limitación a la jornada. Configura el sistema para no rastrear fuera del horario laboral. Si el vehículo es de uso mixto (también personal), habilita un modo “privado” o de desconexión fuera de jornada.
Evaluación de impacto (EIPD/DPIA) cuando proceda. Es recomendable y, en muchos supuestos, necesaria si hay monitorización sistemática de personas trabajadoras o tratamiento a gran escala. Documenta riesgos y medidas.
Contrato con el proveedor. Si un tercero presta el servicio, firma contrato de encargo (art. 28 RGPD), verifica subencargados, ubicación de datos y transferencias internacionales.
Medidas de seguridad. Cifrado en tránsito y reposo, autenticación robusta, perfiles de acceso, registros de consulta y descarga, y políticas de contraseñas.

Plazos de conservación razonables

La ley no fija un plazo único para geolocalización, pero la AEPD y la práctica recomiendan tiempos reducidos, acordes con la finalidad:

Operativa diaria: entre 1 y 3 meses suele ser suficiente.
Gestión de incidencias y reclamaciones: conserva el dato vinculado a la incidencia hasta su cierre y prescripción de posibles acciones.
Investigación de irregularidades: conserva solo lo necesario y bloquea el resto. Evita retener históricos extensos sin justificación.

Define en tu política un cuadro de conservación y aplica borrado automático.

¿Cuándo no es legal o hay alto riesgo?

Seguimiento oculto sin informar. Instalar un GPS y usarlo sin información previa vulnera transparencia y el art. 90 LOPDGDD. Además, en ámbitos extraprofesionales podría incidir en el derecho a la intimidad e incluso en el art. 197 del Código Penal si afecta a la vida privada.
Monitorización fuera de la jornada. Registrar la ubicación en descansos, vacaciones o tiempos de uso personal no es proporcional. Desactiva o anonimiza fuera del horario.
Vehículo propiedad del trabajador. Instalar dispositivos en bienes del empleado es muy problemático. Si el trabajador pone su vehículo, limita el control al tiempo de trabajo, busca alternativas menos intrusivas (apps con pausa/privacidad) y valora el consentimiento realmente libre, preferiblemente evitando el tratamiento si no puedes garantizarlo.
Granularidad excesiva. Recoger datos hiperdetallados (por ejemplo, ubicación por segundo) sin necesidad operativa vulnera minimización.
Usos distintos a los informados. No reutilices datos para fines nuevos (por ejemplo, analizar hábitos personales) sin base jurídica y nueva información.
Transferencias internacionales sin garantías. Evita alojar datos fuera del EEE sin mecanismos adecuados (cláusulas tipo, evaluaciones de impacto de transferencias, etc.).

Información que debes facilitar al trabajador

La información debe ser clara, accesible y previa a la activación del sistema. Incluye, como mínimo:

Identidad del responsable y de contacto del DPO (si aplica).
Finalidades del tratamiento (gestión de flota, seguridad, control laboral, etc.).
Base jurídica (interés legítimo y, en su caso, ejecución de contrato).
Colectivos afectados y categorías de datos (posición, trayectos, hora, velocidad si procede).
Plazos de conservación definidos.
Destinatarios o categorías (por ejemplo, proveedor de plataforma, aseguradoras en siniestros, autoridades ante requerimiento).
Transferencias internacionales y garantías, si las hay.
Derechos de acceso, rectificación, supresión, oposición, limitación y canal para ejercerlos.
Posibilidad de reclamar ante la AEPD.
Funcionamiento práctico: franjas de registro, modo privado, medidas de seguridad y quién puede acceder.

Ejemplo breve de cláusula informativa

“La empresa utilizará dispositivos de geolocalización instalados en los vehículos corporativos para la gestión de la flota, seguridad del activo y verificación del cumplimiento de las obligaciones laborales, con base en el interés legítimo (art. 6.1.f RGPD) y el art. 90 LOPDGDD. Los datos (posición, trayectos y hora) se registran exclusivamente en horario laboral y se conservarán por un máximo de 90 días, salvo incidencias justificadas. El acceso está restringido al personal autorizado. Puede ejercer sus derechos en [correo/DPO]. Más información en la Política de Geolocalización.”

Buenas prácticas técnicas y organizativas

Configuración del sistema

Frecuencia de muestreo adecuada. Ajusta el ping de GPS a la necesidad real (por ejemplo, cada 2-5 minutos en reparto urbano; cada 10-15 en rutas interurbanas).
Geocercas con criterio. Úsalas para eventos relevantes (entrada/salida de almacén) en lugar de tracking continuo de alta resolución.
Modo privado. Actívalo automáticamente al finalizar la jornada o permite al conductor conmutarlo, dejando constancia de la hora.
Pseudonimización. En informes generales, usa identificadores de vehículo en lugar de nombres de personas; vincula identidades solo cuando sea necesario.

Seguridad y control de acceso

Cifrado. TLS en tránsito y cifrado en reposo en servidores.
Autenticación y roles. MFA para usuarios internos, roles con mínimo privilegio y caducidad de sesiones.
Registro de auditoría. Log de accesos, descargas y exportaciones, con revisiones periódicas.
Política de retención. Borrado automático y verificado; bloqueo de datos en caso de investigación.

Gestión de proveedores

Contrato de encargo. Instrucciones documentadas, confidencialidad, subencargados, medidas de seguridad, asistencia en derechos y brechas.
Localización de datos. Preferencia por EEE/UE o países con decisión de adecuación; si no, cláusulas contractuales tipo y garantías adicionales.
Evaluación previa. Revisa la solvencia, certificaciones (ISO 27001) y políticas de seguridad del proveedor.

Uso de los datos de geolocalización en RR. HH. y disciplina

Los datos de geolocalización pueden emplearse como soporte en la gestión de recursos humanos y, llegado el caso, en medidas disciplinarias, siempre que se cumplan las garantías:

Información previa. Si no se informó, el uso para sancionar puede ser desproporcionado y tumbarse.
Proporcionalidad. Adecua la medida a la gravedad de los hechos; valora alternativas menos intrusivas.
Cadena de custodia. Documenta exportaciones de datos, fechas, responsables y criterios de extracción para asegurar integridad.
Derecho de audiencia. Traslada al trabajador la información recabada y permite alegaciones.
Coordinación con prevención de riesgos. En incidentes de seguridad vial, combina geolocalización con otros registros (tacógrafo, mantenimiento) de forma responsable.

Vehículos de uso mixto, teletrabajo y movilidad flexible

En escenarios donde el coche se usa fuera del horario laboral (guardias localizadas, uso personal autorizado, teletrabajo con desplazamientos esporádicos), la clave es respetar la intimidad y el derecho a la desconexión digital (art. 88 LOPDGDD):

Horario parametrizado. Define franjas activas y desactiva el rastreo fuera de ellas.
Botón/función de privacidad. Permite detener el registro fuera de uso laboral, con indicaciones operativas claras para su activación.
Política clara. Establece qué desplazamientos se consideran laborales, cómo se justifican y cómo se gestionan los usos personales permitidos.

GPS instalado, app móvil u OBD: ¿qué opción elegir?

No todas las tecnologías implican el mismo impacto en privacidad ni las mismas prestaciones. Tres escenarios habituales:

Dispositivo GPS fijo

Ventajas: robustez, precisión, independencia del móvil del conductor, útiles para robo o emergencias.
Inconvenientes: puede registrar fuera de horario si no se configura; instalación y coste inicial.

Aplicación móvil corporativa

Ventajas: activación por jornada, menor coste, actualizaciones sencillas.
Inconvenientes: depende de la batería y permisos del teléfono, mayor exposición a datos personales del móvil si no se segmenta bien. Recomendable usar MDM o contenedores corporativos.

Dispositivo OBD/can-bus

Ventajas: captura datos extra (diagnóstico, hábitos de conducción, consumo).
Inconvenientes: mayor sensibilidad de la información (p. ej., velocidad, aceleraciones), lo que exige justificación reforzada y mayor minimización.

Elige la opción que mejor cumpla el principio de minimización para tus fines reales, no la que recoja más datos “por si acaso”.

Preguntas frecuentes

¿Necesito el consentimiento del trabajador?

No, por lo general no es necesario ni recomendable basarse en el consentimiento. El interés legítimo del empleador suele ser suficiente si se informa previamente, se limita el tratamiento a la jornada y se aplican medidas de proporcionalidad.

¿Puedo instalar y usar el GPS sin informar en caso de sospecha de fraude?

El uso oculto es de alto riesgo y normalmente desproporcionado. En casos muy excepcionales y graves, algunas organizaciones acuden a medidas puntuales y temporales con asesoramiento jurídico específico y, en su caso, intervención de detectives habilitados, siempre respetando la legalidad. La regla general es informar y documentar.

¿Durante cuánto tiempo puedo conservar los datos?

Define plazos cortos: 1-3 meses para operativa ordinaria. Amplía solo si hay incidencias, reclamaciones o procedimientos abiertos, bloqueando el resto. Documenta los criterios y aplica borrado automático.

¿Puedo usar los datos para multar al conductor por exceder la velocidad?

Las sanciones de tráfico corresponden a la autoridad competente. A efectos internos, si la política lo prevé y existe información previa, los datos podrían sustentan medidas disciplinarias por incumplimiento de normas de seguridad, siempre con proporcionalidad y posibilidad de alegación.

¿Debo poner un distintivo en el vehículo?

No existe un “cartel” obligatorio como en videovigilancia. Lo esencial es la información previa por escrito y accesible. No obstante, puedes optar por un aviso interno visible que recuerde el uso de geolocalización, además de la política entregada a la plantilla.

¿Qué pasa con subcontratas o autónomos?

Si proporcionas vehículos equipados a personal de contratas, informa contractualmente y asegúrate de que la empresa contratista traslada la información a su personal. Si el profesional usa su vehículo propio, evita instalar dispositivos y opta por soluciones menos intrusivas limitadas a la prestación del servicio.

¿Es necesaria una evaluación de impacto (EIPD)?

En muchos casos sí es recomendable y puede ser exigible si hay monitorización sistemática de empleados o tratamiento a gran escala. La EIPD te ayudará a documentar riesgos y mitigaciones.

¿Se pueden transferir datos fuera del Espacio Económico Europeo?

Solo con garantías adecuadas (decisiones de adecuación, cláusulas tipo y, en su caso, medidas suplementarias). Revisa dónde aloja datos tu proveedor.

Checklist rápido de cumplimiento

Define finalidades legítimas y haz test de interés legítimo.
Redacta y entrega la política de geolocalización y la cláusula informativa (art. 90 LOPDGDD y art. 13 RGPD).
Configura la solución para registrar exclusivamente en horario laboral y habilita modo privado si hay uso mixto.
Establece plazos de conservación breves y borrado automático.
Firma contrato de encargo con el proveedor, verifica subencargados y ubicación de datos.
Implanta medidas de seguridad: cifrado, MFA, roles mínimos y logs de acceso.
Capacita a mandos y personal sobre usos permitidos y prohibidos.
Documenta una EIPD cuando proceda y revisa periódicamente su vigencia.
Regula el acceso a datos en RR. HH. y disciplina: proporcionalidad, cadena de custodia y derecho de audiencia.
Audita regularmente configuraciones, accesos y tiempos de conservación, y corrige desviaciones.