Simulaciones de phishing a empleados: qué exigen el RGPD y la ley laboral española

Por Kike Gandia · Co-Fundador y CEO, OSCP

Sí, es legal hacer simulaciones de phishing a los empleados en España, siempre que se planteen como una medida de seguridad proporcionada y no como una trampa: con una base jurídica distinta del consentimiento, informando a la plantilla de que habrá ejercicios periódicos (sin desvelar cuándo ni con qué pretexto), contando con la representación de los trabajadores, registrando solo los datos imprescindibles y sin usar los resultados para sancionar. Esta guía repasa lo que exigen el RGPD, la LOPDGDD y el Estatuto de los Trabajadores, los límites de los pretextos y un checklist previo a la campaña. Es información general, no asesoramiento jurídico.

Respuesta corta: las condiciones de una simulación legal

Ninguna norma española prohíbe ni regula de forma expresa las simulaciones de phishing. Su encaje se deduce de reglas generales: protección de datos, porque la campaña registra qué hace cada empleado ante un correo; derecho laboral, porque es una medida que el empresario adopta sobre su plantilla; y sentido común en el diseño del engaño. Estas son las condiciones que conviene cumplir:

Condición	Qué significa en la práctica	Norma de referencia
Base jurídica adecuada	Interés legítimo en la seguridad o facultad de control del contrato de trabajo, nunca el consentimiento individual	RGPD art. 6.1 y considerandos 43, 47 y 49
Transparencia	La plantilla sabe que habrá ejercicios periódicos, para qué y qué se registra; no sabe cuándo ni con qué pretexto	RGPD arts. 5.1.a y 13; LOPDGDD art. 87.3
Participación de los representantes	Criterios de uso del correo elaborados con ellos e informe previo del comité	LOPDGDD art. 87.3; ET art. 64.5
Dignidad y proporcionalidad	Pretextos que no humillen ni jueguen con el miedo al despido o con la salud	ET art. 20.3
Minimización	Se registra el evento «credenciales enviadas», nunca la contraseña	RGPD arts. 5.1.c y 25
Limitación de la finalidad	Los resultados sirven para formar, no para sancionar	RGPD art. 5.1.b
Contrato con el proveedor	Encargo de tratamiento firmado antes del primer envío	RGPD art. 28

Qué base jurídica ampara la simulación (y por qué no el consentimiento)

Una campaña de phishing simulado trata datos personales: la dirección de correo de cada empleado, un identificador único por destinatario y lo que hace con el mensaje (abrirlo, hacer clic, introducir credenciales o reportarlo). Necesita, por tanto, una de las bases del artículo 6.1 del RGPD. En la práctica se manejan tres:

Interés legítimo (art. 6.1.f): es el encaje más habitual. El considerando 47 menciona expresamente la relación con quien «está al servicio del responsable», y el 49 reconoce como interés legítimo el tratamiento estrictamente necesario y proporcionado para garantizar la seguridad de la red y de la información. Exige una ponderación documentada entre el interés de la empresa y los derechos de la plantilla, y da a cada empleado derecho a oponerse por motivos relacionados con su situación particular (art. 21).
Contrato de trabajo y facultad de control (art. 6.1.b RGPD y art. 20.3 ET): la guía de la AEPD sobre relaciones laborales sitúa en el contrato la base principal del tratamiento en el ámbito laboral y en el artículo 20.3 del Estatuto la base de las medidas de control, siempre que superen un test de proporcionalidad.
Obligación legal (art. 6.1.c): el artículo 32 del RGPD obliga a aplicar medidas de seguridad y a verificar con regularidad su eficacia, y marcos como el ENS, DORA o la directiva NIS2 incluyen la concienciación entre las medidas exigibles. Sirve para justificar la necesidad del ejercicio, pero ninguna de esas normas impone simulaciones de phishing en concreto, así que como base única es más débil.

El consentimiento no es buena base. El Comité Europeo de Protección de Datos (CEPD) recuerda en sus Directrices 5/2020 que, por la dependencia entre empleador y empleado, es poco probable que el trabajador pueda negarse sin temor a consecuencias, y que para la mayoría de los tratamientos en el trabajo la base «no puede y no debe ser el consentimiento». En una simulación sería además contraproducente: pedir permiso a cada persona anuncia el ejercicio, quien no consiente queda fuera de la medición y quien consiente puede retirarlo en cualquier momento. Qué base elegir y cómo documentarla lo decide el responsable del tratamiento con su DPO.

El marco laboral español: Estatuto de los Trabajadores y LOPDGDD

El artículo 88 del RGPD permite a cada Estado fijar normas específicas para el tratamiento de datos en el ámbito laboral, con especial atención a la transparencia y a los sistemas de supervisión en el lugar de trabajo. En España esas normas están repartidas entre la LOPDGDD y el Estatuto de los Trabajadores (ET), y varias afectan de lleno a una simulación de phishing:

ET, artículo 20.3: el empresario puede adoptar las medidas de vigilancia y control que estime oportunas para verificar el cumplimiento de las obligaciones laborales, guardando la consideración debida a la dignidad del trabajador. Aunque la finalidad de una simulación sea formativa, genera datos sobre el comportamiento de cada empleado, así que conviene rodearla de las mismas garantías que una medida de control.
LOPDGDD, artículo 87: reconoce el derecho a la intimidad en el uso de los dispositivos digitales que facilita la empresa y obliga a establecer criterios de utilización con participación de los representantes de los trabajadores, criterios que deben comunicarse a la plantilla. La política de uso del correo corporativo es el sitio natural para anunciar que habrá ejercicios de phishing.
LOPDGDD, artículo 88: derecho a la desconexión digital. Un correo de prueba puede esperar en la bandeja, pero las llamadas o SMS simulados fuera de la jornada son difíciles de justificar.
LOPDGDD, artículo 91: los convenios colectivos pueden añadir garantías sobre los datos de los trabajadores. Revisa el tuyo antes de diseñar la campaña.
ET, artículo 64.5: el comité de empresa tiene derecho a emitir informe previo sobre la implantación y revisión de sistemas de organización y control del trabajo (letra f) y sobre los planes de formación profesional (letra e). Si una simulación encaja o no como sistema de control es discutible; la vía prudente es tratarla como si lo fuera, presentar el programa al comité y respetar el plazo de quince días que fija el artículo 64.6 para su informe. En empresas sin comité, los delegados de personal tienen las mismas competencias (art. 62.2).

La guía de la AEPD «La protección de datos en las relaciones laborales» resume el test que debe superar cualquier medida de control: que sea idónea para el objetivo, necesaria porque no exista otra más moderada con igual eficacia y proporcionada en sentido estricto, es decir, que aporte más beneficios que perjuicios.

¿Hay que avisar a los empleados? Transparencia sin arruinar la medición

Hay que informar, pero no de todo. La transparencia que exige el RGPD (arts. 5.1.a y 13) se refiere al tratamiento: que existe, para qué sirve, qué datos se registran, quién los ve, cuánto tiempo se guardan y qué derechos tiene cada persona. No obliga a revelar la fecha ni el contenido de cada ejercicio. El equilibrio habitual:

Se informa: que la empresa realiza ejercicios periódicos de phishing simulado por correo (y, si aplica, por SMS o teléfono corporativo), su finalidad formativa y de medición, los datos que se registran, el plazo de conservación, quién accede a los resultados, que no se usarán con fines disciplinarios y cómo ejercer los derechos. Si la base es el interés legítimo, hay que explicar cuál es (art. 13.1.d).
No se informa: cuándo habrá campaña, con qué pretexto ni a qué grupos irá dirigida.
Dónde: en la política de uso de medios digitales (la del art. 87.3 de la LOPDGDD), en la cláusula informativa de protección de datos para empleados y en la acogida de nuevas incorporaciones. Un recordatorio en la formación anual de concienciación refuerza el mensaje sin estropear la sorpresa.

Avisar de la fecha concreta destruye la medición: durante esa semana la plantilla desconfía de todo y el resultado no dice nada sobre su comportamiento real. Avisar de que habrá ejercicios, en cambio, persigue lo mismo que el programa: que la gente desconfíe más de los correos inesperados. Si el aviso general lo consigue, el programa ya está funcionando.

Qué datos registrar y cuánto tiempo guardarlos

El principio de minimización (art. 5.1.c) y la protección de datos desde el diseño (art. 25) se traducen en decisiones concretas al configurar la plataforma:

Dato	¿Registrar?	Comentario
Correo entregado	Sí	Necesario para calcular las tasas
Clic en el enlace	Sí	Es el indicador principal
Credenciales enviadas	Solo el evento	La página falsa no debe almacenar ni transmitir lo que se escribe
Contraseña introducida	Nunca	Ni en claro ni cifrada: desactiva la captura de datos del formulario
Adjunto abierto	Solo el evento	Con un fichero inerte que no recoja información del equipo
Correo reportado	Sí	Es el comportamiento que se quiere reforzar
Apertura del correo	Con cautela	El píxel de seguimiento es poco fiable y aporta poco
IP, navegador y ubicación	Solo si hacen falta	Útiles para descartar clics automáticos de los filtros de seguridad; borrar pronto

Conservación (art. 5.1.e): fija un plazo para los datos individuales —el necesario para la formación de seguimiento de esa campaña— y, pasado ese plazo, conserva solo agregados. Para ver la evolución a lo largo de los años bastan las tasas por campaña y por departamento.

Resultados: el informe para dirección va agregado por departamento, sede o perfil de riesgo, sin nombres. Cuidado con los grupos muy pequeños, donde un porcentaje identifica a una persona concreta. El acceso al detalle individual se limita a quien gestiona la formación de seguimiento, no a los mandos de cada equipo.

Documentación: registro, evaluación de impacto y contrato con el proveedor

Una campaña bien planteada deja rastro documental antes de enviar el primer correo:

Registro de actividades de tratamiento (art. 30 RGPD): añade la actividad de simulaciones de phishing y concienciación con su finalidad, categorías de datos, destinatarios y plazos de supresión.
Ponderación del interés legítimo: si es la base elegida, deja por escrito por qué la medida es necesaria, por qué no hay una alternativa menos intrusiva igual de eficaz y qué garantías compensan el impacto en la plantilla.
Evaluación de impacto (art. 35 RGPD): una simulación con datos mínimos y resultados agregados no suele ser, por sí sola, un tratamiento de alto riesgo. La valoración cambia si se elaboran perfiles individuales de «riesgo humano» que se cruzan con evaluaciones de desempeño, si se combina con otros sistemas de monitorización o si se aplica a gran escala. Decídelo con el DPO, cuyo asesoramiento exige el propio artículo 35 al realizar la evaluación, y contrasta la lista de tratamientos que requieren evaluación publicada por la AEPD.
Contrato de encargado del tratamiento (art. 28 RGPD): el proveedor de la plataforma o la empresa que ejecuta la campaña trata datos de tu plantilla por tu cuenta. El contrato debe fijar instrucciones, confidencialidad, medidas de seguridad, subencargados, devolución o borrado de los datos al terminar y, si los servidores están fuera del Espacio Económico Europeo, el mecanismo de transferencia internacional.
Autorización interna por escrito: quién aprueba la campaña, su alcance, las fechas y el procedimiento para detenerla si algo sale mal.

Pretextos: hasta dónde puede llegar el engaño

El pretexto es lo que hace creíble una simulación y también donde se cometen los errores con más consecuencias, jurídicas y de clima laboral.

Marcas y organismos reales. Suplantar a un banco, una empresa de paquetería o un proveedor real es lo que hacen los atacantes, pero en un ejercicio interno conviene valorarlo antes: puede plantear problemas de uso de marca ajena, el dominio parecido puede acabar en listas de bloqueo o recibir una petición de retirada del servicio de protección de marca del titular, y si el correo sale de la empresa el daño reputacional es tuyo. Con los organismos públicos —Agencia Tributaria, Seguridad Social, DGT o policía— la cautela debe ser mayor: además de los riesgos anteriores, enseñas a la plantilla a dudar de comunicaciones oficiales reales. Alternativas que funcionan igual de bien: marcas ficticias verosímiles, servicios internos (con permiso del área suplantada) o proveedores reales que lo autoricen por escrito.

Pretextos crueles. Bonus o subidas salariales falsas, despidos, ERE, resultados médicos, bajas, COVID, ayudas por catástrofes o asuntos familiares. Funcionan precisamente porque juegan con el miedo o la necesidad, y por eso rompen la confianza en el programa y chocan con la consideración debida a la dignidad del trabajador. En diciembre de 2020 GoDaddy tuvo que disculparse públicamente tras un test que prometía a su plantilla un bonus navideño inexistente.

No llegar al fraude real. Ningún ejercicio debe mover dinero, pedir datos bancarios o personales reales, instalar código que recoja información del equipo ni dirigirse a cuentas, dispositivos o redes sociales personales de los empleados. Los adjuntos deben ser inertes y las páginas de destino, incapaces de guardar lo que se escribe. Las llamadas y los SMS, solo a números corporativos y dentro de la jornada.

¿Se puede sancionar a quien cae en la simulación?

Es la pregunta que más se repite y la respuesta corta es que no conviene, por razones jurídicas y prácticas.

En lo jurídico, el artículo 58 del ET permite sancionar incumplimientos laborales según la graduación de faltas de la ley o del convenio, y toda sanción es revisable ante la jurisdicción social. Caer en un engaño que la propia empresa ha diseñado para que resulte creíble difícilmente encaja como incumplimiento culpable, salvo que existiera una instrucción clara y conocida que el empleado haya desoído. Y si a la plantilla se le dijo que los resultados servirían para formar, usarlos después para sancionar choca con el principio de limitación de la finalidad (art. 5.1.b RGPD). No conocemos doctrina judicial consolidada en España sobre sanciones derivadas de simulaciones de phishing, así que cualquier decisión en este terreno debe pasar antes por la asesoría laboral.

En lo práctico, el castigo produce el efecto contrario al buscado: la gente deja de reportar correos sospechosos por miedo a señalarse, y el reporte rápido es lo que permite contener un phishing real antes de que se extienda. Lo que funciona:

Formación breve e inmediata después del clic, sin tono acusatorio.
Seguimiento formativo para quien cae de forma reiterada, no un expediente.
Reconocimiento a los equipos que más reportan.
Separar la simulación de los incidentes reales: la negligencia grave en un incidente real se trata por la vía disciplinaria ordinaria, con sus propias garantías, no con los datos del ejercicio.

Qué hacer y qué evitar

Resumen de las decisiones que más pesan en el encaje legal de una campaña:

Qué hacer	Qué evitar
Informar en la política de seguridad de que habrá ejercicios periódicos	Anunciar la fecha o el pretexto
Apoyarse en el interés legítimo o en la facultad de control, con la ponderación por escrito	Pedir el consentimiento individual a cada empleado
Presentar el programa a la representación de los trabajadores antes de empezar	Que el comité se entere por las quejas de la plantilla
Registrar solo el evento «credenciales enviadas»	Guardar contraseñas, aunque sea cifradas
Informes agregados por departamento	Rankings con nombres o listas de quién cayó enviadas a los mandos
Pretextos verosímiles con marcas ficticias o autorizadas	Suplantar a Hacienda, la Seguridad Social o marcas reales sin valorarlo
Formación inmediata y positiva tras el clic	Sanciones, humillaciones o comunicaciones públicas
Contrato de encargado con el proveedor	Plataformas sin contrato ni control sobre dónde quedan los datos

Checklist antes de lanzar la campaña

Antes de enviar el primer correo, cada área debería haber dado su visto bueno:

Dirección: aprobación por escrito del programa, de su alcance y del compromiso de no usar los resultados para sancionar.
RRHH y asesoría laboral: revisión del convenio colectivo, de la política de uso de medios digitales y de la comunicación a la plantilla; decisión sobre el personal externo con cuenta corporativa (subcontratas, ETT), cuya relación laboral es con otra empresa.
DPO o responsable de protección de datos: base jurídica y ponderación, entrada en el registro de actividades, cláusula informativa, plazos de conservación, decisión sobre la evaluación de impacto y contrato con el proveedor.
Representación de los trabajadores: presentación del programa, plazo para su informe y, si es posible, alcance consensuado (canales, frecuencia y pretextos excluidos).
IT y seguridad: listas blancas en la pasarela de correo y en los filtros de enlaces para que la campaña llegue y no genere clics falsos, aviso al SOC o al helpdesk para que no la traten como un incidente real, procedimiento de parada y comprobación de que el botón de reporte funciona.
Proveedor: contrato de encargado firmado, captura de contraseñas desactivada, adjuntos inertes y plan de borrado al terminar.

Todo lo anterior es información general basada en la normativa vigente a octubre de 2026 y no sustituye al asesoramiento jurídico: cada empresa tiene su convenio, su política interna y su contexto, y conviene revisarlo con el DPO y la asesoría laboral antes de la primera campaña.

FAQ

¿Necesito el consentimiento de cada empleado para hacer una simulación de phishing?

No, y además no es recomendable. El CEPD considera que en el trabajo el consentimiento rara vez es libre por la dependencia entre empleador y empleado, y pedirlo anunciaría el ejercicio. Lo habitual es apoyarse en el interés legítimo en la seguridad o en la facultad de control del artículo 20.3 del Estatuto de los Trabajadores, con la ponderación documentada y la plantilla informada.

¿Hay que avisar a los empleados antes de una simulación de phishing?

Hay que informar de que la empresa realiza ejercicios periódicos, de para qué sirven, qué datos se registran y quién los ve, normalmente en la política de seguridad y en la cláusula informativa para empleados. Lo que no se anuncia es la fecha ni el pretexto, porque eso destruye la medición. El alcance conviene consensuarlo con RRHH y con la representación de los trabajadores.

¿Tengo que informar al comité de empresa?

Es lo prudente. La LOPDGDD exige que los criterios de uso de los dispositivos digitales se elaboren con participación de los representantes de los trabajadores, y el Estatuto da al comité derecho a un informe previo sobre los sistemas de control del trabajo y los planes de formación. Si no hay comité, los delegados de personal tienen las mismas competencias.

¿Puedo sancionar a un empleado que cae en la simulación?

Es desaconsejable. Caer en un engaño diseñado para ser creíble difícilmente es un incumplimiento culpable, usar para sancionar unos datos recogidos con fines formativos choca con el principio de limitación de la finalidad y el castigo hace que la plantilla deje de reportar. Antes de cualquier medida disciplinaria, consúltalo con la asesoría laboral.

¿Puedo usar el logo de un banco o de Hacienda en el correo falso?

Conviene evitarlo o, al menos, valorarlo antes: puede plantear problemas de uso de marca ajena, el dominio puede acabar bloqueado o denunciado por el titular y, en el caso de organismos públicos, enseñas a desconfiar de comunicaciones oficiales reales. Las marcas ficticias verosímiles, los servicios internos o los proveedores que lo autorizan por escrito dan resultados igual de útiles.

¿Qué datos puedo guardar y durante cuánto tiempo?

Los eventos necesarios para medir: entrega, clic, envío de credenciales (solo el evento, nunca la contraseña), apertura de adjuntos y reportes. Los datos individuales se conservan el tiempo necesario para la formación de seguimiento de la campaña y después se reducen a cifras agregadas por campaña y departamento.

¿Necesito hacer una evaluación de impacto?

No siempre. Una campaña con datos mínimos y resultados agregados no suele ser un tratamiento de alto riesgo, pero puede serlo si se elaboran perfiles individuales que se cruzan con evaluaciones de desempeño o se combina con otros sistemas de monitorización. Decídelo con el DPO y déjalo documentado.