Cada vez es más habitual que muchas empresas organicen parte de su actividad diaria a través de aplicaciones móviles. Control horario, comunicación interna, fichaje, gestión de rutas, reparto, incidencias, acceso remoto o geolocalización son solo algunos ejemplos. El problema aparece cuando esa operativa termina trasladándose al teléfono personal de la persona trabajadora y las aplicaciones empiezan a acceder a datos que exceden claramente de lo necesario para la actividad profesional. Desde nuestra perspectiva, ahí es donde la protección de datos entra de lleno en la organización laboral.
La Agencia Española de Protección de Datos ha publicado una resolución especialmente relevante sobre esta materia. El expediente analiza el caso de una empresa de VTC que obligaba en la práctica a sus conductores a instalar diversas aplicaciones laborales en sus teléfonos personales cuando no disponían de terminal corporativo. Y el mensaje que deja la AEPD es bastante claro: la digitalización de la empresa no permite acceder indiscriminadamente al entorno privado del trabajador ni trasladarle los riesgos derivados de la infraestructura tecnológica de la propia organización.
El consentimiento del trabajador no siempre legitima el uso del móvil privado
Uno de los puntos más importantes de la resolución es el análisis del supuesto consentimiento del trabajador. La empresa defendía que existía elección porque algunos conductores podían usar terminal corporativo o, alternativamente, su móvil personal a cambio de una compensación económica. Sin embargo, la AEPD concluye que esa opción no era realmente libre porque la disponibilidad de terminales corporativos dependía del presupuesto y de los recursos existentes en cada momento. Cuando para poder trabajar la persona empleada termina viéndose forzada a usar su teléfono, difícilmente podemos hablar de una decisión plenamente voluntaria.
En nuestra opinión, este punto resulta especialmente relevante para muchas empresas que todavía entienden el consentimiento en el ámbito laboral como una cobertura suficiente. La propia AEPD recuerda que, debido al desequilibrio existente entre empresa y trabajador, el consentimiento debe analizarse con extrema cautela y pierde mucha fuerza cuando no existe una alternativa real y efectiva desde el principio.
La empresa debe justificar exactamente qué datos necesita y por qué
La resolución también insiste en el principio de minimización de datos. La AEPD detectó que algunas de las aplicaciones obligatorias permitían acceder a información que excedía claramente de lo necesario para prestar el servicio: ubicación, fotografías, vídeos, grabaciones de voz, contactos e incluso información relacionada con el estado físico de la persona trabajadora. La Agencia considera que no basta con alegar necesidades organizativas o eficiencia operativa. La empresa debe poder justificar qué datos necesita, para qué los necesita, por qué son imprescindibles, durante cuánto tiempo se utilizan y qué límites existen sobre su tratamiento.
Desde nuestro punto de vista, esta exigencia obliga a revisar muchas políticas internas que hasta ahora se han implantado con una lógica puramente operativa. No todo lo que una app permite técnicamente hacer puede trasladarse al ámbito laboral sin más. La protección de datos exige proporcionalidad real y no una simple explicación genérica.
La desconexión digital debe ser efectiva de verdad
Otro aspecto especialmente delicado es la desconexión digital. La empresa sancionada sostenía que los trabajadores podían cerrar las aplicaciones al acabar la jornada y que se les había explicado cómo hacerlo. La AEPD considera insuficiente esa información porque no quedaba claramente acreditado cómo debía producirse realmente la desconexión, qué datos seguían tratándose mientras las apps continuaban instaladas, qué controles permanecían activos y en qué momento cesaba de verdad la geolocalización.
Creemos que esta parte de la resolución es muy importante porque desmonta una práctica bastante extendida: introducir una cláusula genérica sobre desconexión digital y dar por hecho que el problema está resuelto. La Agencia deja claro que la desconexión debe ser comprensible, técnicamente efectiva y especialmente transparente cuando las aplicaciones se instalan en un dispositivo privado que contiene buena parte de la vida personal del trabajador.
La sanción confirma que ya no estamos ante un riesgo teórico
La resolución no se ha quedado en una advertencia abstracta. La AEPD impuso una sanción económica de 200.000 euros y, además, ordenó adoptar medidas correctivas en un plazo de dos meses. Entre ellas: garantizar el principio de minimización de datos, acreditar una base jurídica válida para el tratamiento en móviles personales y cumplir adecuadamente el deber de información sobre el uso de las aplicaciones y su desconexión. Es decir, no se trató solo de una multa, sino de una revisión completa del modelo implantado.
Desde nuestra perspectiva, esto confirma algo muy claro: la protección de datos ya no se interpreta solo como una cuestión documental o contractual, sino desde la realidad operativa diaria de la empresa. Y eso obliga a revisar de verdad las políticas BYOD, el uso de apps corporativas, los sistemas de geolocalización y la forma en que se articula la desconexión digital.
Si queréis conocer mejor cómo trabajamos este tipo de asuntos, podéis visitar nuestras páginas de servicios y sobre el despacho. Y si necesitáis asesoramiento, podéis escribirnos a través de la página de contacto. En Navarro Noguera Abogados creemos que revisar bien el uso laboral del teléfono privado sigue siendo una de las mejores formas de evitar riesgos sancionadores, reforzar la protección de datos y ordenar con más seguridad la digitalización de la empresa.