Imagen generada con IA.
Un conductor se cansó de que su empresa de transportes le obligara a llevar cuatro aplicaciones instaladas en su propio teléfono móvil, activas las 24 horas, para poder hacer su trabajo. Denunció ante la Agencia Española de Protección de Datos (AEPD) y el resultado, casi dos años después, ha sido una sanción de 200.000 euros repartida en tres multas distintas. El caso deja una lección que muchas pymes con personal en ruta —transporte, reparto, mantenimiento, comerciales— todavía no han interiorizado: el móvil personal del empleado no es un terreno donde la empresa pueda instalar lo que le convenga solo porque «es necesario para el trabajo».
El caso: apps de ubicación, mensajes, llamadas y salud en el móvil PERSONAL
La empresa sancionada no siempre facilitaba un teléfono corporativo a sus chóferes —solo lo hacía «conforme a las limitaciones presupuestarias»—, pero sí les exigía instalar en su terminal personal cuatro aplicaciones que consideraba imprescindibles: una para comunicarse con la empresa, otra para hacer y recibir llamadas, una tercera que hacía las veces de llave digital del vehículo, y una cuarta para registrar datos de salud y forma física.
El problema no es que existan herramientas de gestión de flotas —eso es habitual y, bien planteado, perfectamente legal—. El problema es dónde se instalaban: en el dispositivo propio del trabajador, sin que este tuviera alternativa real, y con un nivel de acceso que la AEPD calificó de «continuo y exhaustivo». Las aplicaciones, en conjunto, accedían a ubicación en todo momento, mensajes, contactos, correo electrónico, información financiera, fotos, vídeos, audios y, la más llamativa, datos de salud y actividad física.
La Agencia concluyó que esa recogida de datos excedía «lo indispensable para los fines legítimos de la relación laboral» y sancionó a la empresa por tres infracciones distintas: 100.000 euros por vulnerar el principio de minimización (artículo 5.1.c RGPD), 80.000 euros por falta de base legítima para tratar datos del terminal personal (artículo 6.1 RGPD) y 20.000 euros por no informar adecuadamente a la plantilla (artículo 13 RGPD).
Por qué esto es distinto (y más grave) que el GPS en un vehículo de empresa
Es importante no confundir este caso con la geolocalización de vehículos de empresa, que la AEPD y los tribunales llevan años avalando bajo ciertas condiciones: informar previamente, limitar el uso a horario laboral y a fines de gestión de flota, y evitar el control de la vida privada del trabajador. Un GPS instalado en la furgoneta de la empresa, apagable fuera de jornada y usado con fines proporcionados, suele encajar dentro del margen que permite el interés legítimo del empresario.
Lo que cambia por completo el análisis jurídico es que aquí el dispositivo monitorizado era propiedad del trabajador, no de la empresa. Cuando el tratamiento se traslada al terminal personal, la empresa está entrando en un espacio donde conviven datos estrictamente laborales con la vida privada de la persona: sus contactos personales, sus mensajes fuera de horario, su ubicación cuando ya no trabaja, incluso —en este caso— sus constantes de salud. La AEPD lo deja claro: el hecho de que el móvil corporativo «no esté disponible desde el primer momento» hace que el consentimiento del empleado para acceder a esos datos no pueda considerarse libre, porque aceptar las apps no era realmente una opción si quería seguir en su puesto.
La falta de desconexión fuera de jornada como agravante
Uno de los puntos que más pesó en la resolución fue que nada impedía que estas aplicaciones siguieran activas fuera del horario laboral. La Agencia obligó expresamente a la empresa a demostrar, en un plazo de dos meses, que había corregido esa carencia e informado sobre la desconexión al terminar la jornada. El derecho a la desconexión digital, reconocido en el artículo 88 de la LOPDGDD, no es un derecho decorativo: cuando una empresa geolocaliza o monitoriza a un empleado fuera de su horario de trabajo, está incurriendo en una vulneración adicional, con independencia de que el dispositivo sea corporativo o personal. Y en este caso, al tratarse del móvil propio del trabajador, la intrusión en su tiempo libre resultaba todavía más evidente.
BYOD: qué exige el RGPD antes de instalar cualquier app en un dispositivo personal
El modelo «trae tu propio dispositivo» (BYOD, por sus siglas en inglés) no está prohibido por el RGPD, pero sí exige un nivel de cuidado que muchas empresas pasan por alto. Antes de pedir a un empleado que instale cualquier aplicación de trabajo en su móvil personal, una empresa debería poder responder con seguridad a estas preguntas:
- ¿Existe una base jurídica real para el tratamiento? El «consentimiento» de un trabajador que necesita el móvil para conservar su empleo no suele ser libre, así que raramente sirve como base legítima. Hay que buscar amparo en la ejecución del contrato o en el interés legítimo, con la proporcionalidad bien acreditada.
- ¿Se ha hecho una evaluación de impacto previa? Una EIPD habría permitido detectar, antes de lanzar el proyecto, que cuatro aplicaciones combinadas accedían a datos de salud, ubicación continua y comunicaciones personales muy por encima de lo necesario.
- ¿Se ha informado de forma específica y completa? No basta un aviso genérico. Hay que detallar qué datos se recogen, con qué finalidad, durante cuánto tiempo, qué derechos tiene el trabajador y quién tiene acceso a esa información.
- ¿Existe separación entre datos personales y datos de trabajo? Una solución BYOD seria utiliza contenedores o perfiles de trabajo independientes, de forma que la empresa nunca acceda a los mensajes, fotos o contactos privados del empleado.
- ¿Se desactiva el tratamiento fuera de jornada? Cualquier app de geolocalización o actividad debe dejar de recoger datos automáticamente cuando termina el horario laboral.
Alternativas legales: terminal corporativo vs. apps en dispositivo propio
La forma más sencilla de evitar este tipo de sanción es también la más obvia: si una función es realmente imprescindible para el trabajo, la empresa debe facilitar un dispositivo corporativo dedicado a esa función, y no trasladar la carga —y el riesgo— al móvil personal del empleado. Un terminal de empresa, configurado exclusivamente con las aplicaciones necesarias, permite controlar exactamente qué datos se recogen, aplicar políticas de borrado al finalizar la relación laboral y evitar cualquier mezcla con la esfera privada del trabajador.
Cuando facilitar un móvil a cada empleado no es viable —por coste, por el número de personas o por la naturaleza del puesto—, la alternativa pasa por soluciones de gestión de dispositivos móviles (MDM) con perfiles de trabajo separados, consentimiento informado real (no impuesto), minimización estricta de los datos recogidos y, sobre todo, una base jurídica sólida detrás de cada aplicación instalada. Lo que este caso demuestra es que la Agencia no evalúa la utilidad de las herramientas de control —puede que las cuatro aplicaciones fueran genuinamente útiles para la empresa—, sino la proporcionalidad de instalarlas en un dispositivo que no es suyo, sin informar bien y sin dar alternativa. Y esa combinación, para la AEPD, vale 200.000 euros.
En Dataibérica ayudamos a empresas con personal en ruta —transporte, reparto, mantenimiento, comerciales— a auditar el uso de aplicaciones de control en dispositivos personales (BYOD) y a implantar una base legal y una política de geolocalización conformes al RGPD. Si quieres revisar tu caso, contacta con nosotros.
Fuente: Confilegal
