Protección de datos y móvil personal: nuevos límites para las empresas

El uso de aplicaciones móviles es cada vez más habitual para organizar turnos, controlar horarios, gestionar rutas o mantener la comunicación interna. Sin embargo, cuando estas herramientas deben instalarse en el teléfono privado del trabajador, la empresa entra en un terreno especialmente sensible. Una reciente resolución de la Agencia Española de Protección de Datos (AEPD) recuerda que las necesidades organizativas no justifican un acceso indiscriminado a la información de un dispositivo personal.

El móvil privado no es una extensión de la empresa

La resolución analiza el caso de una empresa de VTC que exigía a determinados conductores instalar aplicaciones laborales en sus propios teléfonos cuando no disponían de un terminal corporativo.

Para la AEPD, el problema no estaba únicamente en la geolocalización, sino también en el alcance de los permisos solicitados y en la falta de una alternativa real para el trabajador.

Cuando una empresa utiliza el dispositivo personal de un empleado, debe respetar su privacidad, limitar el tratamiento a los datos estrictamente necesarios y evitar que la actividad profesional invada información de su esfera privada.

El consentimiento debe ser realmente libre

La empresa sostenía que los trabajadores podían elegir entre un móvil corporativo o el suyo propio y que, en este último caso, recibían una compensación económica.

Sin embargo, la AEPD consideró que esa elección no era plenamente libre si la disponibilidad de teléfonos corporativos dependía del presupuesto o de los recursos existentes.

En las relaciones laborales existe un desequilibrio entre empresa y trabajador. Si utilizar el móvil personal acaba siendo la única forma práctica de desempeñar el puesto, difícilmente puede hablarse de una decisión verdaderamente voluntaria.

Solo deben tratarse los datos imprescindibles

La resolución también incide en el principio de minimización de datos previsto en el RGPD. Algunas de las aplicaciones analizadas podían acceder a ubicación, fotografías, vídeos, grabaciones de voz, contactos o información relacionada con la actividad física.

La empresa debe justificar qué información necesita, para qué finalidad y por qué ese acceso resulta imprescindible. Que una aplicación permita técnicamente acceder a determinados datos no significa que ese acceso sea legalmente admisible.

Antes de implantar una herramienta móvil, conviene revisar sus permisos y mantener activos únicamente aquellos que sean indispensables para la prestación laboral.

La desconexión digital debe ser efectiva

No basta con informar al trabajador de que puede cerrar una aplicación al terminar su jornada. La empresa debe asegurarse de que la desconexión sea real y comprensible, especialmente cuando existen sistemas de geolocalización, monitorización o tratamiento de datos en segundo plano.

También debe quedar claro cuándo dejan de recopilarse datos, qué funciones permanecen activas y cómo puede el trabajador desactivar correctamente las herramientas profesionales.

Qué deberían revisar las empresas

Esta resolución afecta a cualquier organización que utilice aplicaciones para control horario, fichajes, rutas, logística, comunicación interna, incidencias, acceso remoto o gestión de turnos.

Las empresas deberían revisar cómo utilizan los teléfonos personales de sus trabajadores, comprobar qué datos pueden consultar las aplicaciones laborales y asegurarse de que ese acceso está correctamente justificado. En la resolución analizada, relativa a una empresa de VTC, la AEPD impuso una sanción de 200.000 euros y obligó a adoptar medidas para limitar los datos recopilados, justificar adecuadamente su tratamiento e informar con claridad a los trabajadores.