portal experto RRHH

La solución para expertos en gestión de personas

La utilización, sin consentimiento, del teléfono móvil personal del trabajador como sistema de verificación imprescindible para iniciar sesión en los sistemas informáticos de una empresa cliente extranjera, vulnera su derecho fundamental a la privacidad y a la protección de datos personales, además de infringir el principio de ajenidad en los medios propio de la relación laboral.

En el caso en cuestión, la empleadora, ante la falta de teléfonos corporativos, solicita a sus trabajadores, en un folio en blanco y durante una formación, su número de teléfono móvil personal y su fecha de nacimiento. Posteriormente, les informa que en ese número de teléfono van a recibir, temporalmente, las contraseñas necesarias para acceder a las aplicaciones del cliente, una extranjera, radicada fuera del Espacio Económico Europeo. No se facilita a los trabajadores ningún documento que acredite la finalidad de la comunicación de sus datos, ni consta una autorización expresa para su cesión.

La AEPD resuelve que esta actuación no está amparada ni por la normativa laboral ni por la normativa de protección de datos, por los siguientes motivos:

1. El principio de ajenidad en los medios propio de la relación laboral implica que la empresa debe proporcionar los medios necesarios para la prestación de servicios dentro del ámbito de su organización y dirección. En consecuencia, el uso del teléfono personal no puede considerarse necesario para la ejecución de la relación laboral, y el consentimiento tampoco constituye una base válida si no se ofrece al trabajador una alternativa que no implique el tratamiento de sus datos personales (ET art.1.1).

2. El número de teléfono personal del trabajador es un dato personal perteneciente su esfera privada y su cesión a un cliente extranjero no es objetivamente necesaria ni proporcional para el cumplimiento de las obligaciones laborales, especialmente cuando la propia empresa reconoce que es una medida provisional motivada por razones organizativas internas (RGPD art.6.1.b).

El requisito de necesidad que contempla la norma de protección de datos no puede identificarse con lo que se prevea o permita contractualmente. Para valorar si el tratamiento es necesario, es preciso un análisis fáctico orientado al objetivo perseguido y a la existencia de alternativas menos intrusivas. Si existen opciones realistas menos invasivas para lograr el mismo fin, el tratamiento no puede considerarse necesario. En consecuencia, no se ampara tratamientos meramente útiles, pero no objetivamente indispensables para ejecutar el servicio contratado o para aplicar medidas precontractuales a petición del interesado.

Por otra parte, la utilización de terminales y líneas móviles personales del trabajador con fines laborales exige, en su caso, una aceptación libre y voluntaria del titular. Esta libertad es cuestionable si no se ha ofrecido previamente una alternativa efectiva. En todo caso, el empleador, como responsable del tratamiento, debe garantizar que las aplicaciones corporativas no acceden a datos privados del empleado y que existe separación técnica entre el uso personal y el laboral del dispositivo.

Ninguna de estas circunstancias concurre en el supuesto en cuestión. En consecuencia, se sanciona la infracción con multa de 80.000 euros, además de la obligación de cesar en la utilización de los teléfonos móviles de los trabajadores que prestan servicio al cliente como terminales de acceso a su aplicación informática, en el plazo máximo de 3 meses. La multa, finalmente se reduce al pago de 48.000 euros por reconocimiento de responsabilidad y pago voluntario.

Resol AEPD Ps-00456-2025