En abril de 2025, la Agencia Española de Protección de Datos (AEPD) impuso una sanción ejemplar a una empresa que había utilizado reiteradamente el móvil personal de un trabajador para enviarle información confidencial de clientes, incluso después de finalizar la relación laboral. Esta resolución refuerza un principio esencial: la privacidad y la seguridad de los datos no son opcionales, y las empresas deben cumplir con estrictas exigencias legales para evitar multas y responsabilidades.
El caso: uso no autorizado del móvil personal y envío de datos sensibles
¿Qué ocurrió exactamente?
Una empresa utilizó de forma habitual el WhatsApp personal de un trabajador para remitirle información sensible de clientes, sin su consentimiento y fuera de su horario laboral. A pesar de las reiteradas negativas expresas del trabajador, la compañía continuó utilizando su número personal como medio de contacto.
Lo más grave es que dicha práctica continuó incluso una vez extinguida la relación laboral, llegando a consultarle por cuestiones contables de un cliente.
El trabajador, al considerar vulnerados sus derechos, presentó una reclamación ante la AEPD. Como prueba aportó capturas de pantalla y correos electrónicos, demostrando la reiteración de esta conducta.
Argumentos de la empresa y respuesta de la AEPD
Defensa de la empresa
La empresa alegó que el uso de WhatsApp era una práctica normalizada desde hacía años, y que en ningún momento había vulnerado la normativa, ni solicitado al trabajador que se comunicara con clientes.
Sin embargo, no presentó ninguna prueba de consentimiento ni adoptó medidas organizativas ni técnicas para proteger la información transmitida.
Conclusión de la AEPD
La AEPD resolvió que se habían cometido dos infracciones independientes del Reglamento General de Protección de Datos (RGPD):
- Falta de base jurídica para el tratamiento de datos, tanto durante como después de la relación laboral.
- Ausencia de medidas de seguridad adecuadas al enviar datos sensibles al dispositivo personal del trabajador, que no contaba con protección ni estaba bajo control empresarial.
Fundamentos legales y sanciones impuestas
1. No se puede usar el móvil personal del trabajador sin su consentimiento
El artículo 6.1 del RGPD exige que el tratamiento de datos sea lícito solo si existe una base legal: contrato, obligación legal, interés vital, interés público, interés legítimo o consentimiento.
Una vez finalizado el contrato de trabajo, ya no existe ninguna base que justifique el contacto profesional con el extrabajador, mucho menos para compartir datos de terceros.
La empresa fue sancionada con 2.500 € por esta infracción.
2. Falta de medidas técnicas y organizativas adecuadas
Según el artículo 32 del RGPD, el responsable del tratamiento de datos debe garantizar la integridad, disponibilidad y confidencialidad de los datos personales, aplicando las medidas necesarias.
Enviar datos personales de clientes al teléfono privado de un empleado, sin control ni cifrado, expone esa información a riesgos graves de seguridad.
Por este motivo, se impuso una segunda sanción de 2.500 €.
Medidas correctivas adicionales
Además de la sanción económica, la AEPD ordenó a la empresa:
- Que adopte protocolos que prohíban contactar a extrabajadores sin su consentimiento expreso.
- Que evite el uso de dispositivos personales para el tratamiento de datos sin medidas de seguridad adecuadas.
- Que implemente soluciones técnicas corporativas para comunicaciones laborales (móviles de empresa, apps seguras, etc.).
Por qué esta resolución es clave para pymes y autónomos
No todo vale por “comodidad operativa”
Muchas empresas recurren a WhatsApp, Telegram u otros medios personales por comodidad, pero esta práctica puede vulnerar de forma grave la protección de datos si:
- No se cuenta con consentimiento explícito y documentado.
- Se tratan datos sensibles sin medidas adecuadas.
- Se sigue utilizando información personal tras finalizar la relación laboral.
Las sanciones pueden afectar gravemente a una pyme
Aunque la cuantía de la multa impuesta pueda parecer moderada, este tipo de sanciones dañan la reputación y generan responsabilidad empresarial. Además, si se detectan múltiples reclamaciones similares o reincidencias, las multas pueden ser mucho mayores.
El móvil personal no es una herramienta empresarial
El uso del teléfono personal debe ser siempre voluntario y, en todo caso, con medidas que garanticen la seguridad del tratamiento de los datos: cifrado, sistemas de gestión MDM, formación y control por parte de la empresa.
Recomendaciones para cumplir con el RGPD en comunicaciones laborales
1. Proporciona dispositivos corporativos
Evita usar móviles personales para tareas laborales. Si el trabajador necesita acceso remoto, proporciónale un móvil corporativo con las apps necesarias y medidas de seguridad activadas.
2. Implanta políticas internas claras
Establece por escrito en el Reglamento Interno o Manual de Protección de Datos qué canales pueden usarse, cómo deben protegerse los datos y qué límites existen en el contacto con empleados y extrabajadores.
3. Recoge el consentimiento por escrito si es necesario
En caso de usar herramientas personales, asegúrate de contar con un consentimiento voluntario, informado y revocable, evitando presiones o imposiciones indirectas.
4. Forma al personal y supervisa el cumplimiento
La formación en protección de datos y buenas prácticas digitales es obligatoria para quienes manejan datos personales. Esto incluye supervisores, responsables de RRHH y atención al cliente.
La resolución de la AEPD marca una línea muy clara: no se puede utilizar el móvil personal del trabajador para tratar datos de clientes, salvo que se cumplan todos los requisitos legales. Y mucho menos mantener ese contacto una vez finalizada la relación laboral.