La Agencia Española de Protección de Datos (AEPD) ha intensificado el control sobre cómo se tratan los datos personales, especialmente en el entorno digital. Una reciente resolución ha puesto el foco en una práctica cada vez más habitual: el uso del WhatsApp personal de un trabajador para transmitir información de clientes.
Esta conducta, aparentemente inocente o práctica, ha generado una multa a la empresa infractora, sentando un precedente que debe tenerse muy en cuenta. En este artículo analizamos el caso, los fundamentos legales aplicados, las responsabilidades empresariales y cómo evitar errores similares.
Qué ocurrió en el caso sancionado
La AEPD resolvió sancionar a una empresa que, como parte de su operativa diaria, enviaba datos personales de clientes a través del WhatsApp particular de uno de sus trabajadores. El canal era utilizado para transmitir nombres, teléfonos, direcciones y otros datos sin medidas de seguridad ni control sobre el dispositivo.
Aunque la empresa justificó la medida como una forma rápida de coordinar tareas, la autoridad concluyó que:
- Se vulneraron principios fundamentales del Reglamento General de Protección de Datos (RGPD)
- No existían garantías técnicas ni organizativas para el tratamiento seguro
- El trabajador no tenía autorización ni control sobre los datos tratados
La sanción económica fue impuesta directamente a la empresa, como responsable del tratamiento, pese a que el canal usado fuera un dispositivo particular.
Por qué se considera una infracción grave
El RGPD establece, en su artículo 32, la obligación de aplicar medidas técnicas y organizativas adecuadas para garantizar la seguridad de los datos personales. Además, el artículo 5 obliga a las empresas a asegurar que los datos:
- Se traten de forma lícita, leal y transparente
- Sean relevantes y limitados a lo necesario
- Se mantengan seguros frente a accesos no autorizados o usos indebidos
Enviar datos de clientes a un canal como WhatsApp personal rompe estas garantías, ya que:
- No existe trazabilidad sobre su uso
- El terminal puede estar expuesto a otros usuarios (familia, pérdida, malware)
- No hay mecanismos de auditoría, cifrado o acceso limitado
- El trabajador no actúa como encargado formal del tratamiento
Por tanto, esta práctica representa una fuga potencial de datos, aunque no se haya producido una filtración activa.
Responsabilidad directa de la empresa
La empresa no puede ampararse en que el error lo cometió un trabajador. Según el RGPD y la Ley Orgánica de Protección de Datos y Garantía de los Derechos Digitales (LOPDGDD), la responsabilidad recae siempre en el responsable del tratamiento, es decir, la entidad que decide cómo y para qué se usan los datos.
Además, la empresa debe:
- Informar al trabajador sobre el uso adecuado de los datos
- Facilitar medios seguros para la transmisión (correo corporativo, apps cifradas, herramientas homologadas)
- Establecer políticas internas claras
- Formar a sus empleados en protección de datos
El uso del WhatsApp personal sin autorización expresa ni medidas adecuadas constituye una infracción de la normativa vigente.
Cómo evitar este tipo de sanciones
Para prevenir sanciones por prácticas similares, las empresas deben:
- Prohibir expresamente el uso de WhatsApp personal para fines laborales relacionados con datos de terceros
- Proveer medios corporativos seguros: teléfonos profesionales, correos internos, plataformas de mensajería empresarial
- Formar al personal en privacidad y uso adecuado de la información
- Establecer protocolos internos de comunicación y políticas de seguridad digital
- Supervisar el cumplimiento de la normativa mediante auditorías y revisiones periódicas
La prevención empieza desde el diseño de los procesos. No se trata solo de aplicar tecnología, sino de adoptar una cultura de protección de datos.
Consecuencias de este tipo de infracciones
Más allá de la multa económica, que puede alcanzar varios miles de euros, este tipo de infracciones genera:
- Daño reputacional ante clientes, proveedores y socios
- Pérdida de confianza en el manejo responsable de datos
- Investigaciones más profundas por parte de la AEPD
- Costes derivados de la adopción de medidas correctivas obligatorias
- Riesgos legales en caso de reclamaciones particulares
En sectores sensibles (como sanidad, educación, servicios legales o financieros), una mala práctica de este tipo puede derivar en denuncias civiles y litigios adicionales.
El WhatsApp personal no es una herramienta empresarial
Aunque WhatsApp es una herramienta ágil y popular, su uso en el tratamiento de datos personales debe limitarse al entorno privado. Las empresas deben establecer límites claros entre lo profesional y lo personal, especialmente cuando manejan información protegida por ley.
Desde nuestro punto de vista, recomendamos:
- Redactar una política clara sobre el uso de dispositivos personales en el trabajo
- Realizar formaciones periódicas en protección de datos
- Revisar la cadena de comunicación interna
- Contar con asesoramiento especializado en materia de privacidad
Actuar con responsabilidad no solo evita sanciones, sino que demuestra compromiso con los derechos de los clientes y la seguridad de la información.