Resolución AEPD Ps-00456-2025

La Agencia Española de Protección de Datos (AEPD) declara que imponer a los trabajadores el uso de su teléfono móvil personal como sistema imprescindible de verificación para acceder a aplicaciones de una empresa cliente vulnera el derecho fundamental a la privacidad y a la protección de datos personales, además de infringir el principio de ajenidad en los medios propio de la relación laboral.

Supuesto de hecho

Una empresa de contact center presta servicios para una empresa cliente extranjera radicada fuera del Espacio Económico Europeo.

Ante la falta de teléfonos corporativos, la empleadora solicita a sus trabajadores su número de teléfono móvil personal y su fecha de nacimiento. Posteriormente les comunica que recibirán en ese número, de forma temporal, las contraseñas necesarias para acceder a las aplicaciones del cliente. Este exige que las credenciales no se remitan por correo corporativo.

La empresa no facilita documento alguno que acredite la finalidad de la comunicación de los datos ni consta autorización expresa para su cesión al cliente.

Análisis jurídico de la AEPD

1. Vulneración del principio de ajenidad en los medios

El principio de ajenidad en los medios implica que el empleador debe proporcionar los instrumentos necesarios para la prestación de servicios dentro de su organización.

Imponer el uso del teléfono móvil personal del trabajador traslada al empleado un medio esencial para la ejecución del trabajo. No puede considerarse una exigencia inherente al contrato de trabajo en los términos del art. 1.1 del Estatuto de los Trabajadores.

El consentimiento tampoco constituye base válida si no se ofrece una alternativa real que no implique el tratamiento de datos personales.

2. Tratamiento de datos personales sin base jurídica adecuada

El número de teléfono móvil es un dato personal perteneciente a la esfera privada del trabajador.

Para que el tratamiento sea lícito con base en el art. 6.1.b del RGPD (ejecución del contrato), debe ser objetivamente necesario para cumplir el contrato laboral. No basta con que sea útil o conveniente.

La AEPD subraya que el requisito de necesidad exige un análisis fáctico sobre:

  • La finalidad perseguida.

  • La existencia de alternativas menos intrusivas.

  • La proporcionalidad de la medida.

En este caso, la propia empresa reconoce que se trata de una solución provisional por razones organizativas internas, lo que excluye su carácter imprescindible.

3. Consentimiento y desequilibrio contractual

El uso de dispositivos personales para fines laborales requiere, en su caso, una aceptación libre y voluntaria. Sin embargo, en el ámbito laboral existe un desequilibrio estructural que cuestiona la validez del consentimiento si no se ofrece una alternativa efectiva.

Además, el empleador, como responsable del tratamiento, debe garantizar:

  • Separación técnica entre el uso personal y el laboral.

  • Que las aplicaciones corporativas no accedan a datos privados del dispositivo.

  • Cumplimiento de las garantías en transferencias internacionales de datos, si procede.

Nada de ello quedó acreditado en el expediente.

Sanción impuesta

La AEPD impone una multa de 80.000 €, reducida a 48.000 € por reconocimiento de responsabilidad y pago voluntario.

Asimismo, ordena a la empresa cesar en el uso de los teléfonos móviles personales de los trabajadores para el acceso a la aplicación informática del cliente en el plazo máximo de tres meses.

Conclusión

La imposición del uso del móvil personal del trabajador como requisito imprescindible para acceder a aplicaciones corporativas vulnera la normativa de protección de datos y el principio laboral de ajenidad en los medios, cuando:

  • No existe alternativa corporativa.

  • No se acredita necesidad objetiva.

  • No se garantiza separación técnica y proporcionalidad.

  • El consentimiento no es libre ni informado.

Se trata de un supuesto relevante en la intersección entre Derecho laboral y protección de datos, con impacto directo en la organización empresarial y en la gestión de servicios externalizados.