La Agencia Española de Protección de Datos (AEPD) ha sancionado con 48.000 euros a una empresa del sector del contact center por utilizar el teléfono móvil personal de sus trabajadores como sistema de verificación para acceder a aplicaciones de un cliente, una práctica que el organismo considera contraria al Reglamento General de Protección de Datos (RGPD).
La resolución, hecha pública por la AEPD, pone el foco en el uso del número de teléfono privado de los empleados para recibir códigos de autenticación por SMS, necesarios para iniciar sesión en los sistemas informáticos de una empresa cliente extranjera.
Recogida de datos sin información ni alternativa
Según recoge la resolución, durante sesiones de formación la empresa solicitó a los trabajadores que anotaran en un papel en blanco su número de teléfono personal y su fecha de nacimiento, con el objetivo de comprobar que los datos estuvieran actualizados.
Posteriormente, esos números fueron comunicados al cliente, que comenzó a enviar mensajes SMS con las contraseñas de acceso a sus aplicaciones. Los trabajadores no recibieron información previa por escrito sobre el tratamiento de sus datos ni se les ofreció una alternativa al uso de su teléfono personal, como un móvil corporativo o un sistema distinto de autenticación.
La situación afectó al menos a 203 trabajadores, que utilizaron su teléfono privado para fines laborales durante más de un año.
El argumento de la empresa no convence a la AEPD
Durante la investigación, la empresa defendió que el uso del teléfono personal era una solución temporal, motivada por la falta de dispositivos corporativos, y que el tratamiento de los datos estaba justificado por la necesidad de ejecutar el contrato laboral.
Sin embargo, la AEPD rechaza este argumento y recuerda que corresponde a la empresa facilitar los medios necesarios para el desempeño de la actividad laboral. En este sentido, el organismo subraya que el uso del móvil personal en el trabajo no puede imponerse cuando afecta a la esfera privada del empleado y no existe una alternativa real.
Además, la Agencia considera que el consentimiento del trabajador no es válido en estos casos, al existir una clara relación de desequilibrio entre empresa y empleado, especialmente cuando negarse a facilitar el número de teléfono puede impedir el acceso a las herramientas necesarias para trabajar.
Advertencias internas ignoradas
Uno de los aspectos más relevantes del caso es que el Delegado de Protección de Datos de la propia empresa había advertido expresamente de que el uso de teléfonos personales para fines profesionales no era conforme a la normativa de protección de datos.
Pese a ello, la práctica se mantuvo durante meses, lo que la AEPD considera un factor agravante a la hora de valorar la infracción.
Cesión de datos a un tercer país
La resolución también destaca que los datos personales de los trabajadores fueron comunicados a una empresa cuyos sistemas se gestionaban desde China, un país fuera del Espacio Económico Europeo. Aunque la empresa había realizado evaluaciones de impacto, la AEPD subraya que esta circunstancia incrementa la sensibilidad del tratamiento realizado.
Multa y medidas correctivas
La Agencia calificó los hechos como una infracción grave del artículo 6 del RGPD y fijó inicialmente una sanción de 80.000 euros. No obstante, la empresa se acogió al reconocimiento de responsabilidad y al pago voluntario, lo que redujo la multa final a 48.000 euros.
Además del importe económico, la AEPD ordenó a la empresa cesar definitivamente el uso de teléfonos móviles personales de los trabajadores para acceder a sistemas informáticos y acreditar la adopción de medidas correctoras en un plazo máximo de tres meses.
Los detalles completos del caso pueden consultarse en la resolución sancionadora publicada por la Agencia Española de Protección de Datos.
Un aviso claro para las empresas
Con esta resolución, la AEPD refuerza un criterio ya consolidado y es que las empresas no pueden exigir a los trabajadores el uso de dispositivos personales para fines laborales, ni siquiera cuando se alegan motivos de seguridad o exigencias técnicas por parte de clientes.