Instalar apps que acceden a tu ubicación, tus fotos o incluso a datos de salud para poder trabajar. Esto es lo que hacía una empresa de VTC con sus conductores. Ahora, la Agencia Española de Protección de Datos (AEPD) ha impuesto una sanción de 200.000 euros por vulnerar la privacidad de miles de trabajadores.
El caso (Expediente N.º: EXP202411411) afecta a una compañía con más de 5.700 empleados y una facturación superior a 256 millones de euros. Todo comenzó con la denuncia de un conductor que alertó de un control constante a través de su propio teléfono móvil.
Obligados a usar su móvil personal para trabajar
La empresa exigía a los conductores instalar varias aplicaciones necesarias para prestar el servicio. El problema es que, en muchos casos, no proporcionaba un teléfono corporativo.
En la práctica, esto obligaba a los trabajadores a utilizar su móvil personal si querían trabajar.
Aunque la empresa defendía que era una elección voluntaria, la AEPD concluye que no existía una alternativa real. Si no hay móvil de empresa disponible, el consentimiento deja de ser libre.
Apps que accedían a datos sensibles del trabajador
Las aplicaciones obligatorias no solo servían para gestionar rutas o clientes. Tenían permisos para acceder a una gran cantidad de información personal.
- Ubicación en tiempo real de forma continua
- Fotos y vídeos almacenados en el dispositivo
- Grabaciones de voz y sonido
- Contactos personales
- Datos de salud o estado físico
- Información personal e identificadores del usuario
Todo esto fue probado gracias a que el trabajador aportó capturas de las aplicaciones y de la página de descarga de Google Play donde había información pública de los desarrolladores donde aparece los permisos y los datos que la app puede recopilar.
La AEPD considera probado que estos datos iban mucho más allá de lo necesario para realizar el trabajo, lo que vulnera directamente la normativa de protección de datos.
Tres infracciones que elevan la multa a 200.000 euros
La sanción no responde a un único incumplimiento, sino a varios. En concreto, la Agencia detecta tres infracciones graves del RGPD:
- Recoger más datos de los necesarios (artículo 5.1.c RGPD): las apps accedían a información como salud, audio o contactos sin justificación.
- No tener base legal válida (artículo 6.1. RGPD): el consentimiento no era libre porque el trabajador dependía del empleo.
- Falta de información clara (artículo 13 RGPD): los empleados no sabían realmente qué datos se recogían ni para qué.
El resultado es una sanción total de 200.000 euros, teniendo en cuenta la gravedad de los hechos y el número de trabajadores afectados.