Móvil personal en el trabajo: qué nos enseña la multa de 200.000 € de la AEPD

¿Tu empresa pide a la plantilla que instale aplicaciones de trabajo en su teléfono personal? ¿Usáis apps de geolocalización, control horario o reparto en los móviles de los empleados? Si la respuesta es sí, esta resolución te interesa de cerca.

La Agencia Española de Protección de Datos (AEPD) ha sancionado con 200.000 euros a una empresa del sector de transporte de pasajeros por obligar a sus conductores a instalar aplicaciones laborales en sus dispositivos —incluidos los personales— y tratar con ellas muchos más datos de los necesarios. Aunque el caso afecta al sector VTC, el mensaje vale para cualquier empresa que apoye su operativa diaria en apps móviles. Te lo resumimos y te dejamos una guía práctica para evitar el mismo error.

Qué ha ocurrido: el caso

Todo arrancó con la reclamación de un conductor el 23 de julio de 2024. Denunciaba que la empresa le exigía usar su móvil personal para trabajar e instalar varias aplicaciones que monitorizaban su actividad de forma continua, sin haber recibido información suficiente sobre qué datos se recogían.

La compañía alegó que el trabajador podía elegir entre un terminal corporativo o el suyo propio (con una compensación mensual). Pero la AEPD detectó el punto débil: la disponibilidad de móviles de empresa dependía del presupuesto, de modo que, en la práctica, usar el móvil personal podía acabar siendo obligatorio. Y las apps —comunicación interna, apertura y cierre del vehículo, plataforma del servicio y geolocalización— eran imprescindibles para poder trabajar.

A través de esas aplicaciones se recopilaban datos como geolocalización continua (aproximada y precisa), fotos, vídeos, grabaciones de voz, contactos e incluso información sobre el estado físico del conductor. Además, los empleados no podían modificar la configuración ni los permisos sin autorización expresa de la empresa.

Por qué la AEPD ha sancionado: tres infracciones del RGPD

La resolución (expediente EXP202411411) reparte la multa en tres incumplimientos claros:

• Falta de minimización (art. 5.1.c RGPD) — 100.000 €. Las apps accedían a categorías de datos que excedían con mucho lo necesario para prestar el servicio. Una cosa es saber la ubicación durante un trayecto y otra muy distinta acceder a fotos, sonido o estado físico del trabajador.
• Falta de base de licitud válida (art. 6.1 RGPD) — 80.000 €. En una relación laboral existe un desequilibrio evidente entre empresa y empleado, por lo que el consentimiento rara vez es «libre». Si el móvil corporativo no está disponible desde el principio y las apps son obligatorias para trabajar, el trabajador no tiene una alternativa real: no consiente, acata.
• Incumplimiento del deber de información (art. 13 RGPD) — 20.000 €. La empresa no explicó con claridad qué datos se recogían, con qué alcance ni cómo debían desconectarse las aplicaciones al terminar la jornada.

Además de la multa, la AEPD da a la empresa dos meses para acreditar que limita los datos a lo imprescindible, que cuenta con una base jurídica válida (o que cesa el tratamiento) y que informa correctamente, incluida la desconexión fuera del horario laboral.

Las claves para tu empresa (aunque no seas una VTC)

El mismo razonamiento se aplica a miles de empresas que usan apps para control horario, gestión comercial, reparto, rutas, comunicación interna o acceso remoto. Estos son los aprendizajes que conviene interiorizar:

• El consentimiento del trabajador no es un cheque en blanco. En el ámbito laboral casi nunca sirve como base legitimadora; hay que apoyarse, según el caso, en la ejecución del contrato o en un interés legítimo bien ponderado.
• Menos es más. Cada permiso de una app (ubicación, micrófono, cámara, contactos) debe justificarse frente a una finalidad concreta. Si no es necesario, no se recoge.
• El dispositivo personal tiene una frontera. Pedir que se instalen apps en el móvil privado intensifica la intromisión en la vida personal. Sin garantías reforzadas, es terreno resbaladizo.
• La desconexión debe funcionar de verdad. No basta con decir que el empleado «puede desconectar»: hay que explicar cuándo cesa la monitorización y cómo se desactiva.
• Transparencia desde el primer minuto. El deber de información (art. 13 RGPD) exige explicaciones claras, completas y por escrito.

Conviene recordar, además, que el marco español refuerza estas garantías: la LOPDGDD reconoce el derecho a la intimidad frente al uso de dispositivos digitales (art. 87), el derecho a la desconexión digital (art. 88) y el derecho a la intimidad ante la geolocalización en el trabajo (art. 90), en línea con el art. 20 bis del Estatuto de los Trabajadores.

Guía rápida: antes de pedir el móvil personal o instalar una app

Una lista de comprobación para implantar (o revisar) tu política BYOD sin sustos:

• Ofrece una alternativa real. Dispositivo corporativo disponible de forma efectiva, no solo «sobre el papel».
• Define la base jurídica del tratamiento para cada finalidad, antes de empezar.
• Audita los permisos de cada app y elimina los que no sean estrictamente necesarios.
• Redacta una cláusula informativa clara (qué datos, para qué, durante cuánto tiempo, con quién se comparten y cómo desconectar).
• Aprueba una política de uso de dispositivos (BYOD) que delimite responsabilidades, configuración y separación entre lo personal y lo profesional.
• Garantiza la desconexión fuera de jornada y documenta cómo se materializa.
• Valora una evaluación de impacto (EIPD) si hay geolocalización continua o seguimiento sistemático.
• Forma a tu plantilla y a tus mandos para que el uso de las herramientas sea proporcional.

Cómo te ayuda Auditta

¿Usáis apps o móviles personales en el trabajo y no tienes la certeza de estar cumpliendo? Escríbenos y revisamos tu caso sin compromiso.

Puedes consultar la resolución completa de la AEPD aquí: PS-00454-2024 (EXP202411411)

Créditos / Referencias: Imagen de freepik