Protección de Datos detectó permisos excesivos y falta de garantías. El contrato de trabajo no permite acceder sin límites a información privada.
Un conductor de VTC denunció que necesitaba usar su móvil personal e instalar cuatro aplicaciones para poder trabajar. Su reclamación, presentada el 23 de julio de 2024, terminó en una multa de 200.000 euros a Ares Capital. La AEPD apreció excesos en el tratamiento de datos y falta de garantías. El caso ha sido analizado nuevamente en una tribuna de Cinco Días publicada el 1 de septiembre de 2026.
Las aplicaciones del trabajo no justifican cualquier acceso al móvil
Según el expediente EXP202411411, las aplicaciones eran obligatorias en el terminal utilizado para trabajar, fuera personal o corporativo. La empresa defendía que usar el propio teléfono era voluntario. Sin embargo, proporcionar uno corporativo dependía de la disponibilidad y del presupuesto. Algunas herramientas solicitaban permisos relacionados con ubicación, fotografías, vídeos, contactos, audio e información sobre el estado físico. Esos permisos no deben confundirse con la prueba de que se revisara cada conversación privada. El problema era la amplitud del acceso permitido.
La multa reúne 100.000 euros por vulnerar la minimización de datos, 80.000 por falta de base jurídica y 20.000 por información insuficiente. Esta tampoco aclaraba adecuadamente cómo asegurar la desconexión fuera del trabajo. La AEPD concedió dos meses desde la ejecutividad de la resolución para acreditar las correcciones. El documento contemplaba reposición en un mes o recurso ante la Audiencia Nacional en dos meses, desde la notificación. No establece una sanción automática por cualquier uso del teléfono privado.
Trabajar por cuenta ajena no supone ceder la vida privada
Francisco Trujillo Pons, profesor de Derecho del Trabajo en la Universitat Jaume I, aborda el asunto desde la ajenidad. Es una característica del trabajo por cuenta ajena recogida en el artículo 1 del Estatuto de los Trabajadores. El empleado aporta su actividad a una organización ajena a cambio de un salario. Trujillo sostiene que esa integración no permite convertir cualquier dispositivo privado en un instrumento de supervisión empresarial. Su análisis laboral complementa la resolución, que sanciona infracciones de protección de datos.
Esto no elimina las facultades de la empresa para organizar el trabajo. El artículo 20.3 permite vigilar el cumplimiento de las obligaciones, pero exige respetar la dignidad del empleado. El artículo 20 bis incluye entre los derechos laborales la intimidad digital y la desconexión. Además, emplear dispositivos propios puede trasladar al trabajador gastos de conexión, mantenimiento y equipos. Esa cuestión laboral debe distinguirse de la licitud del tratamiento de datos. Compensar un gasto no convierte por sí solo en legítimo cualquier control.
Aceptar una aplicación no convierte en válido cualquier control
La guía laboral de la AEPD advierte de que el consentimiento no suele ser una base adecuada cuando existe subordinación. Para ser válido, rechazarlo debe ser posible sin consecuencias perjudiciales. El contrato puede amparar tratamientos necesarios para cumplirlo, pero no autoriza a recopilar cualquier información. Incluir una cláusula general sobre tecnología no sustituye el análisis de necesidad. Deben valorarse la finalidad perseguida, los datos solicitados y las alternativas menos invasivas. La posibilidad técnica de acceder a información no equivale a una autorización legal para hacerlo.
La geolocalización tampoco está prohibida en todos los casos. El artículo 90 de la Ley Orgánica 3/2018 permite utilizarla para controles laborales dentro de los límites legales. Antes, deben explicarse expresamente su existencia y características a los trabajadores y, cuando corresponda, a sus representantes. También deben comunicarse los derechos que pueden ejercerse. Incluso un teléfono corporativo está sujeto a garantías de privacidad. Que el equipo pertenezca a la empresa no permite un acceso ilimitado a su contenido.
La prohibición expresa en el trabajo a distancia y las vías para reclamar
Para el trabajo a distancia incluido en la Ley 10/2021 existe una prohibición expresa, vigente desde 2021. Su artículo 17.2 impide exigir la instalación de programas o aplicaciones en dispositivos propiedad de la persona trabajadora. También prohíbe imponer el uso de esos equipos para desarrollar ese trabajo a distancia. Los artículos 11 y 12 obligan a proporcionar los medios necesarios y sufragar o compensar los gastos correspondientes. Esta regla tiene un ámbito específico. No debe trasladarse automáticamente a cualquier empleo presencial ni confundirse con una prohibición universal de usar voluntariamente un móvil propio.
Un trabajador puede solicitar por escrito información sobre los datos tratados y ejercitar sus derechos ante la empresa. Para reclamar por la falta de atención a esos derechos, debe dirigirse primero al responsable. El plazo general de respuesta es de un mes, ampliable en determinados supuestos. Si aprecia una infracción en el tratamiento de sus datos, puede presentar una reclamación ante la AEPD aportando pruebas. Capturas de los permisos, comunicaciones recibidas y cláusulas contractuales pueden ayudar a documentar lo ocurrido.