Realizado por: Carmen María Pérez Marín
¿Tu empresa utiliza grupos de WhatsApp para comunicarse con sus empleados? Puede que una práctica tan cotidiana como añadir a un trabajador a un grupo de mensajería termine convirtiéndose en un problema de protección de datos.
Organizar turnos, compartir avisos, resolver incidencias o coordinar equipos a través de WhatsApp es algo habitual en muchas organizaciones. Es rápido, cómodo y prácticamente todo el mundo lo utiliza. Pero ¿puede una empresa incluir a sus trabajadores en un grupo de WhatsApp utilizando sus números de teléfono personales?
Una resolución de la Agencia Española de Protección de Datos (AEPD), que establece una sanción inicial de 70.000 euros, nos recuerda que las comunicaciones laborales también deben cumplir con el Reglamento General de Protección de Datos (RGPD).
Y lo más interesante es que se trata de una situación que podría estar produciéndose en muchas empresas sin que sus responsables sean conscientes de los riesgos.
Un grupo de WhatsApp, una trabajadora y una sanción de 70.000 euros
Todo comenzó cuando una trabajadora presentó una reclamación ante la AEPD por el uso de su teléfono móvil personal para cuestiones laborales. Según recoge la resolución, la empleada había estado utilizando su propio teléfono mientras esperaba que la empresa le facilitara un dispositivo corporativo. Sin embargo, ante la demora en la entrega, comunicó expresamente a sus responsables que no quería seguir utilizando su móvil particular para asuntos de trabajo, salvo determinados contactos con clientes que ya disponían de su número.
También anunció que abandonaría los grupos de WhatsApp laborales. A pesar de ello, el 5 de junio de 2023, durante uno de sus días de descanso, fue incorporada nuevamente a un grupo corporativo utilizando su número personal.
La trabajadora decidió presentar una reclamación ante la AEPD.
Tras la tramitación del procedimiento, la Agencia consideró que la empresa no había acreditado una base jurídica que legitimara el tratamiento del número de teléfono personal de la empleada para incluirla en el grupo de WhatsApp. El resultado fue una sanción de 70.000 euros por vulneración del artículo 6.1 del RGPD, que finalmente quedó reducida a 42.000 euros por reconocimiento de responsabilidad y pago voluntario. Una cantidad considerable por una práctica que, probablemente, muchas organizaciones consideran completamente normal.
¿Es ilegal utilizar WhatsApp para comunicarse con los trabajadores?
Esta es, posiblemente, la pregunta más importante.
No. Utilizar WhatsApp en el entorno laboral no está prohibido de manera general. Lo que debe analizarse es cómo se utiliza, qué datos personales se tratan y si existe una base jurídica adecuada para hacerlo. El número de teléfono de un trabajador es un dato personal y, por tanto, está protegido por el RGPD. Cuando una empresa incorpora ese número a un grupo de WhatsApp laboral, está realizando un tratamiento de datos personales. Además, debe tenerse en cuenta que los participantes de un grupo pueden visualizar los números de teléfono de los demás integrantes. Por ello, la empresa debe poder justificar la necesidad y licitud del tratamiento, informar adecuadamente a sus empleados y respetar los principios de minimización, proporcionalidad y seguridad.
En el caso analizado, la AEPD consideró especialmente relevante que la trabajadora hubiera manifestado expresamente su negativa a seguir utilizando el teléfono particular para asuntos profesionales. La empresa alegó que el uso de dispositivos personales respondía a situaciones excepcionales en las que no se disponía de un terminal corporativo operativo. Sin embargo, esta circunstancia no fue suficiente para justificar el tratamiento realizado. La conclusión es clara: que una herramienta resulte cómoda o facilite la organización del trabajo no significa que cualquier uso de los datos personales esté automáticamente legitimado.
¿Basta con que el trabajador acepte participar en el grupo?
No necesariamente. El consentimiento es una de las bases jurídicas previstas en el RGPD, pero no la única. Además, en el ámbito laboral debe prestarse especial atención a la relación de dependencia que existe entre empresa y trabajador.
Para que el consentimiento sea válido, debe ser libre, específico, informado e inequívoco. Por tanto, no siempre será adecuado recurrir al consentimiento como fundamento del tratamiento, especialmente cuando el empleado pueda sentirse obligado a aceptar para evitar consecuencias laborales. Dependiendo de las circunstancias, podrían valorarse otras bases legitimadoras, siempre que concurran realmente sus requisitos y que el tratamiento sea necesario y proporcionado.
Lo importante es que la empresa no dé por supuesto que puede utilizar los datos personales de sus empleados simplemente porque existe una relación laboral. Esta es precisamente una de las cuestiones que deben revisarse dentro de un adecuado sistema de cumplimiento del RGPD en empresas.
Cinco cuestiones que tu empresa debería revisar antes de crear un grupo de WhatsApp laboral
Este caso es una buena oportunidad para comprobar si las comunicaciones internas de tu organización se gestionan correctamente.
- ¿Es necesario utilizar teléfonos personales? Antes de incorporarlos a grupos laborales, conviene valorar si existen alternativas corporativas que permitan comunicar la misma información sin utilizar los números particulares de los empleados.
- ¿Existe una base jurídica adecuada? La organización debe identificar qué legitima el tratamiento de los datos personales y poder demostrarlo si fuera necesario.
- ¿Los trabajadores han sido informados? Es importante explicar qué datos se utilizan, con qué finalidad, quién podrá acceder a ellos y cuáles son los derechos de los interesados.
- ¿Hay normas internas sobre el uso de WhatsApp y dispositivos personales? Disponer de una política de comunicaciones y de uso de dispositivos ayuda a establecer criterios claros, evitar actuaciones improvisadas y definir las responsabilidades de cada empleado.
- ¿Se respeta el derecho a la desconexión digital? La utilización de aplicaciones de mensajería no debe convertirse en una obligación general de estar disponible fuera de la jornada laboral. Las empresas deben tener en cuenta las garantías previstas en la normativa laboral y en el artículo 88 de la LOPDGDD.
Más allá de WhatsApp: cuando lo personal y lo profesional se mezclan
Actualmente, muchas organizaciones utilizan herramientas digitales para facilitar su actividad diaria. Teléfonos particulares, aplicaciones de mensajería, plataformas colaborativas o dispositivos personales forman parte del funcionamiento habitual de numerosas empresas. Sin embargo, esta comodidad también puede provocar que desaparezca la separación entre la esfera personal y la profesional.
Por ejemplo, ¿qué sucede si un trabajador abandona la empresa y sigue teniendo acceso a conversaciones laborales? ¿Quién controla la información que se comparte en los grupos? ¿Qué ocurre si un dispositivo personal se pierde o es robado? Son preguntas que deben abordarse tanto desde la perspectiva de la protección de datos como de la ciberseguridad. Contar con dispositivos corporativos, establecer controles de acceso, definir normas sobre comunicaciones internas y formar al personal son medidas que contribuyen a reducir estos riesgos. La digitalización debe facilitar el trabajo, pero siempre acompañada de una gestión adecuada de la privacidad y la seguridad de la información.
¿Cómo puede ayudarte LEGITEC a prevenir este tipo de situaciones?
En LEGITEC sabemos que muchas incidencias relacionadas con la protección de datos no tienen su origen en grandes fallos tecnológicos, sino en prácticas cotidianas que se han normalizado con el paso del tiempo.
Y precisamente por eso es importante detectarlas antes de que provoquen una reclamación.
Nuestro equipo de especialistas en protección de datos, cumplimiento normativo y ciberseguridad ayuda a las organizaciones a revisar sus procedimientos y adaptar sus prácticas de trabajo a las exigencias legales.
A través de nuestros servicios de consultoría RGPD, podemos ayudarte a identificar tratamientos de datos personales, revisar sus bases legitimadoras y diseñar políticas internas adaptadas al funcionamiento real de tu empresa.
También ofrecemos auditorías de protección de datos para detectar posibles incumplimientos y proponer medidas correctoras, así como formación en protección de datos para concienciar a los trabajadores sobre el uso responsable de la información.
Porque cumplir con la normativa no consiste únicamente en disponer de documentos: también implica revisar cómo se trabaja cada día.