Es bastante común entre las empresas imponer a los trabajadores el uso de medios personales con fines laborales. Pero que sea una práctica extendida no significa que sea legal.
Las compañías no pueden utilizar herramientas, aplicaciones o dispositivos personales de su plantilla, salvo que hayan sido proporcionados por la propia empresa.
Y para evitar errores comunes, es clave que las organizaciones fomenten una auténtica cultura de protección de datos 👉Descubre como aqui
Ahora bien, ¿sería legal solicitar el consentimiento del trabajador para el uso de sus medios personales?
¿Es válido el consentimiento en el entorno laboral?
La complejidad del consentimiento laboral
Esta es una pregunta con cierto grado de complejidad, sobre la que no es sencillo dar una respuesta concisa.
El Comité Europeo de Protección de Datos (CEPD), en sus Directrices 5/2020 sobre el consentimiento en el sentido del reglamento (UE) 2016/679, de 4 de mayo de 2020, señala que en el contexto del empleo existe un desequilibrio de poder: “Dada la dependencia que resulta de la relación entre el empleador y el empleado, no es probable que el interesado pueda negar a su empleador el consentimiento sin experimentar temor o riesgo real de que su negativa produzca efectos perjudiciales”. No obstante, añade el Comité, “puede haber situaciones en las que el empleador puede demostrar que el consentimiento ha sido dado libremente”. Se refiere el Comité, en este último caso, a circunstancias excepcionales en las que el otorgamiento del consentimiento no tiene consecuencias adversas. Del mismo modo, el Dictamen 2/2017 del Grupo de Trabajo del artículo 29, de 8 de junio de 2017 sobre tratamiento de datos en el trabajo, se pronunciaba en la misma línea.
Por su parte, el artículo 7.4 del RGPD nos dice que “para evaluar si el consentimiento se ha dado libremente, se tendrá en cuenta en la mayor medida posible el hecho de si, entre otras cosas, la ejecución de un contrato, incluida la prestación de un servicio, se supedita al consentimiento para el tratamiento de datos que no son necesarios para la ejecución de dicho contrato”.
Tanto el CEPD, como el Grupo de Trabajo del artículo 29 y el artículo 7.4 del Reglamento General de Protección de Datos (RGPD), se refieren siempre al consentimiento para el tratamiento de datos y no a la autorización para el uso de los dispositivos personales con fines laborales. Sin embargo, las reglas aplicables a la hora de evaluar si el consentimiento es libre, son similares, pudiendo concluir, por tanto, que si la empresa ofrece alternativas al empleo de los dispositivos personales (por ejemplo, si ofrece un móvil corporativo, o similar) el consentimiento no sería condicionado, y podría considerarse válido. El problema es que, en la práctica, esto raramente ocurre: muchas empresas no ofrecen ninguna alternativa a los medios personales.
Resoluciones recientes sobre el uso de dispositivos personales
Repasamos algunos casos y sentencias recientes que aclaran el marco legal:
EXPEDIENTE Nº EXP202405912 DE LA AEPD
Una empresa facilitó el número personal de una trabajadora a sus compañeros, al asumir que ese sería su número para tareas laborales. La trabajadora comenzó a recibir numerosas llamadas, ante lo cual preguntó a la empresa quien había facilitado su número de teléfono. Desde la compañía se justificó la acción indicando que el número había sido proporcionado debido a dificultades para contactarla por correo electrónico. Además, la empresa utilizó su número y correo personal para crear una cuenta de recuperación sin consentimiento. Este proceder derivó en una sanción de 6000 € para la empresa por no contar ni con base de legitimación para tratar los datos, ni con autorización para el uso de los dispositivos personales de la trabajadora.
SENTENCIA Nº 1304/2024, DE 27 DE NOVIEMBRE DE 2024, DEL TS
El Tribunal Supremo (TS) ha confirmado una sentencia que prohíbe a las empresas exigir a sus empleados que proporcionen su correo electrónico personal para cuestiones laborales. Esta controversia surgió cuando una empresa incluyó en sus contratos de teletrabajo una cláusula que obligaba a los trabajadores a ofrecer su dirección de correo personal para fines laborales.
La Audiencia Nacional consideró que dicha exigencia era abusiva y contraria a la normativa vigente. En su recurso, la empresa argumentó que el uso del correo personal era necesario, pero el TS aclaró que esta práctica violaba el artículo 11 del Real Decreto sobre el trabajo a distancia, que establece que es responsabilidad de la empresa proporcionar los medios adecuados, como un correo corporativo, para la comunicación laboral.
SENTENCIA 14/2024, DE LA SALA DE LO SOCIAL DE LA AUDIENCIA NACIONAL, RECURSO 297/2023 DE 5 DE FEBRERO DE 2024
En otro caso relacionado con el trabajo a distancia, la Sala de lo Social de la Audiencia Nacional resolvió un recurso donde se cuestionaba el uso de dispositivos personales de los trabajadores para la autenticación en aplicaciones laborales. Una de las cláusulas de dicho acuerdo señalaba que la empresa podía solicitar, puntualmente, el número de teléfono móvil de la persona trabajadora para la recepción de mensajes de texto (SMS) para acceder a aplicaciones que permitían confirmar la identidad, únicamente durante el horario de trabajo establecido. La empresa justificaba esta medida en el interés legítimo que tenía por salvaguardar la seguridad de la información y de los sistemas.
Sin embargo, el convenio colectivo de la empresa especificaba que no se podían utilizar dispositivos personales para el trabajo y preveía que en el caso de que fuera necesario un doble factor de autenticación, la empresa debería facilitar las herramientas y medios necesarios para ello. Excepcionalmente, si la persona rechazaba los medios facilitados por la empresa, podría dar su consentimiento para el uso de dispositivos personales.
La Sala de lo Social de la Audiencia Nacional no cuestiona el uso de métodos de autenticación como el doble factor, pero sí considera inadecuado que este se base en el teléfono móvil personal del trabajador, ya que contraviene lo establecido en el convenio colectivo aplicable. Por ello, declara nula la cláusula del acuerdo de teletrabajo que lo exigía.
En línea con este criterio, la Agencia Española de Protección de Datos (AEPD) ya se habia pronunciado en 2021 mediante el expediente nº EXP202100091, apercibiendo a la Policía Municipal del Ayuntamiento de Madrid por la utilización del número de teléfono móvil personal de los agentes como factor de autenticación, sin concurrir base legitimadora del artículo 6.1 del RGPD.
CONCLUSIÓN: ¿Puede la empresa imponer el uso de móviles personales?
Estas resoluciones subrayan que las empresas no deben forzar el uso de dispositivos personales de los trabajadores, a menos que se les ofrezca una alternativa adecuada para realizar sus funciones laborales. En situaciones donde los empleados elijan utilizar sus dispositivos personales, se debe implementar una política BYOD (Bring Your Own Device), que regule su uso y establezca medidas de seguridad claras.
Es fundamental definir correctamente los roles y responsabilidades asociadas a la protección de la información. Descubre cómo lo establece el Esquema Nacional de Seguridad (ENS).
