La Agencia Española de Protección de Datos (AEPD) concluye que la inclusión de un trabajador en un grupo de WhatsApp creado por la empresa, utilizando su número de teléfono personal, vulnera el Reglamento General de Protección de Datos (RGPD) cuando no se ha recabado su consentimiento ni se ha acreditado una base jurídica que legitime dicho tratamiento.
Durante la tramitación del procedimiento sancionador PS/00393/2024, se acredita que la empresa añade al trabajador recurrente a un grupo de mensajería instantánea sin que conste su autorización expresa ni se justifique la necesidad de emplear su número privado como canal de comunicación. La finalidad del grupo incluye tanto comunicaciones laborales como mensajes de contenido personal, lo que agrava la exposición indebida de sus datos.
La AEPD recuerda que el uso de datos personales de contacto, como el número de teléfono móvil, para establecer comunicaciones entre compañeros de trabajo mediante herramientas como WhatsApp, constituye un tratamiento de datos personales sometido a las exigencias del RGPD. En el entorno laboral, el consentimiento del trabajador no puede considerarse libremente prestado debido al desequilibrio inherente a la relación empleador-empleado, por lo que carece de validez como base jurídica legítima.
En su análisis, el organismo señala que el tratamiento podría estar justificado en ciertas condiciones sin necesidad de consentimiento, como cuando resulta necesario para ejecutar el contrato laboral, satisfacer un interés legítimo del responsable o cumplir una obligación legal. No obstante, la empresa no acredita ninguna de estas circunstancias. En particular, no justifica:
-
que la utilización del número personal sea indispensable para la ejecución del contrato de trabajo;
-
que se haya ponderado debidamente un interés legítimo frente a los derechos del trabajador;
-
que existan medios alternativos menos intrusivos, como el correo electrónico corporativo;
-
ni que el uso de WhatsApp sea voluntario.
Adicionalmente, la AEPD constata que el grupo de WhatsApp ha servido para emitir mensajes laborales fuera del horario de trabajo y para compartir contenidos personales, como felicitaciones o celebraciones privadas, lo que implica una intromisión aún mayor en la esfera privada del afectado.
A la vista de estos hechos, el organismo de control impone una sanción de 2.000 euros, reducida a 1.200 euros por reconocimiento de responsabilidad y pago voluntario. La resolución subraya la necesidad de respetar la normativa en materia de protección de datos incluso en las dinámicas internas de comunicación empresarial y recomienda evaluar cuidadosamente la base jurídica aplicable antes de utilizar datos personales en herramientas de mensajería instantánea.
La decisión sienta un precedente claro sobre el uso inadecuado de medios personales en el ámbito profesional y obliga a las empresas a revisar sus políticas internas de comunicación digital, en línea con los principios de minimización y limitación del tratamiento previstos en el RGPD.
Resolución AEPD PS/00393/2024.
