Precisamente sobre esta cuestión se ha pronunciado recientemente la Agencia Española de Protección de Datos (AEPD) a través de una resolución que afecta a una empresa del sector VTC y que puede tener consecuencias para miles de compañías que utilizan sistemas similares.
En numerosas empresas es habitual que determinados empleados utilicen su propio smartphone para acceder a aplicaciones corporativas. En ocasiones se trata de una medida voluntaria, pero en otras la realidad es que el trabajador no dispone de una alternativa efectiva.
La resolución analizada por la AEPD estudia precisamente esta situación. Los empleados debían instalar diversas aplicaciones relacionadas con la actividad laboral en sus teléfonos personales cuando no disponían de un terminal facilitado por la empresa.
Aunque esta práctica pueda parecer habitual, la Agencia recuerda que el hecho de utilizar un dispositivo privado para trabajar no elimina los derechos del trabajador sobre su información personal ni permite a la empresa acceder a datos ajenos a la finalidad profesional.
Uno de los argumentos más habituales en este tipo de situaciones es que el trabajador aceptó la instalación de las aplicaciones. Sin embargo, en el ámbito laboral el consentimiento no siempre constituye una base jurídica válida.
La razón es sencilla. La relación entre empresa y trabajador no se desarrolla en un plano de igualdad, por lo que resulta necesario analizar si la decisión fue realmente libre.
La AEPD considera que, cuando la única forma práctica de desempeñar el trabajo implica utilizar un teléfono personal, la supuesta aceptación del empleado puede no ser suficiente para legitimar determinados tratamientos de datos.
Además, el hecho de que exista una compensación económica por el uso del dispositivo tampoco elimina automáticamente los riesgos legales asociados a esta práctica.
Otro de los aspectos más relevantes de la resolución es la aplicación del principio de minimización de datos previsto en el Reglamento General de Protección de Datos.
Según la Agencia, algunas de las aplicaciones instaladas permitían acceder a información que iba mucho más allá de lo estrictamente necesario para desarrollar la actividad laboral. Entre los permisos analizados figuraban datos relacionados con la ubicación, contenidos multimedia, grabaciones de voz, contactos e incluso otra información personal del usuario.
La conclusión es clara: las empresas no pueden recopilar datos simplemente porque la tecnología lo permita. Deben justificar de forma concreta qué información necesitan, cuál es su finalidad y por qué resulta imprescindible para el desempeño del trabajo.
Cuanto mayor sea la intrusión en la esfera privada del empleado, mayor deberá ser la justificación y las garantías ofrecidas.
La resolución también pone de manifiesto la importancia de la desconexión digital.
No basta con incluir una referencia genérica en un protocolo interno o informar verbalmente a los trabajadores sobre la posibilidad de cerrar determinadas aplicaciones fuera del horario laboral.
Las organizaciones deben garantizar que los empleados conocen con claridad cuándo cesa la geolocalización, qué información sigue tratándose una vez finalizada la jornada y cómo pueden desconectarse efectivamente de los sistemas corporativos.
Cuando las herramientas de trabajo permanecen instaladas en dispositivos personales, esta obligación adquiere una relevancia todavía mayor.
Aunque el caso analizado afecta a una empresa concreta, las conclusiones son extrapolables a numerosos sectores.
Actualmente es frecuente utilizar aplicaciones móviles para gestionar:
En todos estos supuestos resulta imprescindible revisar qué información recopilan las aplicaciones, qué permisos solicitan y si existen medidas suficientes para proteger la privacidad de los trabajadores.
Las políticas BYOD ("Bring Your Own Device"), cada vez más extendidas, deberán analizarse con especial atención a la luz de este tipo de resoluciones.
La AEPD impuso una multa de 200.000 euros a la empresa afectada, pero el verdadero alcance de la resolución va más allá del importe económico.
La Agencia también exigió la adopción de medidas correctoras destinadas a revisar completamente el sistema implantado, obligando a acreditar la base jurídica utilizada, limitar los datos tratados y reforzar la información facilitada a los trabajadores.
Este enfoque demuestra que la protección de datos ya no se limita a disponer de documentos o cláusulas informativas. Las autoridades están analizando cada vez más cómo funcionan realmente los procesos internos de las organizaciones y qué impacto tienen sobre los derechos de las personas.
Esta resolución constituye una oportunidad para que las organizaciones revisen sus procedimientos internos relacionados con la utilización de dispositivos personales.
Entre otras cuestiones, conviene comprobar:
La digitalización ofrece importantes ventajas operativas, pero no puede desarrollarse a costa de la privacidad de los empleados. El teléfono móvil personal sigue siendo un espacio privado y cualquier injerencia empresarial en ese ámbito debe estar plenamente justificada, limitada y respaldada por las garantías exigidas por la normativa de protección de datos.
|
OURENSE
|
|
 |
+34 988 223 344 |
 |
info@asesoresvilacastro.com |
|
VIGO
|
|
|
+34 986 222 323 |
|
info@asesoresvilacastro.com |
|
CORUÑA
|
|
|
+34 981 910 091 |
|
info@asesoresvilacastro.com |
|
PORTUGAL
|
|
|
(00351) 255 215 0959 |
|
geral@consultoresvilacastro.com |
