En el dinámico entorno laboral actual, la inmediatez se ha convertido en un valor casi indispensable. Herramientas como WhatsApp se han infiltrado en la comunicación corporativa de manera orgánica, ofreciendo un canal directo y ágil que parece desdibujar las barreras formales en pro de la eficiencia. Sin embargo, esta aparente simplicidad esconde una complejidad jurídica notable, especialmente cuando la línea que separa lo personal de lo profesional se vuelve difusa. La inclusión de un empleado en un grupo de WhatsApp de trabajo utilizando su número de teléfono personal no es un acto inocuo; es un tratamiento de datos personales que, de no realizarse correctamente, puede acarrear —y de hecho, lo hace— consecuencias significativas para las empresas.
Un ejemplo paradigmático y reciente que ilustra esta tensión es la sanción impuesta por la Agencia Española de Protección de Datos (AEPD) a LVMH Iberia. La filial del conglomerado de lujo fue sancionada inicialmente con 70.000 euros (reducidos finalmente a 42.000 euros tras el reconocimiento de responsabilidad y el pago voluntario) por incluir el número de teléfono personal de una empleada en un grupo de WhatsApp de la empresa sin una base legal que lo legitimara. El caso es especialmente revelador: la trabajadora, que había utilizado su móvil personal por requerimiento de la empresa a la espera de un terminal corporativo, comunicó expresamente al inicio de sus vacaciones que abandonaba los grupos y dejaba de usar su número para fines laborales. A pesar de ello, fue reincorporada a un grupo sin su consentimiento.
La naturaleza del dato: por qué un número de teléfono importa
Para comprender el fondo del asunto, es crucial despojarse de la idea de que un número de teléfono es un simple dato de contacto. Desde la perspectiva del Reglamento General de Protección de Datos (RGPD), y de la normativa española que lo desarrolla, el número de teléfono personal de un individuo es, inequívocamente, un dato de carácter personal. Su tratamiento —que incluye desde su almacenamiento hasta su uso para añadir a una persona a un grupo— debe estar legitimado por una de las bases que el propio reglamento establece en su artículo 6.
La creencia de que la relación laboral ampara por sí misma este tipo de prácticas es un error común y arriesgado. Si bien el contrato de trabajo puede legitimar ciertos tratamientos de datos necesarios para la ejecución de dicho contrato, la AEPD ha sido muy clara al respecto. La cuestión fundamental reside en determinar si el uso del teléfono personal del trabajador es estrictamente necesario para la prestación de sus servicios. En la mayoría de los escenarios, y como se evidenció en el caso de LVMH, la respuesta tiende a ser negativa, sobre todo si existen alternativas menos invasivas o si la empresa no ha provisto los medios corporativos adecuados.
El consentimiento: un pilar no siempre sólido en el ámbito laboral
Ante la falta de necesidad contractual, muchas empresas podrían pensar en el consentimiento del empleado como la llave maestra. Sin embargo, el RGPD exige que este consentimiento sea libre, específico, informado e inequívoco. En el contexto de una relación laboral, caracterizada por un inherente desequilibrio entre las partes, demostrar que el consentimiento ha sido otorgado de forma verdaderamente «libre» es un desafío mayúsculo. ¿Puede un trabajador negarse a facilitar su número personal para un grupo de trabajo sin temor a represalias o a ser visto como un elemento no colaborativo? La AEPD ha mostrado un criterio restrictivo al respecto, entendiendo que esta presión ambiental puede viciar el consentimiento.
La resolución contra LVMH Iberia es un claro exponente de esta doctrina. La empresa no pudo acreditar la existencia de un consentimiento válido de la trabajadora, quien, además, había manifestado su voluntad expresa de no seguir utilizando su dispositivo personal para fines laborales. La inclusión posterior en el grupo de WhatsApp constituyó, por tanto, un tratamiento de datos ilícito por carecer de una base jurídica que lo amparase. No basta con una aceptación tácita o una no negativa. Se requiere una acción afirmativa por parte del empleado, y la empresa debe ser capaz de acreditar que obtuvo ese consentimiento de manera válida, sin coacciones y para una finalidad concreta.
Las consecuencias de una práctica no meditada
Las sanciones impuestas por la AEPD no son anecdóticas. Se fundamentan en la vulneración de principios básicos del RGPD. Primero, se infringe el principio de licitud, lealtad y transparencia (artículo 5.1.a) al tratar datos sin una base jurídica sólida. Segundo, se puede vulnerar el principio de minimización de datos (artículo 5.1.c), si se utilizan datos personales que no son estrictamente necesarios para el fin perseguido. Y tercero, se atenta contra la integridad y confidencialidad de los datos (artículo 5.1.f) y las medidas de seguridad (artículo 32), al utilizar una plataforma que, aunque segura, no es una herramienta corporativa controlada por la empresa, exponiendo la información a riesgos adicionales.
La sanción a LVMH, graduada considerando factores como su volumen de negocio pero también la negligencia en la actuación, envía un mensaje claro: la comodidad operativa no puede prevalecer sobre el derecho fundamental a la protección de datos.
En definitiva, la digitalización de las comunicaciones laborales es un camino sin retorno, pero debe transitarse con las debidas garantías. La solución no pasa por demonizar la tecnología, sino por implementar políticas internas claras. La provisión de herramientas corporativas, como teléfonos de empresa, o el uso de plataformas de mensajería diseñadas para el entorno profesional que no expongan datos personales, son alternativas prudentes. Cuando esto no sea posible, es imperativo articular un procedimiento riguroso para la obtención de un consentimiento expreso, informado y, sobre todo, genuinamente libre, que dignifique la relación laboral y respete los derechos fundamentales de quienes la integran.
