Análisis de la resolución de la AEPD por incluir a un trabajador en un grupo de WhatsApp sin consentimiento
La resolución por parte de la AEPD de archivo de actuaciones AI-00050-2022 ha provocado un enorme interés y todo tipo de publicaciones, afirmándose en algunas de ellas que la misma implica un cambio de criterio respecto a la legitimación que se precisa para la inclusión de números de teléfono particulares de personas trabajadoras en grupos de WhatsApp (en adelante GMI -grupos de mensajería instantánea-) corporativos, indicándose en algunos casos que desde ahora las empresas podrán incluir a sus personas trabajadoras en estos grupos sin la necesidad de recabar su consentimiento.
Análisis de la resolución
En la resolución la AEPD resuelve la reclamación de un trabajador que afirmaba haber sido incluido sin su consentimiento en dos GMI por parte de su empresa, dedicada al reparto de paquetería, con el fin de facilitarle información necesaria e imprescindible para el desarrollo de sus funciones (rutas, personas que las hacen, horarios, ubicación de furgonetas, e información de carácter laboral en general).
La empresa, por el contrario, además de razonar porqué esa forma de comunicarse con las personas trabajadoras es imprescindible, afirma que, con el fin de evitar conflictos, sí recaba la autorización de estas para la inclusión en dichos grupos (final del último párrafo de la descripción de los hechos, página 2).
En ningún punto de la resolución se afirma expresamente la base jurídica del art. 6.1 que legitima este tratamiento concreto, que supone la inclusión del trabajador en los GMI, lo que la AEPD indica es que, en el ámbito laboral, el tratamiento de los datos personales se legitima, principalmente, con ser necesarios para la ejecución del contrato de trabajo, art. 6.1.b) RGPD. (2º párrafo de la conclusión en la página 4).
Tampoco se especifica en la resolución si la línea telefónica y el dispositivo utilizado por el trabajador son propios (particulares) o corporativos, cuestión esta esencial ya que, de tratarse de dispositivo y línea corporativos, como medios de trabajo, no se precisaría el consentimiento, y sí podía legitimarse en base a la relación contractual.
La AEPD, concluye que los datos personales objeto de tratamiento son los mínimos necesarios para la organización del trabajo particular y que la empresa ha informado a las personas trabajadoras de la finalidad del tratamiento. Por tanto, entendiendo que existe legitimación y se ha cumplido con el deber de informar, archiva el procedimiento por no considerar que se haya infringido precepto alguno.
Por tanto:
- La empresa sí recaba el consentimiento de sus personas trabajadoras para la inclusión en dichos grupos.
- En ningún punto de la resolución se afirma expresamente qué base jurídica del art. 6.1 legitima este tratamiento concreto, aunque se indique que en el ámbito laboral los tratamientos de datos personales se legitimen, principalmente, con ser necesarios para la ejecución del contrato de trabajo, art. 6.1.b) RGPD.
Resoluciones recientes similares y distintos recursos proporcionados por la AEPD
1. Resoluciones: en recientes resoluciones de procedimientos sancionadores de casos similares a este, la AEPD apercibe (por tratarse de una AP) a un Ayuntamiento y sanciona a una empresa respectivamente:
- PS-00480-2021: por pedir a los agentes de la Policía Municipal la instalación en sus dispositivos personales de un sistema de doble autenticación para el acceso a su correo electrónico, sin tener este tratamiento legitimación en ninguna de las bases jurídicas del artículo 6.1 RGPD.
- PS-00270-2022: por haber incluido a una persona trabajadora en un GMI sin legitimación para hacerlo.
2. En guías y material disponible en su web: el tratamiento del dato del correo electrónico y teléfono particulares de una persona trabajadora puede ser ignorado por la entidad, dado que ninguna norma exige que la persona trabajadora, para la adecuada perfección de su relación contractual, haya de facilitar estos datos a la organización en la que presta sus servicios. Dicho tratamiento excedería en lo permitido por la normativa de protección de datos, y más concretamente, de la legitimación del artículo 6 del RGPD en base a la ejecución de un contrato. No obstante, si las circunstancias de la prestación de servicios para la entidad conllevasen una disponibilidad personal de la persona trabajadora fuera de su centro u horario de trabajo, una medida más moderada e igual de eficaz para conseguir la comunicación de la entidad con la persona trabajadora sería la puesta a su disposición de un instrumento de trabajo como sería un teléfono corporativo.
En todo caso, sería posible que los afectados facilitaran los datos referentes a su e-mail y número telefónico particulares, si bien la recogida de estos datos habría de ser de cumplimentación voluntaria, previa la obtención del consentimiento de la persona trabajadora, que podrá oponerse posteriormente a su tratamiento ejerciendo los derechos de oposición o supresión.
- En su guía sobre la protección de datos en las relaciones laborales.
- En su catálogo de preguntas frecuentes.
Por tanto, de las recientes resoluciones y de los recursos de la AEPD, podemos concluir que el criterio de la AEPD es la prohibición del uso del teléfono particular para el desempeño de las funciones propias de la relación laboral, y que sería posible su uso, pero de forma voluntaria, previa la obtención del consentimiento de la persona trabajadora.
Sentencias del Tribunal Supremo
En distintas sentencias se pone de manifiesto su criterio en lo referente a que las personas trabajadoras no están obligadas a facilitar a la entidad en la que trabajan su número de teléfono o cuenta de correo electrónico personal, ya que ninguna norma lo exige para la adecuada realización de su trabajo. En caso de que sea necesario que la persona trabajadora disponga de una cuenta de correo electrónico o teléfono, es el empleador el que está obligado a proporcionarlo, sin que sea excusa a tal fin el coste del mismo, pues recae en el empresario la obligación de asumir los riesgos de su actividad empresarial proporcionando a la plantilla los medios necesarios para su desarrollo[1].
El Tribunal reconoce la posibilidad de establecer mediante pacto las condiciones que empresa y persona trabajadora estimen oportunas, incluyendo aquellas que afectan a las herramientas necesarias para el desarrollo de la actividad, debiéndose dar en este caso compensación justa del coste del dispositivo y la línea.
Por tanto, se deberían dar dos condiciones para que la aportación del teléfono personal (número de teléfono y dispositivo) resulte acorde a la normativa laboral y de protección de datos: la existencia de un verdadero pacto y una compensación económica adecuada[2].
El consentimiento como base jurídica en el ámbito laboral
A tener en cuenta en lo referente al consentimiento que en este ámbito no es una base jurídica adecuada:
- El Considerando 43 y el artículo 7.4 del RGPD no consideran válido el consentimiento prestado cuando existe un claro desequilibrio entre las partes o la ejecución de un contrato se puede ver alterada en caso de no consentir.
- La guía de la AEPD de la protección de datos en las relaciones laborales, indica que, en el ámbito laboral, la base jurídica principal es la ejecución del contrato de trabajo, porque el consentimiento del afectado no es válido cuando se proporciona en un contexto de desequilibro claro entre el interesado y el responsable del tratamiento.
- El EDPB, en sus “Directrices 5/2020 sobre el consentimiento en el sentido del RGPD”, afirma que con el artículo 7.4, será más difícil que el responsable del tratamiento demuestre que el interesado ha dado su consentimiento libremente, mencionando expresamente las relaciones laborales como ámbito propicio de producir consentimientos viciados.
- STS 4086/2015, Rec. 259/2014, indica que en el ámbito laboral puede entenderse que el consentimiento no es por completo libre y voluntario.
CONCLUSIONES
De las resoluciones y recursos de la AEPD y de las sentencias del Tribunal supremo, podemos concluir que para que la inclusión de un número de teléfono personal en GMI corporativos sea lícita, deben darse estas tres condiciones:
- Debe ser verdaderamente necesario para la relación laboral.
- Se debe contar con el consentimiento de la persona trabajadora (pacto con la empresa), y que se considere prestado libremente.
- La empresa debe asumir los costes.