La implementación de medidas de ciberseguridad en el entorno laboral, como la autenticación de doble factor, no puede realizarse vulnerando la privacidad de los trabajadores. La Agencia Española de Protección de Dades (AEPD) ha sancionado a una empresa de paquetería con 48.000 euros por obligar a sus repartidores a utilizar sus teléfonos móviles particulares para recibir los códigos SMS necesarios para acceder a las aplicaciones de gestión de la compañía.
Desde Finanbase en Madrid, analizamos esta resolución que establece un límite claro sobre la política de dispositivos en la empresa (BYOD) y la puesta a disposición de los medios de trabajo.
El conflicto: Seguridad vs. Privaciedad
En el caso sancionado, la empresa requieria que los empleados descargasen una aplicación en sus propios terminales o facilitasen su número personal para recibir claves de acceso. La compañía argumentaba que el uso del móvil personal era voluntario, pero la realidad operativa demostró lo contrario: no se ofrecían alternativas reales para aquellos trabajadores que se negaban a usar su dispositivo privado.
La AEPD ha determinado que esta práctica infringe el Reglamento General de Protección de Datos (RGPD) por dos motivos fundamentales:
- Falta de consentimiento válido: En la relación laboral existe un desequilibrio de poder. Si la empresa no ofrece una alternativa al uso del móvil personal, el consentimiento del trabajador se considera viciado y no es libre.
- Principio de minimización de datos: Para garantizar la seguridad del acceso, la empresa no necesita tratar el número de teléfono personal del empleado si puede proporcionarle un dispositivo corporativo o un método alternativo de verificación (token físico, tarjeta de coordenadas, etc.).
Las empresas deben proporcionar los medios de trabajo
Esta resolución refuerza un principio básico del derecho laboral: es responsabilidad de la empresa poner a disposición del trabajador las herramientas necesarias para desempeñar sus funciones. Si el acceso al software corporativo requiere un segundo factor de autenticación (un SMS o una app), el dispositivo para recibirlo debe ser proporcionado por la empresa, salvo acuerdo voluntario y explícito en contrario que incluya compensación o alternativas.
¿Cómo evitar sanciones en tu empresa?
Si su organización utiliza sistemas de doble factor de autenticación, le recomendamos revisar sus protocolos internos:
- Verifique si está exigiendo, directa o indirectamente, el uso de dispositivos personales.
- Establezca una política clara de uso de dispositivos y desconexión digital.
- Ofrezca alternativas analógicas o dispositivos corporativos a aquellos empleados que no deseen utilizar sus terminales privados.
En Finanbase ayudamos a las empresas a gestionar sus obligaciones laborales y normativas, evitando que la implementación de tecnología derive en contingencias legales.
Si tiene dudas sobre sus políticas de recursos humanos o protección de datos, contacte con nuestro equipo.
📍 C/ Berlanas, 5, 1ºB, 28047 Madrid
📧 finanbase@finanbase.com
📞 915 267 252 | 653 090 461
