La autoridad de control ha impuesto una sanción de 70.000 euros a una entidad por infringir el artículo 6 (licitud del tratamiento) del RGPD. No obstante, dicha sanción se ha reducido a 42.000 euros por cuanto se ha hecho uso de las dos reducciones previstas, reconociendo, en consecuencia, su responsabilidad.
La reclamante manifestó que, durante su relación laboral, tuvo que utilizar su teléfono móvil personal, por cuanto así se lo requirió la empresa, para la prestación de sus servicios profesionales, mientras se mantenía a la espera de recibir un dispositivo corporativo. Dicho terminal nunca fue entregado por la entidad (a diferencia de lo que sucedió con otros compañeros que sí recibieron el mismo).
Posteriormente, al iniciar sus vacaciones, la empleada envió un correo electrónico a la responsable de la entidad en el que comunicaba su intención de no volver a utilizar su móvil para cuestiones laborales (con la única excepción de clientes que ya poseían el mismo), saliéndose de varios grupos de WhatsApp del trabajo (en los que estaba incluida con su teléfono móvil). No obstante, a pesar de lo anterior, a la vuelta de sus vacaciones se volvió a agregar su número de teléfono a un grupo de WhatsApp sin previo aviso, siendo de nuevo eliminado cuando se produjo el despido de la trabajadora.
Al darse traslado de la reclamación a la entidad, esta presentó escrito de respuesta en el que ponía de manifiesto que en el correo remitido por la trabajadora, esta no estaba solicitando la supresión total de los grupos de la aplicación, sino que únicamente manifestaba que se iba a salir de dichos grupos durante el periodo vacacional (baja temporal), indicando que sí seguiría utilizando el móvil con fines laborales para contactar con clientes “ya existentes”. A la vista de lo anterior, la empresa afirma que dio cumplimiento a esta voluntad de no participar en los grupos de empresa durante sus vacaciones, volviéndola a incluir cuando regresó de las mismas.
Es por ello por lo que se indica que se actuó de forma prudente y garantística. Así, se alega que dichos grupos son la forma más eficaz y menos intrusiva de organizar el trabajo. En relación con los dispositivos utilizados por los empleados, si bien se usan terminales facilitados por la compañía con medidas de seguridad determinadas, “se admitía hasta ahora la posibilidad de usar, de forma excepcional y transitoria, el móvil personal para participar en uno de esos grupos de WhatsApp de empresa”. No obstante, a la vista de lo anterior, se ha prohibido la participación de los empleados en grupos de WhatsApp cuando no tengan un dispositivo corporativo.
Si bien la reclamación se inadmitió a trámite en un primer momento, la empleada interpuso recurso de reposición, siendo estimado al declararse que “La parte reclamada tampoco ha acreditado una causa de licitud que justificase utilizar el número personal de los trabajadores para su inclusión en un grupo de WhatsApp”, admitiendo, en consecuencia, la reclamación a trámite.
Así, la autoridad de control ha declarado en su resolución sancionadora que existen indicios evidentes de que se incluyó a la empleada en los grupos de WhatsApp sin su consentimiento y sin que se haya analizado otra posible base jurídica que legitimase dicho tratamiento. Así, en relación con el correo electrónico enviado y los argumentos de la entidad, se expone que la empleada solicitaba literalmente salir de dichos grupos de trabajo, expresando su negativa a seguir utilizando su móvil para estas cuestiones y que, a pesar de ello, se le incluyó nuevamente en la aplicación.
Adicionalmente, respecto a los dispositivos corporativos, se declara que muestra la falta de diligencia de la entidad el hecho de que cuando estos terminales pueden no estar operativos, se permite utilizar el móvil personal para incluir al empleado en un grupo de WhatsApp.
La AEPD ha tenido en consideración la negligencia en el cumplimiento de sus obligaciones, por cuanto la infracción afecta a un principio básico del tratamiento de datos, constando que, a pesar de que la afectada manifestó expresamente que no quería utilizar su teléfono personal para cuestiones laborales, la entidad trató este dato personal con dicha finalidad.
Puede acceder a la resolución de la autoridad de control aquí.
