L’Agència Espanyola de Protecció de Dades (AEPD), en la resolució de l’expedient EXP202411411, ha imposat a una empresa, una multa total de 200.000 euros per vulnerar els articles 5.1.c), 6.1 i 13 del RGPD en relació amb l’ús d’aplicacions instal·lades als telèfons dels conductors VTC.
La rellevància de la resolució és que l’AEPD analitza els límits del tractament de dades quan l’empresa exigeix o permet que la prestació laboral es recolzi en telèfons mòbils personals i en aplicacions que accedeixen a un volum d’informació ampli. L’Agència conclou que no n’hi ha prou d’invocar l’operativa del servei o el contracte de treball si, a la pràctica, es recapten més dades de les necessàries, no hi ha una base jurídica vàlida per tractar les dades del terminal personal i no s’informa adequadament els empleats.
Què va originar la reclamació
El treballador va denunciar que l’empresa l’obligava a fer servir el telèfon mòbil personal en l’àmbit laboral i a descarregar diverses aplicacions que, segons exposava, monitoraven la ubicació i altres paràmetres d’activitat de manera contínua. També afirmava que no havia rebut prou informació sobre l’abast de les dades personals recopilades.
En la resposta a l’AEPD, l’empresa va sostenir que els treballadors podien optar entre sol·licitar un mòbil corporatiu o utilitzar el seu propi, amb una compensació mensual per aquest ús. Tot i això, la mateixa resolució destaca que la disponibilitat de terminals corporatius quedava supeditada als recursos i al pressupost de la companyia, de manera que, a la pràctica, l’ús del mòbil personal podia venir imposat quan no hi hagués dispositiu d’empresa disponible.
Els motius de la sanció
1. Vulneració del principi de minimització de dades. L’AEPD aprecia infracció de l’article 5.1.c) del RGPD perquè algunes de les aplicacions obligatòries incorporaven permisos per accedir a dades que excedien del que és estrictament necessari per a la prestació del servei. La resolució esmenta, entre altres, dades d’ubicació, fotos i vídeos, contactes, enregistraments de veu o so i fins i tot informació sobre estat físic. Per a l’Agència, aquesta recollida és desproporcionada en relació amb la finalitat laboral al·legada.
Per aquesta infracció, l’AEPD fixa una sanció de 100.000 euros.
2. Manca de base de licitud vàlida. L’Agència considera vulnerat l’article 6.1 del RGPD perquè el tractament de dades derivades de l’ús del telèfon personal dels treballadors no es recolzava en una base legitimadora vàlida. La resolució subratlla que a l’àmbit laboral hi ha un clar desequilibri entre empresa i treballador, per la qual cosa el consentiment no es pot considerar lliure si l’empleat no disposa realment d’una alternativa efectiva. Segons l’AEPD, si el mòbil corporatiu no està disponible des del primer moment, l’ús del terminal personal no respon a una elecció plenament lliure.
A més, l’Agència entén que l’empresa permetia la recopilació de dades del terminal personal per aplicacions d’instal·lació obligatòria sense acreditar prou base jurídica.
Per aquesta infracció, la multa puja a 80.000 euros.
3. Incompliment del deure informació. L’AEPD també aprecia infracció de l’article 13 del RGPD perquè l’empresa no va informar suficientment els treballadors sobre quines dades es recollien, amb quin abast i com s’havia de produir la desconnexió de les aplicacions en finalitzar la jornada. La resolució insisteix que el deure d’informació exigeix una explicació clara, comprensible i completa sobre el tractament derivat de l’ús d’aquestes eines digitals.
Per això, l’Agència imposa una sanció addicional de 20.000 euros.
Quines dades i pràctiques qüestiona l’AEPD
Entre els elements que la resolució considera especialment problemàtics figura la instal·lació obligatòria de diverses aplicacions als terminals usats pels conductors, fossin personals o corporatius. L’AEPD ressalta que algunes d’aquestes aplicacions podien accedir a una pluralitat de dades personals que anava més enllà de la simple localització necessària per a la prestació del servei.
També valora que l’empresa indiqués que les aplicacions i la configuració del terminal no es podien modificar sense autorització expressa i per escrit, cosa que reforçava el control empresarial sobre el dispositiu. Juntament amb això, l’Agència considera insuficient que la companyia defensés que el treballador podia desconnectar-se fora de jornada si no explicava prou com s’havia de fer aquesta desconnexió ni quin tractament seguien realitzant les aplicacions.
