¿Puede una empresa pedir el teléfono o correo personal a sus empleados?

En la gestión de recursos humanos, la necesidad de contar con vías de comunicación eficaces con los trabajadores ha llevado a muchas empresas a solicitar a sus empleados datos de contacto personales, como su número de teléfono móvil o dirección de correo electrónico.

Esta práctica, en apariencia inocua o incluso útil, ha sido objeto de revisión por parte de la Agencia Española de Protección de Datos (AEPD). Esta resolución tiene su origen en un procedimiento sancionador contra una empresa por el envío de correos electrónicos a trabajadores sin emplear la opción de copia oculta (CCO), lo que supuso la revelación de direcciones de correo personal a otros empleados. Adicionalmente, se valoró la utilización de grupos de WhatsApp que incluían números de teléfono móviles particulares de trabajadores.

La empresa defendió que estos canales de comunicación eran necesarios para el desarrollo de la relación laboral y que contaba con el consentimiento implícito de los empleados. Alegó también que la práctica estaba amparada por el interés legítimo del empleador y por la ejecución del contrato laboral.

Sin embargo, la AEPD sancionó a la entidad por dos infracciones: la vulneración del principio de confidencialidad y la falta de medidas de seguridad adecuadas con multas que ascendieron a 15.000 euros.

Una de las cuestiones clave abordadas en la resolución es si el consentimiento del trabajador puede constituir una base válida para tratar sus datos de contacto personales. Según la AEPD, el consentimiento, para ser válido en el ámbito laboral, debe ser libre, específico, informado e inequívoco. Sin embargo, en el contexto de una relación laboral, donde existe una posición de subordinación, resulta difícil considerar que el trabajador tenga una “libre elección”, tal como exige el considerando 42 del RGPD. En otras palabras, si el trabajador proporciona su número de teléfono o correo electrónico particular porque lo considera necesario para conservar su empleo o mantener una buena relación con la empresa, su consentimiento no puede considerarse libre. Por tanto, el consentimiento no es una base sólida para legitimar el tratamiento de datos personales en estos casos, salvo que sea completamente voluntario, sin que su negativa implique perjuicio alguno.

Otra posible base jurídica considerada por la entidad reclamada fue la necesidad del tratamiento para la ejecución del contrato laboral, recogida en el artículo 6.1.b) del RGPD. La AEPD reconoce que, efectivamente, el empleador necesita canales de comunicación con sus empleados para cumplir con sus obligaciones contractuales. No obstante, matiza que ello no implica que se puedan utilizar los datos personales del trabajador (como su teléfono o correo privado) si existen medios alternativos más adecuados desde el punto de vista de la protección de datos. De hecho, la Audiencia Nacional y el Tribunal Supremo han reiterado que corresponde al empleador proporcionar los medios necesarios para la comunicación, como el correo corporativo o teléfonos de empresa, respetando el principio de “ajenidad de los medios” inherente al contrato de trabajo. Por tanto, el uso de medios personales del trabajador no puede justificarse automáticamente en la ejecución del contrato laboral. Solo en situaciones excepcionales y debidamente justificadas podría considerarse válida esta base jurídica.

La empresa también invocó el interés legítimo como base para el tratamiento, argumentando que necesitaba canales eficaces para mantener el servicio operativo. La AEPD admite que, en ciertos casos, el interés legítimo del empleador podría justificar el uso de datos de contacto personales, pero advierte que deben cumplirse estrictamente tres requisitos:

1. Existencia de un interés legítimo real y concreto.
2. Necesidad del tratamiento para alcanzar ese interés.
3. Ponderación favorable entre el interés del empleador y los derechos y libertades del trabajador.

En este caso, la AEPD concluyó que el tratamiento no superaba este test de proporcionalidad. Aunque el interés empresarial era comprensible, existían alternativas menos invasivas, como proporcionar medios corporativos o usar herramientas de comunicación más seguras. Además, la empresa no acreditó haber realizado una evaluación de impacto ni una ponderación adecuada, privando a los trabajadores de la posibilidad de oponerse al tratamiento. Por tanto, el interés legítimo no fue aceptado como base jurídica en este supuesto.

De esta resolución se pueden extraer varias conclusiones prácticas:

• Evitar exigir datos personales de contacto como el teléfono móvil o correo privado del trabajador como canal obligatorio de comunicación. Si se recogen, debe dejarse constancia clara de su carácter voluntario.
• Ofrecer siempre medios corporativos de comunicación, especialmente si la naturaleza del trabajo exige disponibilidad o comunicación frecuente.
• No utilizar grupos de mensajería instantánea (como WhatsApp) que expongan los números de teléfono personales a otros trabajadores, salvo que todos los miembros den un consentimiento individual, específico y documentado.
• Aplicar medidas técnicas y organizativas adecuadas para preservar la confidencialidad en las comunicaciones, como el uso de la copia oculta (CCO) en los correos electrónicos masivos.
• Realizar una ponderación del interés legítimo cuando se pretenda basar el tratamiento en esta base jurídica, documentando el análisis y ofreciendo a los trabajadores la posibilidad de ejercer su derecho de oposición.
• Informar adecuadamente a los trabajadores sobre las finalidades del tratamiento, las bases jurídicas invocadas y los canales para ejercer sus derechos.

En definitiva, el tratamiento de datos personales de contacto de los trabajadores no puede darse por supuesto ni fundamentarse de manera automática en el consentimiento, el contrato o el interés legítimo, cada tratamiento debe analizarse caso por caso, ponderando los derechos del trabajador frente a los intereses del empleador y utilizando los medios menos invasivos posibles. Solo así se evitarán sanciones y se fomentará una cultura de cumplimiento que refuerce la confianza y la transparencia en el entorno laboral.