Primer día de un nuevo comercial. «El móvil de empresa tarda un par de semanas; mientras tanto, descárgate estas tres apps en el tuyo». Es una escena habitual en muchas empresas. Y la AEPD ya ha dejado claro que puede salir muy cara.
En marzo de 2026, la Agencia multó con 200.000 € a una empresa que obligaba a instalar varias aplicaciones en el móvil personal del trabajador cuando no le daba uno corporativo. Esas apps tenían permisos para geolocalizarle de forma continua y para acceder a sus fotos, contactos, grabaciones de voz y datos de actividad física. La empresa pagaba una compensación mensual por usar el teléfono propio, y aun así fue sancionada.
En este artículo vamos a tratar...
El caso: 200.000 € por las apps del móvil personal del trabajador
Qué pasó
Ares Capital, una empresa de transporte con conductor (VTC), pedía a sus conductores usar cuatro aplicaciones para trabajar. Servían para la comunicación interna, la plataforma de servicios y la localización. Según su contrato, cada trabajador podía pedir un teléfono corporativo o usar el suyo a cambio de una cantidad mensual. Pero la empresa reconocía que entregaba los teléfonos corporativos según disponibilidad y presupuesto. Mientras tanto, el conductor tenía que instalar las apps en su propio móvil.
En julio de 2024, un conductor reclamó ante la AEPD. Decía que esas aplicaciones controlaban su ubicación, sus mensajes, sus llamadas y otros datos de actividad de forma continua, y que no le habían explicado bien qué datos recogían.
Qué decidió la AEPD
En la resolución PS/00454/2024, firmada el 4 de marzo de 2026, la AEPD impuso tres sanciones:
| Infracción | Qué falló | Multa |
|---|---|---|
| Minimización (art. 5.1.c RGPD) | Las apps recogían muchos más datos de los necesarios para trabajar | 100.000 € |
| Licitud (art. 6.1 RGPD) | No había una base legal válida para tratar datos del móvil personal | 80.000 € |
| Información (art. 13 RGPD) | No se explicaba qué datos recogían las apps ni cómo desconectarlas al acabar la jornada | 20.000 € |
Además, ordenó a la empresa demostrar en dos meses que había corregido las tres cosas.
Por qué no basta con el «consentimiento» del trabajador
La empresa defendía que usar el móvil propio era una opción voluntaria y compensada. La AEPD no lo aceptó. Como el teléfono corporativo no estaba disponible desde el primer momento, el trabajador no tenía una alternativa real. Así que su consentimiento no era libre.
Es la idea clave del caso. En una relación laboral, el consentimiento casi nunca sirve como base legal, porque hay un desequilibrio claro entre empresa y trabajador. Si la única alternativa a instalar la app es no poder trabajar, no hay elección.
La empresa puede apoyarse en otras bases, como la ejecución del contrato de trabajo o el interés legítimo. Pero solo cubren lo estrictamente necesario. Y aquí las apps pedían acceso a fotos, contactos, audio y datos de salud y forma física, que nada tenían que ver con conducir.
Lo que este caso significa para cualquier empresa
Aunque el caso sea de una empresa de VTC, el problema se repite en cualquier sector con apps como estas:
- Mensajería, como WhatsApp o Telegram, para coordinar al equipo. Lo tratamos en nuestro post sobre grupos de WhatsApp de empresa.
- Fichaje o control horario desde el móvil, a menudo con geolocalización.
- CRM, rutas y gestión de visitas de comerciales y técnicos.
- Apps de autenticación para entrar al correo o a la VPN.
- Correo y herramientas corporativas instaladas en el teléfono propio.
No todas tienen el mismo riesgo. Una app de autenticación apenas accede a datos del teléfono. Una app de rutas con geolocalización permanente y acceso a la galería sí lo tiene.
La geolocalización, el punto más delicado
El artículo 90 de la LOPDGDD permite a la empresa usar la geolocalización para controlar el trabajo. Pero exige informar antes al trabajador de forma expresa, clara e inequívoca sobre su existencia y sus características. El artículo 88 reconoce el derecho a la desconexión digital. Una app que sigue localizando al trabajador cuando acaba su jornada choca con los dos.
¿Puede la empresa obligar a usar el móvil personal del trabajador?
Desde la protección de datos, la respuesta práctica es esta: la empresa puede pedir que se instale una app concreta en el móvil personal si se cumplen cuatro condiciones.
- Es necesaria para el trabajo y no hay una alternativa menos intrusiva razonable, como un dispositivo de empresa.
- Tiene una base legal distinta del consentimiento, documentada.
- Sus permisos se limitan a lo imprescindible. Nada de galería, contactos o micrófono si el trabajo no lo exige.
- El trabajador está informado de qué datos se recogen, para qué, durante cuánto tiempo y cómo se desconecta al terminar la jornada.
Si la app es intrusiva por naturaleza, como las que geolocalizan de forma continua, la solución más segura es el dispositivo corporativo desde el primer día. Es exactamente lo que faltó en este caso.
Móvil de empresa o móvil personal del trabajador: cómo decidir
La pregunta útil no es si se puede usar el móvil propio, sino qué hace cada app y qué datos necesita. Con esa información, la decisión suele ser sencilla:
| Tipo de herramienta | Móvil personal | Mejor móvil de empresa |
|---|---|---|
| App de autenticación para el correo o la VPN | Sí, con información previa | Solo si el trabajador lo prefiere |
| Correo y calendario corporativos | Sí, dentro de un perfil de trabajo separado | Si se manejan datos sensibles |
| Mensajería de equipo | Sí, con normas de uso claras | Si se comparten datos de clientes con frecuencia |
| Fichaje con ubicación puntual al fichar | Posible, informando y limitando la ubicación al momento del fichaje | Si se quiere evitar cualquier duda |
| Rutas o geolocalización continua | No es recomendable | Sí |
| Apps con acceso a galería, contactos o micrófono sin necesidad | No | Revisar si la herramienta es adecuada |
La tabla no sustituye el análisis de cada caso, pero refleja el criterio de la AEPD en esta resolución: cuanto más intrusiva es la app, más difícil es justificarla en un teléfono que es del trabajador.
Hay además un argumento práctico. El dispositivo corporativo permite a la empresa gestionar y borrar los datos de trabajo cuando alguien se va, sin tocar sus fotos ni sus conversaciones privadas. Con el móvil personal del trabajador, esa separación depende de que las apps estén bien configuradas.
Errores frecuentes con el móvil personal del trabajador
- Dar por hecho que, si el trabajador acepta, todo está cubierto. En una relación laboral, ese «sí» rara vez es libre.
- Instalar la app con todos los permisos por defecto. Muchas piden acceso a la galería, los contactos o el micrófono aunque el trabajo no lo necesite.
- No explicar qué hace cada herramienta. Una cláusula genérica en el contrato no basta: el trabajador tiene que saber qué datos se recogen y para qué.
- Dejar la geolocalización activa fuera del horario. Es lo que más se reclama y lo que la AEPD mira primero.
- Olvidarse de la salida. Cuando el trabajador deja la empresa, hay que retirar su acceso a las apps y a los datos corporativos de su teléfono, igual que con el correo de un exempleado.
Cómo hacerlo bien: lista de comprobación
- Inventario de apps que la empresa pide instalar, con los permisos que solicita cada una.
- Revisión de permisos: desactivar los que no sean necesarios. Si la app no deja configurarlos, valorar otra herramienta.
- Separar lo personal de lo laboral, por ejemplo con un perfil de trabajo en el teléfono, para que la empresa no acceda a datos privados.
- Política de uso de dispositivos que regule el móvil personal, con la participación de los representantes de los trabajadores cuando los haya.
- Cláusula informativa específica para cada herramienta que trate datos, incluida la geolocalización.
- Desconexión al acabar la jornada: que la geolocalización y las notificaciones se puedan apagar fuera del horario.
- Valorar una evaluación de impacto si hay seguimiento sistemático de los trabajadores, como la localización continua.
Cómo podemos ayudarle
Como DPO externo, en Auratech Legal Solutions revisamos las apps que sus trabajadores usan en el móvil. Redactamos la política de uso de dispositivos y la información para la plantilla, y valoramos si hace falta una evaluación de impacto. Si prefiere un diagnóstico puntual, en una auditoría de protección de datos le decimos qué cambiar antes de que llegue una reclamación. Cuéntenos su caso.
Preguntas frecuentes
¿Puede la empresa obligarme a instalar una app en mi móvil personal?
Puede pedirlo si la app es necesaria para el trabajo, tiene una base legal válida, limita sus permisos y le informa bien. No puede basarlo en su consentimiento si no le ofrece una alternativa real, como un móvil de empresa.
¿Pagar una compensación por usar el móvil propio lo soluciona?
No. En el caso sancionado la empresa pagaba una cantidad mensual y aun así recibió una multa de 200.000 €. La compensación no sustituye la base legal ni la minimización de datos.
¿Puede la empresa geolocalizarme con mi móvil?
Puede usarla para controlar el trabajo, tras informarle antes de forma expresa, clara e inequívoca. Y debe explicarle cómo desconectarla al acabar la jornada, como exigió la AEPD en este caso.
¿Y si uso WhatsApp para hablar con mis compañeros?
Es habitual, pero conviene que la empresa lo regule: qué grupos son de trabajo, quién los administra y qué datos se comparten. Si el uso es obligatorio, valen las mismas reglas que para cualquier otra app.
¿Qué hago si mi empresa me obliga a usar apps intrusivas?
Puede pedir a la empresa información sobre los datos que recogen y plantearlo a los representantes de los trabajadores o al delegado de protección de datos. Si no se resuelve, puede reclamar ante la AEPD, como hizo el conductor de este caso.
Este artículo ofrece información general y no sustituye el asesoramiento jurídico sobre un caso concreto.
