Una empresa en España ha sido recientemente sancionada por la Agencia Española de Protección de Datos (AEPD) por utilizar los números de teléfono móvil personales de sus empleados para el envío de códigos de autenticación y acceso. A la vista de esta resolución sancionadora, desde SUMAQ le ofrecemos un resumen de las principales conclusiones alcanzadas por la Agencia y de las medidas que su empresa debería valorar para adecuar sus procedimientos a la normativa vigente en materia de protección de datos.
Principales conclusiones de la resolución de la AEPD
- El número de teléfono móvil personal de un empleado constituye un dato de carácter personal y no debe utilizarse con fines laborales salvo que resulte estrictamente necesario y exista una base jurídica que legitime dicho tratamiento.
- Las empresas deben facilitar canales corporativos alternativos para los procesos de autenticación y acceso, tales como teléfonos de empresa, dispositivos de autenticación (tokens), aplicaciones corporativas u otros medios equivalentes.
- La comunicación o utilización del número de teléfono personal por terceros sin una base jurídica válida constituye un tratamiento ilícito de datos personales.
- La AEPD impuso una sanción de 80.000 euros, reducida posteriormente a 48.000 euros tras la aplicación de las reducciones legalmente previstas.
Medidas recomendadas para las empresas
- Revisar si la empresa está utilizando números de teléfono móvil personales de sus empleados para sistemas de autenticación en dos factores (2FA), inicio de sesión o acceso a aplicaciones y herramientas corporativas.
- Evaluar si la organización ofrece alternativas reales al uso de dispositivos personales. Los empleados deben disponer de opciones corporativas adecuadas y, cuando proceda, realizar una evaluación que valore los riesgos y beneficios asociados a cada alternativa desde la perspectiva de la protección de datos y la seguridad de la información.
- Revisar la política de BYOD (Bring Your Own Device o "traiga su propio dispositivo"), verificando que se encuentre debidamente actualizada y que la información facilitada a los empleados refleje las obligaciones y garantías exigidas por la normativa aplicable.
En SUMAQ realizamos un seguimiento continuo de las novedades normativas y de los criterios de las autoridades de control en materia de protección de datos. Quedamos a su disposición para resolver cualquier duda o asesorarle en la adaptación de sus procedimientos al marco legal vigente.
