La Agencia Española de Protección de Datos (AEPD) ha sancionado a LVMH Iberia con una multa de 42.000 euros por incluir sin consentimiento el teléfono personal de una empleada en un grupo de WhatsApp corporativo, vulnerando el principio de licitud del tratamiento de datos personales.
Los hechos del caso
El contexto laboral
Una empleada de LVMH Iberia trabajó durante un período determinado en una tienda de la empresa, donde se vio obligada a utilizar su teléfono móvil personal para cuestiones laborales debido a que la empresa no le proporcionó el terminal corporativo (denominado ICON) que sí entregó a otros empleados incorporados posteriormente.
La comunicación de la empleada
El 11 de mayo de 2023, ante el inicio de sus vacaciones, la empleada envió un correo electrónico a varios responsables de la tienda comunicando claramente su decisión:
“El motivo de este correo tal y como lo hemos comentado con algunos de vosotros personalmente, empiezo mis vacaciones el sábado y ya no seguiré utilizando mi móvil personal para cuestiones laborales como hice hasta ahora dada la demora del ICON. Espero pronto tener disponible el móvil de empresa, así que de momento seguiré en contacto con mi móvil con los clientes que ya tengo, pero sin dar mi contacto a nuevos clientes y lo llevaré conmigo para estar disponible en planta en caso de necesitar contactarme, saldré de los grupos a final de mi jornada el día viernes.”
La vulneración
A pesar de la comunicación expresa de la empleada, el 5 de junio de 2023 la responsable de la tienda agregó nuevamente el número personal de la trabajadora al grupo de WhatsApp denominado “GRUPO.1”, sin previo aviso ni comunicación. Posteriormente, cuando la empleada fue despedida el 28 de junio de 2023, fue eliminada del grupo.
La posición de LVMH Iberia
Argumentos de defensa
La empresa defendió su actuación alegando que:
Interpretación del correo: Consideró que la empleada no solicitó una eliminación permanente, sino temporal durante las vacaciones.
Postura garantista: Afirmó haber adoptado medidas respetuosas con la privacidad de la empleada durante el período vacacional.
Necesidad operativa: Justificó el uso de grupos de WhatsApp como la forma más eficaz de organizar el trabajo cuando los terminales corporativos no estaban disponibles.
Medidas adoptadas
Como respuesta a la reclamación, LVMH Iberia implementó cambios significativos:
- Prohibición del uso de teléfonos personales en grupos corporativos de WhatsApp a partir del 1 de septiembre de 2023
- Obligatoriedad de usar exclusivamente terminales ICON para participar en grupos empresariales
- Elaboración de un protocolo específico sobre el uso de WhatsApp corporativo
El análisis de la AEPD
Falta de base jurídica
La agencia determinó que la empresa careció de base legal para el tratamiento de los datos personales (número de teléfono) de la empleada, considerando que:
Ausencia de consentimiento: La empleada había manifestado expresamente su negativa a usar el teléfono personal para cuestiones laborales.
Incumplimiento del principio de licitud: No se acreditó ninguna de las bases legitimadoras previstas en el artículo 6.1 del RGPD.
Falta de diligencia: La empresa optó por agregar el teléfono personal sin garantizar el cumplimiento normativo.
Factores agravantes
La AEPD consideró especialmente relevante que:
- La infracción afectó a un principio básico del tratamiento de datos
- La empresa dispuso de medios alternativos (terminales ICON) que evitaban el uso de información personal
- Se ignoró la manifestación expresa de la empleada
El procedimiento sancionador
Tramitación inicial
El caso tuvo un recorrido procesal complejo:
- Inadmisión inicial: La reclamación fue inadmitida en septiembre de 2023
- Recurso de reposición: La empleada interpuso recurso en noviembre de 2023
- Admisión definitiva: En abril de 2024 se estimó el recurso y se admitió la reclamación
Graduación de la sanción
Para determinar la multa de 70.000€ iniciales, la AEPD consideró:
- El volumen de negocio de LVMH Iberia (541.845.000€ en 2023)
- La intencionalidad/negligencia en la infracción
- La naturaleza del dato personal afectado (número de teléfono)
- La falta de adopción de medidas preventivas adecuadas
Reducciones aplicadas
LVMH Iberia se acogió a las reducciones previstas:
- 20% por reconocimiento de responsabilidad
- 20% por pago voluntario
- Sanción final: 42.000€ (reducción del 40% sobre los 70.000€ iniciales)
Medidas correctivas impuestas
Obligaciones de cumplimiento
La resolución ordena a LVMH Iberia adoptar medidas para garantizar el cumplimiento del artículo 6.1 del RGPD en el plazo de un mes desde la firmeza de la resolución.
Principio de responsabilidad proactiva
La AEPD enfatizó que el responsable del tratamiento debe estar en condiciones de acreditar la licitud del tratamiento, no siendo suficiente la mera alegación de necesidades operativas.
Doctrina aplicable
WhatsApp corporativo y RGPD
El caso establece criterios importantes sobre el uso de aplicaciones de mensajería en el ámbito laboral:
Consentimiento del empleado: Es necesario obtener consentimiento específico para usar datos personales de dispositivos privados.
Alternativas disponibles: La existencia de medios corporativos (como los terminales ICON) refuerza la exigencia de no recurrir a datos personales.
Comunicaciones expresas: Las manifestaciones de los empleados sobre el uso de sus datos personales deben respetarse estrictamente.
