Expertos piden a la AEPD claridad sobre su nueva doctrina, que permite grupos de WhatsApp laborales: "La argumentación es muy escueta"

Una resolución de la Agencia Española de Protección de Datos (AEPD) ha tambaleado esta semana a todo el sector. Abogados, consultores y delegados mostraban su estupor este jueves ante una decisión del organismo: en ella, se archivaba la denuncia que un trabajador interpuso después de que su empresa le incluyera sin su consentimiento en 2 grupos de WhatsApp para empleados.

De esta manera, la Agencia marcaba por primera vez una directriz: el contrato laboral es suficiente para amparar que una empresa cree grupos de WhatsApp con fines laborales, a pesar de que eso suponga un tratamiento de datos personales de sus trabajadores.

El problema es que la resolución de la AEPD en sí misma es "muy escueta", se prodiga poco y no termina de explicar por qué ese contrato laboral es suficiente base como para legitimar el tratamiento de datos. Cuando una empresa de 50 o 60 trabajadores crea un grupo de WhatsApp, está exponiendo el número de teléfono de todos sus empleados al resto de sus compañeros.

Por esta razón, Gonzalo Oliver, miembro de la Asociación Española de Delegados de Protección de Datos (aeDPD) y consultor en la firma Ozonia Consultores, avanza que esta semana solicitará a la AEPD la emisión de un informe jurídico que arroje algo de luz al respecto.

De hecho, sobre el tema, muchos especialistas han destacado en las últimas horas cómo en otras resoluciones la propia AEPD se había pronunciado en el sentido diametralmente opuesto, como es el caso de una decisión sobre una persona que trabajaba limpiando la escalera de una comunidad de vecinos, su empleadora. Aquel caso se saldó con una multa de 2.000 euros.

Jorge Campanillas es abogado especialista en derecho tecnológico y protección de datos en el despacho Iurismatica. En un reciente artículo escrito por él mismo abunda en esa disparidad de criterios con esos 2 casos concretos. 

La Unión Europea pone el foco en TikTok: crece el escepticismo en Bruselas sobre el uso que hace de los datos de sus usuarios

Esboza una posibilidad: no es lo mismo una empresa que una comunidad de vecinos, porque esta última es "una pluralidad de miembros con acceso a los datos" mientras que la primera es "una [sola] entidad". Pero no valora mucho más los casos por la "escasa argumentación de las resoluciones".

En conversación con Business Insider España, Campanillas reconoce que la nueva resolución de la AEPD ha generado dudas en el sector. "No se sabe si la AEPD continuará con esta doctrina o si ha sido un caso puntual". También reconoce que "no es la primera vez que sucede algo así" y recuerda que "nunca hay 2 casos iguales".

Tampoco es "tan raro" un posible cambio doctrinal por un posible "cambio de pensamiento" en las personas que integran la AEPD. "Los tiempos cambian". 

Otros compañeros de Campanillas consultados por este medio refrendan que en realidad todavía no se sabe si ha habido un cambio de criterio en tanto que la resolución no expresa aspectos fundamentales que lo aclararían: no se detalla si el móvil del trabajador en realidad es titular de la empresa o no, por ejemplo.

Por su parte, María Cerviño, la responsable del Área de Startups y Protección de Datos en Vento Abogados & Asesores considera que la resolución de esta semana "se aparta un poco de la línea que la AEPD seguía" e incluso "choca" con otras resoluciones.

Qué se recomienda hacer con los grupos de WhatsApp ahora

Hasta ahora, consultores, abogados y delegados de protección de datos recomendaban a las empresas no crear estos grupos de WhatsApp al entender que se estaba haciendo un tratamiento de datos sin contar, en muchos casos, con el consentimiento explícito de los empleados.

El propio Gonzalo Oliver, que solicitará a la AEPD el informe jurídico que lo aclare todo, destaca que él no ha aconsejado a sus clientes crear esos grupos de WhatsApp a no ser que los empleados tuviesen un dispositivo del que les hubiese provisto la propia empresa. Solo en esos casos no se hablaría de datos personales, en tanto que se tratarían de equipos informáticos de la compañía.

"Ahora bien, si el terminal es privado se debe contar con una base de legitimación", es decir, que los empleados consientan a su empleador la creación de ese grupo de WhatsApp en el que se incluyan sus números de teléfono. "También hay que tener en cuenta el derecho a la desconexión digital del trabajador", remacha Oliver, al igual que lo recuerda María Cerviño, de Vento Abogados.

Google, Amazon, un proveedor de porno y todas las telecos: las multas por vulnerar el RGPD más grandes que ha propuesto España este 2022

Campanillas considera que es cuestión de "analizar los riesgos". No se debería animar a las empresas a crear esos grupos de WhatsApp laborales para organizar a la plantilla porque el contrato de trabajo sirva de base legitimadora, solo en base a "una resolución de 4 folios que ha sacado la AEPD". Pero tampoco se debería "decir lo contrario".

La resolución, al ser tan escueta, ni siquiera se pronuncia en aspectos clave, como por ejemplo la misma plataforma en sí. WhatsApp es propiedad de Meta, que ha estado transfiriendo datos a EEUU sin que existiese un marco legal de referencia válido para ello, ya que el Tribunal de Justicia de la Unión Europea tumbó el último acuerdo entre Bruselas y Washington en 2020.

Oliver insiste, por su parte, que lo que diga la AEPD vale en primera instancia "porque es la que sanciona o no", pero "no tiene carácter jurisprudencial". "Es un procedimiento administrativo que termina en última instancia con un recurso de reposición, y siempre es recurrible a la Audiencia Nacional, al Supremo y en algunos casos al Constitucional".

"Sobre lo que sí ha existido y existe reiterada jurisprudencia es sobre que las empresas pueden usar WhatsApp para enviar notificaciones a sus empleados", apunta. "Esas comunicaciones para los trabajadores sí quedan amparadas en esa relación de trabajo. Pero crear un grupo es una cosa distinta", zanja. "Hay que dar seguridad jurídica".