La Agencia Española de Protección de Datos (AEPD) ha impuesto una multa de 80.000 euros a MAJOREL SP SOLUTIONS, S.A. tras constatar que la empresa cedió a un cliente internacional los números de teléfono personales de sus trabajadores sin base jurídica válida y sin ofrecer alternativas corporativas. La Resolución AEPD PS/00456/2025, de 3 de diciembre de 2025, que pone fin al procedimiento sancionador iniciado tras una denuncia sindical, se ha convertido en un caso de referencia sobre la intersección entre protección de datos, relaciones laborales y uso de dispositivos personales.
El origen del caso: teléfonos personales usados como herramienta de trabajo
La investigación se inició tras la denuncia de varias secciones sindicales. Según los hechos acreditados, Majorel solicitó a los trabajadores sus números de teléfono personal durante una formación interna, anotándolos en un folio en blanco junto con la fecha de nacimiento. Posteriormente, esos números fueron utilizados para recibir SMS de doble factor de autenticación necesarios para acceder a las herramientas informáticas del cliente, una multinacional con infraestructura tecnológica gestionada desde China.
Los trabajadores comenzaron a recibir mensajes directamente del cliente con sus credenciales de acceso, lo que permitió deducir que Majorel había cedido sus datos personales sin consentimiento expreso ni información previa suficiente. En total, 203 empleados estaban utilizando su móvil personal para trabajar.
La defensa de la empresa: necesidad contractual y medidas transitorias
Majorel alegó ante la AEPD que:
-
La cesión de datos estaba amparada en el art. 6.1.b RGPD (necesidad para la ejecución del contrato laboral).
-
El uso del móvil personal era una solución temporal hasta disponer de terminales corporativos.
-
Los trabajadores tenían una expectativa razonable de que sus datos serían utilizados para crear usuarios en las herramientas del cliente.
-
La medida era imprescindible para garantizar la seguridad informática y cumplir los estándares del cliente.
-
La empresa ya estaba en proceso de sustituir los teléfonos personales por dispositivos corporativos.
Incluso aportó informes internos y una evaluación de transferencia internacional de datos hacia China.
La AEPD desmonta los argumentos: el móvil personal no es necesario para trabajar
La Agencia rechaza de forma contundente la tesis de la empresa. La resolución recuerda que:
-
El teléfono personal no es necesario para ejecutar el contrato laboral, por lo que no puede ampararse en el art. 6.1.b RGPD.
-
El principio de ajenidad en los medios obliga a la empresa a proporcionar las herramientas necesarias para trabajar.
-
No existió consentimiento válido, ya que no se ofreció una alternativa real.
-
El propio Delegado de Protección de Datos de Majorel había advertido que la práctica era contraria al RGPD.
-
Ya existía doctrina previa de la AEPD y de la Audiencia Nacional, que en febrero de 2024 declaró ilegal exigir el uso del móvil personal para autenticación (SAN 487/2024).
La Agencia subraya que la empresa actuó como encargado del tratamiento, pero aun así debía garantizar que la cesión de datos al cliente —incluida la transferencia internacional a China— cumpliera los principios de necesidad, minimización y proporcionalidad.
Infracción del artículo 6.1 RGPD y sanción económica
La AEPD concluye que Majorel realizó un tratamiento de datos sin base de legitimación válida, vulnerando el artículo 6.1 RGPD. La cesión del número de teléfono personal no era necesaria para la ejecución del contrato, existían alternativas menos intrusivas y la empresa no podía imponer el uso de dispositivos privados.
Por ello, impone una multa de 80.000 euros y ordena:
-
Cesar el uso de teléfonos personales para fines laborales.
-
Implantar teléfonos corporativos o medios equivalentes para la autenticación.
-
Mejorar la información facilitada a los trabajadores sobre cesiones de datos a clientes.
Un aviso claro para las empresas: el RGPD también opera dentro de la relación laboral
La resolución lanza un mensaje directo al tejido empresarial:
-
Si un dispositivo es necesario para trabajar, lo debe proporcionar la empresa.
-
La ciberseguridad no justifica cualquier tratamiento de datos.
-
Las transferencias internacionales requieren garantías reforzadas.
-
El consentimiento del trabajador no es válido cuando existe desequilibrio o no se ofrece alternativa.
-
El RGPD es plenamente aplicable en el ámbito laboral, incluso cuando intervienen clientes externos.
En un contexto donde cada vez más empresas externalizan servicios y utilizan herramientas de autenticación remota, la decisión de la AEPD marca un precedente relevante y refuerza la necesidad de revisar políticas internas, contratos con clientes y prácticas de onboarding tecnológico.