La autenticación en dos factores (MFA) se ha convertido en un estándar de ciberseguridad: además de la contraseña, se exige un segundo “paso” (por ejemplo, un código por SMS) para acceder a sistemas corporativos. El problema empieza cuando ese segundo factor se apoya en el teléfono personal del trabajador.
Una resolución reciente de la Agencia Española de Protección de Datos (AEPD) vuelve a poner el foco en esa práctica y en un mensaje que afecta a miles de empresas: reforzar la seguridad no justifica, por sí solo, invadir la esfera privada del empleado ni trasladarle el coste y el control de los medios de trabajo.
Según el expediente EXP202406971, una empresa comunicó a un tercero (cliente/proveedor) los números de teléfono personales de trabajadores, junto con otros datos identificativos, para crear cuentas de acceso a herramientas informáticas. La propia compañía reconoció que, al no disponer de terminales corporativos, optó “de forma temporal” por usar los móviles personales para recibir los códigos necesarios para acceder a los sistemas.
El alcance no fue menor: de 364 personas activas en el servicio, 203 tenían asociado su móvil personal.
Además, la cesión no se limitó al teléfono: se incluyeron 9 tipos de datos, como DNI, nombre, sexo, código de país del teléfono, número de móvil, nacionalidad, provincia y fecha de nacimiento, entre otros.
Uno de los puntos centrales es la base jurídica. La empresa trató de ampararse en el artículo 6.1.b del RGPD (tratamiento necesario para ejecutar un contrato). Sin embargo, la AEPD recuerda un criterio clave: esa base no cubre tratamientos “útiles”, pero no objetivamente necesarios para ejecutar el contrato. Si existen alternativas menos intrusivas, el tratamiento deja de ser “necesario”.
En este caso, la Agencia concluye que la ejecución del contrato laboral no exige ni justifica la cesión del número de teléfono personal a un tercero; es un dato de la esfera privada del empleado y no resulta proporcional, más aún cuando la propia entidad lo definió como una solución provisional por motivos organizativos internos.
La resolución también deja una idea práctica: el consentimiento, en un entorno laboral, no es un comodín. Para que sea válido debe ser libre, informado y revocable sin consecuencias perjudiciales. Y, sobre todo, debe existir una alternativa real (por ejemplo, un medio corporativo equivalente) que no penalice al trabajador si no acepta.
Además, la AEPD subraya que el empleador debe garantizar que las aplicaciones corporativas no invadan datos privados del terminal y que exista separación técnica entre el uso laboral y personal del dispositivo. En el supuesto analizado, no concurría ninguna de esas garantías.
El expediente cita también la SAN 487/2024 (Audiencia Nacional), vinculada a la prohibición de imponer herramientas personales para fines laborales y a la necesidad de que, si se exige doble factor, la empresa facilite los medios necesarios.
La AEPD añade que ya había reiterado en resoluciones anteriores que es ilegal usar el móvil personal como doble factor en contextos laborales.
El procedimiento fijó inicialmente una multa administrativa de 80.000,00 €. ps-00456-2025
Al existir reconocimiento de responsabilidad y pago voluntario (reducciones acumulables), la cuantía final quedó en 48.000,00 €.
Además de la sanción económica, la AEPD contempló medidas correctivas: cesar en el uso de los teléfonos personales como terminales de acceso (SMS/token) y acreditar la adopción de medidas en un plazo máximo de 3 meses desde la ejecutividad.
Para las empresas, el mensaje es operativo: si se exige MFA para acceder a sistemas corporativos, hay que proveer medios corporativos. Eso puede implicar:
Para trabajadores, el caso refuerza una idea: el móvil personal no debería convertirse en “herramienta obligatoria” para trabajar, y cualquier cesión o uso debe estar plenamente justificado, documentado y con alternativa real.
En la práctica, la AEPD viene considerando que no es lícito imponerlo como mecanismo de acceso. Para que pudiera plantearse, tendría que existir consentimiento libre y una alternativa equivalente sin perjuicio, además de garantías técnicas de separación de datos.
No cuando el tratamiento es “útil” pero no objetivamente necesario y existen opciones menos intrusivas. La AEPD insiste en ese límite para el uso del teléfono personal.
Tokens corporativos, llaves físicas (FIDO2), apps autenticadoras en dispositivos corporativos, certificados y modelos de acceso basado en riesgo. Lo relevante es que el medio no recaiga obligatoriamente en el terminal personal del empleado.
Además de multas, la AEPD puede ordenar medidas correctivas para cesar el tratamiento y exigir su acreditación en plazos concretos, como en este expediente.
