La Agencia Española de Protección de Datos (AEPD) ha impuesto una multa de 200.000 euros al BBVA por eliminar datos personales de un móvil que previamente había regalado a un extrabajador. Aunque la compañía tenía el derecho de borrar aplicaciones y datos corporativos del dispositivo, la acción de eliminar información personal del exempleado ha sido considerada una infracción a la normativa de protección de datos.
El conflicto comenzó cuando el exempleado descubrió que no tenía acceso al móvil, que había sido transferido a su propiedad tras finalizar su contrato con el BBVA. Como parte de las políticas internas de la empresa, el banco permite a los empleados “adquirir, a título personal, el terminal corporativo” al término de su relación laboral. Este acuerdo estipulaba que el dispositivo, a partir de ese momento, quedaría en uso exclusivo del exempleado. Sin embargo, meses después, BBVA bloqueó el teléfono, argumentando que este aún estaba conectado a la plataforma corporativa de gestión de dispositivos, y que el antiguo empleado no estaba autorizado a mantener dicho acceso.
El exempleado contactó con el BBVA solicitando que se restaurara el acceso completo al dispositivo. Desde el banco, le informaron que, para volver a usar el móvil, debía realizar un restablecimiento de fábrica, lo cual conllevaría la pérdida de toda la información personal que tenía almacenada. Ante esta situación, el exempleado se mostró reacio, ya que implicaba perder datos personales valiosos, algunos de ellos irrecuperables.
A raíz de este bloqueo, el exempleado presentó una queja ante la AEPD, alegando que el BBVA había vulnerado el artículo 6.1 del Reglamento General de Protección de Datos (RGPD), que establece las condiciones específicas bajo las cuales el tratamiento de datos personales es lícito. En su denuncia, el exempleado invocó también la Ley Orgánica 3/2018 de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), destacando que el tratamiento de sus datos debería haberse ajustado a una base legal concreta, como su consentimiento o una obligación contractual clara.
En defensa de su actuación, el BBVA argumentó que contaba con el derecho de eliminar los datos del dispositivo en cualquier momento, tanto durante como después de la relación laboral, en base al ‘Proyecto Corporate Smartphone’. Según este acuerdo, BBVA podía eliminar aplicaciones y configuraciones corporativas del dispositivo móvil, así como bloquear o borrar datos en caso de detectar cualquier irregularidad. En este sentido, el banco argumentó que su acción de bloquear el terminal en junio de 2022 respondía a la necesidad de ajustar el dispositivo a los parámetros de uso autorizados. Además, el BBVA indicó que, si bien el borrado de datos corporativos debería haberse realizado en septiembre de 2021 —cuando concluyó la relación laboral—, la demora no debería considerarse una infracción.
Sin embargo, la AEPD evaluó que, aunque el BBVA tenía derecho a gestionar y eliminar datos corporativos en el dispositivo, no estaba facultado para eliminar información personal almacenada fuera de las aplicaciones corporativas. La entidad concluyó que la empresa había infringido el artículo 83.5 a) del RGPD, que establece sanciones para los incumplimientos de los principios básicos en el tratamiento de datos personales. El reglamento detalla que este tipo de infracciones pueden ser castigadas con multas que ascienden al 4% de la facturación anual de la empresa o hasta 20 millones de euros, aplicando el importe mayor.
Finalmente, la AEPD ha decidido sancionar al BBVA con 200.000 euros debido a la repercusión de la eliminación de los datos personales del exempleado, una acción que según la agencia no estaba justificada por la normativa de protección de datos ni por las condiciones establecidas en el acuerdo de uso del terminal.
