2FA en el entorno laboral: ¿Puede la empresa obligar al trabajador a usar su móvil personal?
El doble factor de autenticación (2FA o MFA) se ha convertido en una medida de seguridad esencial e idónea para garantizar la confidencialidad e integridad de los datos (art. 32 del RGPD) frente a la creciente amenaza de ciberataques. Sin embargo, su implementación en el ámbito laboral choca frecuentemente con los derechos digitales de los trabajadores y la normativa de protección de datos cuando las empresas deciden apoyarse en los dispositivos personales (BYOD) de sus empleados.
¿Es lícito que una empresa exija a su plantilla el uso de su smartphone privado o su número de teléfono personal para recibir el SMS o el código de la aplicación de autenticación?
La respuesta, apoyada en recientes resoluciones de la Agencia Española de Protección de Datos (AEPD) y de la Audiencia Nacional, es un rotundo no, salvo que se ofrezcan alternativas o se cumplan unos estrictos requisitos técnicos.
El tratamiento de los identificadores vinculados al 2FA (como el número de teléfono móvil) constituye un tratamiento de datos personales en los términos del art. 4.2 del RGPD. En el entorno laboral, el consentimiento rara vez se considera una base jurídica válida debido al desequilibrio de poder entre la empresa y la persona trabajadora. Las empresas suelen ampararse en la “ejecución del contrato” o el “interés legítimo”, pero estas bases requieren superar un estricto juicio de proporcionalidad y minimización.
El criterio de la AEPD y la jurisprudencia
La AEPD ha trazado una línea muy clara a través de recientes resoluciones que diferencian las malas y las buenas prácticas en la implantación del 2FA:
- PS-00456-2025. La AEPD ha impuesto una sanción de 80.000 euros (reducida a 48.000€ por pago voluntario y reconocimiento de responsabilidad) a una empresa de Contact Center que cedió los números de teléfono móviles personales de más de 200 trabajadores a un cliente para que estos recibieran los SMS con las credenciales de acceso. La Agencia determinó que el uso del teléfono personal no es necesario ni proporcional para la ejecución de la relación laboral (art. 6.1.b del RGPD) y que la empresa vulneró la ley al no proporcionar terminales corporativos o alternativas técnicas viables. Esta resolución se apoya explícitamente en la Sentencia de la Audiencia Nacional (SAN 487/2024, de 5 de febrero), que declaró nula una cláusula de teletrabajo que imponía al empleado facilitar su móvil para recibir SMS o usar apps de autenticación, argumentando que es el empresario quien debe facilitar las herramientas y medios precisos.
- AI-00074-2024. En contraste, la AEPD archivó una reclamación contra el Ministerio de Justicia relacionada con la obligatoriedad de instalar una aplicación de 2FA (tipo Authenticator) en móviles personales o corporativos. El Ministerio demostró que eliminó la opción del SMS para evitar tratar el número personal del trabajador. La aplicación utilizada únicamente requería la cuenta de correo corporativa del usuario, sin recopilar su número de teléfono privado, identificadores del dispositivo ni información personal, respetando escrupulosamente el principio de confidencialidad. Además, la medida venía avalada por el Esquema Nacional de Seguridad (ENS) para accesos desde redes no controladas y la entidad implementó alternativas de acceso mediante certificado electrónico para aquellos que no pudieran usar la app.
Directrices para una implementación legal y segura
A la luz de los criterios de la AEPD y de autoridades europeas como la CNIL francesa, las entidades deben seguir estas directrices para evitar cuantiosas sanciones:
- Priorizar medios corporativos: Se deben usar preferentemente teléfonos corporativos, dispositivos dedicados o *tokens* físicos (llaveros criptográficos, tarjetas inteligentes) proporcionados por la empresa.
- Minimización de datos y alternativas BYOD: Si se permite el uso del dispositivo personal (BYOD), la instalación de aplicaciones tipo TOTP (Time-based One-Time Password) es preferible al SMS, ya que la app puede configurarse sin que la empresa necesite recopilar ni conocer el número de teléfono del empleado.
- Voluntariedad: Las políticas de seguridad deben reconocer la voluntariedad del uso del dispositivo personal y prever siempre una opción alternativa a cargo de la empresa para aquel trabajador que no desee usar el suyo propio.
- Separación de entornos: Las aplicaciones gestionadas deben garantizar una separación lógica entre los datos personales del empleado y los datos corporativos, evitando injerencias en la esfera privada.
Conclusión
La ciberseguridad es una obligación inexcusable, pero no puede sostenerse a costa de los derechos fundamentales de la plantilla. La implantación del doble factor de autenticación exige un análisis de riesgos previo, y una política transparente que ofrezca medios empresariales sin invadir la intimidad del trabajador. Aquellas organizaciones que no atiendan estos criterios, principalmente el de ofrecimiento de alternativas y la obtención voluntario del consentimiento del trabajador podrían exponerse a severas multas por parte de las autoridades de protección de datos.
Documentos Relacionados
- Introducción
- ¿Es lícito que una empresa exija a su plantilla el uso de su smartphone privado o su número de teléfono personal para recibir el SMS o el código de la aplicación de autenticación?
- El criterio de la AEPD y la jurisprudencia
- Directrices para una implementación legal y segura
- Conclusión
- Faqs