1/33 Expediente N.º: EXP202411411 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes: ANTECEDENTES PRIMERO: Con fecha 23 de julio de 2024 se interpuso reclamación ante la Agencia Española de Protección de Datos por una posible infracción imputable a ARES CAPITAL, S.A. con NIF A80358955 (en adelante, ARES CAPITAL). Los hechos que se pusieron en conocimiento de esta autoridad eran: Quien reclama señala que ARES CAPITAL, empresa para la que trabaja como conductor de un VTC, le obliga a usar su propio teléfono móvil en el ámbito laboral y a descargar cuatro aplicaciones que monitorean su ubicación, mensajes, llamadas y más parámetros de actividad, las 24 horas de forma continua y exhaustiva. Además, señala que no ha sido suficientemente informado sobre el alcance de los datos personales recopilados en su teléfono móvil personal. Menciona que esta situación afecta también al resto de conductores. Junto al escrito, se aportó: - Captura de pantalla de fecha 30 de abril de 2024, donde figuran cuatro links: (…) - Capturas de pantalla de las siguientes aplicaciones en ***APLICACIÓN.1: “***APLICACIÓN.2”, “***APLICACIÓN.3”, “***APLICACIÓN.4”, así como captura de la pantalla de la descarga de la aplicación “***APLICACIÓN.5”. En el expediente se incluyen como evidencias las siguientes capturas de pantalla: - Captura de pantalla de fecha 6 de agosto de 2024 información proporcionada por el desarrollador de ***APLICACIÓN.3 en la app store Google Play. - Captura de pantalla de fecha 6 de agosto de 2024 información proporcionada por el desarrollador de ***APLICACIÓN.4 en la app store Google Play. - Captura de pantalla de fecha 6 de agosto de 2024 información proporcionada por el desarrollador de ***APLICACIÓN.5 en la app store Google Play. - Captura de pantalla de fecha 6 de agosto de 2024 información proporcionada por el desarrollador de ***APLICACIÓN.6 en la app store Google Play. - Captura de pantalla de fecha 6 de agosto de 2024 de la Política de Privacidad de ***APLICACIÓN.3 de la web ***URL.1. C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 2/33 - Captura de pantalla de fecha 6 de agosto de 2024 de la Política de Privacidad de ***EMPRESA.1 de la web ***URL.2. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), se dio traslado de dicha reclamación a ARES CAPITAL, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. La notificación del traslado de la reclamación, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue realizada en fecha 14 de agosto de 2024 como consta en el acuse de recibo que obra en el expediente. TERCERO: Con fecha 13 de septiembre de 2024 se recibe en esta Agencia escrito de respuesta indicando lo siguiente: "(…) 1. Finalidad del Tratamiento de Datos Personales De acuerdo con la cláusula 9.3 de las cláusulas adicionales al Contrato de Trabajo, los datos personales de los empleados se recaban y tratan para los siguientes fines:
- a)Gestionar la relación laboral y la prestación de servicios a través de las plataformas necesarias para el desempeño de funciones como conductor VTC.
- b)Mantener y desarrollar el contrato laboral, incluyendo controles de absentismo, evaluaciones de rendimiento, gestión del personal, cambios de turno, campañas de motivación y control horario.
- c)Garantizar la seguridad del patrimonio de la compañía, incluyendo los vehículos.
- d)Asegurar la seguridad de las flotas de vehículos y pasajeros.
- e)Elaborar patrones de conducta para asegurar la seguridad de los pasajeros y tomar decisiones sobre el rendimiento de los empleados. 1. Periodo de Conservación de Datos Conforme se establece en la cláusula 9.5. de las cláusulas adicionales al Contrato de Trabajo, los datos personales de nuestros empleados se conservarán mientras dure la relación laboral y, una vez finalizada, se mantendrán debidamente bloqueados durante un máximo de cinco años a efectos de cumplir con las obligaciones legales o contractuales que sean de aplicación. 2. Destinatarios de los Datos La cláusula 9.6 de las cláusulas adicionales al Contrato de Trabajo, establece los terceros destinatarios de los datos que, por obligación legal y otros intereses legítimos de la empresa, tendrán acceso a los datos de los C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 3/33 trabajadores incluyendo entidades como bancos, organismos de Seguridad Social y Tributaria, la Dirección General de Tráfico, Fuerzas de Seguridad, y otras empresas encargadas de servicios como confección de nóminas, seguros, contabilidad y apoyo jurídico e informático. 3. Derechos de los Trabajadores La cláusula 9.7 de las cláusulas adicionales al Contrato de Trabajo, informa a los trabajadores sobre sus derechos de acceso, rectificación, supresión, limitación del tratamiento, oposición y portabilidad de sus datos personales, los cuales pueden ejercitar, conforme a la normativa aplicable, dirigiéndose al departamento de Recursos Humanos o a la dirección de correo electrónico ***EMAIL.1. 4. Control de la Actividad Laboral y Medidas Disciplinarias De acuerdo con la cláusula 8 de las cláusulas adicionales del Contrato de Trabajo, se informa de:
- a)Videovigilancia y Sistemas Tecnológicos La Compañía, para el desarrollo efectivo de su actividad y la protección de sus bienes, equipos y sistemas informáticos, emplea diversas formas de videovigilancia y vigilancia tecnológica, tanto directamente como a través de terceros. Este monitoreo incluye el acceso y vigilancia de ordenadores, dispositivos de comunicación, redes, impresoras, servicios de email y conexión a Internet, así como sistemas informáticos, bases de datos, copias de seguridad, memorias USB, VPN, teléfonos móviles y otros dispositivos similares. Esta vigilancia se realiza únicamente con el fin de garantizar la seguridad de la Empresa y el cumplimiento de las obligaciones laborales por parte de los empleados.
- a)Monitoreo de la Prestación de Servicios Se incluyen sistemas que supervisan la prestación de servicios de transporte y los estilos y hábitos de conducción de los empleados. Esta supervisión permite un uso óptimo y racional de los vehículos, y los empleados están obligados a utilizar los medios de conducción proporcionados de manera diligente.
- b)Sistemas de Localización Los empleados han sido informados sobre la existencia de dos sistemas de localización: Aplicación de ***EMPRESA.2: Utiliza el terminal telefónico para proporcionar información sobre la ubicación del empleado solo cuando está conectado a la plataforma. Geolocalizador del Vehículo: Instalado en el vehículo de la Compañía, proporciona la ubicación del mismo de forma permanente. Los datos de localización proporcionados por estos sistemas no permiten a la Empresa acceder a otras aplicaciones en el terminal del empleado.
- d)Dispositivos Móviles y Geolocalización Los dispositivos móviles proporcionados por la Compañía están equipados con un sistema de geolocalización necesario para integrar el sistema de la Empresa con servicios de terceros, como ***SISTEMA.1 que, posteriormente, explicaremos. Estos dispositivos incluyen un MDM (Mobile Device Management) que impide la desconexión del sistema de la Empresa. Es importante destacar que en caso de que el dispositivo móvil sea apagado por C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 4/33 el empleado, cesará la transmisión de su ubicación. Los empleados han recibido la información necesaria para desconectarse de las aplicaciones el dispositivo móvil fuera de su jornada laboral, preservando así su privacidad. La información recopilada incluye solo datos de localización y velocidad. Los empleados aceptan que estos datos puedan ser utilizados para verificar el desempeño laboral y aplicar sanciones si fuera necesario. También se les informa sobre sus derechos de acceso, rectificación, supresión y limitación del tratamiento de sus datos. 1. Políticas Relacionadas con el Uso de Teléfonos Móviles
- a)Elección del Teléfono Móvil De acuerdo con la cláusula 11 de las cláusulas adicionales del contrato, los empleados tienen la opción de: • Solicitar un teléfono móvil corporativo proporcionado por la Compañía para el desempeño de sus funciones. • Utilizar su teléfono móvil personal para las funciones laborales. En este caso, la Compañía abonará una cantidad mensual en concepto de "uso móvil personal" para cubrir los gastos derivados. Se ha de precisar que son numerosos los empleados que deciden utilizar su propio teléfono móvil a efectos prácticos, por la comodidad que supone no tener que portar dos teléfonos móviles. Los empleados también tienen la posibilidad de cambiar su elección en cualquier momento durante la relación laboral, notificando a su gestor con un mes de antelación. SEGUNDA.- La Decisión adoptada a propósito de esta reclamación. La decisión adoptada por parte de la empresa se describe con más detalle en el punto CUARTO. - Informe sobre las medidas adoptadas para evitar que se produzcan incidencias similares, fechas de implantación y controles efectuados para comprobar su eficacia: Medidas Adoptadas: • Revisión y actualización de la política de desconexión digital y procedimientos relacionados. Refuerzo de la formación y sensibilización de los empleados y responsables sobre el uso adecuado de los dispositivos y aplicaciones. • Implementación de un canal de comunicación directa para resolver dudas y reclamaciones de los empleados en relación con el uso de tecnologías. • Agilizar la provisión de Dispositivos Móviles de Empresa a aquellos trabajadores que actualmente utilizan sus dispositivos personales para fines laborales y soliciten dicho cambio. • Fechas de Implantación: • La actualización de la política y los procedimientos se completarán durante el • mes de septiembre y octubre de 2024. La formación y sensibilización se realizará, dado el volumen de trabajadores en plantilla, durante los meses restantes de 2024 y continuará periódicamente con los planes de formación Refresher (para trabajadores ya existentes en la C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 5/33 compañía y que hayan recibido la formación inicial en materia de Privacidad y Protección de Datos). • La provisión de dispositivos móviles se estima que se completará progresivamente a medida que se puedan disponer de los recursos necesarios. Controles Efectuados para Comprobar la Eficacia: Se han establecido revisiones periódicas para evaluar la eficacia de las medidas adoptadas y ajustar las políticas según sea necesario. TERCERA.- Informe sobre las causas que han motivado la incidencia que ha originado la reclamación. La incidencia se ha originado debido al desconocimiento por parte del trabajador/reclamante sobre el alcance y la finalidad del uso de las aplicaciones y dispositivos móviles personales. La Compañía ha establecido medidas para informar de manera más detallada a los empleados sobre el uso de estas herramientas y sus derechos: 1. Política de Desconexión Digital: Garantiza la protección de la privacidad y establece mecanismos para resolver cualquier inquietud que los trabajadores puedan tener sobre el uso de tecnologías. 1. Manual del Conductor: De acuerdo con el Capítulo II: Servicios Internos, se informa de: 1. Plataforma de Servicios y ***APLICACIÓN.5: • La aplicación ***APLICACIÓN.5 es una herramienta indispensable para la gestión operativa de la Compañía. El trabajador debe prestar especial atención a las comunicaciones recibidas a través de esta aplicación, ya que es el principal canal de comunicación entre la Compañía y los empleados. • La plataforma de prestación de servicios ***SISTEMA.1 también es esencial para la correcta realización de las funciones del trabajador. Su instalación es obligatoria, ya que permite la integración del sistema de la empresa con el servicio de terceros (***EMPRESA.2). Como se ha informado previamente al trabajador en la cláusula adicional 8. Control de la Actividad Laboral y Medidas Disciplinarias, esta plataforma requiere la geolocalización del conductor y del vehículo, pero en ningún caso accede a información personal del trabajador en caso de que se esté usando su terminal móvil para el desempeño de sus funciones, simplemente integra el sistema del conductor en el entorno ***EMPRESA.2 para atender la petición de los terceros clientes que precisan del servicio de transporte privado. 2. Sobre el Vehículo y Otros Efectos de la Empresa: • Como se informa en la cláusula 8 de las cláusulas adicionales del Contrato de Trabajo. Dispositivos móviles y Geolocalización, los dispositivos móviles proporcionados por la empresa incluyen un sistema de geolocalización que C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 6/33 permite a la empresa monitorizar la ubicación del dispositivo mientras esté operativo. Este sistema es necesario para la conexión con servicios de terceros (como ***EMPRESA.2) y para el funcionamiento de los vehículos, que también están equipados con un geolocalizador GPS. El dispositivo móvil cuenta con un sistema MDM (Mobile Device Management) que asegura que no se pueda desconectar el sistema de la empresa de las aplicaciones de terceros. Se ha informado al trabajador que, en caso de que el dispositivo móvil sea apagado, dejará de transmitir su ubicación. El trabajador puede desconectarse de las aplicaciones del dispositivo fuera de su jornada laboral para preservar su privacidad, y se le ha proporcionado la información necesaria para hacerlo, estando estrictamente prohibida la manipulación del dispositivo geolocalizador del vehículo. 2. Terminal Telefónico: • En caso de que la empresa facilite un terminal telefónico, este deberá ser utilizado exclusivamente para fines laborales por parte del trabajador. • No se podrá modificar ninguna característica del terminal, sus aplicaciones ni su configuración en la red sin la autorización expresa y por escrito de la empresa. • El teléfono de empresa no debe utilizarse para asuntos personales durante la jornada laboral, salvo en casos de urgencia. • A solicitud de la empresa, y cuando sea necesario para garantizar la seguridad o el cumplimiento de las obligaciones laborales, el trabajador deberá proporcionar la información del teléfono o devolver el terminal y todos los elementos adicionales (cargador, fundas, tarjetas SIM, etc.) de inmediato. De acuerdo con el Capítulo II: Servicios Internos, se informa de: 1. Control Horario, Jornada Laboral, Descansos y Permisos: • Se establecen parámetros sobre el control horario y el registro de la jornada laboral, definiendo el trabajo efectivo, las pausas y los descansos. La jornada laboral comienza cuando el trabajador recoge el vehículo en la base y se conecta a la plataforma, y finaliza cuando entrega el vehículo en la misma base. • Se requiere un mínimo de 8 horas de trabajo efectivo y un descanso mínimo de 1 hora. Durante las pausas y descansos, el trabajador debe desconectarse de la plataforma. La falta de desconexión no implicará que el tiempo se considere efectivo para el cálculo salarial. • La desconexión de la plataforma durante los descansos y pausas garantiza la no monitorización por parte de la empresa, respetando así los derechos a la intimidad y privacidad del trabajador, conforme a la normativa aplicable en materia de Protección de Datos y derechos constitucionales. C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 7/33 2. Comunicación de Incidencias, Licencias y Permisos: • Las solicitudes de licencia o permiso deben realizarse por escrito, con al menos 24 horas de antelación, a través de la aplicación ***APLICACIÓN.5. La aplicación ***APLICACIÓN.5 es de instalación obligatoria en todos los terminales (ya sean proporcionados por la empresa o el personal, según se estableció en la cláusula 11 de las cláusulas adicionales al contrato), lo que justifica aún más el deber de instalación de la app con fines operativos. • Para acceder a los protocolos de la empresa (como el Plan de Igualdad y PRL), el trabajador deberá utilizar la aplicación ***APLICACIÓN.5. • Como conductor, el trabajador tendrá acceso a los datos e identidad de los pasajeros que contraten los servicios de la empresa a través de la plataforma ***SISTEMA.1. El trabajador está obligado a mantener la confidencialidad de la información y datos personales de clientes, proveedores y empleados, utilizándolos exclusivamente para el desempeño de sus funciones y no pudiendo revelarlos, reproducirlos ni alterarlos durante y después de la relación laboral. 3. Aplicaciones Relacionadas con el Desempeño de Funciones Laborales De acuerdo con el requerimiento y en base a las alegaciones del reclamante, se informa de: • ***APLICACIÓN.7: La aplicación ***APLICACIÓN.7 es una herramienta indispensable para que los trabajadores puedan desempeñar correctamente sus funciones, tal y como se detalla a continuación. El tratamiento de los datos personales a través de esta aplicación está legitimado en la ejecución del contrato laboral, con el objetivo de facilitar el contacto con el cliente final que contrata el servicio de transporte privado. La funcionalidad principal de esta aplicación es la integración del ***SOFTWARE.1 (software basado en tecnología de Voz sobre IP (VoIP), que permite realizar y recibir llamadas a través de una aplicación, sin utilizar una tarifa de telefonía móvil, con la plataforma de servicio de terceros, en este caso, ***SISTEMA.1. Esta integración está dirigida a aquellos trabajadores que se conectan en remoto, debido a las características del puesto de trabajo de los empleados (conductores). Dado que se puede utilizar el móvil personal del trabajador durante la jornada laboral, la empresa pretende que las llamadas se realicen sin necesidad de utilizar la tarifa móvil. Sin embargo, conforme a la cláusula 11 de las condiciones adicionales del Contrato sobre teléfonos móviles, cuando el trabajador opta por usar su teléfono personal para el desempeño de sus funciones, la empresa abona una cantidad mensual en concepto de “uso móvil personal” para cubrir los gastos derivados. Cabe destacar que la integración ***SOFTWARE.1 con la plataforma de servicio de terceros permite realizar y recibir llamadas sin coste adicional. Además, esta aplicación no accede a la agenda ni a los números de contacto personales del trabajador en su móvil, ya que se integra exclusivamente en el entorno limitado de la plataforma de servicio de terceros (***SISTEMA.1), cuyos datos personales se refieren únicamente a los clientes finales. C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 8/33 • ***APLICACIÓN.4: La aplicación ***APLICACIÓN.4 es fundamental para el desempeño de las funciones laborales de los trabajadores, como se describe a continuación. El tratamiento de los datos personales a través de esta aplicación está legitimado en la ejecución del Contrato laboral, con el objetivo de facilitar el acceso al vehículo. ***APLICACIÓN.4 proporciona a las compañías de flotas de vehículos compartidos un sistema de acceso y cierre seguro sin llave. Esta tecnología se presenta como una llave digital que sustituye a las llaves físicas de los vehículos. De este modo, los conductores de flotas compartidas pueden abrir y cerrar los vehículos cómodamente desde su móvil, sin necesidad de una llave física, siendo la conexión entre el dispositivo móvil del conductor y el dispositivo ***APLICACIÓN.4 mediante Bluethoot, no existiendo por tanto ninguna posibilidad de conexión cuando el conductor está fuera del radio de alcance de 3-5 metros de dicho sistema de interconexión. Esta solución permite a la empresa gestionar la flota de vehículos con mayor accesibilidad y menor inmovilización, especialmente en casos de reparación o sustitución de vehículos. Además, facilita que cualquier trabajador pueda acceder a cualquier vehículo de la flota sin necesidad de entregar o recoger llaves físicas en un punto específico, agilizando así la actividad operativa. Es importante señalar que esta aplicación únicamente accede a los sistemas de conexión de los vehículos en cuestión (control de bloqueo por ***SISTEMA.2 conectado a la tecnología ***APLICACIÓN.4) y no tiene acceso a los datos personales del trabajador almacenados en su móvil personal. La funcionalidad exclusiva de ***APLICACIÓN.4 es la de abrir y cerrar el vehículo. Los sistemas de geolocalización necesarios para el desempeño de las funciones de la aplicación dejan de funcionar cuando el trabajador cierra la aplicación al finalizar su jornada laboral. CUARTA.- Informe sobre las medidas adoptadas para evitar que se produzcan incidencias similares, fechas de implantación y controles efectuados para comprobar su eficacia. A continuación, queremos informarles sobre las medidas que la empresa ha decidido adoptar para abordar las preocupaciones planteadas y garantizar el cumplimiento riguroso de la normativa de protección de datos y desconexión digital. No obstante, queremos señalar que la solicitud de este requerimiento de información por la AEPD no se debe a un incumplimiento de la normativa aplicable en materia de Privacidad y Protección de Datos, sino al desconocimiento por parte del trabajador/reclamante sobre el alcance y la finalidad del uso de las aplicaciones y dispositivos móviles personales. • Formación y Sensibilización: La empresa ha decidido intensificar los esfuerzos en la formación y sensibilización de nuestros empleados en materia de protección de datos y desconexión digital. Esto incluirá: • Capacitación: Se reforzará la formación tanto a los nuevos empleados como a los ya existentes, con el objetivo de asegurar que todos comprendan C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 9/33 plenamente sus derechos y obligaciones en relación con el uso de dispositivos y aplicaciones. Esta formación abordará específicamente materia de Protección de Datos, el acceso a información durante el desempeño de sus funciones y el derecho a la Desconexión Digital. • Información Detallada: Se incidirá en que todos los empleados reciban y comprendan una explicación detallada sobre el uso adecuado de los dispositivos proporcionados por la empresa y de las aplicaciones necesarias para el desempeño de sus funciones. Se destacará que, en el caso de utilizar dispositivos personales para funciones laborales, la empresa no accede a información personal almacenada en dichos dispositivos. Revisión y Actualización de Procedimientos: La empresa llevará a cabo las siguientes acciones: • Revisión de Procedimientos Internos: Se revisarán y actualizarán los procedimientos internos para asegurar que el acceso a información personal sea conforme a la normativa aplicable y se mantenga la transparencia con los empleados sobre el uso de sus dispositivos personales. Esto incluirá una revisión de los sistemas de geolocalización y la integración de aplicaciones para garantizar que se respete la privacidad y se limite el acceso a la información personal. • Transparencia y Comunicación: Se reforzará la comunicación con los empleados para que tengan un entendimiento claro de las políticas de la empresa en cuanto al acceso y uso de datos personales. Se asegurará que todos los empleados estén informados de los límites del acceso a su información personal y de las medidas de protección que se han implementado para salvaguardar su privacidad. Provisión de Dispositivos Móviles de Empresa: La empresa se compromete a proporcionar, en la medida de nuestras posibilidades y conforme a las limitaciones presupuestarias y de plantilla, dispositivos móviles corporativos a todos los trabajadores que elijan, conforme a la cláusula 11 de las cláusulas adicionales al Contrato de Trabajo, el uso del dispositivo móvil de la empresa para el desempeño de su trabajo. Provisión de Dispositivos: La empresa comprobará periódicamente mediante comunicación a los empleados que actualmente utilizan sus dispositivos personales para fines laborales, para confirmar que siguen interesados en hacer uso de su teléfono móvil, proporcionando uno de Empresa a la mayor brevedad a aquellos que decidan cambiar su decisión. Este proceso se llevará a cabo de acuerdo con la disponibilidad de recursos y el presupuesto asignado. • Plazo de Implementación: Es importante señalar que, dependiendo de cuál sea el grado de respuesta y debido a las restricciones financieras y logísticas, la implementación completa de esta medida no será inmediata. La empresa es consciente de que el proceso puede extenderse en el tiempo, y se estima que se completará progresivamente a medida que se puedan disponer de los recursos necesarios. • C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 10/33 • Alternativa Temporal: Mientras se lleva a cabo la transición, los empleados podrán seguir utilizando sus dispositivos personales para fines laborales, y la empresa continuará abonando una compensación mensual en concepto de “uso móvil personal” para cubrir los gastos asociados a esta situación. La empresa se compromete a mantener informados a los empleados sobre el progreso de la implementación de esta medida y a garantizar que, durante el periodo de transición, se sigan respetando todas las normativas aplicables en materia de Protección de datos y Privacidad. Cabe señalar que respetamos plenamente la decisión de los trabajadores que elijan utilizar su teléfono móvil personal para el desempeño de sus funciones laborales. En estos casos, no se proporcionará un teléfono de empresa adicional. Sin embargo, queremos asegurar a todos los trabajadores que, independientemente de la elección del dispositivo, la Empresa seguirá cumpliendo estrictamente con todas las normativas de Privacidad y Protección de datos aplicables. Se seguirán implementando medidas adecuadas para proteger la información personal y garantizar que la utilización del dispositivo personal para fines laborales no comprometa la seguridad de los datos. Con este conjunto de medidas, la empresa busca no solo seguir cumpliendo con las obligaciones legales, sino también fortalecer la confianza y seguridad de nuestros empleados en el entorno laboral. QUINTA.- Cualquier otra que considere relevante. ***EMPRESA.3 tiene implementado y actualizado el registro de las actividades de tratamiento siendo de conformidad con el art. 30 del RGPD. (…)". CUARTO: Con fecha 18 de septiembre de 2024, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación. QUINTO: Con fecha 30 de abril de 2025 la Presidencia de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por las presuntas infracciones de los artículos 13, 5.1.
- c)y 6.1 del RGPD, tipificadas en el artículo 83.5 del RGPD. SEXTO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP) y transcurrido el plazo otorgado para la formulación de alegaciones, se ha constatado que no se ha recibido alegación alguna por la parte reclamada. El artículo 64.2.
- f)de la LPACAP -disposición de la que se informó a la parte reclamada en el acuerdo de apertura del procedimiento- establece que si no se efectúan alegaciones en el plazo previsto sobre el contenido del acuerdo de iniciación, cuando éste contenga un pronunciamiento preciso acerca de la responsabilidad imputada, podrá ser considerado propuesta de resolución. En el presente caso, el acuerdo de inicio del expediente sancionador determinaba los hechos en los que se concretaba la C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 11/33 imputación, la infracción del RGPD atribuida a la reclamada y la sanción que podría imponerse. Por ello, tomando en consideración que la parte reclamada no ha formulado alegaciones al acuerdo de inicio del expediente y en atención a lo establecido en el artículo 64.2.
- f)de la LPACAP, el citado acuerdo de inicio es considerado en el presente caso propuesta de resolución. SÉPTIMO: De acuerdo con el informe recogido de la herramienta AXESOR en fecha 2 de febrero de 2026, la entidad ARES CAPITAL es una empresa constituida en el año 1992, y con un volumen de negocios de 256.229.000 € euros en el año 2024. A la vista de todo lo Actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran los siguientes HECHOS PROBADOS PRIMERO: ARES CAPITAL presta servicios de transporte en VTC, requiriendo a sus trabajadores el uso de diversas aplicaciones informáticas para el desempaño de su trabajo: "***APLICACIÓN.5", "***APLICACIÓN.2", "***APLICACIÓN.7" y "***APLICACIÓN.4". SEGUNDO: Consta que ARES CAPITAL ofrece a sus trabajadores la posibilidad del uso de un teléfono corporativo, según disponibilidad, o el uso del terminal móvil personal, tal y como se recoge en su escrito de 13 de septiembre de 2024 (el subrayado es nuestro): “De acuerdo con la cláusula 11 de las cláusulas adicionales del contrato, los empleados tienen la opción de: - Solicitar un teléfono móvil corporativo proporcionado por la Compañía para el desempeño de sus funciones. - Utilizar su teléfono móvil personal para las funciones laborales. En este caso, la Compañía abonará una cantidad mensual en concepto de "uso móvil personal" para cubrir los gastos derivados. Se ha de precisar que son numerosos los empleados que deciden utilizar su propio teléfono móvil a efectos prácticos, por la comodidad que supone no tener que portar dos teléfonos móviles. Los empleados también tienen la posibilidad de cambiar su elección en cualquier momento durante la relación laboral, notificando a su gestor con un mes de antelación. (…)” No obstante, más adelante continúa señalando que: “(…) La empresa se compromete a proporcionar, en la medida de nuestras posibilidades y conforme a las limitaciones presupuestarias y de plantilla, dispositivos móviles corporativos a todos los trabajadores que elijan, conforme a la cláusula 11 de las cláusulas adicionales al Contrato de Trabajo, el uso del dispositivo móvil de la empresa para el desempeño de su trabajo. Provisión de Dispositivos: La empresa comprobará periódicamente mediante comunicación a los empleados que actualmente utilizan sus dispositivos C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 12/33 personales para fines laborales, para confirmar que siguen interesados en hacer uso de su teléfono móvil, proporcionando uno de Empresa a la mayor brevedad a aquellos que decidan cambiar su decisión. Este proceso se llevará a cabo de acuerdo con la disponibilidad de recursos y el presupuesto asignado.” TERCERO: Consta en el escrito de respuesta de ARES CAPITAL recibido por esta Agencia en fecha 13 de septiembre de 2024, que la reclamada exige la instalación obligatoria de las siguientes herramientas en el terminal de que dispongan los conductores, ya sea el terminal personal que usen con fines laborales o el terminal de la empresa (el subrayado es nuestro): “(…) Los empleados han sido informados sobre la existencia de dos sistemas de localización:
- a)Aplicación de ***EMPRESA.2: Utiliza el terminal telefónico para proporcionar información sobre la ubicación del empleado solo cuando está conectado a la plataforma. (…) La aplicación ***APLICACIÓN.5 es una herramienta indispensable para la gestión operativa de la Compañía. El trabajador debe prestar especial atención a las comunicaciones recibidas a través de esta aplicación, ya que es el principal canal de comunicación entre la Compañía y los empleados. La plataforma de prestación de servicios ***SISTEMA.1 también es esencial para la correcta realización de las funciones del trabajador. Su instalación es obligatoria, ya que permite la integración del sistema de la empresa con el servicio de terceros (***EMPRESA.2). Como se ha informado previamente al trabajador en la cláusula adicional 8. Control de la Actividad Laboral y Medidas Disciplinarias, esta plataforma requiere la geolocalización del conductor y del vehículo, pero en ningún caso accede a información personal del trabajador en caso de que se esté usando su terminal móvil para el desempeño de sus funciones, simplemente integra el sistema del conductor en el entorno ***EMPRESA.2 para atender la petición de los terceros clientes que precisan del servicio de transporte privado. 2. Sobre el Vehículo y Otros Efectos de la Empresa: Como se informa en la cláusula 8 de las cláusulas adicionales del Contrato de Trabajo. Dispositivos móviles y Geolocalización, los dispositivos móviles proporcionados por la empresa incluyen un sistema de geolocalización que permite a la empresa monitorizar la ubicación del dispositivo mientras esté operativo. Este sistema es necesario para la conexión con servicios de terceros (como ***EMPRESA.2) y para el funcionamiento de los vehículos, que también están equipados con un geolocalizador GPS. El dispositivo móvil cuenta con un sistema MDM (Mobile Device Management) que asegura que no se pueda desconectar el sistema de la empresa de las aplicaciones de terceros. Se ha informado al trabajador que, en caso de que el dispositivo móvil sea apagado, dejará de transmitir su ubicación. El trabajador puede desconectarse de las aplicaciones del dispositivo fuera de su jornada laboral para preservar su privacidad, y se le ha proporcionado la información necesaria para hacerlo, C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 13/33 estando estrictamente prohibida la manipulación del dispositivo geolocalizador del vehículo. Las solicitudes de licencia o permiso deben realizarse por escrito, con al menos 24 horas de antelación, a través de la aplicación ***APLICACIÓN.5. La aplicación ***APLICACIÓN.5 es de instalación obligatoria en todos los terminales (ya sean proporcionados por la empresa o el personal, según se estableció en la cláusula 11 de las cláusulas adicionales al contrato), lo que justifica aún más el deber de instalación de la app con fines operativos. De acuerdo con el requerimiento y en base a las alegaciones del reclamante, se informa de: ***APLICACIÓN.7: La aplicación ***APLICACIÓN.7 es una herramienta indispensable para que los trabajadores puedan desempeñar correctamente sus funciones, tal y como se detalla a continuación. El tratamiento de los datos personales a través de esta aplicación está legitimado en la ejecución del contrato laboral, con el objetivo de facilitar el contacto con el cliente final que contrata el servicio de transporte privado. La funcionalidad principal de esta aplicación es la integración del ***SOFTWARE.1 (software basado en tecnología de Voz sobre IP (VoIP), que permite realizar y recibir llamadas a través de una aplicación, sin utilizar una tarifa de telefonía móvil, con la plataforma de servicio de terceros, en este caso, ***SISTEMA.1. Esta integración está dirigida a aquellos trabajadores que se conectan en remoto, debido a las características del puesto de trabajo de los empleados (conductores). Dado que se puede utilizar el móvil personal del trabajador durante la jornada laboral, la empresa pretende que las llamadas se realicen sin necesidad de utilizar la tarifa móvil. Sin embargo, conforme a la cláusula 11 de las condiciones adicionales del Contrato sobre teléfonos móviles, cuando el trabajador opta por usar su teléfono personal para el desempeño de sus funciones, la empresa abona una cantidad mensual en concepto de “uso móvil personal” para cubrir los gastos derivados. Cabe destacar que la integración ***SOFTWARE.1 con la plataforma de servicio de terceros permite realizar y recibir llamadas sin coste adicional. Además, esta aplicación no accede a la agenda ni a los números de contacto personales del trabajador en su móvil, ya que se integra exclusivamente en el entorno limitado de la plataforma de servicio de terceros (***SISTEMA.1), cuyos datos personales se refieren únicamente a los clientes finales. ***APLICACIÓN.4: La aplicación ***APLICACIÓN.4 es fundamental para el desempeño de las funciones laborales de los trabajadores, como se describe a continuación. El tratamiento de los datos personales a través de esta aplicación está legitimado en la ejecución del Contrato laboral, con el objetivo de facilitar el acceso al vehículo. ***APLICACIÓN.4 proporciona a las compañías de flotas de vehículos compartidos un sistema de acceso y cierre seguro sin llave. Esta tecnología se presenta como una llave digital que sustituye a las llaves físicas de los vehículos. De este modo, los conductores de flotas compartidas pueden abrir y cerrar los vehículos cómodamente desde su móvil, sin necesidad de una llave física, siendo la conexión entre el dispositivo móvil del conductor y el dispositivo ***APLICACIÓN.4 mediante Bluethoot, no existiendo por tanto ninguna posibilidad de conexión cuando el conductor está fuera del radio de alcance de 3C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 14/33 5 metros de dicho sistema de interconexión. Esta solución permite a la empresa gestionar la flota de vehículos con mayor accesibilidad y menor inmovilización, especialmente en casos de reparación o sustitución de vehículos. Además, facilita que cualquier trabajador pueda acceder a cualquier vehículo de la flota sin necesidad de entregar o recoger llaves físicas en un punto específico, agilizando así la actividad operativa. Es importante señalar que esta aplicación únicamente accede a los sistemas de conexión de los vehículos en cuestión (control de bloqueo por ***SISTEMA.2 conectado a la tecnología ***APLICACIÓN.4) y no tiene acceso a los datos personales del trabajador almacenados en su móvil personal. La funcionalidad exclusiva de ***APLICACIÓN.4 es la de abrir y cerrar el vehículo. Los sistemas de geolocalización necesarios para el desempeño de las funciones de la aplicación dejan de funcionar cuando el trabajador cierra la aplicación al finalizar su jornada laboral.” CUARTO: ARES CAPITAL recopila datos personales, en algunos casos, de terminales móviles de sus trabajadores por parte de aplicaciones móviles que obliga a descargar. Así, consta en capturas de pantalla de fecha 6 de agosto de 2024 incluidas en este expediente, que las aplicaciones obligadas a ser instaladas en los dispositivos móviles personales de los empleados recopilan datos personales como geolocalización continua, fotos y videos o información sobre el estado físico de dichos trabajadores, en concreto: - ***APLICACIÓN.2 incluye los permisos para recopilar los siguientes datos: ubicación, salud y fitness: información de estado físico, información personal (nombre, dirección de correo electrónico, ID de usuario, Número de teléfono y Otra información), contactos, información financiera, audio: grabaciones de voz o sonido, fotos y video, entre otros. - ***APLICACIÓN.4 incluye los permisos para recopilar los siguientes datos: ubicación aproximada y precisa, fotos y videos, información personal (nombre, dirección de correo electrónico, IDs de usuario), entre otros. QUINTO: Consta en el escrito de respuesta de ARES CAPITAL recibido por esta Agencia en fecha 13 de septiembre de 2024, que dichas aplicaciones y sus permisos no pueden ser modificados (el subrayado es nuestro): “(…) Terminal Telefónico: • En caso de que la empresa facilite un terminal telefónico, este deberá ser utilizado exclusivamente para fines laborales por parte del trabajador. • No se podrá modificar ninguna característica del terminal, sus aplicaciones ni su configuración en la red sin la autorización expresa y por escrito de la empresa.” FUNDAMENTOS DE DERECHO I Competencia C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 15/33 De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Cuestiones previas El artículo 4.1) del RGPD define «dato personal» como: “toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona”. El artículo 4.2) del RGPD define «tratamiento» como: “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción.” Por su parte, el artículo 4.7) del RGPD define al «responsable del tratamiento» o «responsable» como: “la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros”. Asimismo, el artículo 4.8 del RGPD define a la figura del «encargado del tratamiento» como: “la persona física o jurídica, autoridad pública, servicio u otro organismo que trate datos personales por cuenta del responsable del tratamiento;” C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 16/33 En el presente caso, de acuerdo con lo establecido en el artículo 4.1 y 4.2 del RGPD, consta la realización de un tratamiento de datos personales, toda vez que ARES CAPITAL realiza, entre otros tratamientos, la recogida y conservación de datos personales de personas físicas, como: nombre y apellidos, teléfono, y dirección de correo electrónico, geolocalización, fotos y videos, información sobre el estado físico de los trabajadores. ARES CAPITAL realiza esta actividad en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del RGPD. III Obligación incumplida. Minimización de datos La letra
- c)del artículo 5.1 del RGPD propugna: "1. Los datos personales serán: (…)
- c)adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados («minimización de datos»);" En el presente caso, la reclamación se interpone contra ARES CAPITAL por requerir a los conductores de VTC que trabajan para la misma a que usen sus terminales móviles para fines laborales cuando no se le puedan proporcionar terminales de la empresa para desempeñar sus labores profesionales, así como que instalen en su teléfono personal cuando sea el mismo que utilicen para fines laborales, cuatro aplicaciones que monitorean su ubicación, mensajes, llamadas y más parámetros de actividad, en concreto, las siguientes aplicaciones: “***APLICACIÓN.2”, “***APLICACIÓN.3”, “***APLICACIÓN.4” y “***APLICACIÓN.5”. Dichas aplicaciones también estarían instaladas en los móviles corporativos que, eventualmente y según disponibilidad como afirma ARES CAPITAL, ponga a disposición de sus empleados. ARES CAPITAL ha confirmado la posibilidad del uso del terminal móvil personal por parte de sus empleados para fines laborales en su escrito de 13 de septiembre de 2024: “De acuerdo con la cláusula 11 de las cláusulas adicionales del contrato, los empleados tienen la opción de: Solicitar un teléfono móvil corporativo proporcionado por la Compañía para el desempeño de sus funciones. Utilizar su teléfono móvil personal para las funciones laborales. En este caso, la Compañía abonará una cantidad mensual en concepto de "uso móvil personal" para cubrir los gastos derivados. Se ha de precisar que son numerosos los empleados que deciden utilizar su propio teléfono móvil a efectos prácticos, por la comodidad que supone no tener que portar dos teléfonos móviles. C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 17/33 Los empleados también tienen la posibilidad de cambiar su elección en cualquier momento durante la relación laboral, notificando a su gestor con un mes de antelación. (…)” Por otra parte, ARES CAPITAL reconoce que insta a sus trabajadores a descargar aplicaciones en dichos terminales personales -los corporativos que eventualmente se proporcionen ya tendrían estas aplicaciones instaladas- como se evidencia en la respuesta a esta Agencia, como consta en el tercer hecho probado de esta Resolución. El uso de dispositivos personales para fines laborales conlleva que cualquier aplicación que recopile datos para dichos fines deba limitarse a los datos estrictamente necesarios para la ejecución de las labores encomendadas en el contrato laboral. No obstante, según capturas de pantalla de fecha 6 de agosto de 2024 que constan en el expediente, se pone de relevancia los siguientes aspectos de las aplicaciones obligadas a ser instaladas en los dispositivos móviles personales de los empleados: ***APLICACIÓN.2 incluye los permisos para recopilar los siguientes datos: ubicación, salud y fitness: información de estado físico, información personal (nombre, dirección de correo electrónico, ID de usuario, Número de teléfono y Otra información), contactos, información financiera, audio: grabaciones de voz o sonido, fotos y video, entre otros. ***APLICACIÓN.4 incluye los permisos para recopilar los siguientes datos: ubicación aproximada y precisa, fotos y videos, información personal (nombre, dirección de correo electrónico, IDs de usuario), entre otros. Este hecho pone de manifiesto que ARES CAPITAL, como responsable del tratamiento de los datos, requiere a sus trabajadores que instalen en sus dispositivos móviles personales en el caso en que hayan optado por su uso o la empresa no les haya proporcionado un teléfono corporativo, aplicaciones para el desempeño de sus labores. En este sentido, la SAN 136/2019 de 6 de febrero de 2019 señala en sus fundamento sexto lo siguiente: “(…) La medida implantada, si bien obedece a fines constitucionalmente legítimos en el desarrollo del derecho a la libre empresa como son el control el empleado en el desempeño de su puesto de trabajo y la oferta de un mejor servicio al cliente- de forma que éste pueda conocer en todo momento la ubicación de su pedido, dotando a la empresa de capacidad para proporcionar servicios que se afirma ya ofrecen otras empresas del sector-, no supera a juicio de la Sala el necesario juicio de proporcionalidad. La misma finalidad se podría haber obtenido con medidas que suponen una menor injerencia en los derechos fundamentales de los empleados como pudieran ser la implantación de sistemas de geolocalización en las motocicletas en las que se transportan los pedidos o las pulseras con tales dispositivos que no implican para el empleado la necesidad de aportar medios propios y lo que es más importante, ni datos de carácter personal como son el número de teléfono o la dirección de correo electrónico en la que han de recibir el código de descarga de la aplicación informática que activa el sistema.” Dichas aplicaciones también son instaladas en el caso en que, en atención a la disponibilidad aducida por ARES CAPITAL, el trabajador disponga de un terminal corporativo. C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 18/33 Así, estas aplicaciones recopilan más datos de los estrictamente necesarios, como geolocalización continua, fotos y videos o información sobre el estado físico, lo que constituye una vulneración del principio de minimización de datos, ya que la recopilación de información excede lo indispensable para los fines legítimos de la relación laboral. Por tanto, de conformidad con los hechos probados que se disponen en este momento de resolución de procedimiento sancionador, se considera que los hechos conocidos son constitutivos de una infracción, imputable a ARES CAPITAL, por vulneración del artículo 5.1.
- c)del RGPD, transcrito anteriormente. IV Tipificación de la infracción del artículo 5.1.
- c)del RGPD y calificación a efectos de prescripción El artículo 83.5 del RGPD tipifica como infracción administrativa la vulneración de los artículos siguientes, que se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20.000.000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: "
- a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9;" Por su parte, la LOPDGDD en su artículo 71, Infracciones, señala que: “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A los solos efectos del plazo de prescripción, el artículo 72.1 de la LOPDGDD establece lo siguiente: "En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
- a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679." V Sanción por la infracción del artículo 5.1.
- c)del RGPD A fin de determinar la multa administrativa a imponer se han de observar las previsiones de los artículos 83.1 y 83.2 del RGPD, preceptos que señalan: C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 19/33 “1. Cada autoridad de control garantizará que la imposición de las multas administrativas con arreglo al presente artículo por las infracciones del presente Reglamento indicadas en los apartados 4, 9 y 6 sean en cada caso individual efectivas, proporcionadas y disuasorias. 2. Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras
- a)a
- h)y j). Al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
- a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;
- b)la intencionalidad o negligencia en la infracción;
- c)cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados;
- d)el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;
- e)toda infracción anterior cometida por el responsable o el encargado del tratamiento;
- f)el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
- g)las categorías de los datos de carácter personal afectados por la infracción;
- h)la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida;
- i)cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas previamente contra el responsable o el encargado de que se trate en relación con el mismo asunto, el cumplimiento de dichas medidas;
- j)la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42, y
- k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción”. Por su parte, el artículo 76 “Sanciones y medidas correctivas” de la LOPDGDD dispone: “1. Las sanciones previstas en los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679 se aplicarán teniendo en cuenta los criterios de graduación establecidos en el apartado 2 del citado artículo. 2. De acuerdo a lo previsto en el artículo 83.2.
- k)del Reglamento (UE) 2016/679 también podrán tenerse en cuenta:
- a)El carácter continuado de la infracción.
- b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales.
- c)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
- d)La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión de la infracción. C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 20/33
- e)La existencia de un proceso de fusión por absorción posterior a la comisión de la infracción, que no puede imputarse a la entidad absorbente.
- f)La afectación a los derechos de los menores.
- g)Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
- h)El sometimiento por parte del responsable o encargado, con carácter voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que existan controversias entre aquellos y cualquier interesado”. En el presente caso, considerando la gravedad de la posible infracción, atendiendo especialmente a las consecuencias que su comisión provoca en los afectados, corresponde la imposición de multa, además de la adopción de medidas, si procede. La multa que se imponga deberá ser, en cada caso individual, efectiva, proporcionada y disuasoria, conforme a lo establecido en el artículo 83.1 del RGPD. Para garantizar estos principios, se considera, con carácter previo, el volumen de negocio de ARES CAPITAL de 256.229.000 € euros en el año 2024. A efectos de decidir sobre la imposición de una multa administrativa y su cuantía, de conformidad con los hechos probados de que se disponen en esta resolución de procedimiento sancionador, se considera que procede graduar la sanción a imponer de acuerdo con las circunstancias siguientes, contempladas en los preceptos antes citados. Con carácter previo, se estima que concurren las circunstancias siguientes: - La naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate, así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido (artículo 83.2.
- a)del RGPD): ARES CAPITAL ha obligado la instalación de cuatro aplicaciones en los terminales móviles usados por los empleados para el desempeño de sus labores profesionales que recopilan más datos de los estrictamente necesarios, con el riesgo que ello conlleva para los derechos e intereses de los empleados. De acuerdo con el informe recogido de la herramienta AXESOR en fecha 2 de febrero de 2026, ARES CAPITAL cuenta con 5.787 empleados. - Las categorías de los datos de carácter personal afectados por la infracción (artículo 83.2.
- g)del RGPD): Las aplicaciones que los empleados están obligados a descargar cuentan con permisos para acceder a una gran diversidad de datos personales de los afectados, tales como la información de estado físico, información personal, contactos y grabaciones de voz o sonido, fotos y videos, entre otros. Asimismo, se consideran los siguientes factores de graduación en calidad de agravantes: - La vinculación de la actividad del infractor con la realización de tratamientos de datos personales (artículo 76.2.
- b)de la LOPDGDD): ARES CAPITAL está habituada al tratamiento continuo de los datos personales y de geolocalización de sus empleados. El balance de las circunstancias contempladas en el artículo 83.2 del RGPD y 76.2 de la LOPDGD, con respecto a la infracción cometida al vulnerar lo establecido en el C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 21/33 artículo 6.1 del RGPD, permite fijar una sanción de multa administrativa de 100.000,00 euros. VI Obligación incumplida. Licitud del tratamiento El primer apartado del artículo 6 del RGPD establece lo siguiente: "1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
- a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
- b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
- c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
- d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
- e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
- f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
- f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones. " En el presente caso, la reclamación se interpone contra ARES CAPITAL por requerir a los conductores de VTC que trabajan para la misma a que usen sus terminales móviles para fines laborales en defecto de que se le puedan proporcionar terminales de la empresa para desempeñar sus labores profesionales, así como que instalen en su teléfono personal cuatro aplicaciones que monitorean su ubicación, mensajes, llamadas y más parámetros de actividad, en concreto, las siguientes aplicaciones: “***APLICACIÓN.2”, “***APLICACIÓN.3”, “***APLICACIÓN.4” y “***APLICACIÓN.5”. Procede en este supuesto examinar, si la parte reclamada dispone de base de licitud para tratar los datos personales contenidos en el terminal móvil personal de los empleados de ARES CAPITAL. ARES CAPITAL ha señalado lo siguiente en su escrito de 13 de septiembre de 2024 respecto al uso del terminal móvil personal por parte de sus empleados: “De acuerdo con la cláusula 11 de las cláusulas adicionales del contrato, los empleados tienen la opción de: Solicitar un teléfono móvil corporativo proporcionado por la Compañía para el desempeño de sus funciones. C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 22/33 Utilizar su teléfono móvil personal para las funciones laborales. En este caso, la Compañía abonará una cantidad mensual en concepto de "uso móvil personal" para cubrir los gastos derivados. Se ha de precisar que son numerosos los empleados que deciden utilizar su propio teléfono móvil a efectos prácticos, por la comodidad que supone no tener que portar dos teléfonos móviles. Los empleados también tienen la posibilidad de cambiar su elección en cualquier momento durante la relación laboral, notificando a su gestor con un mes de antelación. (…)” No obstante, más adelante continúa señalando que: “(…) La empresa se compromete a proporcionar, en la medida de nuestras posibilidades y conforme a las limitaciones presupuestarias y de plantilla, dispositivos móviles corporativos a todos los trabajadores que elijan, conforme a la cláusula 11 de las cláusulas adicionales al Contrato de Trabajo, el uso del dispositivo móvil de la empresa para el desempeño de su trabajo. Provisión de Dispositivos: La empresa comprobará periódicamente mediante comunicación a los empleados que actualmente utilizan sus dispositivos personales para fines laborales, para confirmar que siguen interesados en hacer uso de su teléfono móvil, proporcionando uno de Empresa a la mayor brevedad a aquellos que decidan cambiar su decisión. Este proceso se llevará a cabo de acuerdo con la disponibilidad de recursos y el presupuesto asignado.” Por tanto, se evidencia que, solo en función de la disponibilidad de recursos, la empresa reclamada proporcionará terminales móviles a los trabajadores, estando estos obligados a usar, en su defecto, su propio terminal. El hecho de que el móvil corporativo no esté disponible desde el primer momento hace que el consentimiento para acceder a los datos personales del móvil del empleado no sea libre. Además, respecto a las aplicaciones móviles que ARES CAPITAL insta a sus trabajadores a descargar en sus terminales, éstas recolectan datos de los empleados sin su consentimiento, entre otros, la ubicación del empleado en tiempo real, y así se evidencia en la respuesta a esta Agencia, como consta en el tercer hecho probado de esta Resolución. Asimismo, según capturas de pantalla de fecha 6 de agosto de 2024 que constan en el expediente, se pone de relevancia los siguientes aspectos de las aplicaciones obligadas a ser instaladas en los dispositivos móviles personales de los empleados: ***APLICACIÓN.2 incluye los permisos para recopilar los siguientes datos: ubicación, información de estado físico, información personal, contactos y grabaciones de voz o sonido, entre otros. ***APLICACIÓN.4 incluye los permisos para recopilar los siguientes datos: ubicación aproximada y precisa, fotos y videos, información personal, entre otros. Este hecho pone de manifiesto que ARES CAPITAL, como responsable del tratamiento de los datos, permite la recopilación de datos de los terminales móviles de C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 23/33 sus trabajadores por parte de las aplicaciones móviles que obliga a descargar, sin que exista una base legitimadora. Por otra parte, hay que tener en cuenta que el consentimiento de los interesados válidamente prestado, en este caso, los empleados, a usar sus dispositivos personales para trabajar no puede ser considerado siempre como una base legitimadora. Así, el Considerando 43 del RGPD precisa el contenido y alcance de esta base legitimadora del tratamiento: “Para garantizar que el consentimiento se haya dado libremente, este no debe constituir un fundamento jurídico válido para el tratamiento de datos de carácter personal en un caso concreto en el que exista un desequilibro claro entre el interesado y el responsable del tratamiento (…)”. Deben tenerse en cuenta los requisitos que otorgan validez al consentimiento, según la definición recogida en el artículo 4.11 del RGPD: “(…) 11. “consentimiento del interesado”: toda manifestación de voluntad libre, específica, informada e inequívoca por la que el interesado acepta, ya sea mediante una declaración o una clara acción afirmativa, el tratamiento de datos personales que le conciernen”. En relación con la prestación del consentimiento, debe tenerse en cuenta lo establecido en los artículos 7 del RGPD y 6 de la LOPDGDD: Artículo 7 “Condiciones para el consentimiento” del RGPD: “1. Cuando el tratamiento se base en el consentimiento del interesado, el responsable deberá ser capaz de demostrar que aquel consintió el tratamiento de sus datos personales”. Artículo 6 “Tratamiento basado en el consentimiento del afectado” de la LOPDGDD: “1. De conformidad con lo dispuesto en el artículo 4.11 del Reglamento (UE) 2016/679, se entiende por consentimiento del afectado toda manifestación de voluntad libre, específica, informada e inequívoca por la que este acepta, ya sea mediante una declaración o una clara acción afirmativa, el tratamiento de datos personales que le conciernen. 2. Cuando se pretenda fundar el tratamiento de los datos en el consentimiento del afectado para una pluralidad de finalidades será preciso que conste de manera específica e inequívoca que dicho consentimiento se otorga para todas ellas. 3. No podrá supeditarse la ejecución del contrato a que el afectado consienta el tratamiento de los datos personales para finalidades que no guarden relación con el mantenimiento, desarrollo o control de la relación contractual”. El consentimiento se entiende como un acto afirmativo claro que refleje una manifestación de voluntad libre, específica, informada e inequívoca del interesado de aceptar el tratamiento de datos de carácter personal que le conciernan, prestada con garantías suficientes para acreditar que el interesado es consciente del hecho de que da su consentimiento y de la medida en que lo hace. Y debe darse para todas las actividades de tratamiento realizadas con el mismo o mismos fines, de modo que, cuando el tratamiento tenga varios fines, debe darse el consentimiento para todos C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 24/33 ellos de manera específica e inequívoca, sin que pueda supeditarse la ejecución del contrato a que el afectado consienta el tratamiento de sus datos personales para finalidades que no guarden relación con el mantenimiento, desarrollo o control de la relación negocial. A este respecto, la licitud del tratamiento exige que el interesado sea informado sobre los fines a que están destinados los datos (consentimiento informado). El consentimiento ha de prestarse libremente. Se entiende que el consentimiento no es libre cuando el interesado no goza de verdadera o libre elección o no puede denegar o retirar su consentimiento sin sufrir perjuicio alguno; o cuando no se le permita autorizar por separado las distintas operaciones de tratamiento de datos personales pese a ser adecuado en el caso concreto, o cuando el cumplimiento de un contrato o prestación de servicio sea dependiente del consentimiento, aun cuando éste no sea necesario para dicho cumplimiento. Esto ocurre cuando el consentimiento se incluye como una parte no negociable de las condiciones generales o cuando se impone la obligación de estar de acuerdo con el uso de datos personales adicionales a los estrictamente necesarios. En el ámbito laboral este requisito cobra especial relevancia por la diferente posición que ocupan el empleador y el empleado, siendo necesario que se acredite que la no prestación del consentimiento por el trabajador no implicará ninguna consecuencia negativa para el mismo, de tal forma que quede garantizada su libre prestación. Sin estas condiciones, la prestación del consentimiento no ofrecería al interesado un verdadero control sobre sus datos personales y el destino de los mismos, y ello haría ilegal la actividad del tratamiento. El Comité Europeo de Protección de Datos analizó estas cuestiones en su documento “Directrices 05/2020 sobre el consentimiento con arreglo al Reglamento 2016/679”, de 04/05/2020 De lo indicado en este documento, interesa destacar algunos aspectos relacionados con la validez del consentimiento, en concreto sobre los elementos “específico”, “informado” e “inequívoco”: “3.2. Manifestación de voluntad específica El artículo 6, apartado 1, letra a), confirma que el consentimiento del interesado para el tratamiento de sus datos debe darse «para uno o varios fines específicos» y que un interesado puede elegir con respecto a cada uno de dichos fines. El requisito de que el consentimiento deba ser «específico» tiene por objeto garantizar un nivel de control y transparencia para el interesado. Este requisito no ha sido modificado por el RGPD y sigue estando estrechamente vinculado con el requisito de consentimiento «informado». Al mismo tiempo, debe interpretarse en línea con el requisito de «disociación» para obtener el consentimiento «libre». En suma, para cumplir con el carácter de «específico» el responsable del tratamiento debe aplicar:
- i)la especificación del fin como garantía contra la desviación del uso,
- ii)la disociación en las solicitudes de consentimiento, y iii) una clara separación entre la información relacionada con la obtención del consentimiento para las actividades de tratamiento de datos y la información relativa a otras cuestiones. (…) “3.3. Manifestación de voluntad informada C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 25/33 El RGPD refuerza el requisito de que el consentimiento debe ser informado. De conformidad con el artículo 5 del RGPD, el requisito de transparencia es uno de los principios fundamentales, estrechamente relacionado con los principios de lealtad y licitud. Facilitar información a los interesados antes de obtener su consentimiento es esencial para que puedan tomar decisiones informadas, comprender qué es lo que están autorizando y, por ejemplo, ejercer su derecho a retirar su consentimiento. Si el responsable no proporciona información accesible, el control del usuario será ilusorio y el consentimiento no constituirá una base válida para el tratamiento de los datos. Si no se cumplen los requisitos relativos al consentimiento informado, el consentimiento no será válido y el responsable podrá estar incumpliendo el artículo 6 de RGPD. 3.3.1. Requisitos mínimos de contenido para que el consentimiento sea «informado» Para que el consentimiento sea informado es necesario comunicar al interesado ciertos elementos que son cruciales para poder elegir. Por tanto, el GT29 opina que se requiere, al menos, la información siguiente para obtener el consentimiento válido:
- i)la identidad del responsable del tratamiento,
- ii)el fin de cada una de las operaciones de tratamiento para las que se solicita el consentimiento, iii) qué (tipo
- de)datos van a recogerse y utilizarse,
- iv)la existencia del derecho a retirar el consentimiento,
- v)información sobre el uso de los datos para decisiones automatizadas de conformidad con el artículo 22, apartado 2, letra c), cuando sea pertinente, e
- vi)información sobre los posibles riesgos de transferencia de datos debido a la ausencia de una decisión de adecuación y de garantías adecuadas, tal y como se describen en el artículo 46”. Sin estas condiciones mencionadas, la prestación del consentimiento por parte de los trabajadores no puede considerarse válida, ya que no se trata de una manifestación libre, específica, informada e inequívoca de su voluntad. En el supuesto denunciado, se obliga a los trabajadores a descargar las mencionadas aplicaciones en sus móviles personales por parte de ARES CAPITAL como condición para el desarrollo de sus funciones, lo que implica que no se está obteniendo un consentimiento libre en los términos del RGPD, sino una imposición que anula la validez del consentimiento establecido en el artículo 6 RGPD como base legal del tratamiento. Por tanto, de conformidad con los hechos probados de que se disponen en este momento de resolución de procedimiento sancionador, se considera que los hechos conocidos son constitutivos de una infracción, imputable a ARES CAPITAL, por vulneración del artículo 6.1 del RGPD, transcrito anteriormente. VII Tipificación de la infracción del artículo 6.1 del RGPD y calificación a efectos de prescripción El artículo 83.5 del RGPD tipifica como infracción administrativa la vulneración de los artículos siguientes, que se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20.000.000 EUR como máximo o, tratándose de una empresa, de C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 26/33 una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: "
- a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9." Por su parte, la LOPDGDD en su artículo 71, Infracciones, señala que: “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A los solos efectos del plazo de prescripción, el artículo 72.1 de la LOPDGDD establece lo siguiente: "En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
- b)El tratamiento de datos personales sin que concurra alguna de las condiciones de licitud del tratamiento establecidas en el artículo 6 del Reglamento (UE) 2016/679." VIII Sanción por la infracción del artículo 6.1 del RGPD A fin de determinar la multa administrativa a imponer se han de observar las previsiones de los artículos 83.1 y 83.2 del RGPD y del artículo 76 “Sanciones y medidas correctivas” de la LOPDGDD, transcritos anteriormente. En el presente caso, considerando la gravedad de la posible infracción, atendiendo especialmente a las consecuencias que su comisión provoca en los afectados, corresponde la imposición de multa, además de la adopción de medidas, si procede. La multa que se imponga deberá ser, en cada caso individual, efectiva, proporcionada y disuasoria, conforme a lo establecido en el artículo 83.1 del RGPD. Para garantizar estos principios, se considera, con carácter previo, el volumen de negocio de ARES CAPITAL de 256.229.000 € euros en el año 2024. A efectos de decidir sobre la imposición de una multa administrativa y su cuantía, de conformidad con los hechos probados de que se disponen en esta resolución del procedimiento sancionador, se considera que procede graduar la sanción a imponer de acuerdo con las circunstancias siguientes, contempladas en los preceptos antes citados. Con carácter previo, se estima que concurren las circunstancias siguientes: - La naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate, así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 27/33 (artículo 83.2.
- a)del RGPD): ARES CAPITAL ha obligado la instalación de cuatro aplicaciones en los terminales personales de los empleados que no disponen de un dispositivo de la compañía, que recaban datos personales, sin que exista una base legitimadora, con el riesgo que ello conlleva para los derechos e intereses de los empleados. De acuerdo con el informe recogido de la herramienta AXESOR en fecha 2 de febrero de 2026, ARES CAPITAL cuenta con 5.787 empleados. Asimismo, se consideran los siguientes factores de graduación en calidad de agravantes: - La vinculación de la actividad del infractor con la realización de tratamientos de datos personales (artículo 76.2.
- b)de la LOPDGDD): ARES CAPITAL está habituada al tratamiento continuo de los datos personales y de geolocalización de sus empleados. El balance de las circunstancias contempladas en el artículo 83.2 del RGPD y 76.2 de la LOPDGD, con respecto a la infracción cometida al vulnerar lo establecido en el artículo 6.1 del RGPD, permite fijar una sanción de multa administrativa de 80.000,00 euros. IX Obligación incumplida. Información que deberá facilitarse cuando los datos personales se obtengan del interesado El artículo 13 del RGPD establece la información que deberá facilitarse cuando los datos personales se obtengan del interesado, en virtud del cual: "1. Cuando se obtengan de un interesado datos personales relativos a él, el responsable del tratamiento, en el momento en que estos se obtengan, le facilitará toda la información indicada a continuación:
- a)la identidad y los datos de contacto del responsable y, en su caso, de su representante;
- b)los datos de contacto del delegado de protección de datos, en su caso;
- c)los fines del tratamiento a que se destinan los datos personales y la base jurídica del tratamiento;
- d)cuando el tratamiento se base en el artículo 6, apartado 1, letra f), los intereses legítimos del responsable o de un tercero;
- e)los destinatarios o las categorías de destinatarios de los datos personales, en su caso;
- f)en su caso, la intención del responsable de transferir datos personales a un tercer país u organización internacional y la existencia o ausencia de una decisión de adecuación de la Comisión, o, en el caso de las transferencias indicadas en los artículos 46 o 47 o el artículo 49, apartado 1, párrafo segundo, referencia a las garantías adecuadas o apropiadas y a los medios para obtener una copia de estas o al lugar en que se hayan puesto a disposición. 2. Además de la información mencionada en el apartado 1, el responsable del tratamiento facilitará al interesado, en el momento en que se obtengan los datos personales, la siguiente información necesaria para garantizar un tratamiento de datos leal y transparente: C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 28/33
- a)el plazo durante el cual se conservarán los datos personales o, cuando no sea posible, los criterios utilizados para determinar este plazo;
- b)la existencia del derecho a solicitar al responsable del tratamiento el acceso a los datos personales relativos al interesado, y su rectificación o supresión, o la limitación de su tratamiento, o a oponerse al tratamiento, así como el derecho a la portabilidad de los datos;
- c)cuando el tratamiento esté basado en el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), la existencia del derecho a retirar el consentimiento en cualquier momento, sin que ello afecte a la licitud del tratamiento basado en el consentimiento previo a su retirada;
- d)el derecho a presentar una reclamación ante una autoridad de control;
- e)si la comunicación de datos personales es un requisito legal o contractual, o un requisito necesario para suscribir un contrato, y si el interesado está obligado a facilitar los datos personales y está informado de las posibles consecuencias de no facilitar tales datos;
- f)la existencia de decisiones automatizadas, incluida la elaboración de perfiles, a que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado. 3. Cuando el responsable del tratamiento proyecte el tratamiento ulterior de datos personales para un fin que no sea aquel para el que se recogieron, proporcionará al interesado, con anterioridad a dicho tratamiento ulterior, información sobre ese otro fin y cualquier información adicional pertinente a tenor del apartado 2. Las disposiciones de los apartados 1, 2 y 3 no serán aplicables cuando y en la medida en que el interesado ya disponga de la información." El empleador, como responsable del tratamiento de datos, tiene la obligación de informar a las personas trabajadoras, de manera concisa, transparente, inteligible y de fácil acceso, utilizando un lenguaje claro y sencillo, sobre los aspectos relacionados con el tratamiento de datos personales que conlleva el uso de aplicaciones móviles en los terminales personales. Esto incluye detalles específicos sobre cómo gestionar la desconexión de dichas aplicaciones, aclarando si es suficiente con cerrar sesión, si las aplicaciones permanecen activas en segundo plano o si es necesario apagar completamente el dispositivo. El deber de información forma parte del contenido esencial del derecho a la protección de datos y constituye una garantía para el afectado, ya que le permite conocer qué datos están siendo tratados sobre su persona, con quién los comparte el empleador y, además, los derechos de los afectados y cómo ejercerlos. En el presente caso, ha quedado acreditado que ARES CAPITAL actúa como responsable de tratamiento y no ha informado suficientemente a sus trabajadores sobre los datos recolectados por las aplicaciones que están obligados a descargar en el caso de uso de sus dispositivos personales o con las que cuentan los terminales corporativos que son puestos a su disposición, así como sobre la desconexión de éstas al finalizar la jornada laboral. C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 29/33 Por tanto, de conformidad con los hechos probados de que se disponen en este momento de resolución de procedimiento sancionador, se considera que los hechos conocidos son constitutivos de una infracción, imputable a ARES CAPITAL, por vulneración del artículo 13 del RGPD, transcrito anteriormente. X Tipificación de la infracción del artículo 13 del RGPD y calificación a efectos de prescripción El artículo 83.5 del RGPD tipifica como infracción administrativa la vulneración de los artículos siguientes, que se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20.000.000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: "(…)
- b)los derechos de los interesados a tenor de los artículos 12 a 22;" Por su parte, la LOPDGDD en su artículo 71, Infracciones, señala que: “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A los solos efectos del plazo de prescripción, el artículo 74 de la LOPDGDD establece lo siguiente: "Se consideran leves y prescribirán al año las restantes infracciones de carácter meramente formal de los artículos mencionados en los apartados 4 y 5 del artículo 83 del Reglamento (UE) 2016/679 y, en particular, las siguientes:
- a)El incumplimiento del principio de transparencia de la información o el derecho de información del afectado por no facilitar toda la información exigida por los artículos 13 y 14 del Reglamento (UE) 2016/679." XI Sanción por la infracción del artículo 13 del RGPD A fin de determinar la multa administrativa a imponer se han de observar las previsiones de los artículos 83.1 y 83.2 del RGPD y del artículo 76 “Sanciones y medidas correctivas” de la LOPDGDD anteriormente transcritos. En el presente caso, considerando la gravedad de la posible infracción, atendiendo especialmente a las consecuencias que su comisión provoca en los afectados, corresponde la imposición de multa, además de la adopción de medidas, si procede. La multa que se imponga deberá ser, en cada caso individual, efectiva, proporcionada y disuasoria, conforme a lo establecido en el artículo 83.1 del RGPD. Para garantizar C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 30/33 estos principios, se considera, con carácter previo, el volumen de negocio de ARES CAPITAL fue de 256.229.000 € euros en el año 2024. A efectos de decidir sobre la imposición de una multa administrativa y su cuantía, de conformidad con los hechos probados de que se disponen en esta resolución del procedimiento sancionador, se considera que procede graduar la sanción a imponer de acuerdo con las circunstancias siguientes, contempladas en los preceptos antes citados. Con carácter previo, se estima que concurren las circunstancias siguientes: - La naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate, así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido (artículo 83.2.
- a)del RGPD): ARES CAPITAL no ha informado suficientemente a sus trabajadores sobre los datos recolectados por las aplicaciones que están obligados a descargar, así como sobre la desconexión de estas al finalizar la jornada laboral, lo que les ha impedido conocer qué datos están siendo tratados sobre su persona, con quién los comparte el empleador y, además, sus derechos como afectados y cómo ejercerlos. De acuerdo con el informe recogido de la herramienta AXESOR en fecha 2 de febrero de 2026, ARES CAPITAL cuenta con 5.787 empleados. - Las categorías de los datos de carácter personal afectados por la infracción (artículo 83.2.
- g)del RGPD): Las aplicaciones que los empleados están obligados a descargar cuentan con permisos para acceder a una gran diversidad de datos personales de los afectados, tales como la información sobre el estado físico, información personal, contactos y grabaciones de voz o sonido, fotos y videos, entre otros. Asimismo, se consideran los siguientes factores de graduación en calidad de agravantes: - La vinculación de la actividad del infractor con la realización de tratamientos de datos personales (artículo 76.2.
- b)de la LOPDGDD): ARES CAPITAL está habituada al tratamiento continuo de los datos personales y de geolocalización de sus empleados. El balance de las circunstancias contempladas en el artículo 83.2 del RGPD y 76.2 de la LOPDGDD, con respecto a la infracción cometida al vulnerar lo establecido en el artículo 13 del RGPD, permite fijar una sanción de multa administrativa de 20.000,00 euros. XII Adopción de medidas correctivas Confirmadas las infracciones, de acuerdo con lo establecido en el artículo 58.2.
- d)del RGPD, según el cual cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…”, C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 31/33 se requiere a ARES CAPITAL para que, en el plazo máximo de 2 meses, a contar desde la fecha de ejecutividad de esta resolución finalizadora de este procedimiento, adopte las medidas siguientes: - Acreditar el cumplimiento del principio de minimización de datos recogido en el artículo 5.1
- c)del RGPD y, en concreto, que no se recopila más datos personales de los trabajadores de los estrictamente necesarios para llevar a cabo el desempeño del servicio. - Acreditar la disposición de una base de licitud válida de acuerdo con el artículo 6.1 del RGPD para el tratamiento que afecte a los teléfonos personales de los trabajadores o cese en el mismo. - Acreditar que se ha informado a los trabajadores de acuerdo con el artículo 13 sobre los aspectos relacionados con el tratamiento de datos personales que conlleva el uso de aplicaciones móviles en los terminales que usan para el desempeño de sus labores profesionales, así como la desconexión de éstas al finalizar la jornada laboral. La imposición de esta medida es compatible con la sanción consistente en multa administrativa, según lo dispuesto en el art. 83.2 del RGPD. Se advierte que no atender la posible orden de adopción de medidas impuestas por este organismo en la resolución del presente procedimiento sancionador podrá ser considerado como una infracción administrativa conforme a lo dispuesto en el RGPD, tipificada como infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la apertura de un ulterior procedimiento administrativo sancionador. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a ARES CAPITAL, S.A., con NIF A80358955, por una infracción de los artículos 13, 5.1.
- c)y 6.1 del RGPD, tipificados en el Artículo 83.5 del RGPD, con una multa de 200.000,00 euros. SEGUNDO: ORDENAR a ARES CAPITAL, S.A., con NIF A80358955, que en virtud del artículo 58.2.
- d)del RGPD, en el plazo máximo de 2 meses, a contar desde la fecha de ejecutividad de la resolución finalizadora de este procedimiento, acredite haber procedido al cumplimiento las medidas siguientes: - Acreditar el cumplimiento del principio de minimización de datos recogido en el artículo 5.1
- c)del RGPD y, en concreto, que no se recopila más datos personales de los trabajadores de los estrictamente necesarios para llevar a cabo el desempeño del servicio. C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 32/33 - Acreditar la disposición de una base de licitud válida de acuerdo con el artículo 6.1 del RGPD para el tratamiento que afecte a los teléfonos personales de los trabajadores o cese en el mismo. - Acreditar que se ha informado a los trabajadores de acuerdo con el artículo 13 sobre los aspectos relacionados con el tratamiento de datos personales que conlleva el uso de aplicaciones móviles en los terminales que usan para el desempeño de sus labores profesionales, así como la desconexión de estas al finalizar la jornada laboral. TERCERO: NOTIFICAR la presente resolución a ARES CAPITAL, S.A. CUARTO: Esta resolución será ejecutiva una vez finalice el plazo para interponer el recurso potestativo de reposición (un mes a contar desde el día siguiente a la notificación de esta resolución) sin que el interesado haya hecho uso de esta facultad. Se advierte al sancionado que deberá hacer efectiva la sanción impuesta una vez que la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el art. 98.1.
- b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante LPACAP), en el plazo de pago voluntario establecido en el art. 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso, indicando el NIF del sancionado y el número de procedimiento que figura en el encabezamiento de este documento, en la cuenta restringida nº IBAN: ES00-0000-0000-0000-0000-0000 (BIC/Código SWIFT: CAIXESBBXXX), abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A.. En caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública. La publicación se realizará una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 33/33 Finalmente, se señala que conforme a lo previsto en el art. 90.3
- a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeaepd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-101025 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es