Un trabajador interpuso reclamación ante la Agencia Española de Protección de Datos (“AEPD”) contra la empresa en la que prestaba sus servicios por obligarle a utilizar su teléfono personal con fines profesionales como doble factor de autenticación para acceder a una web de gestión de gastos e incluirle en grupos de WhatsApp laborales, incluso una vez que ha dejado de prestar servicios a la empresa reclamada. Cuando el trabajador notificó esta irregularidad a la empresa, esta le negó la posibilidad de utilizar un móvil de empresa.
La empresa, en sus alegaciones, justificó que se dio de baja al trabajador en la aplicación de gastos en cuanto lo solicitó y que contaba con el consentimiento verbal de los trabajadores para su inclusión en grupos de WhatsApp.
La AEPD inició procedimiento sancionador al comprobar que, efectivamente, el reclamado no basaba el tratamiento del número de teléfono personal de sus trabajadores en ninguna de las bases de legitimación reguladas en el RGPD, lo que supone una vulneración de su art.6.1, infracción tipificada en el art. 83.5 a) RGPD que conllevo la imposición de una sanción de 2.000€.