Para a maioría dos autónomos en España, o móbil profesional é o dispositivo onde realmente vive o negocio: a axenda de contactos, os chats con clientes e provedores, as fotos do traballo rematado, as facturas que se envían sobre a marcha e a banca electrónica. Esa concentración ten unha vantaxe operativa enorme e un custo moi concreto desde o punto de vista de protección de datos: unha perda ou un roubo afecta á práctica totalidade da base de clientes do autónomo de golpe.
Esta guía resume as boas prácticas razoables para usar o móbil profesional sen convertelo nun buraco de cumprimento, baixo o marco do RGPD (Regulamento UE 2016/679) e da LOPDGDD (Lei Orgánica española 3/2018), con énfase no que o autónomo medio realmente fai: WhatsApp, axenda, fotos do servizo, copia de seguridade, que facer ante un incidente.
Por que o móbil do autónomo é un dispositivo singular
Tres trazos diferencian o móbil do autónomo do que utiliza un traballador asalariado na súa empresa:
- Mestura habitual de uso profesional e persoal. A inmensa maioría de autónomos usa o mesmo dispositivo para chamar a clientes, falar coa familia, facer a compra en liña e gardar fotos da última viaxe. Esa mestura, aceptable no plano práctico, fai moi difícil aplicar políticas de seguridade estritas se non se decide deliberadamente separar.
- Concentración total da base de clientes. A axenda e os chats agrupan nun só dispositivo os datos de todos os clientes que tivo o autónomo. Unha brecha no móbil é unha brecha en toda a carteira.
- Mobilidade e exposición ao risco físico. Un portátil adoita quedar nunha mesa; un móbil entra e sae do peto, vai a sitios públicos, cae, móllase, esquécese. O risco de perda ou roubo é estruturalmente maior.
Separar o profesional do persoal: a decisión máis rendible
A forma máis efectiva de reducir riscos sen sobrecargar a operativa é separar deliberadamente a actividade profesional da persoal no móbil. Hai varias formas razoables, ordenadas da máis estrita á máis lixeira:
- Dous dispositivos distintos: un móbil profesional e outro persoal. É a separación máis limpa, tamén a máis cara e a menos práctica de manter. Só ten sentido se a actividade xera moitas chamadas e mensaxes diarias.
- Unha liña profesional e outra persoal no mesmo móbil (dual SIM ou eSIM). Permite ter WhatsApp Business nunha liña e WhatsApp persoal na outra, separar números de cara ao cliente e deixar claro o horario profesional.
- Perfís separados no mesmo móbil. Android permite perfís de traballo; iOS non, pero permite o modo Concentración profesional que oculta apps persoais en horario laboral.
- Como mínimo, separar a nivel de aplicacións: WhatsApp Business para clientes, conta de Google ou Apple ID profesional para correo e axenda, cartafol separado para fotos do traballo na galería.
Calquera destas opcións é mellor que ningunha. O que non funciona é mesturar todo nunha única conta e logo pretender aplicar medidas selectivas.
WhatsApp profesional: o que si se pode e o que mellor evitar
WhatsApp é a canle de comunicación dominante cos clientes en moitos sectores profesionais españois. É lícito utilizalo se se fai con criterio. Estas son as regras operativas razoables:
| Si se pode | Mellor evitar |
|---|---|
| Resolver dúbidas operativas cun cliente que facilitou o seu número con esa finalidade. | Enviar copias de documentos de identidade, informes médicos ou contratos con datos sensibles sen cifrado adicional. |
| Avisar de cambios de cita ou de imprevistos puntuais. | Crear grupos con varios clientes onde todos vexan os teléfonos dos demais. |
| Enviar pequenas fotos do avance do traballo cando o cliente o pediu. | Usar o WhatsApp persoal mesturado con clientes profesionais. |
| Manter WhatsApp Business con liña profesional separada e horario indicado. | Conservar indefinidamente conversas que xa non achegan nada. |
| Facer copia de seguridade cifrada dos chats profesionais e arquivalos cando remata a relación. | Compartir capturas de pantalla con datos dun cliente con terceiros sen autorización. |
Un punto que merece atención: cando varios clientes coinciden nun mesmo grupo de WhatsApp profesional (clases en grupo, talleres, reservas comunitarias), todos ven os teléfonos do resto. Iso converte o grupo nunha cesión cruzada de datos persoais que requiriría base xurídica para todos os participantes. A forma habitual de facelo ben é informar previamente os membros do grupo e deixarlles a opción de non incorporarse, ou usar unha lista de difusión onde cada conversa é bilateral.
A axenda de contactos do móbil
A axenda profesional é un ficheiro de datos persoais conforme ao RGPD. As boas prácticas razoables son:
- Etiquetar contactos profesionais para distinguilos dos persoais. As apps de contactos de Android e iOS permiten etiquetas, grupos ou categorías.
- Minimizar os campos de cada ficha. Nome, empresa, teléfono e correo abondan para a maioría dos casos. Anotar nas notas detalles persoais do cliente (preferencias íntimas, situacións delicadas) é desproporcionado e aumenta o risco en caso de incidente.
- Non sincronizar a axenda profesional con contas persoais (a conta de Google da familia, por exemplo) ou con plataformas que escanean contactos para fins propios.
- Borrar contactos cando remata a relación profesional e non hai obriga legal de conservalos. A xestoría segue tendo os datos do cliente para o prazo contable e fiscal; a axenda do móbil do autónomo non precisa conservalos.
- Copia de seguridade cifrada da axenda nun servizo profesional, non no ordenador familiar.
Fotos do traballo: dereito á propia imaxe do cliente
Moitos autónomos comparten fotos do traballo rematado para captar novos clientes: o perruqueiro antes e despois, o arquitecto o plano e o resultado, o reformista o salón rematado, o fotógrafo unha sesión de mostra. A regra operativa é simple:
- Se a foto só mostra o resultado do servizo sen persoas nin elementos identificables do cliente, pode compartirse sen máis requisito.
- Se a foto inclúe o cliente ou persoas do seu contorno (sesión fotográfica, perrucaría con cliente no sillón, antes/despois dun tratamento estético), fai falta consentimento expreso, escrito, específico e revogable para cada uso (web, redes, mensaxes a outros clientes).
- Se a foto mostra o interior da vivenda do cliente (reformistas, decoradores, fotógrafos de inmobles), convén recoller autorización aínda que non haxa persoas, porque a vivenda forma parte do ámbito íntimo e o cliente pode non querer que se vexa publicamente.
O consentimento recóllese unha vez, ao pechar o servizo, cun formulario simple asinado ou un correo de confirmación que o autónomo arquiva. Se o cliente revoga despois, o autónomo debe retirar a foto de todas as canles en prazo razoable.
"O móbil do autónomo é o seu negocio. Se cae ao chan e rompe, pérdese un anaco de chapa e cristal; se se perde sen cifrar, pérdese a carteira de clientes enteira. Cifrar o móbil e activar o borrado remoto custa cinco minutos e resolve o 90% do risco."
Mario P. Talamillo · Socio director, Certix®
Cifrado, bloqueo e borrado remoto
O art. 32 RGPD obriga o responsable a aplicar medidas técnicas e organizativas adecuadas ao risco. No móbil do autónomo, traducido ao concreto:
- Bloqueo de pantalla con código PIN ou contrasinal complexo (non patrón sinxelo). Bloqueo automático nun ou dous minutos.
- Cifrado activado de fábrica en iOS e na maioría de Android modernos cando hai bloqueo de pantalla. Verificalo en axustes.
- Localización e borrado remoto activados: Buscar o meu iPhone en iOS, Atopar o meu dispositivo en Android. Permiten bloquear ou borrar o móbil remotamente desde outro dispositivo.
- Copia de seguridade cifrada en iCloud, Google One ou servizo profesional, non nun disco duro doméstico.
- Actualizacións automáticas do sistema operativo e das apps críticas.
- Apps só desde a tenda oficial, sen instalar APK de fontes descoñecidas en Android.
Que facer se se perde o móbil
A perda ou roubo dun móbil con datos profesionais é unha brecha de seguridade. O protocolo razoable é:
- Bloquear remotamente o dispositivo de inmediato desde outro equipo (Buscar o meu iPhone, Atopar o meu dispositivo).
- Borrado remoto dos datos do dispositivo se non aparece en cuestión de horas, especialmente se non estaba cifrado.
- Cambiar contrasinais críticos: correo profesional, banca electrónica, plataformas da xestoría, redes sociais do negocio.
- Denuncia en caso de roubo, con número de IMEI do dispositivo.
- Avaliación de risco: que datos eran accesibles, se o móbil estaba cifrado e bloqueado, que clientes poderían verse afectados.
- Rexistro interno da incidencia con todos os detalles e as medidas tomadas.
- Notificación á AEPD en menos de 72 horas se a brecha pode xerar risco para os dereitos e liberdades dos afectados (art. 33 RGPD).
- Comunicación aos clientes afectados cando o risco sexa alto (art. 34 RGPD), explicando a situación, as medidas tomadas e as precaucións que poden adoptar.
Checklist do móbil do autónomo
- Separación operativa entre uso profesional e persoal (liña, conta ou, idealmente, dispositivo).
- WhatsApp Business con liña profesional, sen grupos con clientes que vexan teléfonos doutros clientes.
- Axenda profesional etiquetada e minimizada, con copia cifrada e sen sincronización con contas persoais.
- Bloqueo de pantalla forte, cifrado verificado e bloqueo automático nun ou dous minutos.
- Localización e borrado remoto activos.
- Copia de seguridade cifrada en servizo profesional con proba de restauración unha vez ao ano.
- Política clara sobre uso de fotos de clientes: consentimento expreso por escrito antes de publicar.
- Protocolo de perda ou roubo coñecido e ensaiado.
- Revisión periódica de chats e arquivos antigos para eliminar datos que xa non achegan nada.
Preguntas frecuentes
É lícito usar WhatsApp para falar cos clientes como autónomo?
Si, se se fai con coidado. WhatsApp é válido cando o cliente facilita o seu número con esa finalidade ou abre a conversa. Puntos críticos: non enviar documentación sensible sen cifrado, non incluír clientes en grupos onde outros vexan os seus teléfonos, non mesturar o WhatsApp persoal co profesional e non conservar indefinidamente conversas inútiles. Recomendable: WhatsApp Business con liña separada e respaldo cifrado.
A axenda de contactos do móbil do autónomo entra no RGPD?
Si. A axenda profesional é un ficheiro de datos persoais do art. 4.6 RGPD. A exención de uso doméstico só cobre actividades exclusivamente persoais ou domésticas. Boas prácticas: separar contactos profesionais dos persoais, minimizar campos, protexer o móbil con bloqueo e cifrado, e borrar contactos cando remata a relación profesional.
Pode un autónomo enviar fotos do traballo rematado a outros clientes para captar negocio?
Depende do contido. Fotos do resultado do servizo sen persoas nin elementos identificables do cliente poden compartirse sen máis requisito. Se a foto inclúe persoas identificables ou elementos persoais recoñecibles (interior da casa, obxectos íntimos), fai falta consentimento expreso, escrito, específico e revogable, recollido ao pechar o servizo.
Que fago se perdo o móbil cos datos dos meus clientes?
É unha brecha do art. 33 RGPD. Bloquear ou borrar o dispositivo remotamente, denunciar, avaliar o risco segundo cifrado e datos accesibles, rexistrar a incidencia, notificar á AEPD en menos de 72 horas se hai risco e comunicar aos afectados cando o risco sexa alto (art. 34 RGPD). Se o móbil estaba cifrado e bloqueado, o risco redúcese significativamente.
Este contido é meramente orientativo e divulgativo; non constitúe en ningún caso asesoramento xurídico especializado. A aplicación da normativa a cada caso concreto require análise individualizada. A normativa autonómica sectorial pode ampliar ou modificar prazos e requisitos.
O teu móbil profesional aguantaría unha perda ou un roubo sen comprometer aos teus clientes?
En Certix asignámosche un experto en cumprimento para autónomos. Sen intermediarios comerciais, sen plantillas xenéricas.
Falar cun experto