Datos de clientes en el móvil del autónomo: WhatsApp, agenda y gestión legal

Para la mayoría de los autónomos en España, el móvil profesional es el dispositivo donde realmente vive el negocio: la agenda de contactos, los chats con clientes y proveedores, las fotos del trabajo terminado, las facturas que se envían sobre la marcha y la banca electrónica. Esa concentración tiene una ventaja operativa enorme y un coste muy concreto desde el punto de vista de protección de datos: una pérdida o un robo afecta a la práctica totalidad de la base de clientes del autónomo de golpe.

Esta guía resume las buenas prácticas razonables para usar el móvil profesional sin convertirlo en un agujero de cumplimiento, bajo el marco del RGPD (Reglamento UE 2016/679) y la LOPDGDD (Ley Orgánica 3/2018), con énfasis en lo que el autónomo medio realmente hace: WhatsApp, agenda, fotos del servicio, copia de seguridad, qué hacer ante un incidente.

Por qué el móvil del autónomo es un dispositivo singular

Tres rasgos diferencian al móvil del autónomo del que utiliza un trabajador asalariado en su empresa:

• Mezcla habitual de uso profesional y personal. La inmensa mayoría de autónomos usa el mismo dispositivo para llamar a clientes, hablar con la familia, hacer la compra en línea y guardar fotos del último viaje. Esa mezcla, aceptable en el plano práctico, hace muy difícil aplicar políticas de seguridad estrictas si no se decide deliberadamente separar.
• Concentración total de la base de clientes. La agenda y los chats agrupan en un solo dispositivo los datos de todos los clientes que ha tenido el autónomo. Una brecha en el móvil es una brecha en toda la cartera.
• Movilidad y exposición al riesgo físico. Un portátil suele quedarse en una mesa; un móvil entra y sale del bolsillo, va a sitios públicos, se cae, se moja, se olvida. El riesgo de pérdida o robo es estructuralmente mayor.

Separar lo profesional de lo personal: la decisión más rentable

La forma más efectiva de reducir riesgos sin sobrecargar la operativa es separar deliberadamente la actividad profesional de la personal en el móvil. Hay varias formas razonables, ordenadas de la más estricta a la más ligera:

• Dos dispositivos distintos: un móvil profesional y otro personal. Es la separación más limpia, también la más cara y la menos práctica de mantener. Solo tiene sentido si la actividad genera muchas llamadas y mensajes diarios.
• Una línea profesional y otra personal en el mismo móvil (dual SIM o eSIM). Permite tener WhatsApp Business en una línea y WhatsApp personal en la otra, separar números de cara al cliente y dejar claro el horario profesional.
• Perfiles separados en el mismo móvil. Android permite perfiles de trabajo; iOS no, pero permite el modo Concentración profesional que oculta apps personales en horario laboral.
• Como mínimo, separar a nivel de aplicaciones: WhatsApp Business para clientes, cuenta de Google o Apple ID profesional para correo y agenda, carpeta separada para fotos del trabajo en la galería.

Cualquiera de estas opciones es mejor que ninguna. Lo que no funciona es mezclar todo en una única cuenta y luego pretender aplicar medidas selectivas.

WhatsApp profesional: lo que sí se puede y lo que mejor evitar

WhatsApp es el canal de comunicación dominante con los clientes en muchos sectores profesionales españoles. Es lícito utilizarlo si se hace con criterio. Estas son las reglas operativas razonables:

Un punto que merece atención: cuando varios clientes coinciden en un mismo grupo de WhatsApp profesional (clases en grupo, talleres, reservas comunitarias), todos ven los teléfonos del resto. Eso convierte el grupo en una cesión cruzada de datos personales que requeriría base jurídica para todos los participantes. La forma habitual de hacerlo bien es informar previamente a los miembros del grupo y dejarles la opción de no incorporarse, o usar una lista de difusión donde cada conversación es bilateral.

La agenda de contactos del móvil

La agenda profesional es un fichero de datos personales conforme al RGPD. Las buenas prácticas razonables son:

• Etiquetar contactos profesionales para distinguirlos de los personales. Las apps de contactos de Android e iOS permiten etiquetas, grupos o categorías.
• Minimizar los campos de cada ficha. Nombre, empresa, teléfono y correo bastan para la mayoría de los casos. Anotar en las notas detalles personales del cliente (preferencias íntimas, situaciones delicadas) es desproporcionado y aumenta el riesgo en caso de incidente.
• No sincronizar la agenda profesional con cuentas personales (la cuenta de Google de la familia, por ejemplo) o con plataformas que escanean contactos para fines propios.
• Borrar contactos cuando termina la relación profesional y no hay obligación legal de conservarlos. La gestoría sigue teniendo los datos del cliente para el plazo contable y fiscal; la agenda del móvil del autónomo no necesita conservarlos.
• Copia de seguridad cifrada de la agenda en un servicio profesional, no en el ordenador familiar.

Cuidado con la sincronización de la agenda de contactos en nubes personales. Si el autónomo tiene los contactos de sus clientes guardados en el móvil y la agenda se sincroniza automáticamente con iCloud personal, Google Contactos personal o el backup de un sistema operativo personal, está realizando una transferencia continua de datos personales de terceros a un proveedor con el que NO ha firmado un Acuerdo de Encargado del Tratamiento. La práctica correcta es separar la agenda profesional (en plataforma corporativa con DPA) de la agenda personal.

Fotos del trabajo: derecho a la propia imagen del cliente

Muchos autónomos comparten fotos del trabajo terminado para captar nuevos clientes: el peluquero antes y después, el arquitecto el plano y el resultado, el reformista el salón terminado, el fotógrafo una sesión de muestra. La regla operativa es simple:

• Si la foto solo muestra el resultado del servicio sin personas ni elementos identificables del cliente, se puede compartir sin más requisito.
• Si la foto incluye al cliente o personas de su entorno (sesión fotográfica, peluquería con cliente en el sillón, antes/después de un tratamiento estético), hace falta consentimiento expreso, escrito, específico y revocable para cada uso (web, redes, mensajes a otros clientes).
• Si la foto muestra el interior de la vivienda del cliente (reformistas, decoradores, fotógrafos de inmuebles), conviene recoger autorización aunque no haya personas, porque la vivienda forma parte del ámbito íntimo y el cliente puede no querer que se vea públicamente.

El consentimiento se recoge una vez, al cerrar el servicio, con un formulario simple firmado o un correo de confirmación que el autónomo archiva. Si el cliente revoca después, el autónomo debe retirar la foto de todos los canales en plazo razonable.

Cifrado, bloqueo y borrado remoto

El art. 32 RGPD obliga al responsable a aplicar medidas técnicas y organizativas adecuadas al riesgo. En el móvil del autónomo, traducido a lo concreto:

Cifrado y borrado remoto. El móvil profesional debe tener el cifrado del dispositivo activado (en iOS y Android modernos viene activado por defecto, conviene confirmarlo) y bloqueo de acceso con contraseña compleja o PIN robusto (no patrones simples ni códigos triviales como 1234). Además, debe estar configurado un sistema de borrado remoto operativo (Find My iPhone, Encontrar mi dispositivo de Google) que permita borrar los datos del teléfono en caso de pérdida o robo, para evitar brechas de seguridad notificables a la autoridad de control.

• Bloqueo de pantalla con contraseña compleja o PIN robusto (no patrones simples ni códigos triviales). Bloqueo automático en uno o dos minutos.
• Cifrado activado de fábrica en iOS y en la mayoría de Android modernos cuando hay bloqueo de pantalla. Verificarlo en ajustes.
• Localización y borrado remoto activados: Buscar mi iPhone en iOS, Encontrar mi dispositivo en Android. Permiten bloquear o borrar el móvil remotamente desde otro dispositivo.
• Copia de seguridad cifrada en servicio profesional, no en un disco duro doméstico ni en una nube personal sin DPA.
• Actualizaciones automáticas del sistema operativo y de las apps críticas.
• Apps solo desde la tienda oficial, sin instalar APK de fuentes desconocidas en Android.

Qué hacer si se pierde el móvil

La pérdida o robo de un móvil con datos profesionales es una brecha de seguridad. El protocolo razonable es:

1. Bloquear remotamente el dispositivo de inmediato desde otro equipo (Buscar mi iPhone, Encontrar mi dispositivo).
2. Borrado remoto de los datos del dispositivo si no aparece en cuestión de horas, especialmente si no estaba cifrado.
3. Cambiar contraseñas críticas: correo profesional, banca electrónica, plataformas de la gestoría, redes sociales del negocio.
4. Denuncia en caso de robo, con número de IMEI del dispositivo.
5. Evaluación de riesgo: qué datos eran accesibles, si el móvil estaba cifrado y bloqueado, qué clientes podrían verse afectados.
6. Registro interno de la incidencia con todos los detalles y las medidas tomadas.
7. Notificación a la AEPD en menos de 72 horas si la brecha puede generar riesgo para los derechos y libertades de los afectados (art. 33 RGPD).
8. Comunicación a los clientes afectados cuando el riesgo sea alto (art. 34 RGPD), explicando la situación, las medidas tomadas y las precauciones que pueden adoptar.

Checklist del móvil del autónomo

• Separación operativa entre uso profesional y personal (línea, cuenta o, idealmente, dispositivo).
• WhatsApp Business con línea profesional, sin grupos con clientes que vean teléfonos de otros clientes.
• Agenda profesional etiquetada y minimizada, con copia cifrada y sin sincronización con cuentas personales.
• Bloqueo de pantalla fuerte, cifrado verificado y bloqueo automático en uno o dos minutos.
• Localización y borrado remoto activos.
• Copia de seguridad cifrada en servicio profesional con prueba de restauración una vez al año.
• Política clara sobre uso de fotos de clientes: consentimiento expreso por escrito antes de publicar.
• Protocolo de pérdida o robo conocido y ensayado.
• Revisión periódica de chats y archivos antiguos para eliminar datos que ya no aportan nada.

Preguntas frecuentes

¿Es lícito usar WhatsApp para hablar con los clientes como autónomo?

WhatsApp personal (cuenta estándar) NO es válido para fines profesionales: no incorpora el Acuerdo de Encargado del Tratamiento (DPA) del art. 28 RGPD. Usarlo para comunicarse con clientes, recibir documentación o gestionar reservas sitúa al autónomo en incumplimiento. Es obligatorio migrar a WhatsApp Business. Aun así, el responsable debe verificar que la transferencia internacional a Meta esté cubierta por el Data Privacy Framework (DPF, Decisión 2023/1795) mientras la certificación esté vigente, o por Cláusulas Contractuales Tipo aprobadas por Meta para el ámbito europeo.

¿WhatsApp Business cubre por sí solo el RGPD para un autónomo?

No es una solución "pronta". Migrar a WhatsApp Business permite formalizar la relación de encargado del tratamiento, pero el responsable debe verificar que la cobertura jurídica de la transferencia a Meta esté vigente (DPF, Decisión 2023/1795, o CCT aprobadas por Meta para el ámbito europeo), mantener separación operativa real entre dispositivo profesional y personal, evitar sincronizar la agenda profesional con nubes personales sin DPA y conservar o eliminar las conversaciones conforme a su política interna y a la cláusula informativa entregada al cliente.

¿La agenda de contactos del móvil del autónomo entra en el RGPD?

Sí. La agenda profesional es un fichero de datos personales del art. 4.6 RGPD. La exención de uso doméstico solo cubre actividades exclusivamente personales o domésticas. Buenas prácticas: separar contactos profesionales de personales, minimizar campos, proteger el móvil con bloqueo y cifrado, y borrar contactos cuando termina la relación profesional.

¿Puede un autónomo enviar fotos del trabajo terminado a otros clientes para captar negocio?

Depende del contenido. Fotos del resultado del servicio sin personas ni elementos identificables del cliente se pueden compartir sin más requisito. Si la foto incluye personas identificables o elementos personales reconocibles (interior de la casa, objetos íntimos), hace falta consentimiento expreso, escrito, específico y revocable, recogido al cerrar el servicio.

¿Qué hago si pierdo el móvil con los datos de mis clientes?

Es una brecha del art. 33 RGPD. Bloquear o borrar el dispositivo remotamente, denunciar, evaluar el riesgo según cifrado y datos accesibles, registrar la incidencia, notificar a la AEPD en menos de 72 horas si hay riesgo y comunicar a los afectados cuando el riesgo sea alto (art. 34 RGPD). Si el móvil estaba cifrado y bloqueado, el riesgo se reduce significativamente.

Este contenido es meramente orientativo y divulgativo; no constituye en ningún caso asesoramiento jurídico especializado. La aplicación de la normativa a cada caso concreto requiere análisis individualizado. La normativa autonómica sectorial puede ampliar o modificar plazos y requisitos.