Comparativas
¿Son legales los grupos de WhatsApp en el trabajo? Lo que ha resuelto la AEPD y cuándo conviene un gestor de incidencias (2026)
Casi todos los negocios con local tienen un grupo de WhatsApp: el de la plantilla del restaurante, el del equipo de mantenimiento de la nave, el de los vocales de la comunidad. La pregunta legal es concreta. Crear el grupo no está prohibido, pero meter en él el móvil personal de un empleado, o de alguien de una contrata, necesita una base jurídica que la empresa pueda explicar. Aquí está lo que ha resuelto la Agencia Española de Protección de Datos, lo que añade la desconexión digital y, para las averías del local, qué cambia entre un grupo y un gestor de incidencias.
La respuesta corta
Ninguna ley prohíbe los grupos de WhatsApp en el trabajo. Lo que la AEPD ha sancionado son casos concretos en los que se usó el número personal de un empleado sin una base jurídica que la empresa pudiera acreditar. Su criterio, en las resoluciones leídas, tiene tres piezas:
- El consentimiento del empleado no sirve como base, por el desequilibrio de poder que hay en la relación laboral.
- El número personal deja de ser «necesario» si existe una alternativa menos invasiva, como un teléfono o una cuenta de la empresa.
- El interés legítimo es posible, pero la empresa tiene que ponderarlo y justificar por qué necesita ese número.
La desconexión digital no prohíbe el grupo, pero limita para qué se usa fuera del horario. Y para las averías de un local, el problema del grupo no es legal sino práctico: un aviso que lee todo el mundo no tiene a nadie que lo coja.
Lo que ha resuelto la AEPD, expediente por expediente
Son resoluciones publicadas por la Agencia, no normas: deciden hechos concretos y explican qué pesó en cada uno.
| Expediente | Qué pasó | Qué resolvió la AEPD |
|---|---|---|
| EXP202404627 (PS/00393/2024) | Un centro especial de empleo metió el móvil personal de un teleoperador en el grupo de WhatsApp del trabajo y le escribía fuera de su horario | Infracción del art. 6.1 del RGPD por falta de base jurídica acreditada; la empresa reconoció la responsabilidad y pagó en 2025 |
| EXP202202616 (PS/00269/2022) | Dos vocales de una comunidad de propietarios crearon un grupo con la limpiadora, empleada de un autónomo contratado, para pedirle fotos de las tareas cada día | Sanción a la comunidad por el art. 6.1 del RGPD y, por no contestar a su derecho de acceso, por el art. 15 |
| PS/00452/2022, recurso RR/00162/2023 | Una empresa de seguridad creó un grupo con los números personales de cinco vigilantes para su formación, y envió correos sin copia oculta | El grupo no se sancionó porque ningún integrante negó haber consentido; los correos sin copia oculta, sí (art. 5.1.f del RGPD) |
| E/11427/2021 | Un comité de empresa añadió a más de noventa trabajadores a un grupo sin avisarles | Archivo: no se pudo acreditar si los números eran personales o de la empresa, ni quedaba nadie responsable |
| EXP202313227 (PS/00505/2023) | Una asesoría siguió mandando por WhatsApp datos de clientes al móvil personal de un empleado que se había negado por escrito | Sanción por el art. 6.1 y por el art. 32 del RGPD, que es el de seguridad; aquí no había grupo, sino mensajes uno a uno |
Resoluciones publicadas por la AEPD y leídas el 19 de octubre de 2026. No se reproducen importes.
La frase que resume el criterio está en el primero de esos expedientes:
cuando los datos de contacto utilizados por el empleador no sean corporativos, sino de uso personal de los trabajadores, el tratamiento de tales datos, incluida su revelación a otros compañeros, no podrá justificarse en la base de legitimación contemplada en el artículo 6.1.b) del RGPD.
La misma resolución deja otra puerta abierta: el teléfono particular «podría basarse en el interés legítimo, pero el empleador debe hacer la ponderación y justificar la “necesidad” de la utilización del mismo». Y la guía de la AEPD sobre las relaciones laborales, actualizada en diciembre de 2025, recuerda que el contrato de trabajo no legitima por sí solo a la empresa para pedir el número de teléfono personal, con cita de la sentencia del Tribunal Supremo 4086/2015. La guía no menciona WhatsApp.
Ojo con esto
Que la persona sea de una contrata no cambia nada. En el expediente de la comunidad de propietarios, la limpiadora trabajaba para la empresa contratada, no para la comunidad, y la sanción fue igualmente para la comunidad, que era quien había usado su número.
Y lo que se manda pesa tanto como quién está: enviar datos de clientes al móvil particular de un empleado supuso además una sanción por seguridad (art. 32 del RGPD).
La desconexión digital no prohíbe el grupo: limita su horario
La Ley Orgánica 3/2018 reconoce a los trabajadores el derecho a la desconexión digital «fuera del tiempo de trabajo legal o convencionalmente establecido» (art. 88.1), y el Estatuto de los Trabajadores lo repite en su art. 20 bis. Cómo se ejerce lo decide la negociación colectiva o, si no la hay, un acuerdo entre la empresa y los representantes (art. 88.2).
Al empleador le pide dos cosas por escrito. Una política interna de desconexión, elaborada oyendo antes a los representantes de los trabajadores (art. 88.3). Y unos criterios de uso de los dispositivos digitales que pone a disposición de la plantilla, de los que hay que informar a los trabajadores (art. 87.3). En el teletrabajo, la Ley 10/2021 concreta que garantizar la desconexión «conlleva una limitación del uso de los medios tecnológicos de comunicación empresarial» durante los descansos (art. 18.1).
Lo que no dicen también cuenta. Ni la ley ni el Estatuto nombran WhatsApp, y ninguno prohíbe por sí mismo un mensaje a las once de la noche. En las resoluciones de la AEPD leídas, la infracción fue siempre de protección de datos: los mensajes fuera de horario aparecen como un hecho del caso, no como una infracción aparte.
Reglas para un grupo de WhatsApp de empresa
Si el grupo se queda, estas reglas se deducen de lo anterior; no son una lista oficial, y cada una sale de un artículo o de una resolución citada.
- Teléfono o cuenta de empresa antes que el número personal. Si esa alternativa existe y no se usa, el número personal deja de ser necesario (EXP202404627).
- Una base jurídica escrita antes de crear el grupo, que no sea el consentimiento del empleado; si es el interés legítimo, con su ponderación hecha.
- Sólo lo que el trabajo necesita: turnos, instrucciones, avisos. La AEPD archivó unos grupos de reparto porque trataban «los mínimos necesarios para la organización del trabajo» (EXP202105690, citado en PS/00452/2022).
- Ningún dato de clientes por un móvil personal, por el deber de seguridad del art. 32 del RGPD (EXP202313227).
- Nadie de fuera sin su propia base: el personal de una contrata o un vecino no entran porque sí (EXP202202616).
- El horario y la desconexión, por escrito, en la política interna del art. 88.3 de la Ley Orgánica 3/2018, y los criterios de uso de dispositivos comunicados a la plantilla (art. 87.3).
Para las averías del local: grupo o gestor de incidencias
Aunque cumpla todo lo anterior, el grupo sirve mal para una tarea concreta: las averías. Pensad en la cámara de un restaurante que marca nueve grados a las 22:40, o en el extintor del pasillo con el precinto roto. Escrito en un grupo de doce personas, el aviso lo leen todos y no lo coge nadie en particular; al día siguiente nadie sabe a qué hora se avisó ni quién quedó en mirarlo.
Un gestor de incidencias convierte cada aviso en un parte de avería con dueño, hora y estado. No hace falta que sea una GMAO completa: la diferencia está en lo que queda escrito y en quién responde de cada cosa.
| Pregunta | Grupo de WhatsApp | Gestor de incidencias |
|---|---|---|
| Quién se entera | Todo el grupo, también quien no puede hacer nada con el aviso | La persona que tiene que arreglarlo, y su responsable si nadie lo coge |
| Quién lo coge | Nadie en concreto: cada uno supone que otro ya lo ha visto | Una persona, y queda escrito quién y a qué hora |
| Qué queda registrado | Mensajes sueltos en el móvil de cada miembro, mezclados con todo lo demás | La hora del aviso, la de quien lo cogió y la del arreglo, avería por avería |
| El número personal | Cada miembro lo ve en la lista del grupo, y la empresa tiene que justificar por qué lo usa | Con un canal del negocio, quien avisa no necesita el número de nadie |
| Fuera de horario | Llega a todo el grupo a la vez, también a quien está descansando | Puede ir sólo a quien está de guardia; lo demás espera a su turno |
| Cuando alguien deja la empresa | Se va con su móvil y con el historial que tenía en él | El historial se queda en el negocio |
| Revisiones con fecha | Dependen de que alguien se acuerde de escribirlas | Se pueden recordar al responsable antes de que venzan |
Para un local pequeño, la respuesta honesta: si sois tres personas, coincidís en el turno y las averías se cuentan con los dedos de una mano cada mes, un grupo con teléfonos de empresa y unas reglas claras puede bastar. Deja de bastar cuando el mismo aviso se escribe dos veces, cuando nadie sabe decir si la cámara se arregló ni cuándo, o cuando hay que buscar el historial de una instalación en el móvil de alguien que ya no trabaja allí.
Dónde encaja Bedel
Bedel es un gestor de incidencias por WhatsApp que usa el número del negocio, no el personal de nadie. Quien ve la avería escribe a ese número, y Bedel pone el aviso en el móvil de quien la arregla, no en un grupo, con tres horas: la del aviso, la de quien lo cogió y la del arreglo. Si nadie lo coge, sube al responsable. Todo baja a un Excel. Y las revisiones con fecha que el negocio tiene en una hoja, Bedel las carga y se las recuerda cada mes, por WhatsApp, a quien lleva el mantenimiento. Cómo funciona en cada sector está en incidencias.
Lo que no hace. No es una GMAO: no lleva inventario de equipos ni órdenes de trabajo con materiales y costes, y no guarda el certificado ni el acta de cada revisión. No se conecta con otras herramientas. No sustituye a la empresa mantenedora ni al organismo de control. Y no sustituye a la política de uso de dispositivos ni a la de desconexión digital que la Ley Orgánica 3/2018 pide a cada empresa (arts. 87 y 88): esas las decide y las escribe el negocio. Si la duda es entre una hoja de cálculo y una GMAO, está en GMAO o Excel.
Preguntas frecuentes
¿Son legales los grupos de WhatsApp en el trabajo?
Sí, ninguna ley los prohíbe. Lo que la AEPD ha sancionado es usar el número personal de un empleado, o de alguien de una contrata, sin una base jurídica que la empresa pueda acreditar. El consentimiento del trabajador no vale por el desequilibrio de la relación laboral, y si existe una alternativa menos invasiva, como un teléfono de empresa, el número personal deja de ser necesario (expediente EXP202404627).
¿Me pueden meter en un grupo de WhatsApp del trabajo sin permiso?
El permiso no es la clave: la AEPD dice que, con un empleado, el consentimiento no sirve como base jurídica. La empresa necesita otra, normalmente un interés legítimo ponderado y justificado, y explicar por qué necesita tu número personal. En los casos leídos, cuando no la tenía, la AEPD sancionó (EXP202404627 y EXP202202616); cuando nadie del grupo se quejó, el grupo no se sancionó (PS/00452/2022).
¿Tengo que contestar al grupo del trabajo fuera de mi horario?
La Ley Orgánica 3/2018 reconoce el derecho a la desconexión digital fuera del tiempo de trabajo (art. 88.1) y deja la forma de ejercerlo al convenio o a un acuerdo con los representantes (art. 88.2). La empresa tiene que tener una política interna sobre ello (art. 88.3). La ley no nombra WhatsApp ni fija horas: lo concreto está en vuestro convenio y en esa política.
¿Qué reglas debe tener un grupo de WhatsApp de empresa?
Las que se deducen de la AEPD y de la ley: teléfono o cuenta de empresa antes que el número personal; una base jurídica escrita que no sea el consentimiento; sólo la información que el trabajo necesita; ningún dato de clientes por un móvil personal; nadie de una contrata sin su propia base; y el horario y la desconexión recogidos en la política interna del art. 88.3 de la Ley Orgánica 3/2018.
¿Puede una comunidad de vecinos meter a la limpiadora en un grupo de WhatsApp?
No sin una base jurídica. En el expediente EXP202202616 (PS/00269/2022), dos vocales de una comunidad crearon un grupo con la limpiadora, que trabajaba para una empresa contratada, para pedirle fotos de las tareas cada día. La AEPD sancionó a la comunidad por usar su número de móvil sin base de legitimación (art. 6.1 del RGPD) y por no contestar a su derecho de acceso (art. 15).
¿Un gestor de incidencias sustituye al grupo de WhatsApp?
Sólo para lo que necesita un dueño: averías, revisiones, cosas que alguien tiene que coger. Los avisos generales, como un cambio de turno o el cierre de un festivo, pueden seguir en un grupo con las reglas de arriba. La diferencia es que en el gestor cada avería tiene quién la cogió y a qué horas, y el historial se queda en el negocio, no en el móvil de cada empleado.
Comparativas
- GMAO o Excel para el mantenimiento de un localCuándo basta una hoja y cuándo hace falta una GMAO, cómo se monta el plan preventivo en Excel y qué papel obliga a guardar la ley.
- Mejores GMAO para negocios con local: criteriosSeis criterios pensados para un local, siete GMAO descritas con lo que dice su web y dónde encaja Bedel, que no es una de ellas.
Normativa por sector
- Restaurantes y baresLas obligaciones de un restaurante o un bar: lo propio de la cocina y las revisiones del local, cada una con la condición que la activa, cada cuánto toca y su artículo.
- GimnasiosUn gimnasio: sin ley estatal; títulos, seguro y carteles según la ley de profesiones del deporte de cada comunidad, y baja tensión, legionela, piscina, RIPCI y desfibrilador como local.
- HotelesUn hotel: registro y comunicación de huéspedes en 24 horas, clasificación autonómica, baja tensión y ascensor por ser pública concurrencia, RIPCI, legionela, piscina, cocina y desfibrilador.
- Comunidades de vecinosLas obligaciones de una comunidad de vecinos: conservación, fondo de reserva, junta y administrador según la Ley de Propiedad Horizontal, libro del edificio, ITE y las revisiones de cada instalación común.
- Locales comerciales y franquiciasUna tienda: declaración responsable hasta 750 m², horarios, precios, franquicias sin registro desde 2018, hojas de reclamaciones, ajustes de accesibilidad y las revisiones de un local con público.
- OficinasLas obligaciones de una oficina: temperatura y mantenimiento del local, pantallas, prevención de riesgos, coordinación con contratas, canal interno, desconexión digital y las revisiones del edificio.
- ColegiosUn colegio: instalaciones mínimas, protocolos contra la violencia y coordinador de bienestar, comedor y menús desde abril de 2026, autoprotección y las revisiones del edificio.
- Naves industrialesUna nave: inspección contra incendios cada cinco años con el reglamento de 2025, almacén APQ, calderines, equipos de trabajo, baja tensión, torres de refrigeración y autoprotección.