EXCLUSIVA: Ingeniero de Apple dice que lo despidieron después de negarse a enviar IDs de dispositivos de clientes a AT&T

RUNTIMEWIRE INVESTIGATION — Exclusive

Original reporting by RuntimeWire.

Why it matters

The case puts Apple's privacy controls under scrutiny in the carrier-support operation where customer authorization depends on employees enforcing policy. Discovery could expose how serial numbers and mobile-network identifiers moved between Apple and AT&T.

El 10 de junio de 2024, Apple programó una reunión en el calendario de Toby Boardman.

Boardman acababa de regresar de un mes de licencia médica protegida. Había pedido hablar sobre adaptaciones por ansiedad y trastorno obsesivo-compulsivo. También se había quejado repetidamente de su gerente, a quien acusó de castigarlo por plantear una preocupación sobre la privacidad de los clientes. Boardman creía que la reunión finalmente abordaría ambos asuntos.

Apple lo despidió al día siguiente.

La empresa dijo que su desempeño fue la causa, según una demanda que Boardman presentó en el Tribunal Superior de San Francisco. Boardman afirma que esa explicación fue un pretexto. Su versión de la historia comienza tres años antes, dentro de la relación técnica de Apple con las mayores operadoras inalámbricas de Estados Unidos, con una categoría de datos capaz de identificar a casi todos los teléfonos en la red.

Boardman era Ingeniero de Sistemas Empresariales. Cuando los técnicos de las operadoras no podían resolver un problema difícil relacionado con un iPhone o un iPad celular, los representantes de cuentas de Apple podían recurrir a ingenieros como él. Una solicitud recurrente, dice la demanda, era que Apple tomara un número de serie del dispositivo y devolviera su correspondiente International Mobile Equipment Identity, o IMEI. Algunas solicitudes se referían a un solo dispositivo. Otras involucraban lotes de hasta 1,000.

Apple consideraba los números de serie y los IMEI como información de identificación personal según sus políticas internas, alega Boardman. Los representantes que trabajaban con operadoras distintas de AT&T exigían que la operadora obtuviera una autorización del cliente antes de que Apple suministrara los datos. El representante de Apple asignado a AT&T no hizo cumplir ese requisito, según la demanda. Boardman dice que los identificadores luego se transmitieron a través de “comunicaciones por correo electrónico no seguras.”

Reportó la práctica a su gerente y buscó orientación del departamento legal de Apple. Alega que la empresa nunca le dio una respuesta por escrito. Cuando planteó el asunto directamente a su gerente, Meg Fisher, Boardman dice que ella le dijo que “dejara de ser molesto” y que siguiera adelante.

Boardman hizo lo contrario. Empezó a rechazar las solicitudes de AT&T.

Las alegaciones aparecen en una demanda laboral presentada el 22 de enero de 2026 contra Apple y dos de los exgerentes de Boardman. El caso parece no haber recibido cobertura mediática. Apple presentó una negación general en marzo y dijo que Boardman fue despedido por “causa justa y razones comerciales.” El 14 de julio, la jueza Rochelle East programó un juicio con jurado para el 15 de noviembre de 2027.

Ningún tribunal ha establecido que Apple o AT&T manejaron indebidamente la información de clientes, que las autorizaciones solicitadas fueran legalmente requeridas, o que Apple despidiera a Boardman porque él objetara. El expediente público no contiene los correos electrónicos en disputa, el informe que Boardman dice que realizó, la política interna de privacidad en la que se basó ni un ejemplo de un cliente cuyos datos fueron compartidos. La respuesta de Apple no aborda específicamente la alegación sobre el IMEI.

Los documentos, en cambio, capturan el comienzo de una prueba. Apple ha construido su identidad alrededor de la idea de que la privacidad puede diseñarse dentro de un producto. El caso de Boardman plantea qué sucede cuando proteger la información personal depende de que un empleado le diga que no a otro empleado.

https://www.dropbox.com/scl/fi/2c9pkfvphfoph9o8d4q6e/10019732.pdf?rlkey=afvmwksc96cz3p8e1gcolnosx&dl=1

El número detrás del teléfono

La mayoría de las personas nunca necesita saber el IMEI de su teléfono. Aparece en la configuración del dispositivo y, en algunos modelos, en el empaque o en el hardware. Las redes inalámbricas lo usan para distinguir el dispositivo físico del suscriptor y de la tarjeta SIM. AT&T describe el IMEI como una huella digital única para un teléfono. Una operadora puede usarlo para bloquear un dispositivo robado de su red. AT&T dice que las operadoras y las fuerzas del orden también pueden usarlo para ayudar a localizar un dispositivo en ciertas circunstancias.

Un IMEI no es una contraseña. Poseer uno no proporciona acceso a las fotos, mensajes o cuentas de un teléfono. Su valor proviene de la persistencia y del contexto. El identificador permanece con el dispositivo físico. Cuando se une con un número de serie, un registro de cliente, un ticket de servicio o una cuenta de suscriptor, puede ayudar a relacionar el hardware con un propietario y con la actividad en una red celular.

La política de privacidad actual de Apple dice que los datos capaces de identificar un dispositivo, incluido su número de serie, son datos personales. Un aviso de privacidad de Apple Support por separado incluye expresamente el número de serie y los números IMEI de un dispositivo entre los datos personales que Apple puede proporcionar a un proveedor de servicio autorizado que esté solucionando un problema concreto. El aviso de privacidad empresarial de AT&T likewise incluye IMEI y números de serie en una categoría que llama “Device Identification Data”.

El intercambio en sí puede ser ordinario. Los teléfonos se averían. Los clientes empresariales inscriben miles de dispositivos. Las operadoras necesitan investigar el aprovisionamiento, la activación y las fallas de la red. El aviso de soporte de Apple describe un proceso definido en el que la información se comparte con un proveedor de servicios que trabaja en el caso del usuario.

El consentimiento y la autorización determinan si ese proceso es protector o indiscriminado. Un acuerdo actual de AT&T para el registro automatizado de dispositivos, publicado en 2025, exige que un cliente empresarial autorice a AT&T antes de que esta proporcione información de pedidos, incluidos los IMEI, a un servicio de registro. Ese acuerdo puede no tener nada que ver con el flujo de trabajo de soporte que Boardman encontró en 2021. Muestra, sin embargo, cómo un identificador puede moverse legalmente entre empresas cuando el cliente, el propósito y el destino están establecidos.

Boardman alega que el propio requisito de autorización de Apple cumplía ese papel. Su preocupación no era simplemente que AT&T conociera un IMEI. Las operadoras necesariamente procesan identificadores de dispositivos. Dice que un representante de Apple estaba solicitando correspondencias de números de serie a IMEI sin demostrar que el cliente había autorizado la divulgación, a veces en lotes grandes, y que Apple transmitía los resultados por correo electrónico.

La frase “correo electrónico no seguro” transmite más certeza de la que respalda la demanda. No dice si los datos aparecían en el cuerpo de un mensaje o en un adjunto, si los sistemas de correo de Apple cifraron el mensaje en tránsito, si el archivo estaba protegido por contraseña, o quién lo recibió en AT&T. La presentación alega una ausencia de consentimiento y un canal inseguro sin aportar las comunicaciones subyacentes.

La consecuencia potencial sigue siendo concreta. El Instituto Nacional de Estándares y Tecnología (NIST) ha advertido que los IMEI y los identificadores de suscriptores pueden ser interceptados y usados para rastrear un teléfono o un usuario. Una lista que relacione números de serie de Apple con identificadores de redes móviles podría ser más útil que cualquiera de las dos listas por separado. Boardman dice que también podría terminar en manos de una tercera parte no prevista.

Su demanda no alega que esto sucediera. Alega que Apple estaba aceptando el riesgo.

El ingeniero de la operadora

Boardman se unió a Apple en junio de 2008 y pasó aproximadamente 16 años en la empresa. Su perfil profesional público coincide estrechamente con el papel descrito en la demanda. Desde 2013 hasta junio de 2024, dice que trabajó con Verizon, AT&T y T-Mobile, resolviendo problemas técnicos y comerciales y ayudando a sus clientes empresariales a desplegar dispositivos Apple a gran escala.

Operaba, en palabras del perfil, como una extensión de los equipos de ventas de las operadoras. Esa posición lo colocaba en la brecha entre el representante de cuentas de una operadora y la organización interna de ingeniería de Apple. Podía entender el problema del cliente, saber qué datos de Apple podrían resolverlo y reconocer cuándo una solicitud ordinaria cruzaba un límite interno.

El perfil también complica la palabra “cliente.” Boardman trabajó intensamente con equipos B2B de las operadoras y con despliegues corporativos. Una solicitud que involucra 1,000 dispositivos suena más a una flota empresarial que a 1,000 consumidores no relacionados. La demanda describe repetidamente el consentimiento del cliente y los riesgos de seguridad para los consumidores, pero no dice si los dispositivos pertenecían a individuos, empresas o a una mezcla de ambos.

Esa distinción podría afectar los contratos aplicables, la cadena de autorización y el daño. No borra la cuestión de privacidad. Un teléfono propiedad del empleador aún puede estar asignado a una persona, asociado con una línea y vinculado a información corporativa. Sí significa que el registro público no puede respaldar la versión más amplia de la alegación: que Apple expuso los identificadores de propietarios aleatorios de iPhone a AT&T.

Boardman dice que el proceso se veía diferente en otros operadores. Sus representantes de cuenta de Apple requerían que el operador obtuviera una autorización del cliente antes de que Apple proporcionara los IMEIs solicitados. En 2021, se enteró de que el representante asignado a AT&T no lo estaba exigiendo.

La demanda no identifica a ese representante. Tampoco explica cómo Boardman supo que las autorizaciones faltaban. Un correo electrónico solicitando 1,000 identificadores no mostraría necesariamente si la autorización se había recabado en otro lugar. La versión más sólida de su alegato depende de registros que aún no han ingresado al expediente público: la solicitud, la política, el procedimiento de autorización y su informe interno.

Boardman dice que le pidió a Fisher, entonces su gerente, que remitiera sus preocupaciones al legal de Apple a finales de 2021. El propio sitio web de Fisher indica que ella dirigió el equipo U.S. Enterprise Carrier Engineering de Apple, lo que corrobora la cadena de mando descrita en la demanda. Boardman alega que pidió repetidamente orientación tanto a sus supervisores como a Apple Legal y nunca recibió una respuesta por escrito.

Entonces llegó la instrucción que él interpretó como la respuesta de Apple: deja de ser una molestia.

“Ocúpate de lo tuyo”

Boardman continuó dando soporte a la cuenta de AT&T, pero dice que ya no proporcionaría IMEIs cuando se los pidieran. Creía que hacerlo sin una autorización sería ilegal. Las negativas provocaron quejas del representante de Apple que trabajaba con AT&T, según la demanda.

La disputa lo siguió hasta su siguiente línea de supervisión. Brian DeMan asumió el equipo a finales de 2022. Boardman dice que DeMan lo reprendió por las negativas y le dijo que “se mantuviera en su carril”. Alrededor del mismo periodo, Apple le dio a Boardman una evaluación anual de desempeño negativa, un marcado alejamiento de las evaluaciones que lo habían descrito como un colaborador valioso que producía “trabajo verdaderamente sobresaliente”, según la demanda.

La demanda une esa narrativa de denunciante con un relato inusualmente íntimo sobre la salud mental de Boardman. A principios de 2022, le dijo a Fisher que estaba experimentando ansiedad, trastorno obsesivo-compulsivo y síntomas relacionados. Dijo que la preocupación no resuelta sobre la privacidad se había convertido en una fijación y le estaba causando angustia. En enero de 2023, le reveló su TOC a DeMan y pidió discutir maneras de manejar su efecto en su trabajo.

Esas revelaciones pueden interpretarse de maneras opuestas. Boardman dice que Apple supo que tenía una discapacidad y no inició el proceso interactivo requerido para identificar ajustes razonables. La respuesta de Apple dice que recibió todos los ajustes que solicitó, a la vez que alega que cualquier ajuste adicional pudo haber sido irracional o haber causado una dificultad excesiva. La compañía también sostiene que sus acciones se tomaron por razones comerciales legítimas.

Los alegatos dejan abierta una pregunta que recorrerá el caso: ¿la persistencia de Boardman expuso una falla de privacidad, o Apple razonablemente vio esa persistencia como parte de un problema de desempeño?

Boardman dice que DeMan comenzó a cambiar las condiciones a su alrededor. A mediados de 2023, DeMan impuso nuevas metas de desempeño en todo el equipo y le dijo a Boardman que las expectativas serían las mismas para todos. Más tarde, le asignó a Boardman un proyecto para desarrollar una estrategia para aumentar las ventas de producto. Boardman alega que DeMan modificó los requisitos del proyecto, añadió trabajo que agravó su condición, canceló sus reuniones, negó apoyo y socavó su avance.

También dice que DeMan empezó a exigirle que se presentara en la sede de Apple en Cupertino una o dos veces al mes. Boardman había trabajado de forma remota durante años y viajado por todo el país. Ningún otro ingeniero de su nivel enfrentó el mismo requisito, alega.

Apple niega que haya discriminado, hostigado o tomado represalias contra Boardman. Su respuesta invoca la discreción gerencial y dice que los cambios en su relación laboral se hicieron de buena fe por razones legítimas. La compañía no ha suministrado públicamente las métricas de desempeño, los registros de proyectos o las políticas de viaje que permitirían a un tercero comparar ambas versiones.

La disputa de privacidad y la disputa por la discapacidad finalmente se volvieron inseparables. Boardman dice que Apple trató su fijación como evidencia de que era difícil de tratar. Él trató la misma fijación como la razón por la que el riesgo ya no podía ser ignorado.

La reunión del 11 de junio

El 15 de marzo de 2024, el conflicto estalló durante una evaluación de medio año. Boardman dice que DeMan criticó su desempeño y le dijo que necesitaba demasiada supervisión para alguien de su nivel. Boardman sufrió lo que la demanda describe como un ataque de pánico severo y un colapso mental. Jadeaba por aire. DeMan fue testigo, según la demanda.

Boardman contactó a recursos humanos inmediatamente después. Denunció discriminación y acoso basados en su discapacidad, dijo que tenía miedo de DeMan y pidió a Apple que interviniera. Su proveedor médico le otorgó una licencia médica del 18 al 22 de marzo.

Cuando regresó, Boardman dice que nada cambió. El 9 de abril, volvió a reportar a DeMan a Sandra Sanchez, identificada en la demanda como una responsable de recursos humanos de Apple. Sanchez le sugirió que tomara otra licencia, dice la demanda. El proveedor de Boardman entonces le otorgó licencia del 1 de mayo al 30 de mayo conforme a la California Family Rights Act.

La secuencia importa porque Boardman solicitó ajustes a medida que regresaba. El 30 de mayo le envió un correo electrónico a DeMan para confirmar su regreso y solicitó una reunión. Había obtenido una nota médica que recomendaba restricciones laborales y planeaba entregarla cuando DeMan regresara de vacaciones.

Nadie sostuvo esa reunión, según la demanda.

Apple programó la reunión el 10 de junio y despidió a Boardman el 11 de junio. Durante la reunión de despido, DeMan supuestamente reconoció que Boardman le había dicho 'a principios del año pasado' sobre su ansiedad. Boardman dice que otra empleada de Apple, Olivia Shipp, corroboró esa declaración.

La respuesta de Apple dice que el despido estuvo sustentado por causa justificada y razones comerciales. Niega que Boardman resultara perjudicado por algún acto u omisión de Apple y afirma que sus decisiones laborales se tomaron de buena fe. La respuesta plantea 39 defensas afirmativas, incluyendo que Boardman pudo no haber sido capaz de desempeñar las funciones esenciales del puesto, no proporcionó información adecuada durante el proceso de ajustes, no participó en una actividad protegida y habría sido despedido por razones legítimas en cualquier caso.

Muchas de esas defensas se plantean de forma condicional y no contienen hechos que las respalden. Preservan argumentos que Apple puede desarrollar durante la fase de discovery. No constituyen evidencia de que Boardman cometió mala conducta o fuera incapaz de realizar el trabajo.

La demanda contiene un pequeño pero significativo conflicto de fechas. Un párrafo introductorio dice que Boardman permaneció empleado hasta el 18 de junio de 2024. La cronología detallada dice que fue despedido el 11 de junio. Su perfil público solo lista el mes. La fecha exacta debería establecerse mediante sus registros de terminación antes de la publicación.

Lo que respondió Apple — y lo que no respondió

Apple respondió a la demanda el 6 de marzo con una negación general. Su respuesta no cuenta una versión alternativa sobre las solicitudes a AT&T. No hay explicación de quién solicitó los IMEIs, si existían autorizaciones, cómo Apple transmitió los datos o qué hizo su departamento legal con el informe de Boardman.

La compañía se centró en las reclamaciones laborales. Dice que su conducta estuvo justificada, que cumplió sus obligaciones legales y que tomó medidas correctivas rápidas después de enterarse de cualquier presunto acoso. Niega haber autorizado o ratificado conductas ilegales por parte de sus empleados. Afirma que Boardman era un empleado at-will y que solo razones legítimas habrían producido las mismas decisiones laborales.

Apple también alega que Boardman recibió todas las acomodaciones que solicitó durante su permanencia. Si solicitó una que no recibió, dice la compañía, habría sido irrazonable o habría creado una carga indebida. La afirmación de la demanda de que no hubo discusión sobre acomodaciones antes de la terminación entra en conflicto directo con esa defensa.

Boardman inicialmente demandó a DeMan y Sanchez de forma individual por acoso e infligir intencionalmente angustia emocional. En abril, las partes acordaron desestimarlas sin perjuicio. El acuerdo no exonera a ninguno de los gerentes. Establece que ninguna de las partes será tratada como la parte vencedora, prohíbe a las partes decir al jurado que los gerentes alguna vez fueron demandados y obliga a Apple a presentar a ambos para deposiciones y el juicio. Apple también acordó no solicitar la remoción federal u otra sede sin primero consultar con los abogados de Boardman.

El arreglo deja a Apple como la demandada mientras preserva el testimonio de las personas que Boardman acusa de llevar a cabo la represalia. También mantiene el caso en San Francisco Superior Court, donde ahora está programado un juicio.

Una fecha de juicio es un hito administrativo. No significa que el juez haya encontrado que las reclamaciones de Boardman tienen probabilidades de prosperar, y muchos casos civiles se resuelven mediante acuerdos o terminan por mociones antes de que se siente un jurado. La orden de julio sí establece que, seis meses después de la demanda, el caso sigue activo y entra en el largo periodo de descubrimiento en el que se podrán exigir los registros faltantes.

Los registros que decidirían la historia

La demanda de Boardman es inusualmente específica sobre diálogos y fechas. Es pobre donde la alegación de privacidad debería eventualmente volverse verificable.

El elemento faltante más importante es su informe de finales de 2021. Su contenido podría mostrar qué sabía Boardman, qué empleados de Apple y AT&T estuvieron involucrados, si identificó dispositivos o cuentas particulares y qué leyes o políticas pensó que se estaban violando. Un registro de entrega podría mostrar si llegó a Apple Legal. Cualquier respuesta revelaría si Apple investigó, rechazó o corrigió su inquietud.

La política de liberación al cliente es igualmente importante. Boardman dice que existía y que representantes de otras operadoras la seguían. La presentación no la cita ni la adjunta. El descubrimiento podría producir la política, materiales de capacitación, procedimientos específicos por operadora y ejemplos de liberaciones completadas.

Luego están las propias solicitudes. Un ticket de soporte o un correo electrónico podría mostrar si AT&T buscó un mapeo de número de serie a IMEI, qué tan grandes eran los lotes y qué autorización los acompañaba. Los encabezados de correo, controles de archivos adjuntos y registros de acceso podrían aclarar qué significaba “no asegurado” en la práctica. Apple y AT&T deberían poder decir si el proceso todavía existe y qué cambió después de que Boardman planteó la inquietud.

Finalmente, los registros de empleo podrían separar una secuencia de denunciante de una disputa ordinaria por desempeño. Las evaluaciones de Apple antes y después del informe, las métricas aplicadas a los pares de Boardman, el requisito de asistencia en la sede de Cupertino, su correspondencia sobre acomodaciones y el memorando final de terminación podrían reforzar su cronología o desmantelarla.

Ninguno de esos registros está adjunto a la demanda ni a la contestación de Apple. Esa limitación debería moldear la cobertura. Esta es una historia sobre una acusación seria dentro de una demanda activa. No es evidencia de una brecha de datos. Boardman no afirma que piratas informáticos interceptaron los IMEIs, que un cliente sufrió robo de identidad, ni que AT&T usó los datos con un propósito comercial no autorizado.

Su alegación es más estrecha e institucionalmente incómoda: una regla interna diseñada para establecer el consentimiento supuestamente se volvió opcional cuando una operadora poderosa pidió los datos, y el ingeniero que se negó a tratarla así dice que Apple lo removió en su lugar.

Privacidad a escala humana

La ingeniería de privacidad de Apple es más visible donde el software puede tomar la decisión. Un iPhone puede limitar el rastreo, cifrar un mensaje, aislar datos biométricos o exigir que una app solicite permiso. Estos controles son repetibles. Funcionan tanto si el usuario es importante, impaciente o está conectado con el empleado adecuado.

El soporte empresarial se construye a partir de excepciones. Una operadora necesita un ingeniero para resolver una falla de activación inusual. Un cliente grande tiene cientos de dispositivos que deben ser inscritos. Un número de serie necesita ser mapeado a un identificador de red. El trabajo cruza empresas, sistemas y roles profesionales. Alguien tiene que decidir si el solicitante está autorizado y si los datos pueden moverse.

La demanda describe un control de privacidad que vivía en esta capa humana. La liberación no impedía que Apple ayudara a AT&T. Forzaba que la solicitud llevara evidencia de consentimiento. Si la versión de Boardman es exacta, el sistema falló porque dejó de exigirse esa evidencia.

La política pública de Apple dice que la compañía comunica pautas de privacidad y seguridad a los empleados y que “hace cumplir estrictamente” las salvaguardas en toda la empresa. Su aviso de soporte reconoce que los IMEIs pueden compartirse con proveedores externos cuando están solucionando un problema particular. Estas declaraciones son compatibles. También revelan cuánto depende de que el problema particular sea real, de que el proveedor sea el adecuado y de que el cliente sepa que el intercambio está ocurriendo.

La demanda de Boardman girará en torno a una pregunta legal más estrecha: por qué Apple lo despidió. La importancia pública trasciende el empleo de un ingeniero. El caso puede exponer cómo una de las compañías más conscientes de la privacidad en el mundo manejó los datos de identificación de dispositivos en la parte de su negocio donde la política se encontraba con ventas, soporte y una operadora lo bastante importante como para tener su propio equipo de Apple.

A las 9:21 p.m. CDT del 2 de agosto de 2026, RuntimeWire envió preguntas detalladas por correo electrónico a Apple Media, la abogada de litigios de Apple Karyn R. Moore, AT&T Media y la abogada de Toby Boardman, Mahru Madjidi. Se pidió a Apple que reencaminara las preguntas a Meg Fisher, Brian DeMan y Sandra Sanchez. Ninguno había respondido para la publicación. RuntimeWire actualizará esta historia si llegan respuestas.

Por ahora, Apple ha aportado una respuesta legal en lugar de una técnica. Dice que despidió a Boardman por justa causa. Niega discriminación y represalia. No ha explicado en el registro público si el representante de AT&T obtuvo liberaciones, si los números de serie fueron mapeados a IMEIs en lotes de 1,000, o si esos resultados viajaron por correo electrónico ordinario.

Esas respuestas pueden existir en los registros que Boardman intentó crear en 2021 y en el descubrimiento que ahora se avecina.

Él dice que Apple le dijo que dejara de ser una molestia. Si el caso llega a juicio, se le preguntará a un jurado si su negativa a detenerse es la razón por la que la compañía terminó su carrera allí.