1. Es objeto de
anotación en esta entrada del blog la sentencia dictada por el Pleno de la Sala de lo Civil
del Tribunal Supremo el 13 de marzo, de la que fue ponente el magistrado
Antonio García.
El recurso fue
admitido por auto de 17 de julio de
2024, del que fue ponente el magistrado Francisco Marín, en cuyo fundamento de
derecho primero se expone que
“Conforme al art.
477.2 LEC, inciso segundo, procede admitir el recurso de casación por
plantearse contra sentencia dictada para la tutela judicial civil de derechos
fundamentales. Concurren prima facie los presupuestos y requisitos legalmente
exigidos en los art. 481 y 483.3 LEC, para que la sala examine si la
divulgación de los datos privados de la demandante, constituye injerencia en su
derecho a la intimidad” (la negrita es mía)
La resolución
judicial estima, en contra del criterio sostenido por el Ministerio Fiscal en
su preceptivo informe y en el que abogaba por su improcedencia, el recurso de
casación interpuesto por la parte trabajadora contra la sentencia dictada por
la Audiencia Provincial de Barcelona el 16 de febrero de 2024.
La AP había
desestimado el recurso de apelación interpuesto contra la sentencia dictada por
el Juzgado de Primera Instancia núm. 53 de Barcelona el 30 de septiembre de
2022.
La especial importancia
de esta sentencia del TS, que obtuvo la unanimidad de quienes forman parte de
la Sala, radica a mi parecer en la protección reforzada del derecho a la
intimidad en la relación de trabajo cuando hay una fuga, por limitada y
temporal que sea, de datos personales de la persona trabajadora, sin que afecte
a la vulneración de tal derecho que no exista un ánimo subjetivo por parte
empresarial de su vulneración, aún cuando su inexistencia sí puede tenerse en
consideración, y ya comprobaremos más adelante que así es valorado por la Sala,
para fijar la cuantía de la indemnización a abonar a quien ha visto vulnerado
su derecho.
El resumen oficial
de la sentencia del alto tribunal es el siguiente: “Derecho a la intimidad
personal. Protección de datos. Demanda laboral que contiene datos privados e
íntimos que se aloja en una carpeta compartida y a la que accede una persona no
autorizada”.
La sentencia
mereció una nota de prensa del gabinete de
comunicación del Poder Judicial, publicada el 25 de marzo, titulada “El
Tribunal Supremo condena a un despacho de abogados por vulnerar la intimidad de
una empleada cuyos datos estuvieron accesibles en una carpeta compartida”,
acompañada del subtítulo “Tendrá que pagar una indemnización por daño moral de
3.000 euros”. En esta nota de prensa se efectúa una detallada síntesis de la
sentencia, y de su contenido deseo resaltar especialmente sus dos primeros
párrafos:
“La Sala Primera
del Tribunal Supremo ha estimado un recurso de una mujer por intromisión
ilegítima en su derecho a la intimidad personal frente al despacho jurídico en
el que trabajaba porque una excompañera de trabajo había tenido acceso de
manera accidental a la demanda laboral que la demandante había interpuesto
frente a su empleadora. Dicha demanda estaba alojada en una carpeta digital
compartida y contenía datos privados e íntimos.
La sentencia
recuerda que el derecho a la intimidad y el derecho a la protección de datos
personales, son categorías diferentes, aunque relacionadas. Y esa diferencia
implica que, en ocasiones, los mismos hechos puedan ser constitutivos de
vulneración de uno de esos derechos y no del otro. En el caso concreto,
atendiendo a la naturaleza de los datos, estaríamos, en principio, ante un caso
en el que los mismos hechos podrían constituir una vulneración no solo del
derecho a la protección de datos, sino también del derecho a la intimidad
personal de la demandante” (la negrita es mía).
Cabe indicar que la sentencia mereció inmediatamente la atención de las revistas jurídicas electrónicas. En efecto, en el diario Confilegal su redactora Yolanda Rodríguez publicaba el 25 de marzo la noticia “El TS impone una sanción de 3.000 euros por exposición indebida de datos personales a un despacho jurídico” . En Legal Today se publicaba el 26 de mazo la noticia difundida por Europa Press “El Supremo condena a un despacho por vulnerar la intimidad de una empleada al dejar accesible a compañeros sus datos”
2. El litigio
encuentra su origen en sede judicial con la presentación de demanda de juicio
declarativo ordinario, cuyas pretensiones eran las siguientes:
“[...]1) - Se
declare la intromisión ilegítima, por parte de la demandada en el derecho a la
intimidad personal de Dña Mari José al amparo de la Ley Orgánica 1/1.982, de 5
de Mayo, y de conformidad con el art. 18.1 de la Constitución Española.
2) - Sea declarada
procedente indemnización de daños y perjuicios por dicha vulneración en la
cantidad de 10.000 € (diez mil euros)
3) - Se condene a
la demanda a que, en lo sucesivo, se abstenga de realizar actos semejantes que constituyan
una injerencia ilegítima en el derecho a la intimidad de nuestra patrocinada.
4) - Que se
condene en costas a la parte demandada”
Como ya he
indicado con anterioridad, la demanda fue desestimada íntegramente por el JPI,
y la misma suerte corrió el recurso de apelación en la sentencia de la AP.
3. En los
fundamentos de derecho de la sentencia del TS conocemos detalladamente el
contenido de la demanda, así como una buena síntesis de la fundamentación
jurídica de la sentencia desestimatoria.
Igualmente, se recogen extensamente los argumentos de la sentencia de la AP
para desestimar el recurso de apelación. Remito a todas las personas
interesadas a la lectura íntegra de dicho fundamento, y reproduzco a
continuación aquellos contenidos de la demanda cuyo conocimiento considero necesario
para poder entrar después a examinar la fundamentación de la sentencia del alto
tribunal que le llevará a estimar el recurso de casación.
“i) En el mes de
enero de 2020, ella había demandado a ... , despacho jurídico en el que trabajaba
como recepcionista desde julio de 2001, por modificación sustancial de las
condiciones de trabajo, alegando el cambio injustificado de su horario laboral.
ii) En dicha
demanda se incluyen datos personales suyos de carácter privado e íntimos. En
concreto, en el relato de hechos se indica cuál es su sueldo, se exponen datos
de salud que derivaron en procedimientos de incapacidad temporal y se mencionan
ciertas situaciones de acoso sufridas, entre otros aspectos:
«[...]
»Salario: ...
»II. Procesos de
IT de la actora. La actora ha padecido últimamente varios procesos de IT,
concretamente, de 12.09.2018 a 23.01.2019, por hemiplejia y de 23.01.2019 a
24.04.2019, por accidente y desde 01.07.2019 a 31.12.2019, pendiente de
determinar su contingencia, al tratarse de un cuadro de ansiedad derivada de situación
de estrés laboral en un marco de acoso.
III.- Acoso a la
actora.
»Desde su
reincorporación por alta voluntaria de su IT en 24.04.2019 han sido múltiples
las situaciones de acoso vividas por la actora, por parte de la Gerente del
despacho... Dicha Gerente ha dado órdenes expresas de que se haga el vacío a la
actora, con el fin de aislarla y hacerle insoportable su permanencia en la
empresa [...]
Otro de los hechos
que evidencian dicha situación es el de la caja para gastos menores, de los que
la actora era responsable. A la actora, como responsable de la caja, se le ha
hecho reponer los faltantes de dicha caja en repetidas ocasiones. Ante dicha
situación, la actora se veía obligada a cuadrar caja varias veces al día, ya
que los faltantes se originaban durante la jornada laboral, mientras la actora
estaba momentáneamente fuera de su puesto. Una vez se produjo un faltante de
150 €, comunicándolo la actora a la Gerente, indicando ésta que debía
reponerlos la actora, como responsable de dicha caja. Así lo hizo la actora,
declinando desde entonces dicha responsabilidad".
iii) La demanda
fue escaneada y almacenada, con el nombre «Demanda Marí Jose», en una
carpeta común del servidor del despacho, denominada «L», a la que todos los
trabajadores sin excepción tenían acceso directo.
iv) Fue una
excompañera de trabajo quien la alertó de que en la mencionada carpeta había un
documento con su nombre, el cual contenía numerosos datos suyos de carácter
personal...” (la negrita es mía)
3. En la sentencia
del JPI se declaró probado que la demanda había estado en la carpeta L, es
decir la compartida, si bien inmediatamente se añadía que solo estuvo “para que
la persona que la escaneó... dejara la máquina, regresara a su despacho, lo
copiara en su ordenador y lo eliminara de la carpeta común”. Tras formular
alguna sugerencia sobre la conveniencia de designar un fichero de demanda
judicial con el número de procedimiento y no con el del nombre de la persona
demandante y así no alimentar “la curiosidad de los usuarios de la carpeta
común durante el lapso de tiempo que pueda transcurrir hasta su traspaso al
ordenador del empleado...”, desestimó la demanda porque no había prueba de la
vulneración del derecho a la intimidad y, previa manifestación de que la causa
de pedir en el procedimiento no era “la
infracción de la LOPD”, concluyó que
“... solo consta
el conocimiento de una persona ajena al procedimiento, que la baja de la
recepcionista del despacho tenía que ser pública entre los trabajadores de la
empresa (aunque se desconociera la causa), que quien había introducido los
datos personales en el documento era la demandante y que en ningún caso la
estancia del fichero en la carpeta común no superó un día (sic)” (la
negrita es mía)
4. La sentencia de
la AP desestimó el recurso de apelación. Contra esta, se presentó recurso de
casación, con alegación de vulneración del art. 7, apartados 3 y 4 de la LO
1/1982, que dispone que “...
tendrán la consideración de
intromisiones ilegítimas en el ámbito de protección delimitado por el artículo
segundo de esta Ley... 3. La divulgación
de hechos relativos a la vida privada de una persona o familia que afecten a su
reputación y buen nombre, así como la revelación o publicación del contenido de
cartas, memorias u otros escritos personales de carácter íntimo. 4. La
revelación de datos privados de una persona o familia conocidos a través de la
actividad profesional u oficial de quien los revela”
En el fundamento
de derecho segundo, apartados 1 y 2, conocemos los argumentos de la parte
recurrente, de la recurrida y del Ministerio Fiscal. Por su interés, y también por la perplejidad
que he tenido al leer algunas de las tesis de la Fiscalía sobre el carácter de
la demanda como “documento no personal e íntimo” y que los datos sanitarios “no
revelaban especialmente” su situación, reproduzco el apartado de los argumentos
de la Fiscalía:
“... Sostiene que
(la demanda) se centra en la posible intromisión en la intimidad de la
demandante, pero no debe confundirse con la vulneración de la normativa sobre
protección de datos. Afirma que no procede revisar la fijación de los hechos ni
revalorar la prueba y que el recurso desvirtúa la cuestión al ignorar que
una demanda, al presentarse en un proceso laboral, no es un documento personal
e íntimo. Añade que los datos fueron aportados por la propia demandante,
no revelaban especialmente su situación sanitaria y eran en gran parte
conocidos por sus compañeros debido a sus bajas laborales. Sostiene que el
documento no se colocó en la carpeta común para ser consultado por los
empleados, sino que se guardó provisionalmente tras su escaneo para su
posterior archivo en el expediente correspondiente. Finalmente, argumenta que
solo hubo un acceso accidental, aislado y sin entidad suficiente para
considerar que existió difusión, ya que el archivo permaneció poco tiempo en la
carpeta común y solo lo vio una amiga de la demandante, cuya actuación la
sentencia califica de fisgona y no autorizada” (la negrita es mía).
5. Al entrar en la
resolución del recurso, la Sala ya afirma que este será estimado, y pasar a
desgranar a continuación todos los argumentos que le llevarán a así declararlo
en el fallo.
A) Recuerda
primeramente el art. 236 quinquies, apartado 5, de la LOPJ, que dispone que “«Los
datos personales que las partes conocen a través del proceso deberán ser
tratados por éstas de conformidad con la normativa general de protección de
datos. Esta obligación también incumbe a los profesionales que representan y
asisten a las partes, así como a cualquier otro que intervenga en el procedimiento.»,
y añade inmediatamente a continuación que “Este artículo establece una
obligación explícita para que todos los actores involucrados en el
procedimiento(las partes, los abogados y cualquier otra persona interviniente)
garanticen que el tratamiento de los datos personales se realice conforme a la
legislación de protección de datos, tanto en el ámbito de la LOPJ como de la
LOPDPyGDD y el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo,
de 27 de abril de 2016, relativo a la protección de las personas físicas en lo
que respecta al tratamiento de datos personales y a la libre circulación de
estos datos. Recuerda a continuación los arts. 24 y 32 del citado Reglamento,
sobre las obligaciones del responsable de tratamiento de aplicar medidas
“técnicas y organizativas adecuadas” para garantizar la protección de los
datos.
Sintetiza en el
apartado 3.2 las tesis de la sentencia recurrida, que también lo fue del JPI, cual
era que la demanda estuvo disponible “para cualquier persona que ingresara en
la carpeta donde se guardaba”, y que podía constituir “una brecha de seguridad
de la empresa o grupo que la comparte”, rechazando no obstante que tal hecho pudiera
atribuirse a una acción u omisión de la demandada, insistiendo en que si hubo
intromisión fue a cargo de una persona no autorizada, “por su propia
curiosidad”.
Tesis de la
sentencia recurrida que el TS considera no correcta, con estos claros
argumentos:
“La entidad
demandada tiene la obligación de aplicar medidas técnicas y organizativas
apropiadas para garantizar un nivel de seguridad adecuado al riesgo que implica
el tratamiento de datos personales. Esto incluye, entre otras cosas, la
adopción de medidas de seguridad informática adecuadas para proteger los datos frente
a accesos no autorizados.
En este caso, la
filtración de los datos de la demandante -al haber sido accesados por la Sra.
Natividad sin autorización y sin que esta fuera empleada de la demandada-,
junto con el hecho de que la demandada no haya probado la adopción de medidas
técnicas y organizativas apropiadas para garantizar su seguridad y evitar un acceso
no autorizado por parte de «terceros» -la carga de la prueba de que los datos
personales se tratan de modo que se garantiza una seguridad adecuada, en el
sentido de los artículos 5, apartado 1, letra f), y 32 del Reglamento, incumbe
al responsable del tratamiento en cuestión, según la STJUE de 14 de diciembrede 2023,asunto C-340/21... apartado 52-, pone de manifiesto que el tratamiento dado a
los mismos por la demandada no fue adecuado ni conforme con el Reglamento.
En consecuencia,
tampoco cumplió con la obligación que le incumbe con arreglo a lo dispuesto en
el apartado3 del artículo 236 quinquies de la LOPJ”.
Del fallo de la
sentencia del TJUE destaco este contenido:
... “El artículo
32 del Reglamento 2016/679
debe interpretarse
en el sentido de que el carácter apropiado de las medidas técnicas y
organizativas adoptadas por el responsable del tratamiento en virtud de dicho
artículo debe ser apreciado por los órganos jurisdiccionales nacionales en cada
caso concreto, teniendo en cuenta los riesgos vinculados al tratamiento y
apreciando si la naturaleza, el contenido y la adopción de esas medidas están
adaptados a estos riesgos.
... El principio
de responsabilidad del responsable del tratamiento, enunciado en el artículo 5,
apartado 2, del Reglamento 2016/679 y desarrollado en el artículo 24 de este
Reglamento, debe interpretarse en el sentido de que, en el marco de una acción
de indemnización basada en el artículo 82 del citado Reglamento, el responsable
del tratamiento soporta la carga de la prueba del carácter apropiado de las
medidas de seguridad que ha adoptado con arreglo al artículo 32 del mencionado
Reglamento”.
B) Examina más
adelante qué acción se ejercita en el proceso, para subrayar que no es la de
protección de datos personales sino la de intromisión ilegítima en el derecho a
la intimidad de la demandante, algo que considera “no indiferente”, acudiendo a
la sentencia del Tribunal Constitucional 292/2000 de 30 de noviembre , de la que fue ponente el magistrado Julio
Diego González, y a la suya propia de 19 de marzo de 2024 , de la que fue ponente el magistrado
Pedro José Vela, para poner de manifiesto las posibles diferencias existentes
entre ambos, de tal manera que “El derecho a la intimidad y el derecho a la
protección de datos personales, más vinculado a la privacidad -el concepto de
«privacidad» es más amplio que el de «vida privada» y más aún que el de
«intimidad»-, son categorías diferentes, aunque relacionadas. Y esa diferencia
implica que, en ocasiones, los mismos hechos puedan ser constitutivos de
vulneración de uno de esos derechos y no del otro”.
La AP rechazó que
se vulnerara el derecho a la intimidad, tesis no correcta para el TS, para
quien, y sus argumentos también refutan claramente las tesis del Ministerio
Fiscal,
“... En la demanda
laboral que la recurrente interpuso contra ... por modificación de las condiciones
de trabajo se incluyen datos personales de aquella que son de carácter privado
e íntimo.
Entre los datos
incluidos se menciona el sueldo que percibe mensualmente, que, en este caso, es
un dato que forma parte de la esfera privada de la persona, ya que no es de
acceso público y está relacionado directamente con su vida laboral y económica.
También se
mencionan datos de salud relacionados con su incapacidad temporal debido a
condiciones de salud como la hemiplejia y la ansiedad, los cuales son datos
íntimos”
(en este punto la Sala acude a la sentencia dictada por el Pleno de la Sala el
20 de julio de 2018 , de la que fue ponente el magistrado
Rafael Sarasa.
Añade también la
sentencia que es ahora objeto de mi comentario que “se incluyen detalles sobre
el acoso laboral que la demandante afirma haber sufrido, lo cual constituye información
altamente sensible que afecta a su esfera personal y emocional, perteneciendo a
la categoría de datos íntimos”, para concluir que
“... atendiendo a la naturaleza de los datos,
estaríamos, en principio, ante un caso en el que los mismos hechos podrían
constituir una vulneración no solo del derecho a la protección de datos, sino
también del derecho a la intimidad personal de la demandante”.
C) Frente a la
tesis de la AP de no haber querido la parte demandada vulnerar el derecho a la
intimidad de la trabajadora, es decir que no tenía en absoluto como finalidad
perjudicarla, y que la revelación, por parte de una persona no autorizada, fue
“meramente accidental”, el TS considera una vez más no correcta esta tesis, rechazándola
de plano.
Para el alto
tribunal, y esta es probablemente a mi parecer el contenido jurisprudencial más
relevante de la sentencia ante conflictos posteriores que pudieran suscitarse
en parecidos términos (reproduzco algunos fragmentos de la sentencia):
“... la LOPDH no impone tales condiciones. En los
apartados 3 y 4 de su art. 7 no exige que la divulgación, revelación o
publicación de datos privados o de carácter íntimo sea intencional ni que
busque causar un perjuicio. Basta con que su exposición se produzca para que,
en principio, se considere una intromisión ilegítima. O dicho con otras
palabras, la divulgación, la revelación o la publicación se considera intromisión
ilegítima por el mero hecho objetivo de la exposición o puesta a disposición
del público de tales datos, sin que sea necesario, además, el elemento
subjetivo de la intencionalidad y el propósito de perjudicar.
Por lo tanto, la
cuestión clave no es si la demandada pretendía divulgar la información o
perjudicar a la demandante, sino si, como resultado de su conducta o comportamiento,
ya sea activo u omisivo, los datos privados o íntimos de aquella quedaron
expuestos a terceros sin causa de justificación...
La protección del
derecho a la intimidad no se limita a los casos en que la divulgación es
voluntaria, sino que también comprende situaciones en las que la exposición
indebida se produce por negligencia o falta de diligencia en la adopción de
medidas de seguridad adecuadas. En este caso, la demandada tenía la obligación
de garantizar la confidencialidad del documento, implementando medidas técnicas
y organizativas para evitar el acceso por parte de personas no autorizadas...”
(la negrita es mía)
Todo ello lleva a
concluir que la omisión de las medidas de seguridad requeridas obligatoriamente
por la normativa vigente “constituye un incumplimiento que derivó en la
exposición indebida de datos sensibles. Esta situación configura una
vulneración del derecho a la intimidad, independientemente de que no haya
existido una intención expresa de divulgar la información o de causar perjuicio
a la demandante (la negrita es mía)
D) Por último, la
sentencia aborda en el fundamento de derecho tercero las medidas para “poner
fin a la intromisión ilegítima”, remitiéndose a lo dispuesto en el art. 9.2 de
la LOPDH.
Recordemos que la indemnización
solicitada por la parte demandante era de 10.000 euros, en atención a los daños
morales que le había supuesto la difusión de sus datos personales sobre salario
y “padecimientos de salud”, y que se solicitaba también que se condenara a la
empresa abstenerse de realizar actos semejantes que constituyeran “una
injerencia ilegítima en su derecho a la intimidad”.
La AP subrayó,
entre sus argumentos para desestimar el recurso, que el documento solo estuvo
disponible unos minutos en la carpeta compartida, y que solo fue conocido por
quien lo escaneó, la demandante y la persona que lo abrió. Estos datos serán
determinantes para que el TS reduzca la cuantía de la indemnización solicitada,
en la medida en que, a diferencia de otros conflictos en los que la información
había sido ampliamente difundida, ya fuera por medios de comunicación o por
redes sociales, “aquí la exposición fue mínima y no generó un impacto masivo”.
Igualmente, se
valora por la Sala que no hubo intencionalidad de perjudicar a la demandante,
según se considera probado en la sentencia recurrida, y si bien es cierto, y lo
acabo de explicar, que ello no afecta a la consideración de la vulneración
ilegítima del derecho a la intimidad, sí debe tomarse en consideración en la
determinación de la cuantía indemnizatoria, ya que “permite diferenciar
situaciones de especial gravedad, en las que existe una voluntad deliberada de
dañar, de aquellas en las que la exposición indebida se debe a una conducta
negligente o accidental”.
Además, la Sala
toma en consideración que, aun cuando se alegó por la demandante que la
difusión de sus datos personales le había generado “un estado de inquietud y
preocupación”, no había explicado ni aportado, al menos, añado por mi parte, en
los hechos probados, “elementos que permitan concretar en qué medida dicho
estado ha afectado de manera relevante su vida personal y profesional”,
Por todo ello, se
reduce la cuantía solicitada a 3.000 euros, por ser el parecer de la Sala que
esta “.... satisface adecuadamente la necesidad de reparar el daño moral
sufrido por la demandante, sin exceder los límites de la proporcionalidad que
deben regir la cuantificación del resarcimiento en este tipo de casos”.
Se acepta
plenamente, por último, la pretensión formulada en la demanda de condena de la
parte demandante a abstenerse de
realizar más adelante “actos semejantes” como los que han sido objeto de
examen en la sentencia, subrayando, con apoyo en sentencias anteriores de la
Sala, que “...
la petición de que en lo sucesivo se abstengan de vulnerar el derecho a la
intimidad y a la propia imagen no constituye una condena de futuro ni una
censura previa y está encuadrada en la tutela de abstención y justificada para evitar
nuevas intromisiones en la intimidad de los demandantes y para que estos no se
vean sometidos a una cascada de procedimientos con los consiguientes
desembolsos económicos”.
6. Por todo lo
anteriormente expuesto, la Sala estima parcialmente el recurso de casación,
declarando que “la demandada ha incurrido en intromisión ilegítima en el
derecho a la intimidad de la demandante”, y la condena a “pagar a la demandante
como indemnización por daño moral 3.000 euros”, “a que, en lo sucesivo, se
abstenga de realizar actos semejantes que constituyan una intromisión ilegítima
en el derecho a la intimidad de la demandante”.
Buena
lectura.
