Uno de los aspectos más controvertidos en la elaboración de modelos de prevención de delitos es el relativo a la delimitación de la facultad de supervisión, vigilancia y control de la actividad del trabajador reconocida por la normativa laboral a favor de la dirección de empresa. La jurisprudencia social se ha ocupado extensamente de esta cuestión, en particular a propósito de aquellos supuestos en los que, como sucede en el caso que resuelve la STS 328/2021, 22-4 (LA LEY 32027/2021) (Ponente: Excmo. Sr. D. Manuel Marchena Gómez), la dirección de empresa decide despedir a uno de sus empleados con base en información obtenida gracias a la intervención de alguno de los medios productivos utilizados por aquél. Recurrido el despido por eventual vulneración de su derecho fundamental a la intimidad personal y el secreto de las comunicaciones, corresponde a la referida jurisdicción decidir, entonces, si el despido resulta o no procedente en atención a si la prueba aportada como base del mismo es o no nula, en atención al art. 11 (LA LEY 1694/1985), 1 LOPJ.
Dos preceptos clásicos del Estatuto de los Trabajadores (LA LEY 16117/2015) (ET) han venido sirviendo de base a los Jueces y Tribunales de lo Social para resolver la problemática de referencia: los arts. 18 (LA LEY 16117/2015) y 20 (LA LEY 16117/2015), 3 ET. El primero de ellos permite al empresario la realización de registros corporales y de efectos personales del trabajo en caso de indicio de comisión de infracción contra el patrimonio de la empresa o sus integrantes. Se consagra, de este modo, una facultad excepcional del empresario sometida, eso sí, a una serie de estrictos límites. Por una parte, se exige que el registro sea necesario «para la protección del patrimonio empresarial y del de los demás trabajadores de la empresa»; por otra, debe realizarse «dentro del centro de trabajo y en horas de trabajo», para garantizar la presencia del trabajador o, en su caso, la «asistencia de un representante legal de los trabajadores o, en su ausencia del centro de trabajo, de otro trabajador de la empresa, siempre que ello fuera posible». Además, el registro habrá de «respetar al máximo la dignidad e intimidad del trabajador». La referencia a la dignidad es genérica a todo tipo de intervención del empresario sobre la esfera del trabajador, mientras que la alusión a la intimidad se refiere a la taquilla: a pesar de ser titularidad de la empresa, se trata de un elemento cedido por la empresa al trabajador para uso privado de éste, por lo que forma parte de su esfera de intimidad. De este modo, el registro corporal, el de la taquilla y el de los efectos del trabajador debe ser idóneo (útil para conseguir el fin legítimo pretendido), necesario (el mecanismo menos restrictivo para alcanzar el objetivo) y proporcionado en sentido estricto (que el objetivo perseguido, fundamento en la existencia de sospechas, compense la restricción individual). Esto es, proporcionado en sentido amplio. (2)
Dispone el art. 20 (LA LEY 16117/2015), 3 ET, por su parte, que «[e]l empresario podrá adoptar las medidas que estime más oportunas de vigilancia y control para verificar el cumplimiento por el trabajador de sus obligaciones y deberes laborales, guardando en su adopción y aplicación la consideración debida a su dignidad humana…». La jurisprudencia española aplica el precepto a la vigilancia del puesto de trabajo mediante micrófonos y cámaras, y al control de las llamadas telefónicas y de los ordenadores (archivos, correo electrónico, navegación por internet). En estos supuestos, se considera que la empresa tiene derecho a controlar los elementos productivos de su titularidad que pone a disposición del trabajador para que desarrolle su actividad laboral. A diferencia de lo que sucede en los registros corporales, de las taquillas y los efectos personales, en los que la empresa asume prácticamente funciones de policía privada, en el caso del art. 20 (LA LEY 16117/2015), 3 ET el derecho de la empresa deriva directamente del haz de derechos y deberes recogidos por la relación contractual. Entre ellos se encuentra el deber del trabajador de desarrollar correctamente su actividad y el derecho de la empresa a controlar que ello sucede. En este contexto, se considera conforme a derecho, entre otras intervenciones, (3) la instalación de micrófonos
(4) y cámaras
(5) en determinadas zonas del centro de trabajo; el control de ordenadores y cuentas de correo corporativos mediante instrumentos (programas) informáticos de intervención, ya que tales elementos productivos se consideran inidóneos para albergar información personal de trabajador. (6) Lo mismo sucede con las líneas telefónicas titularidad de la empresa, que se consideran inadecuadas para el mantenimiento de conversaciones particulares de los trabajadores. (7)
Ello no obstante, cuando de elementos productivos de la empresa se trate, la jurisprudencia social entiende que el derecho del empresario a controlar el trabajo del empleado prevalece sobre el derecho de éste a realizar un uso personalizado del medio. Para que ello suceda resulta imprescindible que la empresa haya comunicado previamente al trabajador, como parte de su relación contractual, la existencia de mecanismos de control de conversaciones telefónicas, ordenador, etc. (8) En defecto de tal información, del establecimiento previo de reglas de uso de los medios o, en su caso, de la exclusión de determinadas conexiones, la jurisprudencia entiende que prevalece la expectativa a la intimidad del trabajador (9) . Evidentemente, un programa de cumplimiento que incorpore un sistema de investigación privada a los trabajadores de una determinada empresa no podrá dejar de tener en consideración este criterio. Sin perjuicio de lo anterior, la intervención de la empresa deberá respetar los principios constitucionales que limitan la restricción de derechos individuales. El principio fundamental es el de proporcionalidad
(10) . De acuerdo con este principio, el medio de control empleado no puede ser desproporcionado. Tal es el caso, por ejemplo, de aquellos programas informáticos que registran de forma indiscriminada el contenido de todo lo que aparece en la pantalla del trabajador, con independencia de si se trata o no de información profesional o personal. Resultan más respetuosos con el principio mencionado, por ello, los programas de búsqueda ciega
, que realizan una búsqueda selectiva de contenidos a partir de una serie de palabras claves de contenido específicamente laboral introducidas previamente en el programa. La selección de las palabras claves deberá no sólo atender al concreto ámbito profesional de que se trate, sino, a ser posible, a los concretos campos semánticos implicados en el correspondiente caso.
En el supuesto de hecho que resuelve la sentencia objeto del presente comentario, la STS 328/2021, 22-4 (LA LEY 32027/2021), la administradora única de una empresa dedicada a la construcción, ante la sospecha de que uno de sus empleados podría estar trabajando para la competencia sustrayendo materiales de aquélla, accede a mensajes de correo electrónico, tanto de la cuenta corporativa como de la personal, de uno de sus empleados, para aportar finalmente parte de lo hallado como prueba en el correspondiente procedimiento laboral. En su Sentencia de 10 de junio de 2019, el Juzgado de lo Penal n.o 5 de Madrid condenó a la administradora de la empresa como autora de un delito de descubrimiento y revelación de secreto a la pena de un año de prisión y accesoria de inhabilitación especial para el derecho de sufragio pasivo durante el tiempo de la condena. Pese a que en el recurso de casación presentado contra dicha resolución la defensa de la condenada alegó la eventual concurrencia de legítima defensa (art. 20 (LA LEY 3996/1995), 4 CP), la STS 328/2021, 22-4 (LA LEY 32027/2021) descarta de plano esta posibilidad, por considerar —con todo acierto— que los presupuestos objetivos de dicha una causa de justificación brillan completamente por su ausencia. La cuestión sería, en todo caso —prosigue la resolución—, conocer si la intervención de la administradora en el correo electrónico del empleado quedaría amparada por la causa de justificación prevista en el art. 20 (LA LEY 3996/1995), 7 CP, por entenderse que se habría podido realizar en el marco del ejercicio legítimo de la facultad de dirección y control de la actividad laboral. La STS 328/2021, 22-4 (LA LEY 32027/2021) considera, con razón, que no es factible dilucidar tal cuestión con apoyo en los reiterados arts. 18 (LA LEY 16117/2015) y el 20 (LA LEY 16117/2015), 3 ET, ya que ninguno de ellos se refiere expresamente a la intervención de medios productivos vinculados a las Tecnologías de la Información y la Comunicación (TIC). Tampoco distinguen, precisamente por ello, entre medios productivos aportados por la empresa y medios aportados por el trabajador, en aplicación de las —cada vez más habituales en la práctica empresarial— política empresarial Bring Your Own Devices (BYOD).
De la forzada interpretación de los preceptos de referencia habitualmente practicada por la jurisprudencia social extrae la STS 328/2021, 22-4 (LA LEY 32027/2021), acertadamente, dos interesantes conclusiones: por un lado, que el tenor literal de los mismos hace tiempo que fue claramente superado por el vertiginoso desarrollo de la sociedad de la información; por otro, que una cosa es la jurisdicción laboral y otra, la penal, sin que lo concluido sobre la legalidad del despido en el primer ámbito deba ser determinante para decidir sobre el delito de descubrimiento y revelación de secreto en el segundo. En cuanto a lo primero, la STS 328/2021, 22-4 (LA LEY 32027/2021), recuerda que el cuerpo normativo constituido por los arts. 18 (LA LEY 16117/2015) y 20 (LA LEY 16117/2015), 3 ET toma como punto de referencia un contexto laboral completamente ajeno al escenario actual. En éste, la eventual intervención de la empresa ya no tendría por objeto el cuerpo del trabajador o su taquilla (art. 18 ET (LA LEY 16117/2015)), sino su ordenador, cuenta de correo, navegaciones por internet o geolocalizaciones captadas a través de un automóvil o un dispositivo de telefonía móvil, entre otras TIC. Esta insuficiencia normativa quedaría parcialmente subsanada, no obstante, gracias a dos preceptos de nuevo cuño: el art. 20 bis ET (LA LEY 16117/2015) y el art. 87 (LA LEY 19303/2018), 1 LO 3/18, 5-12 (LA LEY 19303/2018), de Protección de datos personales y garantía de los derechos digitales.
De mayor calado es el segundo de los extremos apuntados, relativo a si lo acordado en la jurisdicción laboral en relación con la procedencia o improcedencia del despido del trabajador debe condicionar de algún modo la decisión sobre la responsabilidad del empleador por el delito previsto en el art. 197 CP. (LA LEY 3996/1995) Como ya plantearan las SSTS 528/2014, 16-6 (LA LEY 84992/2014) (también con ponencia del Excmo. Sr. D. Manuel Marchena Gómez) y 489/18, 23-10, que transpuso para España el criterio de la conocida STEDH Barbulescu
vs. Rumanía (II), la STS 328/2021, 22-4 (LA LEY 32027/2021) establece una clara cesura entre el orden social y el penal, con base en la fundamental distinción constitucional entre el derecho fundamental a la intimidad personal (art. 18 (LA LEY 2500/1978), 1 CE) y el secreto de las comunicaciones personales y, en especial, las postales, telegráficas y telefónicas (art. 18 (LA LEY 2500/1978), 3 CE). En el 18, 4 CE se añade la privacidad informática. Según la doctrina mayoritaria, todos estos derechos derivan del derecho a la intimidad y pueden considerarse concreciones del mismo. (11) La doctrina constitucional reconoce parte de esta diferenciación para reconocer un régimen de protección propio para cada uno de ellos. Así, mientras la intervención de las comunicaciones siempre requerirá resolución judicial, «no existe en la Constitución reserva absoluta de previa resolución judicial respecto del derecho a la intimidad personal, de modo que excepcionalmente hemos admitido la legitimidad constitucional de que en determinados casos y con la suficiente y precisa habilitación legal la policía judicial realice determinadas prácticas que constituyan una injerencia leve en la intimidad de las personas, siempre que se hayan respetado las exigencias dimanantes del principio de proporcionalidad». (12)
Es precisamente aquí cuando cobraría plena carta de naturaleza, a juicio de la STS 328/2021, 22-4 (LA LEY 32027/2021), el elemento de la información previa de la dirección de empresa al trabajador sobre la política de uso de TIC y los medios de control de su cumplimiento. De este modo, dicha información previa (a través del contrato de trabajo, un documento específico —como, por ejemplo, el protocolo de uso de TIC del modelo de prevención de delitos— o el correspondiente convenio colectivo) podría servir, tanto en el ámbito laboral como en el penal, para hacer prevalecer la facultad de control del empleador sobre el derecho a la intimidad del trabajador con respecto a datos personales, resultantes o no de una comunicación. No, en cambio, con respecto a las comunicaciones en curso (por ejemplo, cartas o mensajes de móvil o de correo electrónico no abiertos), para cuyo acceso sería siempre necesaria autorización judicial. Para la STS 328/2021, 22-4 (LA LEY 32027/2021), una cosa sería la consideración laboral del incumplimiento por parte del trabajador de la prohibición, por ejemplo, de instalar en el ordenador corporativo un programa de mensajería electrónica personal, que podría justificar la intervención en el mismo del empleador y, en su caso, la procedencia del despido; y otra completamente distinta que, con ello, el trabajador esté renunciando a su —a juicio de la STS 328/2021, 22-4 (LA LEY 32027/2021)— irrenunciable derecho fundamental al secreto de las comunicaciones.
Que sea razonable distinguir entre datos personales y secreto de las comunicaciones no significa, sin embargo, ni que esta delimitación resulte en todo caso fácilmente practicable, ni tampoco que deba ser directamente trasladada de su ámbito natural de operatividad, el de la relación Estado-ciudadano (por ejemplo, en el marco de una diligencia de entrada y registro domiciliario o de una de intervención telefónica).
En cuanto a lo primero, en el ámbito de las TIC la determinación de cuándo una comunicación puede considerarse consumada quizá no siempre resulte tan sencilla como cuando de una carta de correo postal se trata. Cabe dudar, por ejemplo, si ello sucede con respecto al mensaje abierto, pero aún no leído, o si realmente se vulnera el secreto de las comunicaciones cuando un programa de búsqueda ciega hace saltar la alarma no por su contenido, sino por su título o la identificación de sus interlocutores. Adviértase, a este respecto, que a través del derecho fundamental del art. 18 (LA LEY 2500/1978), 3 CE no sólo se protege el contenido mismo de la comunicación, sino también otros elementos de la misma, como, por ejemplo, el título de un mensaje o la identidad subjetiva de los interlocutores, (13) tales datos podrían ser de todos modos captados accidentalmente incluso a través de un programa de búsqueda ciega en principio respetuoso con el principio de proporcionalidad, por no contribuir a la realización —como ya se enunció— de una búsqueda indiscriminada de información.
En lo que respecta a la traslación del criterio del ámbito policial al empresarial, debe considerarse que en la actual práctica empresarial, es cada vez más habitual que las empresas con gran preminencia comercial —muy particularmente las cotizadas—, por temor al riesgo reputacional que podría representar el conocimiento por parte del mercado (competidores y consumidores) de la existencia de un affair interno de cierta relevancia, prefieran no denunciarlo externamente ante las autoridades públicas competentes para su persecución y depurar de puertas adentro las responsabilidades individuales que del mismo pudieran derivarse. Piénsese, por ejemplo, en una destacada entidad bancaria en una de cuyas oficinas se haya producido una apropiación indebida continuada de dinero por parte de alguno de sus empleados. Ciertamente, la denuncia de los hechos ante las autoridades policiales, fiscales o judiciales pondría de relieve que la voluntad de la empresa no es otra que la de perseguir a quienes, precisamente en perjuicio del mercado, atentan contra sus intereses y los de la propia entidad. Sin embargo, a través de la denuncia se conocerían, al mismo tiempo, la existencia de unos hechos que de otro modo podrían ser ocultados, y que, sin duda, provocarían desconfianza en el consumidor sobre la fiabilidad del servicio prestado por la empresa y sus procedimientos de control interno (14) .
En este sentido, si, como concluye la resolución comentada —y las citadas SSTS 528/2014, 16-6 (LA LEY 84992/2014) y 489/18, 23-10 (LA LEY 164946/2018)—, la apertura de un mensaje de correo electrónico todavía no leído por su destinatario requiere necesariamente la interrupción de la eventual investigación interna iniciada y la solicitud de la correspondiente autorización, cabe formularse razonablemente la siguiente pregunta: ¿sigue teniendo sentido la realización de una investigación interna que muy probablemente tendrá que ser interrumpida ab initio? Una respuesta negativa a este cuestión conducirá necesariamente a la conclusión que da título a esta pieza: la STS 328/2021, 22-4 (LA LEY 32027/2021) asesta un nuevo golpe, esta vez quizá mortal, a las investigaciones internas corporativas.