Condenado un despacho de abogados a indemnizar a una exempleada por incluir sus datos íntimos en una carpeta compartida

El Tribunal Supremo (TS) ha condenado a una empresa a indemnizar con 3.000 euros a una exempleada por vulnerar su derecho a la intimidad al incluir en una carpeta digital compartida datos relativos a su vida privada, incluidos por esta en una demanda por acoso laboral, que por falta de las oportunas medidas de seguridad llegó a conocimiento de terceras personas ajenas incluso al despacho de abogados en el que trabajaba como recepcionista. La Sala Primera estima así el recurso de casación de la trabajadora contra la decisión de la Audiencia Provincial de Barcelona, que ratificó la sentencia de primera instancia que rechazó su demanda contra la empresa.

En enero de 2020, la mujer demandó al despacho de abogados en el que trabajaba desde julio de 2001 por lo que consideraba una modificación sustancial de sus condiciones de trabajo ante un cambio injustificado de su horario laboral. En esa demanda se incluían datos personales de carácter privado e íntimo como su sueldo, información sobre su salud en procedimientos de incapacidad temporal y se mencionaban además situaciones de acoso sufridas.

Esa demanda fue escaneada y almacenada en una carpeta común del servidor del despacho a la que todos los trabajadores tenían acceso directo, hasta el punto de que una excompañera de trabajo la alertó de que en esa carpeta había un documento que contenía numerosos datos suyos de carácter personal.

Según la sentencia ahora anulada ese fichero estuvo en la carpeta "solo durante el tiempo necesario para que la persona que la escaneó", la abogada encargada de defender a la empresa, "dejara la máquina, regresara a su despacho, lo copiara en su ordenador y lo eliminara de la carpeta común". La resolución incidía en que solo una persona ajena al procedimiento tuvo conocimiento de la demanda y apuntaba que "la baja de la recepcionista del despacho tenía que ser pública entre los trabajadores de la empresa (aunque se desconociera la causa)". Además, subrayaba que quien había introducido los datos personales en el documento era la misma empleada y ponía de relieve que "la estancia del fichero en la carpeta común no superó un día".

Falta de medias de seguridad

Pero el Tribunal Supremo, en una sentencia de la que ha sido ponente el magistrado Antonio García, apunta que la Audiencia Provincial "admite que el archivo que contenía la demanda laboral estuvo temporalmente disponible para cualquier persona que ingresara en la carpeta donde se guardaba, incluso de forma indebida", y que la excompañera de la demandante lo abrió "a pesar de que su función no se lo permitía y no estaba autorizada". "También reconoce -añade- que esto fue posible porque la carpeta no estaba protegida ni restringida".

El despacho de abogados, argumenta el TS, tenía la obligación de "aplicar medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo que implica el tratamiento de datos personales", lo que incluye "la adopción de medidas de seguridad informática adecuadas para proteger los datos frente a accesos no autorizados".

La filtración de los datos "sin autorización", unido al hecho de que la empresa demandada "no haya probado la adopción de medidas técnicas y organizativas apropiadas para garantizar su seguridad y evitar un acceso no autorizado por parte de terceros", concluye la Sala, pone de manifiesto que el tratamiento dado a los mismos "no fue adecuado".

El alto tribunal subraya que en esa demanda se incluía datos "de carácter privado e íntimo" como el sueldo que percibía, "un dato que forma parte de la esfera privada de la persona, ya que no es de acceso público y está relacionado directamente con su vida laboral y económica" y también sobre su salud, "relacionados con su incapacidad temporal".

Información "altamente sensible"

Para la Sala, el razonamiento de la Audiencia Provincial de Barcelona para desestimar su demanda "se basa en una interpretación injustificadamente restrictiva del concepto de intromisión ilegítima en materia de intimidad, al supeditarlo a una doble condición: la intención de vulnerar la privacidad de una persona, revelar sus datos personales o atentar contra su intimidad, y, además, la intención de perjudicarla".

Sin embargo, el Supremo matiza que la divulgación, la revelación o la publicación de datos privados se considera intromisión ilegítima "por el mero hecho objetivo de la exposición o puesta a disposición del público de tales datos", sin que sea necesario una intención de perjudicar a la afectada. Por lo tanto, añade, "la cuestión clave" no es si la empresa pretendía divulgar la información o perjudicar a su empleada, "sino si, como resultado de su conducta o comportamiento, ya sea activo u omisivo, los datos privados o íntimos de aquella quedaron expuestos a terceros sin causa de justificación".

Asimismo, llama la atención, se incluían "detalles sobre el acoso laboral" que la mujer "afirma haber sufrido, lo cual constituye información altamente sensible que afecta a su esfera personal y emocional, perteneciendo a la categoría de datos íntimos".

En este caso, la falta de medidas de seguridad adecuadas -argumenta- "permitió que un documento con datos personales de naturaleza privada e íntima de la demandante estuviera accesible en una carpeta compartida, a la que podían ingresar sin restricción personas ajenas a ella y carentes de autorización". El hecho de que el archivo fuera eliminado de inmediato, recuerda, "no evitó" que se pudiera acceder a él. "La intromisión ilegítima se consuma en el momento en que los datos privados e íntimos quedan expuestos sin causa que lo justifique, sin que sea necesario que la divulgación sea masiva ni prolongada en el tiempo", afirma en relación a que solo los pudo ver una persona y a que estuvieran en esa carpeta muy poco tiempo.

"La eliminación posterior del documento no borra el hecho de que se produjo un acceso indebido ni revierte la afectación al derecho a la intimidad de la demandante", concluye el Supremo.

La demandante solicita que se condenase a su anterior empresa a que la indemnizara con 10.000 euros por daños morales porque la difusión de datos como su salario y los padecimientos de salud que sufría le generaron "un estado de inquietud y preocupación" que afectó de lleno "al desarrollo de su vida personal y, especialmente, a su vida profesional". Sin embargo, la Sala afirma que "no ha explicado ni aportado elementos que permitan concretar en qué medida dicho estado ha afectado de manera relevante su vida personal y profesional", por lo que entiende que una indemnización de 3.000 euros "satisface adecuadamente la necesidad de reparar el daño moral sufrido".

Asimismo, insta al despacho de abogados a a que "en lo sucesivo se abstenga de realizar actos semejantes que constituyan una intromisión ilegítima en el derecho a la intimidad" de su antigua empleada.