Intimidad al descubierto: los datos de una demanda laboral en un archivo accesible a toda la empresa

El orden civil ha dictado recientemente una sentencia de interés general, con origen en una demanda laboral. Resuelve la Sentencia del Tribunal Supremo —Sala de lo Civil— de 13 de marzo de 2025, Jur. 49278, la posible vulneración del derecho a la intimidad por compartir la empresa datos relativos a la vida privada de una empleada derivados de una demanda por acoso laboral. Estos datos se publican en una carpeta digital por la ausencia de las debidas medidas de seguridad, llegando a conocimiento de terceras personas.

La trabajadora interpuso, en su día, una demanda contra el despacho de abogados para el que trabajaba como recepcionista por modificación sustancial de las condiciones de trabajo, alegando el cambio injustificado de su horario laboral. La demanda incluía datos personales de carácter privado e íntimos —sueldo, datos de salud que derivaron en procedimientos de incapacidad temporal, situaciones de acoso sufridas (entre otros aspectos, insultos, menosprecios, indicaciones de «si no te gusta, ahí está la puerta», «cógete la baja», expuestas por la trabajadora en una carta dirigida a los socios principales de la empresa)—. La demanda fue escaneada y almacenada, con el nombre «Demanda Marí Jose», en una carpeta común del servidor del despacho, denominada «L», a la que todos los trabajadores sin excepción tenían acceso directo. La sentencia de instancia considera probado que el nombre del fichero se introdujo cuando se escaneó la demanda y que dicho fichero estuvo en la carpeta «L» sólo durante el tiempo necesario para que la persona que la escaneó —la Sra. Adelina, abogada del despacho encargada de defender a la firma— dejara la máquina, regresara a su despacho, lo copiara en su ordenador y lo eliminara de la carpeta común. Admite el juzgado que la causa de pedir no es tanto la infracción sobre protección de datos como la vulneración de la intimidad de la demandante, considerando que no existe prueba sobre tal vulneración. Desestima la demanda y, posteriormente, con idénticos argumentos, se rechaza la apelación.

El recurso de casación interpuesto por la trabajadora expone en síntesis que: a) el contenido de la demanda laboral  es lo suficientemente explícito como para que su difusión constituya una invasión de la intimidad; b) los hechos probados han evidenciado la falta de diligencia de la empresa demandada al no proporcionar a la abogada encargada de su defensa una herramienta digital que evitara la identificación de situaciones privadas de la demandante; c) ni el dolo ni la intencionalidad son requisitos necesarios para que exista una intromisión ilegítima en la intimidad, siendo relevante su carácter objetivo, que en este caso se verifica con la prueba de que personas ajenas a la empresa tuvieron acceso a información íntima de la demandante, con independencia de la intencionalidad o falta de esta por parte de la empresa demandada; d) la responsabilidad sobre el alojamiento del documento en una carpeta compartida con otra empresa, accesible a personal ajeno a la sociedad, recae en la empresa demandada; f) no puede atribuirse responsabilidad a los empleados de la empresa ajena por acceder a documentos que la demandada puso a su disposición, ya que corresponde a esta última establecer herramientas digitales que garanticen adecuadamente la protección de la privacidad de terceros; y g) la demandada, que es quien debe demostrar el momento exacto en que se eliminó el documento litigioso, no ha acreditado que el documento permaneciera alojado en la carpeta compartida únicamente durante unos minutos.

Y la sentencia ampara esta petición.  Estima que la empresa demandada tiene la obligación de aplicar medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo que implica el tratamiento de datos personales. Esto incluye, entre otras cosas, la adopción de medidas de seguridad informática adecuadas para proteger los datos frente a accesos no autorizados. Pero, ciertamente, en este proceso no se ejercita una acción basada en el derecho a la protección de datos sino una acción por intromisión ilegítima en el derecho a la intimidad, lo que no resulta indiferente, tal y como se expuso en la Sentencia del Tribunal Supremo de 19 de marzo de 2024, Jur. 92465. El derecho a la intimidad y el derecho a la protección de datos personales son categorías diferentes, aunque relacionadas. Y esa diferencia implica que, en ocasiones, los mismos hechos puedan ser constitutivos de vulneración de uno de esos derechos y no del otro. De ahí que la Sala de lo Civil estime que «el razonamiento de la Audiencia Provincial se basa en una interpretación injustificadamente restrictiva del concepto de intromisión ilegítima en materia de intimidad, al supeditarlo a una doble condición: la intención de vulnerar la privacidad de una persona, revelar sus datos personales o atentar contra su intimidad, y, además, la intención de perjudicarla» (FJ 2). Sin embargo, la Ley Orgánica 1/1982 no impone tales condiciones. En los apartados 3 y 4 de su artículo 7 no exige que la divulgación, revelación o publicación de datos privados o de carácter íntimo sea intencional ni que busque causar un perjuicio. Basta con que su exposición se produzca para que, en principio, se considere una intromisión ilegítima por el mero hecho objetivo de la exposición o puesta a disposición del público de tales datos, sin que sea necesario, además, el elemento subjetivo de la intencionalidad y el propósito de perjudicar. En este caso, la falta de medidas de seguridad adecuadas permitió que un documento con datos personales de naturaleza privada e íntima de la demandante estuviera accesible en una carpeta compartida, a la que podían ingresar sin restricción personas ajenas a ella y carentes de autorización. La eliminación posterior del documento no borra el hecho de que se produjo un acceso indebido ni revierte la afectación al derecho a la intimidad de la demandante.

Por lo demás, el argumento de la Audiencia Provincial sobre la accidentalidad de la revelación no excluye la existencia de una intromisión ilegítima. La protección del derecho a la intimidad no se limita a los casos en que la divulgación es voluntaria, sino que también comprende situaciones en las que la exposición indebida se produce por negligencia o falta de diligencia en la adopción de medidas de seguridad adecuadas. Porque aquí, la demandada tenía la obligación de garantizar la confidencialidad del documento, implementando medidas técnicas y organizativas para evitar el acceso por parte de personas no autorizadas. Esta situación configura una vulneración del derecho a la intimidad, independientemente de que no haya existido una intención expresa de divulgar la información o de causar perjuicio a la demandante. Pese a todo, la condena a la empresa por daño moral se reduce a tres mil euros frente a los diez mil euros solicitados por la demandante al considerarse que, a diferencia de otros supuestos, aquí la exposición ha sido mínima y no ha generado un impacto masivo.