El primero de ellos se refiere a un uso desviado de los datos de una cliente de una conocida empresa de telefonía. Como se sabe, este tipo de compañías recurren a la subcontratación para llegar a cabo las tareas de instalación de la línea en el domicilio del cliente. Pero, en este caso, el instalador, que había sido contratado por la empresa de telefonía, utilizó los datos personales de la cliente proporcionados por el operador para proponerle una cita. Según el relato de hechos probados, el instalador mantuvo conversaciones calificadas por la cliente de incómodas, de contenido personal y sexual, ensalzando sus atributos físicos y personales de la cliente. La cliente denunció los hechos a la comisaría de Policía y a la AEPD por entender que el instalador conocía su vivienda, horarios y tenía sus datos personales y se puso en contacto con la empresa de telefonía para informar de lo sucedido. El instalador no negó la existencia del mensaje remitido a la cliente y manifestó que su intención era buena y que la finalidad era subirle la autoestima, todo ello dentro del más absoluto respeto. Finalmente, la AEPD impuso al técnico la sanción de 2.000€ que se redujo a 1.600€ porque se reconoció la responsabilidad y se pagó la sanción en plazo [Procedimiento Nº: PS/00185/2018].
El segundo de los casos se refiere a un descuido de un trabajador que prestaba servicios para una tienda de terminales móviles. Mientras los clientes probaban los productos, se dieron cuenta de que podían acceder a los correos electrónicos remitidos desde esta tienda accediendo a datos personales de empleados y clientes. Tras el requerimiento formulado por la AEPD, la empresa adoptó una batería de medidas técnicas y organizativas, entre ellas acciones de formación para los empleados, que derivó en apercibimiento [Procedimiento Nº: PS/00431/2018]. Menos fortuna tuvo otra empresa del mismo sector de actividad cuando un cliente al llegar a su domicilio comprobó que el disco duro en cuestión había sido utilizado con anterioridad y que se encontraban almacenados en el mismo distintos documentos relativos a la gestión de recursos humanos de la tienda (valoraciones de capacidad y desempeño de los trabajadores, comunicaciones de embarazo, partes de baja, etc.). Los hechos fueron denunciados y en la Resolución de la AEPD se analizó el cumplimiento del principio de seguridad, resaltando que se trata de una obligación de resultado, es decir, que “conlleva la exigencia de que las medidas implantadas deben impedir, de forma efectiva, el acceso a la información por parte de terceros”. De esta forma, se exige un deber especial de “diligencia en la custodia de la información por el responsable” y no basta con invocar la ausencia de culpa (se trata de un fallo de las políticas existentes en la compañía) para evitar la sanción. En definitiva, la AEPD calificó la infracción como grave y sancionó a la empresa con multa de 20.000€ [PS/00044/2016].
En ocasiones, este tipo de conductas han sido objeto de despido y se ha declarado procedente por los jueces. Sirva de muestra el caso resuelto por el Jugado de lo Social de Gijón, en Sentencia de 21 de agosto del 2019 (JUR201927119), que consideró acorde a derecho el despido disciplinario de un trabajador que fue descubierto efectuando copias, sin permiso, de información sobre la actividad de la empresa (en este caso, una asesoría jurídica) en la que se encontraban —entre otros relacionados con expedientes y similares— datos de carácter confidencial dotados de especial protección. Estos hechos, a juicio del juez, tienen una enorme trascendencia debido a las inflexibles exigencias que, en materia de protección de datos personales, señala la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales, y las importantes sanciones que, del incumplimiento de la misma puede determinar unas consecuencias gravísimas para la empresa que es la responsable de custodiar los datos y hacer de ellos el adecuado tratamiento. Concluye el juez que tal circunstancia constituye una grave deslealtad hacia el empleador y causa de despido (artículo 54 del ET).
Con todo ello, se pone de manifiesto la necesidad de concienciar a los empleados de la relevancia del cumplimiento del deber de confidencialidad en el manejo de datos. Al respecto, algunos convenios colectivos ya han incluido este tipo de obligación en su articulado como por ejemplo el artículo 150 del II Convenio colectivo de empresas vinculadas para Telefónica de España, SAU, Telefónica Móviles España, SAU y Telefónica Soluciones de Informática y Comunicaciones de España, SAU. Desde nuestro punto de vista, este tipo de prácticas convencionales son bienvenidas siempre que vengan acompañadas de medidas de formación en materia de protección de datos para los trabajadores sentando así las bases del empleado seguro que conoce, entiende y respeta la política de seguridad de su empresa.
