I. ¿En qué consiste la protección de datos personales?
La protección de las personas físicas en relación con el tratamiento de datos personales es un derecho fundamental protegido por el artículo 18.4 de la Constitución española (en lo sucesivo, CE), cuyo tratamiento –en términos generales-, se llevará a cabo por obligación legal, interés público o ejercicio de poderes públicos, de conformidad con lo previsto en el Reglamento (UE) 2016/679, del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de sus datos personales y a la libre circulación de estos datos (en lo sucesivo, Reglamento General de Protección de Datos), y en la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo, Ley Orgánica de Protección de Datos). Ahora bien, ¿el acceso a los contenidos de los ordenadores u otros medios informáticos puestos a disposición de un funcionario público vulnera el derecho a la protección de datos personales?
II. ¿Cómo se lleva a cabo el tratamiento de datos personales?
Según lo previsto en el Reglamento General de Protección de Datos y la Ley Orgánica de Protección de Datos, el tratamiento de datos personales sólo podrá considerarse fundado en el cumplimiento, de:
- Una obligación legal exigible al responsable, en los términos previstos en el artículo 6.1.c) del Reglamento General de Protección de Datos, cuando así lo prevea una norma de Derecho de la Unión Europea o una norma con rango de ley, que podrá determinar las condiciones generales del tratamiento y los tipos de datos objeto de este, así como las cesiones que procedan como consecuencia del cumplimiento de la obligación legal. Dicha norma podrá igualmente imponer condiciones especiales al tratamiento, tales como la adopción de medidas adicionales de seguridad u otras establecidas en el Reglamento General de Protección de Datos.
- Una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable, en los términos previstos en el artículo 6.1 e) del Reglamento General de Protección de Datos, cuando derive de una competencia atribuida por una norma con rango de ley.
De conformidad con lo antes mencionado: ¿el acceso a los contenidos de los ordenadores u otros medios informáticos puestos a disposición de un funcionario público vulnera el derecho a la protección de datos personales?
III. ¿El acceso a los contenidos de los ordenadores u otros medios informáticos puestos a disposición de un funcionario público vulnera el derecho a la protección de datos personales?
Para dar respuesta a nuestro interrogante sobre si el acceso a los contenidos de los ordenadores u otros medios informáticos puestos a disposición de un funcionario público vulnera el derecho a la protección de datos personales, partiremos de lo previsto en el artículo 87 de la Ley Orgánica de Protección de Datos, que establece que los funcionarios públicos en el desempeño de sus funciones al servicio de una Administración Pública tendrán derecho a la protección de su intimidad en el uso de los ordenadores o dispositivos digitales puestos a su disposición por su empleador, subsistiendo de esa manera en el ámbito de la Administración Pública, el derecho a la protección de datos personales.
Este derecho es reforzado por el Real Decreto Legislativo 5/2015, por el que se aprueba el Real Decreto Legislativo 5/2015, de 30 de octubre, por el que se aprueba el texto refundido de la Ley del Estatuto Básico del Empleado Público (TREBEP), que establece, dentro los derechos de los empleados públicos, y específicamente en el artículo 14, que los empleados públicos tienen los siguientes derechos de naturaleza individual en correspondencia con la naturaleza jurídica de su relación de servicio:
«j bis) A la intimidad en el uso de dispositivos digitales puestos a su disposición y frente al uso de dispositivos de videovigilancia y geolocalización (…) en los términos establecidos en la legislación vigente en materia de protección de datos personales y garantía de los derechos digitales».
Por lo que puede decirse con respecto a si el acceso a los contenidos de los ordenadores u otros medios informáticos puestos a disposición de un funcionario público vulnera el derecho a la protección de datos personales, la respuesta sobre la base de lo antes mencionado sería afirmativa. No obstante lo anterior, sobre este particular la Sentencia núm. 1565/2024 de la Sala contencioso-administrativa del Tribunal Supremo de 7 de octubre de 2024 (rec.6949/2022), se ha pronunciado de la manera siguiente:
1.- En cuanto a la naturaleza de los bienes (dispositivos digitales, ordenadores):
Señala, sobre la base de lo argumentado por el Ayuntamiento de Algemesi, quien invoca la naturaleza de los bienes -ordenador y escáner del Ayuntamiento-, alegando que tales elementos materiales están sometidos al régimen derivado del artículo 132 de la Constitución y a la legislación de patrimonio de las Administraciones pública y que ello excluye cualquier margen de tolerancia para su uso privado o personal, sin que el Ayuntamiento disponga de la posibilidad que tiene el empresario para la autoorganización y fijación de las condiciones de uso de los medios informáticos, señalando el Tribunal, que: “una cosa es el régimen de uso de los bienes públicos derivado de las normas que regulan el patrimonio de las Administraciones Públicas y otra distinta es que, so pretexto de controlar o fiscalizar el uso del material informático, el Ayuntamiento pueda incurrir en vulneración de los derechos de sus empleados y su expectativa razonable de privacidad.”
2.- Sobre el uso de medios informáticos:
Es cierto que la enervación de la expectativa de privacidad no está vinculada a una fórmula documental concreta; pero deben cumplirse los requisitos o principios enunciados por la jurisprudencia en orden a informar de manera suficiente sobre el uso de los medios informáticos y el alcance del control o monitorización. Pues bien, la Sentencia recurrida pone de manifiesto que: “(…) en el caso de autos no se informó a los empleados de la utilización de los equipos informáticos, con la advertencia de la existencia de medidas de control o supervisión del ordenador sobre las comunicaciones de los empleados, que es uno de los factores tomados en consideración por la sentencia Barbulescu 2”. (F.J. 4 de la sentencia). Y más adelante, en el mismo F.J. 4, la sentencia insiste: “(…) para el tratamiento consistente en el acceso al equipo informático asignado a la reclamante puede obedecer a la comprobación del cumplimiento de sus funciones dentro de la relación que mantiene con el Ayuntamiento, y se puede arbitrar este tipo de accesos cuando se haya informado previamente del uso de los datos para dichos fines y en supuestos en que resulten proporcionales dichos accesos. Sin embargo, en el caso de autos no existía información previa sobre dicho uso o fines…”.
No obstante, Ayuntamiento de Algemesí invoca la naturaleza de los bienes -ordenador y escáner del Ayuntamiento-, alegando que tales elementos materiales están sometidos al régimen derivado del artículo 132 de la Constitución y a la legislación de patrimonio de las Administraciones pública y que ello excluye cualquier margen de tolerancia para su uso privado o personal, sin que el Ayuntamiento disponga de la posibilidad que tiene el empresario para la autoorganización y fijación de las condiciones de uso de los medios informáticos
3.- En cuanto a la infracción del artículo 6 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales:
Cuando se impute a una Administración Pública la infracción del artículo 6.1 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (actual artículo 6 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales), por haber realizado el tratamiento de datos de carácter personal sin el consentimiento del interesado, para apreciar que no ha existido infracción no basta con que la Administración actuante invoque alguno de los supuestos de excepción a la exigencia de consentimiento que contempla el artículo 6.1 del Reglamento (UE) 2016/679, de 27 de abril de 2016, sino que debe justificar la efectiva concurrencia del supuesto de excepción alegado.
En consecuencia:
- El derecho fundamental del funcionario a la protección de datos subsiste en el ámbito de la Administración pública a la que presta servicios.
- En la relación estatutaria, la Administración debe advertir a los empleados de los usos permitidos y prohibidos de los equipos, en ese sentido, el hecho de que la relación estatutaria sitúe al funcionario en una posición de sujeción especial, delimitada y regida por su específica regulación, no excluye ni impide que se dicten instrucciones dirigidas a los empleados públicos en las que se concrete en qué consiste el uso adecuado de los medios informáticos, así como el alcance del control que puede efectuarse sobre ellos.
- Cuando se impute a una Administración Pública la infracción del artículo 6.1 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (actual artículo 6 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales), por haber realizado el tratamiento de datos de carácter personal sin el consentimiento del interesado, para apreciar que no ha existido infracción no basta con que la Administración actuante invoque alguno de los supuestos de excepción a la exigencia de consentimiento que contempla el artículo 6.1 del Reglamento (UE) 2016/679, de 27 de abril de 2016 , sino que debe justificar la efectiva concurrencia del supuesto de excepción alegado.
- Se deben dictar expresas políticas de instrucción a sus funcionarios de lo que pueden hacer y no con sus equipos, y de la eventualidad de control de los mismos para verificarlos y en qué condiciones.
- Las consecuencias de la vulneración del régimen de protección de datos personales no se detienen en la mera amonestación al Ayuntamiento por parte de la Agencia de Protección de Datos, ya que cabe que el sujeto que sufra esa intromisión ilegítima, ejercite acciones de responsabilidad patrimonial frente a su propia administración.
