Tabla de alternativas de comunicación personal del trabajador en relación a cada medio corporativo

El principio de necesidad aplicable al acceso de la empresa a los medios digitales que pone a disposición de sus trabajadores impide que se haga un uso desproporcionado o abusivo de esta medida de control cuando el medio a inspeccionar puede albergar contenidos personales. Antes de actuar, el empresario debe hacerse la siguiente pregunta: “¿Hay algún medio menos invasivo de la intimidad del trabajador para realizar esta averiguación y obtener pruebas del presunto incumplimiento?”

El principio de necesidad también es aplicable al trabajador, aunque en otro sentido. Nadie le está pidiendo la conducta heroica mencionada en la jurisprudencia de permanecer desconectado de la familia y los amigos durante 8 horas al día. Pero en la actualidad, tiene muchas oportunidades de comunicación personal. El principio de necesidad haría que el trabajador, antes de utilizar un medio digital corporativo, se hiciese la siguiente pregunta: “¿Hay algún otro medio menos corporativo para satisfacer mis necesidades de comunicación personal?”

En la siguiente tabla analizamos las posibles respuestas a esta pregunta, en función de las alternativas existentes en la actualidad.

Tabla de alternativas de comunicación personal

Tabla comparativa entre el test Barbulescu y el artículo 87 de la LOPD

En la siguiente tabla se comparan los puntos de verificación contenidos en el test Barbulescu con los distintos apartados del artículo 87 de la LOPD de 2018, que regula el derecho a la intimidad en el uso de los dispositivos digitales en el ámbito laboral.

ARTÍCULOS RELACIONADOS

La prohibición del uso privado de los dispositivos digitales corporativos y el artículo 87 de la LOPD

Matizaciones sobre la sentencia del Caso Barbulescu

Sobre la necesidad de prohibir el uso personal del correo electrónico corporativo

¿Una orden judicial para ver un correo electrónico de mi propia empresa?

Sentencia TC sobre intervención de mensajes privados del trabajador

 

 

La prohibición del uso privado de los dispositivos digitales corporativos y el artículo 87 de la LOPD

El artículo 87 de la LOPD establece que los trabajadores y los empleados públicos tendrán derecho a la protección de su intimidad en el uso de los dispositivos digitales puestos a su disposición por su empleador.

La LOPD modifica el Estatuto de los Trabajadores, estableciendo en el artículo 20 bis, que los trabajadores tienen derecho a la intimidad en el uso de los dispositivos digitales puestos a su disposición por el empleador. Ello genera una discrepancia con el artículo 87 de la LOPD que no reconoce un derecho a la intimidad, sino un derecho a la protección de la intimidad.

La redacción del artículo 20 bis del Estatuto de los Trabajadores parece indicar que los trabajadores tendrán siempre derecho a la intimidad en el uso de los dispositivos digitales corporativos, mientras que el artículo 87 de la LOPD parece indicar que los trabajadores tendrán derecho a la protección de la intimidad en el caso de que se den las circunstancias para que el trabajador tenga derecho a la intimidad.

Esta interpretación quedaría confirmada por el hecho de que el empleador puede puede prohibir el uso con fines privados en unos dispositivos y permitirlo en otros, de manera que, tal como indica el apartado 3 del artículo 87, el empleador sólo está obligado a establecer garantías para preservar la intimidad de los trabajadores en los dispositivos en los que haya admitido su uso con fines privados.

Ello significaría que en los dispositivos en los que el empleador haya prohibido el uso con fines privados el trabajador no tendría derecho a la intimidad y tampoco debería tener expectativas de intimidad. Sin embargo, el trabajador puede incumplir la prohibición y la empresa puede tolerar dicho incumplimiento, por lo que es necesaria una actuación adicional de la empresa.

La secuencia inicial sería la siguiente:

  1. Principio general de derecho a la intimidad en el uso de los dispositivos digitales corporativos.
  2. Excepción relativa a los dispositivos en los que se ha prohibido el uso personal.

Los dos elementos que pueden desvirtuar la aplicación de la excepción prevista en el artículo 87.3 de la LOPD serían los siguientes:

  1. El incumplimiento del trabajador de la obligación de utilizar los dispositivos digitales corporativos para fines personales.
  2. La tolerancia de la empresa en relación a ese incumplimiento.

En ambos casos se produciría el efecto no deseado de la existencia de contenidos privados en los dispositivos destinados a un uso exclusivamente corporativo.

Para evitar estas dos situaciones, la empresa debería actuar de forma regular, aplicando los medios necesarios para conseguir las dos finalidades legitimadas por el artículo 87.2 de la LOPD:

  1. Controlar del cumplimiento de las obligaciones laborales o estatutarias por parte del trabajador.
  2. Garantizar la integridad de los dispositivos.

La secuencia completa sería, en consecuencia, la siguiente:

  1. Principio general de derecho a la intimidad en el uso de los dispositivos digitales corporativos.
  2. Excepción relativa a los dispositivos en los que se ha prohibido el uso personal.
  3. Acciones dirigidas a mantener la excepción:
    1. Asegurar el cumplimiento de la prohibición de un uso personal.
    2. Evitar la tolerancia de dichos incumplimientos.
    3. Enviar recordatorios y mensajes de concienciación.
    4. Exigir el borrado periódico de los contenidos infractores.
    5. Realizar inspecciones dirigidas a evitar incumplimientos.
    6. Sancionar el incumplimiento.
    7. Eliminar los contenidos que generen un riesgo para la integridad.
    8. Aplicar un protocolo adecuado de desvinculación del trabajador, que permita asegurar que no deja contenidos privados en ningún dispositivo.

Habrá, por lo tanto, dos protocolos de acceso:

  1. Protocolo de acceso a los dispositivos en los que se ha permitido el uso personal.
  2. Protocolo de acceso a los dispositivos en los que se ha prohibido el uso personal.

El segundo protocolo deberá estar basado en la realización previa de las acciones dirigidas a asegurar que el dispositivo inspeccionado no contiene comunicaciones ni contenidos privados.

ARTÍCULOS RELACIONADOS

Tabla comparativa entre el test Barbulescu y el artículo 87 de la LOPD

Matizaciones sobre la sentencia del Caso Barbulescu

Sobre la necesidad de prohibir el uso personal del correo electrónico corporativo

¿Una orden judicial para ver un correo electrónico de mi propia empresa?

Sentencia TC sobre intervención de mensajes privados del trabajador

 

La norma que regula el uso del correo electrónico por los Magistrados y el nuevo criterio del Tribunal Supremo

El Código de Conducta para usuarios de equipos y sistemas informáticos al servicio de la Administración de Justicia, vigente en la actualidad, siempre ha sido una referencia a seguir en la redacción de este tipo de normas, dado el justo equilibrio que establece entre las exigencias de control del propietario de los recursos TIC y los derechos de los usuarios.

Este equilibrio es el que muchas empresas han introducido en sus normas internas, ya que coincide con la doctrina unificada y consolidada por el Tribunal Supremo y por el Tribunal Constitucional.

Sin embargo, la Sentencia del Tribunal Supremo de 16/06/14 ha introducido un nuevo criterio en relación al control e intervención del correo electrónico “no leído” de los trabajadores para su uso como prueba en un procedimiento penal.

Este nuevo criterio y los cambios que implica en las actividades de control de la empresa, puede entrar en conflicto con el Código de Conducta comentado, que, paradójicamente regula el uso del correo electrónico que utilizan los Magistrados, incluidos los del órgano que dictó la sentencia comentada.

Reproduzco los puntos principales de este Código de Conducta para que se pueda valorar si existe o no un conflicto y si deben confirmarse o no las tesis defendidas en mi anterior artículo a favor de mantener el criterio hasta ahora vigente, que es justamente el que aplica este Código de Conducta.

1. El primer apartado de esta Instrucción, dictada por el Pleno del Consejo General del Poder Judicial de 26 de febrero de 20013, establece que el Código de Conducta se aplicará a todos los profesionales que prestan sus servicios en los órganos judiciales, incluidos los Jueces, Magistrados y Secretarios Judiciales.

2. Los apartados 2.3 y 4.1 extienden la aplicación de esta norma al correo electrónico y a todas las comunicaciones realizadas a través de la red interna o Intranet, o de la red externa o Internet.

3. El apartado 9.1.1 establece que es facultad de la Administración Pública competente exigir un buen uso del correo electrónico, y añade que el correo electrónico, por ser un instrumento básico de trabajo y colaboración, propiedad de la Administración, debe ser utilizado con fines profesionales.

4. Apartado 9.1.2: Queda prohibida la utilización del correo electrónico para “actividades personales restringidas”, en las que pueda haber alguna expectativa de privacidad o secreto en las comunicaciones.

5. Apartado 9.1.3: En los casos en los que la Administración competente permita utilizar el correo electrónico puesto a disposición de cada usuario para “actividades personales no reservadas”, en las que no exista expectativa alguna de privacidad, tales como usos sociales individualizados, esta utilización deberá restringirse al máximo.

6. En el apartado 6.8.3 se establece que, en aquellos órganos judiciales donde se hubiere instaurado la figura del “monitor judicial” y sin perjuicio de lo dispuesto en el párrafo anterior, a aquél le corresponderá comprobar y supervisar el correcto funcionamiento de las aplicaciones informáticas, poniendo en conocimiento del Secretario Judicial las deficiencias que observare, proponiendo, en su caso, la adopción de las medidas que estime pertinentes.

7.Apartado 6.11.2: Si un usuario finaliza su relación con la Administración o se traslada de puesto, deberá dejar intactos todos los archivos y documentos que hayan tenido un fin profesional. En el supuesto de que existan archivos de carácter personal, él mismo deberá eliminarlos, bajo la supervisión del Servicio de Soporte competente.

8. Apartado 9.3: En el momento de la extinción de la relación funcionarial o laboral, se interrumpirá el acceso a su buzón de correo. Los servicios técnicos podrán acceder al buzón para reenviar los mensajes profesionales a los usuarios que se determinen por el administrador o responsable del Sistema. (Se entiende que los destinatarios del reenvío accederán a los mensajes leídos y no leídos y que la selección de los mensajes profesionales, descartando los mensajes personales, la realizarán los servicios técnicos sin intervención judicial).

Conclusiones

En mi opinión, el criterio establecido en esta Instrucción del Pleno del Consejo General del Poder Judicial, que coincide con la doctrina unificada y consolidada del Tribunal Supremo y del Tribunal Constitucional, debe prevalecer.

Los usos actuales de los sistemas informáticos en el seno de las empresas y de las Administraciones Públicas exigen la reinterpretación o la modificación del artículo 18.3 de la Constitución, estableciendo la posibilidad de que:

  • o bien el secreto de las comunicaciones no sea de aplicación a las comunicaciones estrictamente corporativas o profesionales en las que no haya expectativa de privacidad, por la prohibición de su uso personal,
  • o bien se incluya el consentimiento del usuario y la ley como circunstancias habilitantes para la injerencia en dicho derecho.

Pensemos que la Constitución data de 1978 y que los avances tecnológicos, sociales, laborales, e incluso penales nos han llevado a un escenario que nada tiene que ver con el de entonces.

 

¿Una orden judicial para ver un correo electrónico de mi propia empresa?

Con un título similar publiqué hace años un breve artículo en v-Lex (premium) en el que me preguntaba si algún día sería necesario solicitar una autorización judicial para que una empresa pudiese inspeccionar el correo electrónico corporativo utilizado por sus trabajadores. Parece que ese momento ha llegado, aunque la intervención judicial sea sólo exigible para los correos no abiertos por el trabajador que tengan que ser utilizados como prueba en un procedimiento penal.

Aunque pensábamos que la doctrina jurisprudencial en esta materia estaba unificada y consolidada, una reciente sentencia de la Sala II del Tribunal Supremo ha establecido que el criterio existente hasta la fecha es aplicable a la jurisdicción laboral, pero no a la penal.

Esta sentencia se refiere a un delito continuado de falsedad en documento mercantil y de estafa que la empresa perjudicada acreditó mediante mensajes de correo electrónico del trabajador presunto autor de los delitos.

Adelanto que una de mis conclusiones va a ser que es irrelevante la forma en que las pruebas relativas al correo electrónico corporativo lleguen a un proceso penal, ya que, al ser un instrumento que está en la mayoría de los casos bajo el control de la empresa, las garantías que ofrece la intervención judicial pierden toda su eficacia.

Afirmaciones más relevantes de la Sentencia del Tribunal Supremo de 16/06/14

1. Los criterios establecidos en las sentencias previas del Tribunal Supremo y del Tribunal Constitucional han de quedar restringidos al ámbito de la Jurisdicción Laboral y no procede, en modo alguno, que se extiendan al enjuiciamiento penal.

2. El artículo 18.3 de la Constitución Española es claro y tajante cuando afirma que se garantiza el secreto de las comunicaciones y, en especial, de las postales, telegráficas y telefónicas, salvo resolución judicial.

3. No contempla, por tanto, ninguna posibilidad ni supuesto que permita la injerencia en el contenido secreto de las comunicaciones sin la necesaria e imprescindible autorización judicial.

4. No son una excepción los argumentos relativos a la propiedad o titularidad del ordenador y la cuenta de correo electrónico, ni el uso de dichos recursos durante la jornada laboral, ni la naturaleza corporativa del cauce empleado.

5. Tampoco una supuesta renuncia tácita del derecho puede convalidar la ausencia de autorización judicial. En primer lugar porque esta renuncia al secreto de las comunicaciones no se produce en el caso concreto. En segundo lugar porque aunque se hubiese producido una renuncia-autorización, la Constitución no prevé, por la lógica imposibilidad para ello, la autorización del propio interesado como argumento habilitante de la intervención del correo.

6. La protección reforzada del derecho al secreto de las comunicaciones se justifica porque este tipo de injerencias revelan aspectos de la privacidad del comunicante que son ajenos al legítimo interés de una investigación.

7. Además se produce una situación de absoluta indefensión, por no saber la persona investigada que sus comunicaciones están siendo intervenidas.

8. Finalmente, el secreto de las comunicaciones beneficia también a los terceros que comunican con el trabajador, que son ajenos a la relación de éste con el titular del recurso y de sus condiciones de uso.

9. Por consiguiente, para que pueda otorgarse valor y eficacia probatoria en sede penal al resultado de una intervención del correo electrónico de un trabajador, resultará siempre necesaria la autorización e intervención judicial.

10. Quedan excluidos del secreto de las comunicaciones los mensajes que, una vez recibidos y abiertos por su destinatario, no forman ya parte de la comunicación propiamente dicha.

11. A los mensajes abiertos le son aplicables las normas relativas a la protección de datos personales y a la intimidad en sentido genérico, por lo que en este caso no es necesaria la autorización judicial.

12. También quedan excluidos los datos de tráfico y el uso del ordenador para acceder a páginas web y a otros servicios de Internet.

Ausencia de contenido privado y confidencial

1. Las alegaciones del trabajador recurrente acerca de las dudas sobre la integridad y validez de la prueba informática aportada por la empresa no son tenidas en cuenta en la sentencia, ya que se considera que no se ha producido injerencia en el secreto de las comunicaciones en este caso concreto.

2. En la sentencia recurrida se dice que no consta que se haya examinado correo electrónico privado ni cualquier otro tipo de programa o archivos temporales que haya supuesto intervenir o desvelar algún tipo de de comunicación privada y confidencial del trabajador.

3. Pensemos que los mensajes intervenidos estaban relacionados con las funciones administrativas desarrolladas por el trabajador y los destinatarios o remitentes de los mensajes eran sus interlocutores en las entidades financieras y los clientes con los que la empresa operaba.

4. Los criterios establecidos en la sentencia se plantean, por lo tanto, con la finalidad de fijar una clara doctrina sobre la validez probatoria de este tipo de intervenciones en sede penal.

¿Comete un delito la empresa que abre un mensaje cerrado de un trabajador?

1. En la sentencia se habla de la invalidez en sede penal de los mensajes cerrados intervenidos a un trabajador sin autorización judicial, pero no habla de las consecuencias penales de esta intervención.

2. Se entiende que no, ya que en el caso de que esta intervención fuese subsumible en el tipo penal del artículo 197 del Código Penal, algunas de las actividades rutinarias que se realizan cada día en muchas empresas podrían llegar a constituir un delito.

3. Imaginemos a la secretaria que, siguiendo las instrucciones de su jefe, abre sus mensajes cuando está en una reunión, para avisarle de cualquier asunto urgente. O el supervisor de un call center que escucha una muestra de llamadas cada día para controlar la calidad ofrecida por los operadores del servicio de atención al cliente. O las líneas de banca telefónica cuyas conversaciones son grabadas como prueba del consentimiento dado a las operaciones realizadas. ¿Se está cometiendo un delito en todos estos casos? Entiendo que no. ¿Son válidas estas pruebas en un proceso penal? Entiendo que sí.

4. También ha que hablar en este punto del consentimiento que dan los trabajadores que causan baja en una empresa para que sus sucesores puedan acceder a sus documentos y mensajes con el fin de continuar su trabajo. ¿Qué pasa si la persona que recibe los pedidos causa baja en la empresa? Los clientes seguirán enviando sus pedidos a esa dirección durante un tiempo, aunque se les avise puntualmente. En estos casos se utilizan direcciones genéricas de departamento, pero según la doctrina del Tribunal Supremo de 2007, cualquier usuario podría utilizar la cuenta genérica para un uso personal, con la consiguiente “expectativa de privacidad”.

5. El artículo 197 del Código Penal describe un tipo penal en el que el consentimiento del interesado elimina la posibilidad de que se cometa un delito.

6. De ello se deduce a mi entender que un consentimiento expreso debería ser también suficiente para habilitar una intervención del correo electrónico con la finalidad de causar prueba en un proceso penal, siempre que se aplicase un protocolo con las debidas garantías, se utilizase un fedatario público y se respetase la cadena de custodia.

7. La tecnología actual permite realizar varias copias de un disco duro sin acceder a su contenido y con herramientas que aseguran su integridad.

8. No obstante, todas estas garantías se refieren al momento de la obtención de la prueba y a su ciclo de vida posterior, pero no permiten asegurar que la prueba haya sido manipulada con carácter previo a la intervención, como diré más adelante.

Titular real del derecho al secreto de las comunicaciones

1. Siguiendo con mis opiniones personales cabe decir que llevo muchos años defendiendo la tesis de que en el correo electrónico corporativo el titular del derecho al secreto de las comunicaciones es la empresa. Insistiré poco en ello ya que doy por consolidada la doctrina jurisprudencial que exige una sospecha razonable y la aplicación del principio de proporcionalidad a la intervención del correo electrónico del trabajador para causar prueba en sede laboral. El único límite que establece el artículo 20.3 del Estatuto de los Trabajadores es el respecto a la dignidad del trabajador.

2. Plantémonos las siguientes preguntas: si un competidor interceptase un mensaje de correo electrónico entre nuestra empresa y un cliente, ¿quién pondría la querella por vulneración del secreto de las comunicaciones contra el competidor? ¿el trabajador que ha enviado el mensaje o la empresa? ¿Y en el caso de una llamada telefónica entre la empresa y un cliente?

3. La doctrina ha sido restrictiva y poco uniforme a la hora de extender los derechos fundamentales reconocidos en el artículo 18 de la Constitución a la persona jurídica. Se considera que la empresa puede tener derecho al honor y reputación, pero hay reparos para reconocer su derecho a la intimidad. En cambio hay que disponer de un consentimiento expreso para enviar una comunicación comercial electrónica a una empresa y de un mandamiento judicial para entrar en sus oficinas.

4. El Tribunal Europeo de Derechos Humanos (TEDH) reconoce el derecho al secreto de las comunicaciones a las personas jurídicas y declara que las nociones “vida privada” y “correspondencia” del art. 8 del convenio incluyen tanto locales privados como profesionales (Sentencia TEDH de 16 de febrero de 2000, caso Amann). También reconoció este derecho a favor de las empresas el Tribunal de Justicia de las Comunidades Europeas (en su anterior denominación) en la sentencia de 18 de mayo de 1982, A.M.S. v. Comisión.

5. El artículo 200 del Código Penal establece que lo dispuesto para las personas físicas en el mismo capítulo será aplicable también al que descubriere, revelare o cediere datos reservados de personas jurídicas sin el consentimiento de sus representantes.

6. Si se reconoce que una empresa puede ser titular del derecho al secreto de las comunicaciones deberá concluirse que la interceptación de un mensaje entre dos empresas supondrá una vulneración de este derecho. El derecho de la persona física que envió o recibió el mensaje pasaría en este caso a un segundo plano.

7. En mi opinión, la empresa es parte en las comunicaciones que se generan entre ella y cualquier otra persona física o jurídica y de ello debería deducirse que no precisa una autorización judicial para conocer su contenido cuando ha prohibido expresamente el uso privado de dichas comunicaciones y ha advertido de su monitorización.

8. La prueba podrá ponerse en duda, como toda prueba aportada por una de las partes, pero no debería decirse que ha sido obtenida de forma ilegítima, ya que, como he dicho, la empresa es parte en la comunicación.

¿Qué pasa actualmente con el correo postal corporativo?

1. Las cartas que llegan todavía a las empresas en formato papel conteniendo pedidos, facturas, publicidad, y otros contenidos de índole empresarial, van dirigidas generalmente a una persona física.

2. Hay diversas fórmulas para identificar al destinatario de una carta. Puede aparecer directamente su nombre o bien el cargo o departamento. La carta también puede ir dirigida a la empresa, a la atención de una persona concreta.

3. Aunque la carta vaya dirigida al Presidente de la compañía, es muy probable que su secretaria la abra, ya que los altos cargos acostumbran a optimizar su tiempo delegando en sus secretarias la apertura de la correspondencia.

4. Lo mismo sucederá en el departamento de contabilidad. Si una carta va dirigida a una persona que ya no está en la empresa, se presumirá que su contenido tiene que ver con la función que desempeñaba y será abierta.

5. En estos supuestos nadie habla de violación del secreto de las comunicaciones porque se entiende que se trata de comunicaciones en las que la empresa es parte, como remitente o como destinataria.

6. En el correo electrónico sucede lo mismo. Los mensajes van dirigidos a la empresa, a la atención de una persona concreta. De hecho, la arroba significa “at”, lo que indica que el mensaje va dirigido a a la atención de una persona concreta en (at) la empresa indicada en el nombre de dominio.

El derecho al secreto de las comunicaciones en el puesto de trabajo

1. La cultura del “buen rollo” desarrollada en las grandes empresas durante los años de bonanza llevó a buscar un equilibrio entre la vida laboral y la personal. Se entendió que no podía pedirse a un trabajador la conducta heroica de no utilizar los recursos tecnológicos corporativos para fines privados o personales durante las ocho largas horas de la jornada laboral. Ello generó un clima de permisividad que en muchas empresas derogó de facto las prohibiciones que pudiesen existir en relación a ese uso privado.

2. Pero las circunstancias han cambiado. Por un lado han surgido los smartphones, que han concentrado en ellos las comunicaciones privadas de los trabajadores. Ello permite presumir que el correo electrónico corporativo está dejando de ser utilizado para asuntos personales, justamente por el riesgo conocido de su lectura por la empresa. La tendencia del BYOD, para mi equivocada por cuestiones de seguridad, establece una diferencia clara entre las aplicaciones corporativas

3. Por otro lado, la crisis ha hecho que las empresas exijan una mayor productividad a sus trabajadores, por lo que un uso personal de los recursos TIC de la empresa puede ser mal visto y tratado como un supuesto de absentismo presencial.

4. Ello no impide que los trabajadores más jóvenes pasen su jornada laboral con el smartphone al lado del teclado del ordenador. Con este gesto le están diciendo a la empresa que seguirán trabajando en sus funciones hasta el momento en que reciban un mensaje de Whatsapp o de correo electrónico en el smartphone, momento en que su lectura tendrá prioridad absoluta sobre cualquier otra tarea de su famoso “multitasking”. La cuestión es que la frecuencia de las interrupciones que provoca la multitarea es tan alta que un reciente estudio afirma que esta práctica provoca una reducción de 10 puntos en el coeficiente intelectual de la persona. Si la mayoría de los trabajadores no aceptarían una injerencia de la empresa en el sagrado episodio del fin de semana o las vacaciones, no parece justo que la empresa tenga que aceptar la injerencia de los mensajes personales y las constantes interrupciones del Whatsapp durante la jornada laboral. Ninguno de nosotros tendría que aceptarlo, por su inevitable impacto acumulado en el PIB de nuestro país.

5. ¿Qué expectativa de intimidad tiene el trabajador cuando utiliza el correo electrónico corporativo? No todas las formas de comunicación tienen el mismo tratamiento. Las postales que enviamos cuando ejercemos de turista van abiertas y la expectativa de intimidad es nula. El correo electrónico corporativo también va abierto para la empresa. No es necesario que el trabajador lo abra para que la empresa tenga la oportunidad de leer su contenido.

6. En la sentencia analizada se habla de que una renuncia del trabajador al derecho es inviable. Pero la cuestión es si al hablar del correo electrónico corporativo debemos dejar que este derecho llegue a nacer. El cauce no es la renuncia al derecho sino el convencimiento de que no hay espacio para la intimidad en el correo electrónico corporativo.

6. Entiendo que las empresas deben hacer un esfuerzo para definir de forma más clara que los recursos TIC corporativos están reservados para un uso empresarial y que el uso personal debe quedar prohibido. Ello no sería exigir una conducta heroica al trabajador, ya que pueden aprovecharse las pausas y los momentos de descanso para consultar el smartphone personal.

El correo corporativo está bajo el control constante de la empresa

1. Como adelantaba al principio, considero que las garantías que ofrece la intervención judicial van a llegar siempre tarde cuando se trata de obtener y utilizar el correo electrónico corporativo como prueba.

2. Pensemos que un mensaje de correo electrónico no cifrado es texto plano, que entra y sale de la empresa por un conducto que está enteramente bajo su control. Salvo en los casos en que el servicio está en manos de un tercero, y a veces incluso así, nada impide al departamento de sistemas de la empresa leer el correo e incluso modificar su contenido. Incluso se puede decir que el ISP es un proveedor pagado por la empresa que carece de neutralidad.

3. Una intervención judicial sería el procedimiento ideal para “blanquear” una prueba previamente asegurada desde el punto de vista técnico.

4. También existe la posibilidad de que la empresa marque como “leído”el mensaje que desea intervenir antes de aplicar el protocolo de intervención. Al igual que existe la posibilidad de que el trabajador marque como “no leído” los mensajes ya leídos que desea proteger de una eventual intervención de la empresa. Aunque en este caso sería mejor borrarlos.

5. En estas condiciones, las garantías de integridad, fe pública y continuidad de la cadena de custodia decaen de manera absoluta. ¿De qué sirve que un Secretario Judicial de fe de una realidad que ha podido ser alterada previamente? ¿Por qué preocuparnos de la cadena de custodia de algo que puede haber sido modificado con anterioridad a la diligencia judicial?

6. En cualquier caso, existen herramientas de “forensic readiness” que permiten acreditar que un mensaje no ha sido manipulado.

7. Es evidente que las empresas no están manipulando el correo para imputar a sus trabajadores. Estamos hablando de que existe la posibilidad técnica para hacerlo y ello puede desvirtuar las garantías de una intervención judicial posterior.

8. Por lo tanto, la validez de esta prueba se basa más en la credibilidad de su contenido y en las restantes pruebas anteriores, coetáneas y posteriores a los mensajes intervenidos que en la forma en que han sido obtenidos. De hecho esto es lo que ocurre exactamente en el caso analizado.

El secreto de las comunicaciones como subconjunto del derecho a la intimidad

1. En la sentencia comentada se dice que el derecho al secreto de las comunicaciones está dentro del genérico derecho a la intimidad que se contempla en el artículo 18 de la Constitución.

2. El artículo 2.2 de la Ley Orgánica 1/1982, de 5 de mayo, sobre protección civil del derecho al honor, a la intimidad personal y familiar y a la propia imagen establece que no se apreciará la existencia de intromisión ilegítima en el ámbito protegido cuando estuviere expresamente autorizada por Ley o cuando el titular del derecho hubiere otorgado al efecto su consentimiento expreso.

3. Aunque el preámbulo de esta ley se refiere exclusivamente al desarrollo del articulo 18.1 de la Constitución, lo cierto es que en el articulado se habla de todo el artículo 18.

5. Si pudiésemos aplicar a este caso el principio de quien puede lo más puede lo menos, sería natural concluir que una persona que puede dar su consentimiento para entrar en su casa también puede dar su consentimiento para entrar en su correo electrónico, por muy enérgica que sea su protección en el artículo 18.3 de la Constitución exigiendo la intervención judicial.

6. También hay que tener en cuenta que en la redacción del artículo 18.3 no se incluyó la posibilidad de que la injerencia en el secreto de las comunicaciones estuviese autorizada en ciertos casos por una ley. Y ello podría ser un error.

7. Lo natural sería que la ley y el consentimiento fuesen también instrumentos habilitadores de una injerencia legítima en el secreto de las comunicaciones. Pensemos que en la actualidad, tras los escándalos de la NSA, cualquier persona puede pensar que la probabilidad de que alguien lea sus mensajes de correo electrónico es más alta que la probabilidad de que alguien entre en su domicilio sin autorización. Los mensajes están ahí fuera y en abierto. Mis efectos personales, mi verdadera intimidad, están en casa y cerrados con llave.

8. Por otro lado, entiendo que las obligaciones de control establecidas en el artículo 31bis del Código Penal exigen a las empresas poder realizar inspecciones que alcancen a contenidos presuntamente protegidos por el derecho a la intimidad y por el secreto de las comunicaciones, como subconjunto del mismo.

Impacto en las obligaciones de control derivadas de un programa de compliance

1. Muchos programas de corporate compliance, destinados a establecer un modelo de prevención y control de delitos, basan su fuerza en la posibilidad de realizar investigaciones en el correo electrónico corporativo.

2. La sentencia comentada puede poner en peligro estas investigaciones, ya que no permitiría realizarlas sin la existencia de una autorización judicial. Al menos el caso de mensajes cerrados destinados a causar prueba en un proceso penal.

3. Entiendo que debería contemplarse como válido el protocolo de intervención del correo electrónico en el que el trabajador está presente en la diligencia y se observan todas las garantías en la obtención de la copia (hash) y en la cadena de custodia.

4. Pero yo me atrevería a ir más allá y a dar por válido el consentimiento expreso dado con carácter previo por el trabajador al firmar las normas de uso de los recursos TIC corporativos, asumir la prohibición de un uso personal de los mismos y aceptar una eventual inspección del correo electrónico.

5. Y también considero que las obligaciones de control establecidas en el artículo 31bis del Código Penal para las empresas habilitan a éstas a realizar investigaciones que pueden alcanzar a todos los recursos TIC que están bajo su control y son de su propiedad, como el correo electrónico corporativo.

 Precauciones a tener en cuenta a partir de ahora

A pesar de mis opiniones contrarias al contenido de la sentencia, lo cierto es que ésta establece un criterio que hay que respetar, por lo que, por una cuestión de prudencia empresarial y para evitar que las pruebas pierdan su eficacia, la empresa tiene la opción de solicitar la intervención judicial en la obtención de los mensajes cerrados que vayan a ser utilizados como prueba en un proceso penal. En cualquier caso, también puede reforzar sus normas y protocolos de actuación mediante algunas de las siguientes acciones:

1. Prohibir el uso personal del correo electrónico
2. Informar claramente de los controles que la empresa puede aplicar
3. Solicitar el consentimiento expreso para el control del correo electrónico
4. Prohibir la conversión de los mensajes leídos en mensajes no leídos
5. Reforzar las garantías de los protocolos de intervención del correo electrónico
4. Limitar las investigaciones internas dirigidas a un proceso penal a los mensajes abiertos
5. Instalar herramientas de forensic que permitan acreditar que los mensajes no han sido
manipulados por la empresa

Conclusiones

Tras la lectura de la sentencia y el análisis realizado en este artículo, extraigo las siguientes conclusiones:

1. Las empresas están habilitadas por la ley (artículo 31bis del Código Penal y artículo 20.3 del Estatuto de los Trabajadores) para adoptar medidas de vigilancia y control sobre la actividad de los trabajadores.

2. Esta habilitación también puede surgir del consentimiento del trabajador.

3. La prohibición de un uso personal del correo electrónico corporativo y la migración del correo personal a los smartphones privados permite presumir cada vez más que el correo electrónico corporativo está desprovisto de intimidad para el trabajador.

4. La intervención de los mensajes de correo electrónico corporativo enviados o recibidos por el trabajador no supone un delito contra la intimidad, ya que existe una autorización legal y un consentimiento del trabajador.

5. Además, la empresa forma parte de la comunicación, ya que no presta un servicio al trabajador, sino que es jurídicamente el verdadero emisor y receptor de las comunicaciones y por lo tanto, el titular del derecho al secreto de las mismas.

6. Sin embargo, el nuevo criterio del Tribunal Supremo establece que las pruebas obtenidas de esta manera no serán validas en la jurisdicción penal sin la correspondiente autorización e intervención judicial que dote a la diligencia de las correspondientes garantías en el caso de mensajes cerrados.

7. En mi opinión, la tecnología actual de forensic que garantiza la integridad de una copia permite aplicar un protocolo de intervención en el que se apliquen las garantías de integridad, cadena de custodia y fe pública a través de la intervención de un fedatario público.

8. La intervención judicial no garantiza la integridad de la prueba en el caso del correo electrónico corporativo, ya que éste está desde el primer momento bajo el control de la empresa y puede haber sido manipulado antes de la diligencia judicial. Salvo en el caso de que se hayan utilizado previamente herramientas de forensic readiness.

9. A pesar de mis opiniones contrarias al contenido de la sentencia, lo cierto es que ésta establece un criterio que hay que respetar, por lo que, por un principio de prudencia empresarial recomiendo adoptar las precauciones que resumo en este artículo.

ACTUALIZACIÓN – 12/01/2016

El Tribunal Europeo de Derechos Humanos ha dictado hoy una sentencia en la que establece que la monitorización de las comunicaciones privadas (Yahoo Messenger) de un trabajador por parte de la empresa no constituye una violación del artículo 8 del Convenio Europeo de Derechos Humanos (La vida privada y familiar incluye la intimidad del domicilio y la inviolabilidad de la correspondencia).

Adecuación de las normas de uso de los recursos TIC corporativos

Desde la última revisión de las normas de uso de los recursos TIC se han producido una serie de cambios que obligan a realizar una actualización.

Entre dichos cambios destacan los siguientes:

Sentencia del Tribunal Constitucional comentada la semana pasada.
Uso de dispositivos móviles personales para e-mail y aplicaciones corporativas (BYOD).
– Entrega de smartphones y tablets corporativos a los trabajadores.
– Incremento del nivel de externalización de funciones
– Mayor acceso de personal de los proveedores a los recursos TIC corporativos
– Incorporación de los nativos digitales al mundo laboral
– Mayor uso de redes sociales como Facebook y Twitter
– Incremento del efecto de Whatsapp en el rendimiento del trabajo.
– Incremento del número de trabajadores con blog propio.

La falta de actualización de estas normas puede ser interpretada como tolerancia de la empresa, con un efecto equivalente a la derogación de los controles existentes en materia de seguridad de la información, infracciones y absentismo presencial.

También es recomendable actualizar el protocolo de inspección del ordenador y el correo electrónico del trabajador, con el fin de incorporar los criterios derivados de la interpretación de la sentencia del Tribunal Constitucional, de forma directa y a contrario sensu, así como los de la doctrina unificada del Tribunal Supremo.

Nuestro despacho ha diseñado un servicio de actualización de normas de uso de recursos TIC corporativos. La contratación de este servicio puede realizarse llamando al teléfono 934940748 o enviando un mensaje a anna.canadell@ribastic.com