¿Puede tener responsabilidad penal el empresario que acceda al correo electrónico de un empleado?

Por Escarlata Gutiérrez Mayo, fiscal adjunta a la Sección contra la Criminalidad Informática de la Fiscalía Provincial de Ciudad Real.

En el presente artículo analizo la posibilidad de que el empresario cometa algún delito por acceder al correo electrónico de un empleado, en particular un delito contra la intimidad previsto en el artículo 197.1 del Código Penal. Este artículo establece en su apartado primero que: “El que, para descubrir los secretos o vulnerar la intimidad de otro, sin su consentimiento, se apodere de sus papeles, cartas, mensajes de correo electrónico o cualesquiera otros documentos o efectos personales, intercepte sus telecomunicaciones o utilice artificios técnicos de escucha, transmisión, grabación o reproducción del sonido o de la imagen, o de cualquier otra señal de comunicación, será castigado con las penas de prisión de uno a cuatro años y multa de doce a veinticuatro meses.”

El apartado 4 de este artículo 197 CP señala: “Los hechos descritos en los apartados 1 y 2 de este artículo serán castigados con una pena de prisión de tres a cinco años cuando:

a) Se cometan por las personas encargadas o responsables de los ficheros, soportes informáticos, electrónicos o telemáticos, archivos o registros; o

b) Se lleven a cabo mediante la utilización no autorizada de datos personales de la víctima.

Si los datos reservados se hubieran difundido, cedido o revelado a terceros, se impondrán las penas en su mitad superior.”

Este supuesto es diferente al previsto en el artículo 199 apartado primero del Código Penal, que señala: “El que revelare secretos ajenos, de los que tenga conocimiento por razón de su oficio o sus relaciones laborales, será castigado con la pena de prisión de uno a tres años y multa de seis a doce meses.”

Si bien nos vamos a ceñir en las presentes líneas al tipo previsto en el artículo 197 del Código Penal. Conviene recordar que a tenor de lo previsto en el artículo 201 del Código Penal para proceder por estos delitos es necesario denuncia de la persona agraviada o de su representante legal y el perdón del ofendido extingue la acción penal.

Sobre esta cuestión podemos hacer las siguientes consideraciones:

En primer lugar, conviene recordar que en el ámbito laboral el empleado sigue disfrutando de su derecho a la intimidad frente al empresario y frente al resto de trabajadores. En este sentido señala, entre otras, la Sentencia del Tribunal Constitucional 12/2012, de 30 de enero, que “La intimidad protegida por el art. 18.1 CE no se reduce necesariamente a la que se desarrolla en un ámbito doméstico o privado. El Tribunal Europeo de Derechos Humanos ha señalado que sería muy restrictivo limitar la noción de vida privada protegida por el art. 8.1 del Convenio europeo para la protección de los derechos humanos y de las libertades fundamentales a un “círculo íntimo” en el que el individuo puede conducir su vida personal a su manera y excluir plenamente el mundo exterior no incluido en este círculo. No puede desconocerse que también en otros ámbitos, y en particular en el relacionado con el trabajo o la profesión, se desarrollan relaciones interpersonales, vínculos o actuaciones que pueden constituir manifestación de la vida privada.”

 En segundo lugar, en el ámbito laboral se confiere al empresario una serie de facultades de dirección y control cuya materialización podría entrar en colisión con el derecho a la intimidad del trabajador. En este sentido señala la Sentencia del Tribunal Constitucional 241/2012, de 17 de diciembre, que “En el marco de dichas facultades de dirección y control empresariales no cabe duda de que es admisible la ordenación y regulación del uso de los medios informáticos de titularidad empresarial por parte del trabajador, así como la facultad empresarial de vigilancia y control del cumplimiento de las obligaciones relativas a la utilización del medio en cuestión, siempre con pleno respeto a los derechos fundamentales”.

 En la misma línea señaló la Sentencia del Tribunal Constitucional 98/2000, de 10 de abril: “(…) el poder de dirección del empresario, imprescindible para la buena marcha de la organización productiva y reconocido expresamente en el art. 20 LET, atribuye al empresario, entre otras facultades, la de adoptar las medidas que estime más oportunas de vigilancia y control para verificar el cumplimiento del trabajador de sus obligaciones laborales (art. 20.3 LET). Mas esa facultad ha de producirse en todo caso, como es lógico, dentro del debido respeto a la dignidad del trabajador, como expresamente nos lo recuerda la normativa laboral (arts. 4.2.e y 20.3 LET)”

En tercer lugar, según lo que hemos expuesto, ¿cometería un delito contra la intimidad del artículo 197. 1 y 4 del Código Penal el empresario que accediese al correo electrónico de un empleado?

Sobre esta cuestión se pronunció la STS 328/2021, de 22 de abril (ponente Manuel Marchena), referida a un supuesto en que el acusado era el propietario y el administrador único de una empresa en la que tenía contratado al perjudicado, en la categoría profesional de vendedor. Para el desarrollo de su trabajo, el perjudicado tenía un ordenador, puesto a su disposición por la empresa, al que se accedía con una contraseña estandarizada, consistente en un prefijo numérico seguido del nombre, y un correo personal corporativo.

El acusado, tras sospechar que el trabajador pudiera estar realizando algunas obras sin su conocimiento, utilizando además materiales de la empresa, accedió al ordenador del trabajador y a su correo corporativo, así como a su correo personal que éste había instalado en el ordenador imprimiendo determinados mensajes y correos electrónicos enviados o recibidos por el trabajador con terceros durante un período de tres meses, que posteriormente aportó como prueba documental en unas diligencias previas seguidas ante un Juzgado de Instrucción.

El acusado fue condenado por un delito contra la intimidad previsto en el art. 197.1 y 4 CP, concurriendo atenuantes, a la pena de un año de prisión. Sentencia que fue posteriormente confirmada por la audiencia provincial.

Alegó el letrado del condenado en su recurso que se había producido una indebida aplicación del art. 197 CP pues concurre una causa de exclusión de la antijuridicidad vinculada al ejercicio legítimo de un derecho (art. 20.7 CP) por parte del acusado como empresario.

Sobre la concurrencia de la eximente de ejercicio legítimo de un derecho, recuerda el TS que se está produciendo una colisión entre dos derechos: derecho del trabajador a su propia intimidad y la facultad del acusado de fiscalizar el uso de los elementos productivos puestos a disposición del trabajador.

Esta cuestión ya fue resuelta por el TS en sentencias 528/2014, y 489/2018, 23 de octubre, señalando esta última que es un hito reciente y extremadamente relevante de la jurisprudencia recaída en esta materia la STEDH de 5 de septiembre de 2017 (Gran Sala): ASUNTO BARBULESCU. Esta sentencia habla de la necesidad de ponderar los bienes en conflicto. De una parte, el interés del empresario en evitar o descubrir conductas desleales o ilícitas del trabajador, que prevalecerá sólo si se atiene a ciertos estándares que han venido a conocerse como el test Barbulescu.

Se enuncian criterios de ponderación relacionados con la necesidad y utilidad de la medida, la inexistencia de otras vías menos invasivas; la presencia de sospechas fundadas… Algunos se configuran como premisas de inexcusable concurrencia.

En particular, no cabe un acceso inconsentido al dispositivo de almacenamiento masivo de datos si el trabajador no ha sido advertido de esa posibilidad y/o, además, no ha sido expresamente limitado el empleo de esa herramienta a las tareas exclusivas de sus funciones en la empresa.

En el relato de hechos de esta sentencia, se observa que no existe ningún presupuesto fáctico que permita apreciar la concurrencia de una causa de justificación excluyente de la antijuridicidad (art. 20.7). el acusado no ejerció de forma legítima ningún derecho.

La definición en el convenio colectivo, como infracción disciplinaria grave, de la utilización de los medios productivos puestos a disposición del trabajador, no son suficientes para legitimar la grave intromisión del empleador en la cuenta particular del perjudicado.

Empresario y trabajador pueden fijar los términos de ese control, pactando la renuncia, tanto a la intimidad, como a la inviolabilidad de las comunicaciones. Pero la exclusión de esa expectativa ha de ser expresa y consciente, y no derivada de la voluntad presunta del trabajador.

Señala la STS 489/2018, que nos movemos en el marco de una relación contractual entre particulares (no poderes públicos) La clave estará en si el trabajador ha consentido anticipadamente reconociendo esa capacidad de supervisión al empresario y, por tanto, cuenta con ello. Es una limitación conocida y contractualmente asumida.

En el presente caso, no existe dato alguno que permita concluir que el trabajador sacrificó convencionalmente el ámbito de su privacidad.

La hipotética comisión por su parte de una infracción disciplinaria grave sólo permitía a ésta asociar su incumplimiento a una consecuencia jurídica. Pero no legitimaba la irrupción del empresario en los correos electrónicos generados durante tres meses en una cuenta privada.

Por ello el TS desestimó el recurso interpuesto, entendiendo que no hubo una indebida aplicación del art. 197.1 del CP.

Según lo que hemos expuesto, podemos concluir que, si bien el empresario en uso de sus facultades de dirección y control podría acceder en determinados supuestos al correo electrónico del trabajador, ello requiere el consentimiento previo por parte del trabajador, incluso en los supuestos en que se sospeche por parte del empresario que el empleado está cometiendo una infracción disciplinaria grave. En otro caso, el empresario comete un delito contra la intimidad previsto en los artículos 197.1 y 4 del Código Penal, sancionado hasta con 5 años de prisión.