¿Es legal que un funcionario acceda a datos personales en ordenadores?

I. ¿En qué consiste la salvaguarda de datos personales?

La salvaguarda de las personas naturales en relación con el manejo de datos personales se considera un derecho fundamental protegido por el artículo 18.4 de la Constitución española (en adelante, CE), el cual implica que su tratamiento –en términos generales– se efectuará por obligación legal, interés público o ejercicio de potestades públicas, conforme a lo estipulado en el Reglamento (UE) 2016/679, del Parlamento Europeo y del Consejo, del 27 de abril de 2016, concerniente a la protección de las personas naturales en lo que atañe al tratamiento de sus datos personales y a la libre circulación de estos datos (en adelante, Reglamento General de Protección de Datos), así como en la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, Ley Orgánica de Protección de Datos). Ahora bien, ¿acaso el acceso a la información de los ordenadores u otros dispositivos informáticos disponibles para un funcionario público infringe el derecho a la protección de datos personales?

II. ¿Cuál es el proceso del manejo de datos personales?

Conforme a lo que se establece en el Reglamento General de Protección de Datos y en la Ley Orgánica de Protección de Datos, el tratamiento de datos personales solo podrá ser legitimado en virtud del cumplimiento de:

1. Una obligación legal exigida al responsable, en los términos que establece el artículo 6.1.c) del Reglamento General de Protección de Datos, cuando esté estipulada en una norma del Derecho de la Unión Europea o en una norma con rango de ley, que podrá fijar las condiciones generales de tratamiento y los tipos de datos aludidos, así como las cesiones pertinentes que resulten del acatamiento de la obligación legal. Esta norma también podrá imponer requisitos especiales al tratamiento, tales como la adopción de medidas complementarias de seguridad u otras contempladas en el Reglamento General de Protección de Datos.
2. Una tarea llevada a cabo en interés público o en el ejercicio de las facultades públicas conferidas al responsable, siguiendo lo estipulado en el artículo 6.1 e) del Reglamento General de Protección de Datos, cuando se derive de una competencia otorgada por una norma con rango de ley.

De acuerdo a lo expuesto anteriormente: ¿el acceso a los contenidos de los ordenadores u otros dispositivos informáticos disponibles para un funcionario público infringe el derecho a la protección de datos personales?

III. ¿Es cierto que el acceso a los contenidos de los ordenadores u otros dispositivos informáticos disponibles para un funcionario público infringe el derecho a la protección de datos personales?

Para abordar la cuestión de si el acceso a la información de los ordenadores u otros dispositivos informáticos que están a disposición de un funcionario público vulnera el derecho a la protección de datos personales, debemos considerar lo que establece el artículo 87 de la Ley Orgánica de Protección de Datos, que indica que los funcionarios públicos, en el ejercicio de sus funciones al servicio de una Administración Pública, tienen derecho a preservar su intimidad en el uso de los ordenadores o dispositivos digitales proporcionados por su empleador, manteniendo así, dentro del ámbito de la Administración Pública, el derecho a la protección de datos personales.

Este derecho se refuerza por elReal Decreto Legislativo 5/2015, que valida el Real Decreto Legislativo 5/2015, datado el 30 de octubre, que aprueba la versión consolidada de la Ley del Estatuto Básico del Empleado Público (TREBEP). Este marco normativo establece, en el ámbito de los derechos de los funcionarios públicos, y en particular en su artículo 14, que estos tienen los siguientes derechos de carácter individual, acorde a la naturaleza jurídica de su relación laboral:

«j bis) A la privacidad en el empleo de dispositivos digitales que les sean proporcionados, así como frente al uso de sistemas de videovigilancia y localización geográfica (…) conforme a lo dispuesto en la normativa vigente sobre protección de datos personales y salvaguarda de los derechos digitales».

Así que, respecto a si el acceso a los archivos en los equipos informáticos u otros dispositivos ofrecidos a un funcionario público podría constituir una violación del derecho a la protección de datos personales, la conclusión, a la luz de lo anteriormente expuesto, sería que sí. Sin embargo, en este contexto, la Sentencia nº 1565/2024 dictada por la Sala contencioso-administrativa del Tribunal Supremo el 7 de octubre de 2024 (rec.6949/2022) se pronunció de la siguiente manera:

1.- Sobre la naturaleza de los bienes (dispositivos digitales, computadoras):

Guía completa para registrar una patente en España: pasos esenciales.

El Tribunal señala, considerando los argumentos presentados por el Ayuntamiento de Algemesí, quien defiende la naturaleza de los bienes -computadora y escáner del Ayuntamiento-, alegando que tales activos están sujetos al sistema establecido en el artículo 132 de la Constitución y a la legislación de patrimonio de las Administraciones públicas. Esto, según su perspectiva, impide cualquier posibilidad de uso privado o personal. Sin embargo, el Tribunal aclara que: “distinguir el régimen de uso de los bienes públicos, que emana de las normativas sobre patrimonio de las Administraciones Públicas, de la posibilidad de que el Ayuntamiento, bajo el pretexto de supervisar o controlar el uso del material informático, pueda violar los derechos de sus empleados y su legítima expectativa de privacidad, es fundamental.”

2.- Respecto al uso de medios informáticos:

Es verdad que la anulación de la expectativa de privacidad no depende de un modelo documental específico; sin embargo, deben observarse los requisitos o principios que señala la jurisprudencia para informar adecuadamente sobre el uso de los recursos informáticos y el ámbito del control o monitoreo. En este sentido, la Sentencia impugnada destaca que: “(…) en el caso en cuestión no se notificó a los empleados acerca de la utilización de los equipos informáticos, junto con la advertencia de la existencia de medidas de control o supervisión de las comunicaciones de los empleados, que es uno de los aspectos considerados en la sentencia Barbulescu 2”. (F.J. 4 de la sentencia). Más adelante, en el mismo F.J. 4, la sentencia reitera: “(…) el acceso a la computadora asignada a la demandante podría tener como objetivo verificar el cumplimiento de sus deberes dentro de la relación que mantiene con el Ayuntamiento, y se puede implementar este tipo de accesos siempre y cuando se haya informado de antemano sobre el uso de»

Los antecedentes para tales objetivos y en contextos donde los accesos resulten proporcionados. No obstante, en la situación presente no existía información previa respecto a ese uso o propósitos…”.

Sin embargo, el Ayuntamiento de Algemesí alega la esencia de los bienes -como el ordenador y el escáner de la institución-, argumentando que estos recursos materiales están sujetos al marco establecido por el artículo 132 de la Constitución, además de a la normativa de patrimonio de las Administraciones públicas. Esto, a su vez, excluye cualquier espacio para su utilización personal o privada, diferentemente de lo que podría hacer un empresario al organizarse y determinar las condiciones de uso de sus recursos informáticos.

3.- Respecto a la violación del artículo 6 de la Ley Orgánica 3/2018, de 5 de diciembre, sobre la Protección de Datos Personales y Garantía de los Derechos Digitales:

Cuando una Administración Pública es acusada de infringir el artículo 6.1 de la Ley Orgánica 15/1999, de 13 de diciembre, referente a la Protección de Datos de Carácter Personal (hoy, artículo 6 de la Ley Orgánica 3/2018, de 5 de diciembre, sobre Protección de Datos Personales y Garantía de los Derechos Digitales), por haber gestionado datos personales sin la autorización del interesado, para que se considere que no ha habido infracción, no es suficiente que la Administración invoque alguna de las excepciones a la exigencia del consentimiento que recoge el artículo 6.1 del Reglamento (UE) 2016/679, de 27 de abril de 2016. Deberá, además, justificar la efectividad del supuesto de excepción alegado.

Por consiguiente:

Guía completa para registrar una patente en España: pasos esenciales.

Trabajo bajo la DANA: ¿Es necesario asistir o quedarse en casa?

1. El derecho fundamental del funcionario a la salvaguarda de sus datos se mantiene en el ámbito de la Administración pública en la que presta sus servicios.
2. En la relación estatutaria, es imperativo que la Administración informe a los empleados sobre los usos permitidos y prohibidos de los equipos, por lo que, aunque dicha relación estatus del funcionario lo ubique en una situación de sujeción especial, regulada por normativas específicas, esto no impide que se emitan indicaciones dirigidas a los empleados públicos que especifiquen en qué consiste el uso adecuado de los medios informáticos, así como el grado de control que puede realizarse sobre ellos.
3. Cuando se acusa a una Administración Pública de violar el artículo 6.1 de la Ley Orgánica 15/1999, de 13 de diciembre, sobre Protección de Datos de Carácter Personal (actualmente artículo 6 de la Ley Orgánica 3/2018, de 5 de diciembre, sobre Protección de Datos Personales y Garantía de los Derechos Digitales), por llevar a cabo tratamiento de datos sin el consentimiento del interesado, para considerar que no ha habido infracción, no basta con que la Administración invoque alguno de los supuestos de excepción establecidos en el artículo 6.1 del Reglamento (UE) 2016/679, de 27 de abril de 2016; es necesario que demuestre la verdadera aplicabilidad del supuesto de excepción invocado.
4. Es fundamental emitir políticas claras de instrucción a los funcionarios sobre lo que pueden y no pueden hacer con sus dispositivos, así como sobre la posibilidad de control de los mismos para su verificación y bajo qué condiciones.
5. Las repercusiones de la violación del régimen de protección de datos personales no se limitan a una simple reprimenda al Ayuntamiento por parte de la Agencia de Protección de Datos, ya que es posible que la persona afectada por dicha intromisión ilegítima, lleve a cabo acciones de responsabilidad patrimonial frente a su propia administración.