MONITORIZACIÓN DE LA ACTIVIDAD LABORAL Y CUMPLIMIENTO NORMATIVO EN PROTECCIÓN DE DATOS. ALGUNAS REFLEXIONES A PROPÓSITO DE LA SENTENCIA DEL TRIBUNAL CONSTITUCIONAL 160/2021, DE 4 DE OCTUBRE DE 2021

1. La jurisprudencia constitucional sobre la transparencia informativa del control empresarial [Subir]

El derecho fundamental a la protección de datos de las personas trabajadoras, en actuaciones desarrolladas en el ejercicio de las potestades de control empresarial de la prestación laboral, es invocado por primera vez en la jurisprudencia constitucional en la STC 29/2013, de 11 de febrero.

Previamente, la conflictividad pivotaba principalmente sobre la eventual intromisión ilegítima en el derecho a la intimidad de la persona trabajadora provocada por los mecanismos o dispositivos de control utilizados por el empleador, señaladamente, a través de la vídeo o audio vigilancia empresarial. Así, en la STC 98/2000, de 10 de abril, a propósito de la instalación de micrófonos en las dependencias del Casino de La Toja con conocimiento de los trabajadores y del comité de empresa (vigilancia conocida e informada), el TC apreció la existencia de una vulneración del derecho a la intimidad al exceder las medidas de audiovigilancia de lo estrictamente necesario para garantizar el interés empresarial, considerando la instalación microfónica una intromisión ilegítima en el derecho a la intimidad, al no quedar acreditado que su uso resultase indispensable para la seguridad y el buen funcionamiento del casino, que ya contaba con un sistema de cámaras de seguridad. En la STC 186/2000, de 10 de julio, relativa a un supuesto de grabación secreta de la actividad laboral mediante la instalación de un circuito cerrado de televisión, con la finalidad de controlar las cajas registradoras y mostradores de un economato ante las sospechas de hurto por parte de las trabajadoras, el TC afirma su legitimidad, y consiguiente validez probatoria de las grabaciones, al considerar la medida, adoptada con carácter temporal, ajustada al principio de proporcionalidad, aún no habiendo sido puesta en conocimiento del comité de empresa ni de los trabajadores afectados. No obstante, conviene indicar que los hechos que motivan esta resolución son anteriores a la entrada en vigor de la actualmente derogada Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en adelante, LOPD), cuyo art. 5 consagraba el derecho a recibir información por parte de los interesados, de «modo expreso, preciso e inequívoco» en el momento de la recogida de datos.

El primer pronunciamiento, como se ha indicado, que tiene como eje el derecho fundamental a la protección de datos es la STC 29/2013, de 11 de febrero, en un conflicto de incumplimiento laboral acreditado a través de las imágenes obtenidas por el sistema de videovigilancia implementado por la Universidad de Sevilla con la finalidad de garantizar la seguridad de sus instalaciones y controlar los accesos. Frente a la tesis del Fiscal, para quien, cumplidas las exigencias previstas en la Ley Orgánica 15/1999 relativas a la inscripción del fichero en la AEPD y a la existencia de carteles informativos, la utilización de las imágenes con finalidad de control laboral resultaba una medida idónea, necesaria y proporcionada (test de proporcionalidad), el TC pone en valor el derecho del afectado a ser informado sobre quién posee los datos personales y con qué fin como parte del núcleo esencial de la definición constitucional del art. 18.4 CE (en el mismo sentido que ya recogiera la STC 292/2000, de 30 de noviembre), aunque advierte que tal «exigencia informativa no puede tenerse por absoluta, dado que cabe concebir limitaciones por razones constitucionalmente admisibles y legalmente previstas, pero no debe olvidarse que la Constitución ha querido que la ley, y solo la ley, pueda fijar los límites a un derecho fundamental, exigiendo además que el recorte que experimenten sea necesario para lograr el fin legítimo previsto, proporcionado para alcanzarlo y, en todo caso, respetuoso con el contenido esencial del derecho fundamental restringido».

En caso examinado, el TC consideró no ser suficiente la mera existencia de distintivos informativos de la presencia de cámaras, afirmando ser «necesaria además la información previa y expresa, precisa, clara e inequívoca a los trabajadores de la finalidad de control de la actividad laboral a la que esa captación podía ser dirigida. Una información que debía concretar las características y el alcance del tratamiento de datos que iba a realizarse, esto es, en qué casos las grabaciones podían ser examinadas, durante cuánto tiempo y con qué propósitos, explicitando muy particularmente que podían utilizarse para la imposición de sanciones disciplinarias por incumplimientos del contrato de trabajo». A ello se le sumaba, según el TC, la falta de una habilitación legal expresa que tolerase la limitación del derecho de información sobre el tratamiento de datos personales en el ámbito de las relaciones laborales y la insuficiente justificación que tal omisión encontraría en la protección del interés empresarial de controlar la actividad laboral. En relación con este último aspecto, se afirma que esa «lógica fundada en la utilidad o conveniencia empresarial haría quebrar la efectividad del derecho fundamental, en su núcleo esencial. En efecto, se confundiría la legitimidad del fin (en este caso, la verificación del cumplimiento de las obligaciones laborales a través del tratamiento de datos, art. 20.3 LET en relación con el art. 6.2 LOPD) con la constitucionalidad del acto (que exige ofrecer previamente la información necesaria, art. 5 LOPD)».

Por tanto, el TC dictamina no ser suficiente que «el tratamiento de datos resulte en principio lícito, por estar amparado por la Ley (arts. 6.2 LOPD y 20 LET), o que pueda resultar eventualmente, en el caso concreto de que se trate, proporcionado al fin perseguido; el control empresarial por esa vía, antes bien, aunque podrá producirse, deberá asegurar también la debida información previa». Consecuentemente, declaró nulas las sanciones disciplinarias impuestas con base únicamente en la grabación de imágenes dirigidas a controlar los accesos pero utilizadas con fines de supervisión laboral sin haber advertido de ello a las personas trabajadoras, por ser una prueba lesiva del derecho fundamental a la protección de datos personales.

Tal interpretación del principio de transparencia, como contenido esencial del derecho a la protección de datos en el ámbito de las facultades de control empresarial, experimenta un notable giro en una sentencia posterior que, considerando cumplido el deber de información cuando la persona trabajadora conoce la existencia de cámaras de vigilancia a través de carteles informativos, admite la validez de las grabaciones de imágenes como prueba del incumplimiento laboral aunque fuesen realizadas con finalidades distintas a la de control laboral. Se trata de la STC 39/2016, de 3 de marzo de 2016 en la que se enjuicia la eventual nulidad de un despido acreditado por un sistema de videograbación, cuya doctrina viene siendo reiteradamente aplicada por el Tribunal Supremo, especialmente desde la sentencia 654/2017, de 31 de enero de 2017 hasta la actualidad^[5].

En este caso, el TC otorga validez, como medio para acreditar la apropiación de dinero por parte de una empleada mediante falsas operaciones de devolución de prendas de vestir, a las imágenes obtenidas por las cámaras de seguridad instaladas en una tienda de la empresa Bershka BSK España S.A. (perteneciente al grupo Inditex), cuya existencia, no comunicada a los trabajadores, estaba advertida a través de un cartel en un lugar visible del escaparate. Entiende el máximo intérprete constitucional que, «teniendo la trabajadora información previa de la instalación de las cámaras de videovigilancia a través del correspondiente distintivo informativo, y habiendo sido tratadas las imágenes captadas para el control de la relación laboral, no puede entenderse vulnerado el art. 18.4 CE», dado que lo «importante será determinar si el dato obtenido se ha utilizado para la finalidad de control de la relación laboral o para una finalidad ajena al cumplimiento del contrato, porque solo si la finalidad del tratamiento de datos no guarda relación directa con el mantenimiento, desarrollo o control de la relación contractual el empresario estaría obligado a solicitar el consentimiento de los trabajadores afectados».

De esta nueva doctrina constitucional, disienten los magistrados Valdés Dal-Ré, Asua Batarrita y Xiol Ríos en dos votos particulares, en los que, resumidamente: a) se critica el retroceso en la protección de los derechos de los trabajadores que representa el cambio jurisprudencial operado respecto de la STC 29/2013, sin que se haya ofrecido al mismo tiempo la necesaria justificación jurídico-constitucional de tal modificación; b) se entiende que los poderes empresariales de control no son expresiones directas de los derechos amparados por los arts. 33 y 38 CE que proceda confrontar, de manera mecánica y sin mayor argumentación, con los derechos fundamentales de los trabajadores, provocando un juicio de ponderación entre derechos constitucionales; c) se censura que pueda erigirse como elemento decisivo para el juicio de constitucionalidad el contenido de las Instrucción 1/2006 sobre videovigilancia de la AEPD; d) se considera inaceptable que la mera información dirigida al público sea suficiente para cumplir el deber de información a los trabajadores; y e) se sostiene que representa dinamitar el contenido esencial del derecho fundamental a la protección de datos el admitir que «el empresario, ante cualquier sospecha que pueda abrigar, está autorizado por la Constitución a instalar libremente (siempre que en el entorno haya un aviso al público sobre la existencia de cámaras de seguridad) cámaras para el control del trabajo orientadas a seleccionar en primer plano determinadas posiciones ocupadas por los trabajadores», equiparando el supuesto de cámaras instaladas para una concreta vigilancia de determinado trabajador ante la sospecha de actos ilícitos, al del hallazgo casual por las cámaras de vigilancia al público.

2. La doctrina del Tribunal Europeo de Derecho Humanos[Subir]

La Gran Sala del Tribunal Europeo de Derechos Humanos (TEDH) ha tenido oportunidad de pronunciarse sobre el derecho al respeto a la vida privada (art. 8 CEDH) en el ámbito laboral en lo que a la protección de datos personales se refiere, con motivo de revisiones extraordinarias de decisiones previamente adoptadas por diferentes secciones del propio Tribunal.

Destacamos en primer lugar la sentencia de 5 de septiembre de 2017, en el caso conocido como «Bărbulescu II». En esta resolución, el TEDH rectifica el criterio adoptado por la sección cuarta del mismo Tribunal en sentencia de 12 enero de 2016 («Bărbulescu I») y estima la demanda interpuesta por un ciudadano rumano contra la República de Rumanía por considerar que ha existido una intromisión indebida en su vida privada y una violación del derecho al secreto de las comunicaciones en el despido del demandante, decidido tras el control y revisión por la parte empresarial de los mensajes y comunicaciones personales verificadas a través de la utilización de un sistema de mensajería instantánea en el centro de trabajo. El TEDH entiende que la monitorización de los equipos de los empleados requiere que estos hubiesen sido debidamente informados mediante un aviso o comunicación previa del alcance y la naturaleza de la supervisión o de la posibilidad de acceder al contenido de sus comunicaciones, lo que no quedó acreditado en el caso enjuiciado.

Pero, además de esa necesaria información previa sobre la naturaleza de la vigilancia, el TEDH establece un elenco de requisitos o reglas adicionales, a tener en cuenta a efectos de garantizar el respeto a la vida privada y el secreto de la correspondencia en el ámbito de la vigilancia laboral, relativos a los siguientes aspectos: a) el alcance de la vigilancia por el empleador y el grado de intrusión en la vida privada del empleado (nivel de privacidad en la zona objeto de la vigilancia, limitaciones de tiempo y espacio, y número de personas que tienen acceso a los resultados); b) las razones legítimas del empleador que justifican la vigilancia y el alcance de la misma (a mayor intrusión, mayor justificación); c) la posible existencia de un sistema de vigilancia basado en métodos y medidas menos intrusivos; d) las consecuencias de la vigilancia para el empleado sometido a ella; e) la facilitación al trabajador de medidas apropiadas para impedir la injerencia en su vida privada (entre otras, el suministro de información a los interesados o a los representantes del personal en cuanto a la instalación y el alcance de la vigilancia, la declaración de esa medida a un órgano independiente o la posibilidad de presentar una denuncia).

Relevante es también la sentencia de la Gran Sala de 17 de octubre de 2019, en el caso conocido como «López Ribalda II» contra España, en la que el TEDH revisa el pronunciamiento de su Sala tercera de 9 de enero de 2018 (conocido como «López Ribalda I»). El TEDH examina la eventual violación por la entidad Mercadona del derecho al respeto a la vida privada en el despido de varias trabajadoras producido a raíz de unas grabaciones de imágenes. La empresa, tras detectar en uno de sus establecimientos ciertos descuadres entre el inventario y el saldo de caja que provocaron pérdidas, instaló cámaras de vigilancia, algunas visibles y otras ocultas con el fin de confirmar sus sospechas sobre el origen de la situación. Las visibles enfocaban los accesos al establecimiento, mientras que las ocultas lo hacían a los mostradores y cajas registradoras. La empresa solo informó a sus trabajadores de la instalación de las cámaras visibles, pero no de las cámaras ocultas. Las grabaciones de las cámaras ocultas, realizadas durante dos semanas, revelaron que cinco trabajadoras eran las responsables de los robos y se procedió a su despido disciplinario. La impugnación por las trabajadoras de esa extinción contractual con base en una vulneración de su derecho a la intimidad, al no haber sido debidamente informadas sobre la instalación y el uso de las cámaras ocultas, es desestimada por las diferentes instancias judiciales nacionales, que consideran el uso de la videovigilancia encubierta en el lugar de trabajo, sin una comunicación previa, conforme a la potestad conferida al empresario de utilizar de medidas de control y vigilancia que considere adecuadas (art. 20 ET), siempre que resulten necesarias, idóneas y proporcionadas.

La Sala tercera del TEDH en el primer pronunciamiento de 2018 («López Ribalda I») entendió que la empresa, con la medida adoptada, había vulnerado derecho al respeto de la vida privada y a la protección de datos personales, por una parte, por no haber cumplido con la obligación de informar previamente, de manera precisa e inequívoca a los interesados sobre la existencia y las características particulares de un sistema que recopila datos personales (art. 5 LOPD) y, por otra parte, por no superar el test de proporcionalidad al someter a videovigilancia a todos los trabajadores, no solo a los sospechosos, durante toda la jornada laboral y sin límite temporal.

La Gran Sala del TEDH, al conocer del recurso contra este pronunciamiento, lo rectifica considerando que, a fin de garantizar la proporcionalidad de las medidas de videovigilancia en el lugar de trabajo, deben tenerse en cuenta los requisitos o criterios fijados en la sentencia Bărbulescu II y, aplicándolos al caso enjuiciado, dictamina que no se ha vulnerado el derecho al respeto de la vida privada de los demandantes en atención a que:

De estos pronunciamientos, puede concluirse que la doctrina del TEDH resulta ser más respetuosa con la configuración del derecho fundamental a la protección de datos personal que la derivada de la STC 39/2016, de 3 de marzo de 2016, reiteradamente acogida por nuestro Tribunal Supremo^[6]. Para el Tribunal de Estrasburgo el principio de transparencia, y consiguiente deber de información en el ámbito del control laboral, exige aplicar el principio de limitación de la finalidad del tratamiento de manera más rigurosa, siendo necesario como regla de principio la notificación o comunicación previa, clara y precisa de la existencia y alcance del sistema de supervisión implementado que recopila datos de carácter personal, así como la no utilización de estos datos para una finalidad diferente; la omisión de ese deber informativo será excepcional y circunscrita «exclusivamente a los supuestos en que concurre un imperativo preponderante relativo a la protección de los intereses públicos o privados importantes, como cuando existan sospechas fundadas de actos ilícitos graves»^[7].

1. Antecedentes de hecho [Subir]

La STC 160/2021, de 4 de octubre, enjuicia un supuesto de control empresarial a través de la monitorización de las llamadas telefónicas recibidas y realizadas en el lugar de trabajo.

El procedimiento se inicia por un trabajador de la empresa Telefónica, encargado de atender telefónicamente a los clientes, en calidad de asesor comercial, al que la empresa notifica su despido el 6 de junio de 2014 por entender que ha cometido una falta muy grave, al amparo de lo dispuesto en el art. 212 i) y j) de la reglamentación laboral interna, en relación con el art. 54.2 b) y d) del ET (indisciplina o desobediencia y transgresión de la buena fe contractual). El despido fue justificado al comprobar la empresa que, durante diferentes días de los meses de marzo y abril de 2014, y hasta en un total de ocho ocasiones, se prestó a los clientes «una deficiente atención y una dilación injustificada en la resolución de los problemas que le planteaban, sin seguir los procedimientos establecidos para encauzar las incidencias, incluso en algunos casos facilitándoles información errónea». Resulta probado que, en varias ocasiones, la empresa advierte al trabajador sobre la incorrección de su proceder, dándole las indicaciones pertinentes para una actuación adecuada.

El incumplimiento laboral fue constatado por el sistema de monitorización, continuado, general y permanente, de las llamadas telefónicas (captación y grabación de la voz) de los asesores comerciales, que la empresa venía haciendo en virtud de un pacto firmado con la representación de los trabajadores el 18 de noviembre de 2003. En dicho acuerdo, en relación con la grabación de las llamadas, se afirmaba que «la dirección de la empresa manifiesta que la finalidad del proyecto es la identificación de carencias formativas para la prestación de los servicios de atención y ventas, que permita la elaboración de planes individuales de formación y mejora de competencias capaces de superar las referidas carencias […] asumiendo la empresa el compromiso de que la monitorización no tendrá en ningún caso como objetivo su utilización como un mecanismo disciplinario»^[8].

El trabajador impugnó el despido solicitando su nulidad por entender vulnerado su derecho a la protección de datos personales, al haber incumplido la empresa su compromiso de que la grabación de las conversaciones nunca tendría una finalidad disciplinaria.

En primera instancia, la sentencia 276/2015 del Juzgado de lo Social de Zaragoza, de 9 de junio de 2015, declaró la improcedencia del despido, dado que del contenido de las grabaciones no derivaba un incumplimiento grave de las obligaciones laborales del trabajador, pero desestimó su nulidad en razón de que la monitorización de las llamadas resultaba ser una medida proporcionada dentro de las facultades de control empresarial, de la que tenían perfecto conocimiento los asesores comerciales, afirmando que el pacto alcanzado en 2003 con la representación de los trabajadores «no excluye en modo alguno que la empresa pueda utilizar este soporte como medio de prueba en caso de constatar, no ya un defecto de formación en el trabajador sino un incumplimiento grave de sus deberes laborales».

La Sala de lo Social del Tribunal Superior de Justicia de Aragón, en sentencia 379/2016, de 27 de mayo de 2016, tomando como referencia la jurisprudencia del TS y la STC 39/2016, desestimó el recurso de suplicación, confirmando la validez de la prueba de las grabaciones por falta de lesión del derecho a la protección de datos del trabajador, al considerar que el compromiso asumido por la empresa en 2003 «en ningún caso puede traducirse en la inmunidad de los asesores frente al control empresarial de la actividad laboral que desempeñan, siempre que se realice en condiciones de respeto a su esfera íntima inatacable». Como se ha advertido^[9], «la tesis de los juzgadores es que aunque la empresa haya renunciado mediante pacto colectivo al uso del poder disciplinario ese pacto debe considerase ineficaz (o nulo), dado que la empresa, aunque quiera y así lo manifieste en un acuerdo colectivo, no puede renunciar al poder disciplinario».

Interpuesto recurso de casación para la unificación de doctrina por el demandante, resultó inadmitido por falta de contradicción. Contra este pronunciamiento, formulado mediante auto de la Sala de Social del TS de 18 de mayo de 2017, el trabajador interpuso recurso de amparo por considerar la «especial trascendencia constitucional» del asunto, permitiendo al Tribunal «aclarar la doctrina contenida en la STC 29/2013 con el fin de (i) concretar la amplitud del derecho a la intimidad personal a que se refiere el art. 18.4 CE en el puesto de trabajo, dadas las nuevas realidades sociales y el incremento de la vigilancia y control al través de medios informáticos y digitales, y (ii) el efecto sobre este derecho del incumplimiento empresarial del compromiso de no usar las grabaciones con fines disciplinarios».

En trámite de alegaciones, el Ministerio Fiscal interesó la desestimación del recurso de amparo, por considerar, a partir de los hechos probados, que la decisión empresarial no era inmotivada, arbitraria, o irrazonable y cumplía con los cánones requeridos por la jurisprudencia constitucional, considerando que el objeto del recurso solo de manera tangencial afectaba al derecho fundamental al estar centrado exclusivamente en dilucidar «el alcance del compromiso asumido por la empresa», referido a la renuncia empresarial a la utilización de las grabaciones con fines disciplinarios.

El TC admitió a trámite el recurso apreciando la concurrencia de una especial trascendencia constitucional (art. 50.1 LOTC), al afectar la resolución del conflicto «a una faceta de un derecho fundamental sobre el que no hay doctrina de este Tribunal». En concreto, considera que la jurisprudencia constitucional ha abordado la relevancia de grabaciones sonoras sobre los derechos fundamentales en el contexto de las relaciones laborales, pero solo desde la perspectiva del derecho a la intimidad (art. 18.1 CE), y no desde la protección de datos de carácter personal (art. 18.4 CE), o solo desde la óptica de la falta de conocimiento de la grabación de imágenes durante el desarrollo de la actividad laboral (STC 39/2016, de 3 de marzo), pero no en situaciones como la que plantea la singularidad del caso concreto, en el que «si bien los trabajadores —en este caso asesores comerciales de una compañía de telefonía— eran conocedores del hecho de la grabación, tenían un compromiso expreso de la empresa de que en ningún caso tendrían como objetivo su utilización como un mecanismo disciplinario. Por tanto, la trascendencia constitucional del asunto consiste en determinar la relevancia que para la configuración del derecho a la protección de datos del carácter personal (art. 18.4 CE) tienen las condiciones pactadas entre las partes respecto del uso de los datos de carácter personal obtenidos mediante estas grabaciones» (Fundamento jurídico 2).

2. Doctrina[Subir]

Centrado el objeto del recurso en la determinación de la eventual vulneración del derecho a la protección de datos del trabajador por la utilización de las grabaciones sonoras para acreditar el incumplimiento laboral, pese al compromiso de la empresa de no utilizarlas como mecanismo disciplinario, el TC analiza por separado, en primer lugar, la incidencia de la monitorización del trabajo en el derecho a la protección de datos y, en segundo término, si el incumplimiento del compromiso asumido por la empresa de no utilizar las grabaciones con fines disciplinarios repercute en el derecho a la protección de datos.

1. Control tecnológico laboral y cumplimiento normativo: no solo la transparencia, los principios de minimización y limitación de la finalidad como parte del núcleo esencial del derecho a la protección de datos personales[Subir]

Partiendo de que, con carácter general, en el ámbito de las relaciones laborales, la base jurídica que legitima el tratamiento de datos personales de las personas trabajadoras con finalidades de control del cumplimiento de sus obligaciones por las personas trabajadoras vendrá determinada por la existencia de una relación contractual conforme a lo señalado en el art. 6.1.b) del RGPD^[11], la legitimidad de los sistemas de supervisión empresarial llevada a cabo por medios tecnológicos requerirá, por norma, el cumplimiento de todos los principios configuradores del derecho fundamental; principios jurídicos que constituyen deberes para el responsable del tratamiento y derechos para los interesados.

Estos principios, que forman parte del contenido esencial del derecho fundamental^[12], y que cualquier responsable de un tratamiento de datos personales debe estar en condiciones de demostrar su cumplimiento (responsabilidad proactiva), se encuentran actualmente recogidos en el art. 5 RGPD, a saber: a) Licitud (el tratamiento debe encontrar justificación en alguna de las razones legales establecidas en los arts. 6 y 9 RGPD), lealtad (impide recabar datos personales por medios fraudulentos, desleales o ilícitos e implica el reconocimiento de las expectativas razonables de privacidad del interesado) y transparencia (mediante la articulación de medidas para facilitar al interesado toda la información relativa al tratamiento y al uso de su información personal); b) Limitación de la finalidad, debiendo realizarse el tratamiento para fines determinados, explícitos y legítimos y proscribiéndose un tratamiento ulterior de los datos que sea incompatible con la finalidad original; c) Minimización, de modo que solo se realizará un tratamiento de datos personales cuando la finalidad pretendida no pueda realizarse por otros medios y, en tal caso, solo se utilizarán los datos adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados; d) Exactitud de los datos, debiendo adoptarse todas las medidas razonables para la supresión o rectificación sin dilación de los datos inexactos con respecto a los fines para los que se tratan; e) Limitación del plazo de conservación, no manteniendo los datos durante más tiempo del necesario para los fines del tratamiento; y f) Integridad y confidencialidad, garantizando la seguridad de los datos, de manera que queden protegidos contra el acceso, uso, modificación o difusión, no autorizado o ilícito y contra su pérdida, destrucción o daño accidental.

En el ámbito del control tecnológico empresarial, la garantía de la transparencia es la que ha venido suscitando la mayor conflictividad, en buena medida tras el devaluado cumplimiento del deber de información exigido por la doctrina constitucional tras la STC 39/2016; línea jurisprudencial controvertida que en la actualidad ha quedado circunscrita a aquel supuesto en el que la utilización de dispositivos de videovigilancia «haya captado la comisión flagrante de un acto ilícito por los trabajadores o empleados públicos», en cuyo caso «se entenderá cumplido el deber de informar cuando existiese al menos el dispositivo al que se refiere el art. 22.4 de esta Ley orgánica» (art. 89.1, segundo párrafo, LOPDGDD)^[13], es decir, la información genérica facilitada a través de «un dispositivo informativo en lugar suficientemente visible identificando, al menos, la existencia del tratamiento, la identidad del responsable y la posibilidad de ejercitar los derechos previstos en los arts. 15 a 22 del Reglamento 2016/679», pudiendo incluirse también en el propio dispositivo «un código de conexión o dirección de internet a esta información»^[14]. Con carácter general, sin embargo, como se indica en la propia norma, la licitud de la videovigilancia con finalidad de control laboral requerirá «informar con carácter previo, y de forma expresa, clara y concisa, a los trabajadores o los empleados públicos y, en su caso, a sus representantes, acerca de esta medida»^[15].

Pero, abundando en el pronunciamiento del TC, lo significativo es que en el caso enjuiciado entran en juego, no solo la garantía de transparencia y consiguiente derecho a recibir información previa, sino otros principios vigentes en la legislación aplicable a los hechos, encuadrados en el anterior parámetro de «calidad de los datos» previsto en la Ley Orgánica 15/1999, que forman parte del contenido esencial del derecho fundamental, pero parecen resultar irrelevantes para el intérprete constitucional.

Recordemos que, no solo en el actual régimen normativo de protección de datos, sino también en el aplicable a los hechos enjuiciados, los datos personales solo podrán ser objeto de tratamiento cuando sean «adecuados, pertinentes y no excesivos en relación con el ámbito y las finalidades para las que se hayan obtenido» (arts. 4.1 de la derogada Ley Orgánica 15/1999 y 5.1.c RGPD). Además, deben ser recogidos para fines «determinados, explícitos y legítimos», quedando, como regla, prohibido su tratamiento posterior «de manera incompatible con dichos fines» (arts. 4.1 y 4.2 de la derogada Ley Orgánica 15/1999 y art. 5.1.b RGPD). El RGPD explicita algo más que la legislación derogada y ofrece algunos criterios en orden a determinar la posible compatibilidad entre finalidades diferentes. Al efecto, señala el art. 6.4 RGPD que «se tendrá en cuenta, entre otras cosas: a) cualquier relación entre los fines para los cuales se hayan recogido los datos personales y los fines del tratamiento ulterior previsto; b) el contexto en que se hayan recogido los datos personales, en particular por lo que respecta a la relación entre los interesados y el responsable del tratamiento; c) la naturaleza de los datos personales, en concreto cuando se traten categorías especiales de datos personales, de conformidad con el art. 9, o datos personales relativos a condenas e infracciones penales, de conformidad con el art. 10; d) las posibles consecuencias para los interesados del tratamiento ulterior previsto; e) la existencia de garantías adecuadas, que podrán incluir el cifrado o la seudonimización». La evaluación de la compatibilidad entre los fines es, por tanto, una pieza clave para la legitimidad de un tratamiento ulterior de los datos personales.

Pues bien, en relación con ambas piedras angulares del derecho fundamental a la protección de datos, llama la atención que el TC, en la sentencia objeto de este comentario, no haya tomado en consideración a la incidencia que sobre la validez del sistema de control empresarial pueda tener un déficit de su cumplimiento. En otros términos, cabría entrar a valorar si la inobservancia parcial o total del régimen normativo en materia de protección de datos comporta una infracción constitucional del derecho a la protección de datos y, consecuentemente, la nulidad de la prueba así obtenida.

El principio de limitación de la finalidad es una garantía que refuerza el control sobre la propia información, al estar estrechamente vinculado con la transparencia del tratamiento, y facilita el efectivo ejercicio de sus derechos por los interesados. El interesado debe ser informado siempre de «los fines del tratamiento a que se destinan los datos personales» (arts. 13.1.c y 14.1.c RGPD) e, incluso, cuando se proyecte un tratamiento ulterior de datos personales para un fin distinto al que se recogieron, debe facilitarse al interesado, con anterioridad a dicho tratamiento ulterior, «información sobre ese otro fin» (arts. 13.3 y 14.4 RGPD). Significativo, en este sentido, es que la regulación actual contenida en LOPDGDD sobre la videovigilancia tome como eje conductor la finalidad del tratamiento, difiriendo el régimen aplicable según se realice con fines de seguridad de las personas, bienes o instalaciones (art. 22) o con finalidades de control laboral (art. 89)^[16].

En el supuesto enjuiciado debería haberse entrado a valorar el cumplimiento de este principio, pues siendo la finalidad de la recogida de datos formativa, pactada con la representación de los trabajadores y comunicada a estos, las grabaciones de voz han sido posteriormente tratadas con fines de control laboral. Es por ello que hubiera sido deseable el cuestionamiento y una toma de posición por parte del TC sobre la compatibilidad entre ambos fines, máxime teniendo en cuenta el contexto laboral de la recogida, la situación de desequilibrio entre responsable del tratamiento (empresa) e interesado (persona trabajadora), las expectativas derivadas de la existencia del pacto colectivo^[17], y las consecuencias perjudiciales que para la persona trabajadora tiene ese tratamiento posterior con fines de control y disciplinario.

Lo mismo puede indicarse respecto del principio de minimización, estrechamente relacionado con el de limitación de la finalidad, en cuanto que debe existir una relación directa entre los fines del tratamiento y la adecuación y pertinencia de los datos personales tratados para alcanzarlos, que deben ser los menores posibles («no excesivos en relación con el ámbito y las finalidades para las que se hayan obtenido», según el tenor del art. 4.1 Ley Orgánica 15/1999, o «limitados a lo necesario en relación con los fines para los que son tratados», en términos del art. 5.1.c RGPD).

En el caso enjuiciado, no se trata de que los datos recogidos (las grabaciones de voz) no resulten adecuados y pertinentes para la finalidad de control laboral, el problema se encuentra en lo innecesario de la acumulación de datos para alcanzar esta finalidad al producirse una monitorización constante y permanente de toda la actividad laboral, lo que puede hacer que el tratamiento no respete el principio de minimización o resulte excesivo^[18].

No obstante, la decisión final del TC pudiera ser indicativa de que el incumplimiento de estos principios no comporta afectación constitucional del derecho a la protección de datos del trabajador, siempre que se supere el juicio de proporcionalidad como apunta la línea jurisprudencial derivada de la STC 39/2016 en relación con la garantía de transparencia y consiguiente deber información. En consecuencia, a efectos de valorar la proporcionalidad del tratamiento objeto del litigio principal, es necesario medir la gravedad de la injerencia en el derecho fundamental a la protección de datos de carácter personal y determinar si la importancia del objetivo de interés general perseguido por el tratamiento es proporcionada a la gravedad de la injerencia.

La cuestión es que, así las cosas, el máximo intérprete constitucional da por superado ese juicio o canon interpretativo de proporcionalidad, asumiendo la valoración realizada en las sentencias de los órganos judiciales ordinarios que «parecen admitir todas ellas que la monitorización constante de todas, y cada una de las llamadas, es completamente «necesario y proporcional»»^[19].

En este sentido, cabe lamentar la ausencia del recurso al método ponderativo y de una valoración del justo equilibrio entre los derechos en colisión por parte del TC, máxime cuando el juicio constitucional de proporcionalidad en el ámbito del derecho fundamental a la protección de datos personales, en buena medida, debe realizarse en conjunción con los principios expuestos de «calidad de los datos», pues, por una parte, el subjuicio de idoneidad exige la adecuación y pertinencia de los datos en relación con lo fines para los que son tratados, así como, por otra, el enjuiciamiento de la necesidad implica respetar el principio de limitación a lo necesario en relación con los fines, a lo que debe sumarse el test de proporcionalidad en sentido estricto^[20].

Pero incluso, yendo más allá de la utilización de las grabaciones sonoras con finalidad de control laboral, y siendo preceptivo en cualquier tratamiento de datos personales el cumplimiento de estos principios rectores y garantías legales, en el caso concreto enjuiciado por el TC, se ha eludido probablemente el problema constitucional más relevante: la propia legitimidad de un sistema de monitorización de la actividad laboral continuo, constante y permanente implementado vía convenio colectivo, aun siendo conocido e informado a las personas trabajadoras^[21].

2. La especial trascendencia constitucional: incidencia de la negociación colectiva en el derecho fundamental, ¿cuestión de legalidad ordinaria?[Subir]

Como se ha señalado anteriormente, la STC 160/2021 sitúa la especial trascendencia constitucional del caso enjuiciado en la cuestión relativa a la incidencia que pueda tener la negociación colectiva en el tratamiento de los datos de las personas trabajadoras, para concluir que carece de trascendencia desde la perspectiva constitucional, por tratarse de una cuestión de mera legalidad ordinaria, ajena al derecho fundamental a la protección de datos personales.

Cabe dudar razonablemente de que la conclusión alcanzada en este punto por el TC guarde, como se ha advertido^[22], coherencia en relación con el requisito de admisión de las demandas de amparo relativo al concepto de especial trascendencia constitucional (arts. arts. 49.1, 50.1 y 50.3 Ley Orgánica 2/1979, de 3 de octubre, del Tribunal Constitucional —LOTC—); especial trascendencia que, según reza el art. 50.1.b) LOTC, se apreciará por la importancia del recurso para la interpretación de la Constitución, para su aplicación o general eficacia, y para la determinación del contenido y alcance de los derechos fundamentales, y se vincula con una decisión sobre el fondo.

Una valoración mucho más acorde con la apreciación realizada sobre la trascendencia constitucional del asunto consistente, a juicio del Tribunal, «en determinar la relevancia que para la configuración del derecho a la protección de datos del carácter personal (art. 18.4 CE) tienen las condiciones pactadas entre las partes respecto del uso de los datos de carácter personal obtenidos mediante estas grabaciones», y aun teniendo claro que «la especial trascendencia constitucional no predetermina el sentido estimatorio del fallo, desde una perspectiva material», debería haber conducido al TC a entrar en el fondo del asunto «que no ha sido resuelto con anterioridad, sobre el que la doctrina constitucional es insuficiente (más que inexistente) o que ofrece una posibilidad de modificar o aclarar una doctrina preexistente»^[23].

La cuestión relativa a la consideración que debe otorgarse a la introducción de garantías adicionales vía autonomía colectiva en los derechos fundamentales de las personas trabajadoras, y las consecuencias que la vulneración o infracción de tales garantías deba ocasionar, dista, a nuestro juicio, de ser eludida dejándola en manos de la jurisdicción ordinaria y reducciendo así el ámbito de protección de los derechos fundamentales de las personas trabajadoras. La aplicación del principio de interpretación más favorable a la efectividad de los derechos fundamentales (SSTC 17/1985, de 9 de febrero y 200/2014, de 15 de diciembre) también militaría a favor de conceder relevancia constitucional a esta cuestión. Más aún cuando, aunque no sea de aplicación a los hechos, no puede obviarse por completo la nueva realidad normativa de la protección de datos en el contexto laboral. Tanto el legislador europeo como el nacional han dado entrada a la negociación colectiva, peculiar fuente normativa del Derecho laboral, en la regulación del derecho fundamental a la protección de datos^[24].

En concreto, el RGPD reconoce dos ámbitos en los que el convenio colectivo puede jugar un papel fundamental en la delimitación del derecho a la protección de datos personales. En primer lugar, realiza una llamada a la negociación colectiva para incorporar excepciones a la prohibición de tratamiento de datos de categorías especiales de los trabajadores, siempre que se establezcan «garantías adecuadas del respeto de los derechos fundamentales y de los intereses del interesado» (art. 9.2. b RGPD). Tal sería el caso de la utilización de datos biométricos con finalidades de control de la jornada laboral autorizada en el marco de un convenio colectivo^[25]. En segundo lugar, habilita al convenio colectivo para establecer normas específicas relativas al tratamiento de datos personales de los trabajadores en el ámbito laboral, «en particular a efectos de contratación de personal, ejecución del contrato laboral, incluido el cumplimiento de las obligaciones establecidas por la ley o por el convenio colectivo, gestión, planificación y organización del trabajo, igualdad y diversidad en el lugar de trabajo, salud y seguridad en el trabajo, protección de los bienes de empleados o clientes, así como a efectos del ejercicio y disfrute, individual o colectivo, de los derechos y prestaciones relacionados con el empleo y a efectos de la extinción de la relación laboral» (considerando 155 y art. 88^[26]).

El legislador español recoge la negociación colectiva en la regulación del derecho a la desconexión digital (art. 88) y, en general, para establecer «garantías adicionales de los derechos y libertades relacionados con el tratamiento de los datos personales de los trabajadores y la salvaguarda de derechos digitales en el ámbito laboral» (art. 91 LOPDGDD). No se contempla expresamente la posibilidad de regular por vía convencional aspectos de la protección de categorías especiales de datos de los trabajadores, aunque es una posibilidad derivada directamente del RGPD y que encaja en los amplios términos de la norma nacional.

La negociación colectiva es, pues, reconocida formalmente como fuente normativa en el establecimiento de garantías adicionales a las previstas legalmente siempre que exista afectación de los derechos fundamentales de las personas trabajadoras por el tratamiento de sus datos personales^[27].

Por tanto, ante este nuevo régimen legal, cabe plantearse si será posible seguir aplicando el criterio jurisprudencial sobre el papel y alcance de la negociación colectiva en la configuración del derecho a la protección de datos que, con relación a hechos anteriores a la LOPDGDD, ha mantenido el TC en esta sentencia. Sigue siendo una cuestión abierta, a nuestro juicio, delimitar si las garantías adicionales a la previstas por el legislador introducidas vía convenio colectivo se integran en el contenido esencial del derecho a la protección de datos personales de las personas trabajadoras o, por ser ajenas al mismo, constituyen una cuestión de mera legalidad ordinaria^[28].