Una empleada de la compañía SURAVAL, utilizando el usuario y la clave que tenía asignada por su empresa, efectuó una consulta personal en el fichero de solvencia patrimonial ASNEF-EQUIFAX a efectos de conocer la información que en dicha base de datos constaba sobre su hermano y su sobrina.
Una vez estos tuvieron constancia de estas consultas efectuadas por la compañía SURAVAL (a pesar de que fueron efectuadas por la empleada), remitieron una comunicación a la entidad en la que se solicitaba información sobre el motivo de las mismas. Debido a la ausencia de respuesta, interpusieron una reclamación ante la AEPD.
Con motivo de la tramitación de dicha reclamación, la empleada reconoció el uso de las claves para realizar la consulta, sin que la compañía tuviera conocimiento de ello (por lo que se incoó un expediente disciplinario y se le impuso una “sanción de suspensión de empleo y sueldo”). La AEPD dictó una resolución sancionadora en la que, con ocasión de la infracción del artículo 6.1 de la Ley Orgánica de Protección de Datos ya derogada, se imponía una sanción de 1.500 euros.
Posteriormente, los afectados interpusieron una demanda contra la empleada y la compañía por la vulneración de su honor al efectuar indebidamente la consulta, reclamando el pago de una indemnización por daños morales y por los daños y perjuicios ocasionados.
El Juzgado de Primera Instancia desestimó la demanda, descartando que existiese una vulneración del derecho al honor, ya que “lo que se produjo fue una investigación patrimonial que no afectaba a dicho derecho fundamental y que fue sancionada en la vía administrativa correspondiente”. Adicionalmente, declaró que la compañía había implementado protocolos y medidas de seguridad, sin que pudiese evitar “el mal uso en dichos accesos realizados por su empleada que de ninguna manera eran consentidos ni conocidos”.
Una vez recurrida en apelación dicha resolución judicial, se dictó sentencia por la Audiencia Provincial en la que, respecto de la intromisión a su intimidad (pudiéndose apreciar un cambio de estrategia, puesto que ya no se hacía referencia a su derecho al honor), no se había vulnerado este derecho, por cuanto la mala situación de los afectados constaba en diversos registros públicos. Asimismo, se hacía constar que dicha actuación ya había sido sancionada laboral y administrativamente.
Contra la sentencia de apelación, se interpuso posteriormente recurso de casación en el que se hacía constar que “la consulta no autorizada de un fichero de datos personales no solo tiene consecuencias de orden administrativo, sino que también supone una intromisión ilegítima en el derecho fundamental a la intimidad”.
En este sentido, nuestro Alto Tribunal ha declarado que no hubo revelación alguna de datos personales, puesto que dicha información ya era pública (por ejemplo, constaban diversos embargos en el Registro de la Propiedad), no habiéndose generado un perjuicio con ocasión de la consulta.
En relación con los daños causados por el acceso al fichero, se afirma en la sentencia que “no puede considerarse que toda infracción de las disposiciones sobre protección de datos personales dé lugar, por sí sola, a un derecho a una indemnización a favor del interesado”. Muy al contrario, se indica que para que se pueda tener derecho a dicha indemnización es necesario que haya un tratamiento que infrinja la normativa; que existan unos daños y perjuicios para los afectados y que se pueda apreciar una relación de causalidad entre el tratamiento y los daños.
Así, tal y como se declaró por el Tribunal de Justicia de la Unión Europea en su sentencia de diciembre de 2023 (analizada en la newsletter de dicho mes), “es preciso que el afectado pruebe que la vulneración de la normativa de protección de datos le haya causado algún perjuicio”, sin que en el caso que nos ocupa se haya acreditado que la consulta hubiera tenido ninguna trascendencia externa que hubiera generado un perjuicio a los demandantes, como se ha indicado.
Concluye el Alto Tribunal declarando que “una cosa es la infracción de la normativa sobre protección de datos, que puede dar lugar a una sanción administrativa, y otra la obtención de una indemnización que no puede ser automática; sin que quepa una equiparación lineal entre infracción e indemnización”.
Puede acceder a la Sentencia del Tribunal Supremo aquí.
