Publicación de correo electrónico con información municipal en redes sociales por parte de trabajadora del ayuntamiento: ¿infringe la legislación sobre protección de datos?

Planteamiento

Una trabajadora del ayuntamiento emitió un correo cuyos destinatarios eran terceros que no pertenecen a la entidad local.

El correo a grandes rasgos tenía como mensaje una serie de instrucciones de comportamiento en las instalaciones públicas.

Ese correo se ha difundido en las redes sociales, con el pie de correo en el que aparece su nombre y apellidos y el cargo que ostenta.

¿Sería un delito o falta esta publicación desde el punto de vista de la protección de datos?

Respuesta

En primer lugar, debemos aclarar si el correo electrónico tiene la consideración de dato personal. Así, el art. 4.1 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos) -RGPD-, indica que se entenderá por datos personales:

• “1) «datos personales»: toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona.”

El citado RGPD y la LO 3/2018, de 5 de diciembre, de Protección de Datos Personalesy garantía de los derechos digitales -LOPD-, recogen el deber de confidencialidad de los datos personales. En concreto, el art. 5 LOPD establece que todas las personas que intervengan en cualquier fase del tratamiento de datos estarán sujetas al deber de confidencialidad. Esta obligación será complementaria de los deberes de secreto profesional de conformidad con la normativa aplicable en la materia.

Respecto a si existe o no obligación de confidencialidad del contenido de los correos electrónicos enviados, que, como hemos dicho, tiene la consideración de dato personal, el art. 5.1.f) RGPD recoge el principio de integridad y de confidencialidad al establecer que los datos personales serán:

• “f) tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»).”

De lo anterior se desprende que el deber de secreto es una obligación impuesta por la normativa vigente de protección de datos a todas aquellas personas que intervengan en el tratamiento de datos personales. Por tanto, si existe un contrato previo suscrito entre la empresa y el trabajador de confidencialidad, práctica bastante habitual, existirá dicha obligación en los correos electrónicos enviados en la medida en que contienen instrucciones o comunicaciones relacionadas con su puesto de trabajo.

Sin embargo, de no existir dicho contrato de confidencialidad, como indicamos en la consulta “¿Pueden los empleados públicos del ayuntamiento negarse a la firma de un documento de compromiso de confidencialidad y secreto profesional?”, se desprende del art. 5 LOPD que el deber de secreto es una obligación que viene impuesta por la normativa vigente de protección de datos personales a todas las personas que intervengan en el tratamiento de datos personales, sin que el hecho de que no firmar por escrito un documento que recoja dicha obligación les exima de su cumplimiento.

Además, en el caso de que el trabajador indicado fuese personal funcionario, entre los deberes de los empleados públicos previstos en el art. 52 del RDLeg 5/2015, de 30 de octubre, por el que se aprueba el texto refundido de la Ley del Estatuto Básico del Empleado Público -TREBEP-, encontramos el de confidencialidad.

Por otra parte, la Ley 19/2013, de 9 de diciembre, de transparencia, acceso a la información pública y buen gobierno -LT- recoge los medios en los que debe efectuarse la publicación y qué documentos deben ser publicados a efectos de garantizar la publicidad activa de determinada información; en concreto se indica que dicha información deberá estar disponible en las sedes electrónicas, portales o páginas web de los sujetos a los que resulta de aplicación la normativa de transparencia (en este caso, el ayuntamiento correspondiente), así como en el tablón de edictos, nunca en redes sociales.

Por tanto, la publicación en redes sociales del contenido de documentación municipal sin autorización a la que se hace mención en la consulta, en la medida en la que no existe una habilitación legal, supondría una cesión de datos cuando contenga datos personales de personas físicas, por lo que su publicación sólo puede fundamentarse en el consentimiento expreso de los titulares, en los términos del art. 6.1.a) RGPD. Careciendo de dicha autorización, supone una infracción del deber de sigilo con la información que recaba del ayuntamiento en ejercicio de su cargo, y que se puede subsumir en el art. 29.1.d) LT, como infracción muy grave por llevar a cabo la publicación o utilización indebida de la documentación o información a que tengan o hayan tenido acceso por razón de su cargo o función.

Expuesto de este modo el ámbito jurídico del deber de sigilo con la información pública, nos indica nuestro consultante que el correo que se ha difundido en las redes sociales, tiene un pie de correo en el que aparece el propio nombre y apellidos y el cargo que ostenta la trabajadora del ayuntamiento que ha difundido dichos datos, por lo que dicha actuación queda amparada en el propio consentimiento de la titular, por lo que dicha conducta no debe encontrar reproche desde el ámbito de la protección de datos.

Cuestión distinta es el incumplimiento de la obligación de confidencialidad del contenido de los correos electrónicos enviados, lo que supone un incumplimiento del deber de confidencialidad de los empleados públicos previstos en el art. 52 TREBEP, que puede llevar aparejada la incoación de un expediente disciplinario.

Conclusiones

1ª. El contenido de los correos electrónicos, así como la dirección electrónica, tienen la consideración con carácter general de datos personales.

2ª. El deber de secreto es una obligación que impone la normativa de protección de datos a cualquier persona que realice un tratamiento de datos personales, independientemente de que se comprometa o no por escrito a guardar confidencialidad sobre dichos datos personales.

3ª. La publicación en redes sociales del contenido de documentación municipal sin autorización, en la medida en la que no existe una habilitación legal, supondría una cesión de datos cuando contenga datos personales de personas físicas, por lo que su publicación sólo puede fundamentarse en el consentimiento expreso de los titulares, en los términos del art. 6.1 a) RGPD.

4ª. El correo que se ha difundido en las redes sociales tiene un pie de correo en el que aparece el propio nombre y apellidos y el cargo que ostenta la trabajadora del ayuntamiento que ha difundido dichos datos, por lo que dicha actuación queda amparada en el propio consentimiento de la titular, por lo que dicha conducta no debe encontrar reproche desde el ámbito de la protección de datos.

5ª. Cuestión distinta es el incumplimiento de la obligación de confidencialidad del contenido de los correos electrónicos enviados, lo que supone un incumplimiento del deber de confidencialidad de los empleados públicos previstos en el art. 52 TREBEP, que puede llevar aparejada la incoación de un expediente disciplinario.