"...1. Según se ha consignado en los antecedentes, la demanda de amparo se fundamenta en la infracción de los arts. 14, 15, 18.1, 18.4 y 24 CE, por haberse admitido como prueba de cargo en el proceso por despido las grabaciones de vídeo presentadas por la empresa, prueba que la recurrente estima nula de pleno derecho al haberse obtenido vulnerando derechos fundamentales del trabajador...
3. Por lo que se refiere, en primer lugar, a la vulneración del art. 18.4 CE, derecho a la protección de datos, debemos recordar que la imagen se considera un dato de carácter personal, en virtud de lo establecido en el art. 3 de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal, que considera dato de carácter personal "cualquier información concerniente a personas físicas identificadas o identificables", y el art. 5.1 f) del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, que considera como dato de carácter personal la información gráfica o fotográfica.
Como afirma la STC 292/2000, de 30 de noviembre, FJ 7, "el contenido del derecho fundamental a la protección de datos consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el Estado o un particular. Y ese derecho a consentir el conocimiento y el tratamiento, informático o no, de los datos personales, requiere como complementos indispensables, por un lado, la facultad de saber en todo momento quién dispone de esos datos personales y a qué uso los está sometiendo, y, por otro lado, el poder oponerse a esa posesión y usos".
Son así elementos característicos de la definición constitucional del derecho fundamental a la protección de datos personales "los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. Y resultan indispensables para hacer efectivo ese contenido el reconocimiento del derecho a ser informado de quién posee sus datos personales y con qué fin, y el derecho a poder oponerse a esa posesión y uso requiriendo a quien corresponda que ponga fin a la posesión y empleo de los datos. Es decir, exigiendo del titular del fichero que le informe de qué datos posee sobre su persona, accediendo a sus oportunos registros y asientos, y qué destino han tenido, lo que alcanza también a posibles cesionarios; y, en su caso, requerirle para que los rectifique o los cancele" (STC 292/2000, de 30 de noviembre, FJ 7).
El consentimiento del afectado es, por tanto, el elemento definidor del sistema de protección de datos de carácter personal. La LOPD establece el principio general de que el tratamiento de los datos personales solamente será posible con el consentimiento de sus titulares, salvo que exista habilitación legal para que los datos puedan ser tratados sin dicho consentimiento. En este sentido, no podemos olvidar que conforme señala la STC 292/2000, de 30 de noviembre, FJ 16, "es el legislador quien debe determinar cuándo concurre ese bien o derecho que justifica la restricción del derecho a la protección de datos personales y en qué circunstancias puede limitarse y, además, es el quien debe hacerlo mediante reglas precisas que hagan previsible al interesado la imposición de tal limitación y sus consecuencias".
De este modo, el art. 6.1 LOPD prevé que "el tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la ley disponga otra cosa". El propio art. 6 LOPD, en su apartado 2, enumera una serie de supuestos en los que resulta posible el tratar y ceder datos sin recabar el consentimiento del afectado; en concreto, "no será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado".
En el ámbito laboral el consentimiento del trabajador pasa, por tanto, como regla general a un segundo plano pues el consentimiento se entiende implícito en la relación negocial, siempre que el tratamiento de datos de carácter personal sea necesario para el mantenimiento y el cumplimiento del contrato firmado por las partes. Esta excepción a la exigencia de consentimiento aparece también recogida en el art. 10.3 b) del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal (en adelante, RPD), según el cual los datos de carácter personal podrán tratarse sin necesidad del consentimiento del interesado cuando "se recaben por el responsable del tratamiento con ocasión de la celebración de un contrato o precontrato o de la existencia de una relación negocial, laboral o administrativa de la que sea parte el afectado y sean necesarios para su mantenimiento o cumplimiento".
La dispensa del consentimiento se refiere, así, a los datos necesarios para el mantenimiento y cumplimiento de la relación laboral, lo que abarca, sin duda, las obligaciones derivadas del contrato de trabajo. Por ello un tratamiento de datos dirigido al control de la relación laboral debe entenderse amparado por la excepción citada, pues está dirigido al cumplimiento de la misma. Por el contrario, el consentimiento de los trabajadores afectados sí será necesario cuando el tratamiento de datos se utilice con finalidad ajena al cumplimiento del contrato.
Ahora bien, aunque no sea necesario el consentimiento en los casos señalados, el deber de información sigue existiendo, pues este deber permite al afectado ejercer los derechos de acceso, rectificación, cancelación y oposición y conocer la dirección del responsable del tratamiento o, en su caso, del representante (art. 5 LOPD).
El deber de información previa forma parte del contenido esencial del derecho a la protección de datos, pues resulta un complemento indispensable de la necesidad de consentimiento del afectado. El deber de información sobre el uso y destino de los datos personales que exige la LOPD está íntimamente vinculado con el principio general de consentimiento para el tratamiento de los datos, pues si no se conoce su finalidad y destinatarios, difícilmente puede prestarse el consentimiento. Por ello, a la hora de valorar si se ha vulnerado el derecho a la protección de datos por incumplimiento del deber de información, la dispensa del consentimiento al tratamiento de datos en determinados supuestos debe ser un elemento a tener en cuenta dada la estrecha vinculación entre el deber de información y el principio general de consentimiento.
La no exigencia de consentimiento en determinados supuestos tiene también repercusión en otro de los principios de la protección de datos, el denominado por el art. 4 LOPD, calidad de los datos. El art. 4.1 LOPD establece que "los datos de carácter personal sólo se podrán recoger para su tratamiento, así como someterlos a dicho tratamiento, cuando sean adecuados, pertinentes y no excesivos en relación con el ámbito y las finalidades determinadas, explícitas y legítimas para las que se hayan obtenido". Debe existir, así, una relación directa entre la finalidad que justifica el fichero y los datos personales que se recaban y que afectan a los derechos de las personas. Además, de conformidad con el apartado 2 del citado art. 4 LOPD, "los datos de carácter personal objeto de tratamiento no podrán usarse para finalidades incompatibles con aquellas para las que los datos hubieran sido recogidos". La utilización de un fichero para finalidades incompatibles representa una vulneración del principio de calidad, así como del principio de consentimiento e información. De hecho, el RPD regula expresamente la solicitud del consentimiento del interesado para el tratamiento de sus datos personales en el marco de una relación contractual para fines no relacionados directamente con la misma. Así, se establece que "si el responsable del tratamiento solicitase el consentimiento del afectado durante el proceso de formación de un contrato para finalidades que no guarden relación directa con el mantenimiento, desarrollo o control de la relación contractual, deberá permitir al afectado que manifieste expresamente su negativa al tratamiento o comunicación de datos" (art. 15). Por lo tanto, solo cuando la finalidad del tratamiento de datos no sea el mantenimiento, desarrollo y control de la relación contractual se necesita consentimiento del afectado.
En todo caso, el incumplimiento del deber de requerir el consentimiento del afectado para el tratamiento de datos o del deber de información previa sólo supondrá una vulneración del derecho fundamental a la protección de datos tras una ponderación de la proporcionalidad de la medida adoptada. Como señala la STC 292/2000, FJ 11, "el derecho a la protección de datos no es ilimitado, y aunque la Constitución no le imponga expresamente límites específicos, ni remita a los poderes públicos para su determinación como ha hecho con otros derechos fundamentales, no cabe duda de que han de encontrarlos en los restantes derechos fundamentales y bienes jurídicos constitucionalmente protegidos, pues así lo exige el principio de unidad de la Constitución".
4. Aplicando la doctrina expuesta al tratamiento de datos obtenidos por la instalación de cámaras de videovigilancia en el lugar de trabajo, que es el problema planteado en el presente recurso de amparo, debemos concluir que el empresario no necesita el consentimiento expreso del trabajador para el tratamiento de las imágenes que han sido obtenidas a través de las cámaras instaladas en la empresa con la finalidad de seguridad o control laboral, ya que se trata de una medida dirigida a controlar el cumplimiento de la relación laboral y es conforme con el art. 20.3 TRLET, que establece que "el empresario podrá adoptar las medidas que estime más oportunas de vigilancia y control para verificar el cumplimiento por el trabajador de sus obligaciones y deberes laborales, guardando en su adopción y aplicación la consideración debida a su dignidad humana". Si la dispensa del consentimiento prevista en el art. 6 LOPD se refiere a los datos necesarios para el mantenimiento y el cumplimiento de la relación laboral, la excepción abarca sin duda el tratamiento de datos personales obtenidos por el empresario para velar por el cumplimiento de las obligaciones derivadas del contrato de trabajo. El consentimiento se entiende implícito en la propia aceptación del contrato que implica reconocimiento del poder de dirección del empresario.
En definitiva, la exigencia de finalidad legítima en el tratamiento de datos prevista en el art. 4.1 LOPD viene dada, en el ámbito de la videovigilancia laboral, por las facultades de control empresarial que reconoce el art. 20.3 TRLET, siempre que esas facultades se ejerzan dentro de su ámbito legal y no lesionen los derechos fundamentales del trabajador.
Por ello, como hemos señalado, aunque no se requiere el consentimiento expreso de los trabajadores para adoptar esta medida de vigilancia que implica el tratamiento de datos, persiste el deber de información del art. 5 LOPD. Sin perjuicio de las eventuales sanciones legales que pudieran derivar, para que el incumplimiento de este deber por parte del empresario implique una vulneración del art. 18.4 CE exige valorar la observancia o no del principio de proporcionalidad. Debe ponderarse así el derecho a la protección de datos y las eventuales limitaciones al mismo justificadas en el cumplimiento de las obligaciones laborales y las correlativas facultades empresariales de vigilancia y control reconocidas en el art. 20.3 TRLET, en conexión con los arts. 33 y 38 CE. En efecto, la relevancia constitucional de la ausencia o deficiencia de información en los supuestos de videovigilancia laboral exige la consiguiente ponderación en cada caso de los derechos y bienes constitucionales en conflicto; a saber, por un lado, el derecho a la protección de datos del trabajador y, por otro, el poder de dirección empresarial imprescindible para la buena marcha de la organización productiva, que es reflejo de los derechos constitucionales reconocidos en los arts. 33 y 38 CE y que, como se ha visto, en lo que ahora interesa se concreta en la previsión legal ex art. 20.3 TRLET que expresamente faculta al empresario a adoptar medidas de vigilancia y control para verificar el cumplimiento por los trabajadores de sus obligaciones laborales (SSTC 186/2000, de 10 de julio, FJ 5; 170/2013, de 7 de octubre, FJ 3). Esta facultad general de control prevista en la ley legitima el control empresarial del cumplimiento por los trabajadores de sus tareas profesionales (STC 170/2013, de 7 de octubre; STEDH de 12 de enero de 2016, caso Barbulescu v.Rumania), sin perjuicio de que serán las circunstancias de cada caso las que finalmente determinen si dicha fiscalización llevada a cabo por la empresa ha generado o no la vulneración del derecho fundamental en juego.
Obviamente, el sometimiento de la falta o insuficiencia de información al reiterado juicio de proporcionalidad requerirá determinar en cada supuesto, con carácter previo, si se ha producido o no la indicada omisión de la información debida.
Pues bien, centrándonos ya en el presente caso, la recurrente en amparo considera vulnerado el art. 18.4 CE porque no había sido informada previamente de la instalación de cámaras de videovigilancia en el puesto de trabajo. Como señala la sentencia recurrida, las cámaras de videovigilancia instaladas en la tienda donde prestaba sus servicios la recurrente en amparo captaron su imagen apropiándose de dinero y realizando, para ocultar dicha apropiación, operaciones falsas de devoluciones de venta de prendas. Ante estos hechos la trabajadora fue despedida.
Según consta en los hechos probados de las resoluciones recurridas, la cámara estaba situada en el lugar donde se desarrollaba la prestación laboral, enfocando directamente a la caja, y en el escaparate del establecimiento, en un lugar visible, se colocó el distintivo informativo exigido por la Instrucción 1/2006, de 8 de noviembre, de la Agencia Española de Protección de Datos, sobre el tratamiento de datos personales con fines de vigilancia a través de sistemas de cámaras o videocámaras. La necesidad de adecuar la videovigilancia a las exigencias del derecho fundamental a la protección de datos ha llevado a la Agencia Española de Protección de Datos, en ejercicio de la competencia que le atribuye el art. 37.1 c) Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, a dictar la citada Instrucción para adecuar los tratamientos de imágenes con fines de vigilancia a los principios de dicha Ley Orgánica y garantizar los derechos de las personas cuyas imágenes son tratadas por medio de tales procedimientos. Esta Instrucción, en su art. 3, exige a los responsables que cuenten con sistemas de videovigilancia cumplir con el deber de información previsto en el art. 5 Ley Orgánica 15/1999, y a tal fin deberán "colocar, en las zonas videovigiladas, al menos un distintivo informativo ubicado en lugar suficientemente visible, tanto en espacios abiertos como cerrados" y "tener a disposición de los/las interesados impresos en los que se detalle la información prevista en el art. 5.1 de la Ley Orgánica 15/1999". El contenido y el diseño del distintivo informativo se ajustará a lo previsto en el Anexo de esta Instrucción, según el cual, el distintivo deberá incluir una referencia a la Ley Orgánica 15/1999, de protección de datos, una mención a la finalidad para la se tratan los datos ("Zona videovigilada") y una mención expresa a la identificación del responsable ante quien puedan ejercitarse los derechos a los que se refieren los arts. 15 y siguientes de la Ley Orgánica 15/1999.
Como hemos señalado, en cumplimiento de esta obligación, la empresa colocó el correspondiente distintivo en el escaparate de la tienda donde prestaba sus servicios la recurrente en amparo, por lo que ésta podía conocer la existencia de las cámaras y la finalidad para la que habían sido instaladas. Se ha cumplido en este caso con la obligación de información previa pues basta a estos efectos con el cumplimiento de los requisitos específicos de información a través del distintivo, de acuerdo con la Instrucción 1/2006. El trabajador conocía que en la empresa se había instalado un sistema de control por videovigilancia, sin que haya que especificar, más allá de la mera vigilancia, la finalidad exacta que se le ha asignado a ese control. Lo importante será determinar si el dato obtenido se ha utilizado para la finalidad de control de la relación laboral o para una finalidad ajena al cumplimiento del contrato, porque sólo si la finalidad del tratamiento de datos no guarda relación directa con el mantenimiento, desarrollo o control de la relación contractual el empresario estaría obligado a solicitar el consentimiento de los trabajadores afectados.
En este caso, el sistema de videovigilancia captó la apropiación de efectivo de la caja de la tienda por parte de la recurrente que por este motivo fue despedida disciplinariamente. Por tanto, el dato recogido fue utilizado para el control de la relación laboral. No hay que olvidar que las cámaras fueron instaladas por la empresa ante las sospechas de que algún trabajador de la tienda se estaba apropiando de dinero de la caja.
En consecuencia, teniendo la trabajadora información previa de la instalación de las cámaras de videovigilancia a través del correspondiente distintivo informativo, y habiendo sido tratadas las imágenes captadas para el control de la relación laboral, no puede entenderse vulnerado el art. 18.4 CE. Por ello, el control que debe realizar este Tribunal de las resoluciones judiciales recurridas en amparo ha de recaer, precisamente en enjuiciar si, como exige la doctrina reiterada de este Tribunal, el órgano jurisdiccional ha ponderado adecuadamente que la instalación y empleo de medios de captación y grabación de imágenes por la empresa ha respetado el derecho a la intimidad personal de la solicitante de amparo, de conformidad, nuevamente, con las exigencias del principio de proporcionalidad (SSTC 186/2000, de 10 de julio, FJ 6, y 98/2000, de 10 de abril, FJ 8).
5. Como señala la STC 186/2000, de 10 de julio, FJ 6, "el empresario no queda apoderado para llevar a cabo, so pretexto de las facultades de vigilancia y control que le confiere el art. 20.3 LET, intromisiones ilegítimas en la intimidad de sus empleados en los centros de trabajo. Los equilibrios y limitaciones recíprocos que se derivan para ambas partes del contrato de trabajo suponen, por lo que ahora interesa, que también las facultades organizativas empresariales se encuentran limitadas por los derechos fundamentales del trabajador, quedando obligado el empleador a respetar aquéllos (STC 292/1993, de 18 de octubre, FJ 4). Este Tribunal viene manteniendo que, desde la prevalencia de tales derechos, su limitación por parte de las facultades empresariales sólo puede derivar del hecho de que la propia naturaleza del trabajo contratado implique la restricción del derecho (SSTC 99/1994, de 11 de abril, FJ 7; 6/1995, de 10 de enero, FJ 3, y 136/1996, de 23 de julio, FJ 7). Pero, además de ello, la jurisprudencia constitucional ha mantenido, como no podía ser de otro modo, que el ejercicio de las facultades organizativas y disciplinarias del empleador no puede servir en ningún caso a la producción de resultados inconstitucionales, lesivos de los derechos fundamentales del trabajador (así, entre otras, SSTC 94/1984, de 16 de octubre, 108/1989, de 8 de junio, 171/1989, de 19 de octubre, 123/1992, de 28 de septiembre, 134/1994, de 9 de mayo, y 173/1994, de 7 de junio), ni a la sanción del ejercicio legítimo de tales derechos por parte de aquél (STC 11/1981, de 8 de abril, FJ 22). Por eso, este Tribunal ha puesto de relieve la necesidad de que las resoluciones judiciales, en casos como el presente, preserven "el necesario equilibrio entre las obligaciones dimanantes del contrato para el trabajador y el ámbito -modulado por el contrato, pero en todo caso subsistente- de su libertad constitucional" (STC 6/1998, de 13 de enero), pues, dada la posición preeminente de los derechos fundamentales en nuestro ordenamiento, esa modulación sólo deberá producirse en la medida estrictamente imprescindible para el correcto y ordenado respeto de los derechos fundamentales del trabajador y, muy especialmente, del derecho a la intimidad personal que protege el art. 18.1 CE, teniendo siempre presente el principio de proporcionalidad".
En efecto, de conformidad con la doctrina de este Tribunal, la constitucionalidad de cualquier medida restrictiva de derechos fundamentales viene determinada por la estricta observancia del principio de proporcionalidad. A los efectos que aquí importan, basta con recordar que para comprobar si una medida restrictiva de un derecho fundamental supera el juicio de proporcionalidad, es necesario constatar si cumple los tres requisitos o condiciones siguientes: si tal medida es susceptible de conseguir el objetivo propuesto (juicio de idoneidad); si, además, es necesaria, en el sentido de que no exista otra medida más moderada para la consecución de tal propósito con igual eficacia (juicio de necesidad); y, finalmente, si la misma es ponderada o equilibrada, por derivarse de ella más beneficios o ventajas para el interés general que perjuicios sobre otros bienes o valores en conflicto (juicio de proporcionalidad en sentido estricto) (SSTC 66/1995, de 8 de mayo, FJ 5; 55/1996, de 28 de marzo, FFJJ 6, 7, 8 y 9; 207/1996, de 16 de diciembre, FJ 4 e), y 37/1998, de 17 de febrero, FJ 8).
Del razonamiento contenido en las Sentencias recurridas se desprende que, en el caso que nos ocupa, la medida de instalación de cámaras de seguridad que controlaban la zona de caja donde la demandante de amparo desempeñaba su actividad laboral era una medida justificada (ya que existían razonables sospechas de que alguno de los trabajadores que prestaban servicios en dicha caja se estaba apropiando de dinero); idónea para la finalidad pretendida por la empresa (verificar si algunos de los trabajadores cometía efectivamente las irregularidades sospechadas y en tal caso adoptar las medidas disciplinarias correspondientes); necesaria (ya que la grabación serviría de prueba de tales irregularidades); y equilibrada (pues la grabación de imágenes se limitó a la zona de la caja), por lo que debe descartarse que se haya producido lesión alguna del derecho a la intimidad personal consagrado en el art. 18.1 CE..."
