Sentencia Social 1281/2025 Tribunal Superior de Justicia de Canarias . Sala de lo Social, Rec. 914/2025 de 01 de octubre del 2025

PRIMERO.- Según consta en Autos, se presentó demanda por D. Adriano en reclamación de sanción siendo demandados MUTUA UNIVERSAL y FOGASA y tras celebrarse el acto del juicio se dictó Sentencia desestimatoria el día 7 de abril de 2025 por el Juzgado de referencia.

SEGUNDO.- En la citada Sentencia y como hechos probados, se declaran los siguientes:

"PRIMERO.- El actor ha venido prestando sus servicios para la entidad demandada mediante contrato de trabajo indefinida a jornada completo, con una antigüedad de 20/03/1995, con categoría profesional de Grupo 2 Nivel 5, y percibiendo por ello un salario bruto mensual según nómina de julio de 2024 de 2.712,41€ con prorrateo de pagas extras.

Le es de aplicación a dicha relación laboral el Convenio colectivo general de ámbito estatal para el sector de entidades de seguros, reaseguros y mutuas colaboradoras con la Seguridad Social.

(pacífico)

SEGUNDO.- El 23 de julio de 2024 fue abierto contra el actor expediente contradictorio por unos supuestos hechos cometidos el 28/04/2023, siendo comunicado igualmente a la RLT.

Ante la apertura de dicho expediente contradictorio, el trabajador realizo las manifestaciones correspondientes el 29 de julio de 2024.

Tras ello la empresa le comunica al actor, y al Presidente del Comité de Empresa, el 6 de agosto de 2024, la comisión de una infracción muy grave, imponiéndole una sanción de 16 días de suspensión de empleo y sueldo que se iniciaría el 8 de agosto de 2024 y hasta el 23 de agosto de 2024. Sobre la base de los siguientes hechos:

"Como Ud. conoce MUTUA UNIVERSAL, MUGENAT, Mutua Colaboradora con la Seguridad Social nº 10, es una Entidad que, con carácter general, orienta su actividad a la colaboración con la Seguridad Social en la gestión de las contingencias de accidentes de trabajo y enfermedades profesionales y a la colaboración en la gestión de la prestación económica de incapacidad temporal derivada de contingencias comunes, como campo propio de las Mutuas de Accidentes de Trabajo y Enfermedades Profesionales. Dejar constancia que Ud. viene prestando servicios en Mutua Universal desde el 20 de marzo de 1995, en calidad de Administrativo estando adscrito en el centro de trabajo de sito en Las Palmas, calle Juan Rejón 67, 35008, Las Palmas de Gran Canaria.

Del mismo modo dejar constancia que para poder llevar a cabo parte de sus funciones, Ud. dispone de unas claves de acceso a la GISS, que son de carácter personal e intransferible.

Debemos poner en su conocimiento que la Dirección de RRHH, a través del mencionado director técnico de Riesgos, Cumplimiento y a su vez delegado de Protección de Datos (en adelante, "DPD"), ha tenido conocimiento de unos hechos acaecidos recientemente y que pasamos a relatar a continuación:

En fecha 27 de junio de 2024, se recibió en el buzón de Protección de Datos de Mutua Universal, así como en el buzón corporativo de la Entidad una solicitud de la Secretaría General de la Tesorería General de la Seguridad Social (TGSS) y en nombre de la Inspección de Servicios, Auditoría y Protección de Datos, formulando la siguiente petición: "El pasado 28/05/2024 tuvo entrada en el buzón de esta Inspección de Servicios de la TGSS, denuncia formulada par D. Teodulfo, can DNI número NUM000, referida a presuntos accesos irregulares a sus datos personales, registrados en el Sistema informático de la Seguridad Social, en el periodo comprendido entre 20 de abril de 2023 y 27 de mayo de 2024. Efectuada la oportuna auditoría de rastros se han detectado varias accesos a los datos personales del denunciante por parte diversos usuarios de esa Mutua (todas a través de la ATG62 - Consulta de afiliados de entidades de AT y EP), relacionados a continuación y respecto de los cuales solicitamos remisión de informe justificativo de los mismos a la mayor brevedad posible"

Ud. se encuentra entre el listado de las personas trabajadoras que se relacionan y que han realizado uno o más accesos a datos personales del Sr. Teodulfo, en adelante, el denunciante, del Sistema Informático de la Seguridad Social (GISS). Como consecuencia de la recepción de dicha solicitud, el mismo día se inició una investigación de los hechos por parte del OPD y se solicitó a la Dirección de Digitalización y Tecnología qué información incluía la transacción "ATG62" de la GISS. En concreto, se especificó que incluía datos identificativos y datos laborales. Tras verificar que se había accedido a los datos del denunciante a través de la GISS con sus claves de acceso, y sin que, a priori, existiese justificación alguna, de carácter profesional, en fecha 4 de julio el DPD le solicitó a Ud. que justificara dichos accesos, concretándose en los que se reproducen a continuación:

DATOS DEL USUARIO: Adriano

CODIGO NUM001

FECHA 28/04/2023

HORA 13:02:22 13:02:34 13:02:55

TRANSACCION ATG62

En fecha 15 de julio de 2024 Ud. respondió al DPD: "Buenos días. Acabo de ver su correo ya que estaba de vacaciones. Como miembro del comité de empresa y de la sección sindical de UGT en Canarias accedí a dichos datos en su momento. Un saludo."

Tras su respuesta el DPD le preguntó si podría indicar a finalidad de los accesos. A lo que Ud. el 16 de julio respondió: "Buenos días. Creo recordar que fue paro comprobar datos de afiliación que estuviesen correctamente comunicados. Un saludo."

Dicho lo anterior, en fecha, 22 de julio de 2024, la Dirección de RRHH recibió el informe emitido por la Comisión de Protección de Datos derivado de la petición de información de la TGSS sobre la GISS. Fruto de la investigación llevada a cabo por la Comisión de protección de datos, en el citado informe se ha verificado que su acceso a los datos del denunciante, suponen una "violación de lo seguridad de los datos personales" debido al acceso no autorizado a datos de carácter personal del denunciante. A mayor abundamiento, en el Informe se concreta que "se ha producido un incumplimiento del Principio de confidencialidad (art. 5.1.f) recogida en el RGPD.

En este sentido, el incumplimiento de este principio está recogido en el RGPD con multas administrativas relativas a una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior (art. 83.5.a), indicándose en el Informe que se considera un potencial impacto económico por posible sanción por importe de entre 10.000 y 50.000 euros por caso.

A la vista de lo aportado, debemos informarle también que como Ud. sabe, en esta empresa existe un código de conducta que se basa en la ética, la legalidad y la justicia, y que recoge el conjunto de principios y valores de Mutua Universal, estableciendo las pautas de comportamiento de las personas que integran la Entidad en el ejercicio de sus funciones. Los principios de este Código de Conducta son de aplicación a todas las personas que forman parte de Mutua Universal, ya sea a través de un vínculo laboral o formando parte de sus órganos de gobierno y participación.

Nuestra misión es velar por la salud de nuestros clientes, gestionando los servicios con rigurosidad y excelencia siendo la calidad, la profesionalidad, la eficiencia y la Integridad, los valores en los que debemos basar el ejercicio de nuestra prestación de servicios. Con los datos que disponemos con su actitud ha vulnerado varios de los principios rectores de dicho código de conducta: La confidencialidad y honestidad, recogidos en el punto 3.5, 3.6. Se detallan a continuación:

3.5 "Deberemos salvaguardar y preservar el secreto y la confidencialidad de la información reservada a la que por rozón de nuestro trabajo tengamos acceso. En cualquier caso, deberemos garantizar el respeto al honor, la intimidad personal y el plena ejercicio de las derechos."

3.6 "Deberemos ser leales con los compromisos adquiridos, manifestando en el trabajo diario nuestro responsabilidad personal y profesional. Actuaremos conforme a intereses institucionales, transmitiendo en todo momento al exterior una imagen positiva de nuestra Entidad. El uso de bienes y recursos o la posición que ocupamos en de la Entidad, así como la información de la que disponemos, no debe suponer en ningún momento un aprovechamiento o beneficio para la persona que tiene acceso a ellos o para terceros vinculados a la misma. Evitaremos las situaciones en las que nuestro interés privado individual interfiera de alguna manera con los intereses de la Entidad en su conjunto. la lealtad a Mutua Universal regirá las actuaciones de todas las personas empleadas y se traducirá en una actuación conforme a intereses institucionales." De acuerdo con el informe realizado por la Comisión de Protección de Datos tras la investigación realizada, los hechos descritos podrían suponer una vulneración del principio de licitud, establecido en los arts. 5.1.a, art. 6 y art 9.1 del Reglamento General de Protección de Datos (RGPD) y el principio de confidencialidad, establecido en el art. 5.1 letra f) del RGPD.

Tipificación de los hechos.

Los hechos anteriormente descritos son considerados como faltas muy graves descritas en el artículo 70.3. a) y n) del Convenio Colectivo general de ámbito estatal para el sector de entidades de seguros, reaseguros y mutuas colaboradoras con la Seguridad Social, en sus apartados:

"a) El fraude, la deslealtad y el abuso de confianza en las gestiones encomendadas."

"n) La utilización fraudulenta de los medios electrónicos o herramientas tecnológicas establecidas en la empresa."

Apuntarle que, además del Código de Conducta de Mutua Universal, se han incumplido otros procedimientos que se encuentran publicados en la Intranet que ésta tiene a disposición de todas las personas trabajadoras de la Entidad:

NP0037 - Política de uso aceptable de los sistemas de información.

NP0013 - Normativa de protección de datos de carácter personal.

NP0029 - Normativa sobre la confidencialidad de los datos y la información.

NP0060 - Sistema Interno de Gestión de Protección de Datos.

La gravedad de dichos incumplimientos resulta innegable y las consecuencias que podrían derivar para la entidad podrían ser muy graves, tanto económicamente como a nivel reputacional".

(pacífico)

TERCERO.- El trabajador ostente el cargo de Representante Legal de los Trabajadores y Trabajadoras, miembro del Comité de Empresa, y se encuentra afiliada a UGT-Canarias.

(pacífico)

CUARTO.- El actor presta servicios de administrador de centros constando su profesiograma de siguiente contenido:

"Misión principal.

Responsable del Centro adscrito como persona de referencia de Mutua Universalen su ámbito geográfico de influencia.

Revisión y control del Funcionamiento general del Centro.Su función es suplementaria a la Consultor/a de Mutualistas, puesto descrito en eldocumento "Funciones del Consultor/a de Mutualistas", disponible en el apartadode documentos de la Comunidad de Mutualistas.

No tiene responsabilidad jerárquica, ni funcional, sobre el personal del centro de trabajo del que es administrador/a.

Funciones del puesto a desempeñar.

Responsables de conocer y estar informados de los movimientos y rotaciones de persona que puedan existir en su centro de trabajo.

Velar por el cumplimiento de las indicaciones o recomendaciones de las Areas de Calidad, Prevención de Riesgos Laborales y Medioambiente.

Control y gestión del inventario: comprobar y firmar el inventario del inmovilizado del centro junto al Director/a de Representación (1 a vez al año).

Gestión y custodia de llaves y documentación oficial del centro.

Gestión de las Incidencies en el mantenimiento, orden, limpieza y estado general del centro, en coordinación con las áreas responsables.

Supervisión de las solicitudes de suministros y materiales fungióles utilizados en el centro de trabajo.

Traslado al equipo directivo de la Representación (DR, CM, CAR) de demandas, quejas y sugerencias, del personal del centro asistencial.

Atención y soporte de cualquier incidencia del personal de nueva incorporación y sustitutos.

Interlocución y representación con entidades y organismos locales, con proveedores, mutuas y servicios médicos locales (centros concertados).

Interlocución con comunidades de vecinos del centro e interlocución con el área de inmuebles.

Interlocución con pacientes ante quejas o incidencias y traslado al equipo directivo de la Representación. (DR, CM, CAR)

Gestión de incidencias, emergencias y alarmas que se produzcan en el centro para su traslado al área de inmuebles.

Recepción y asistencia de visitas de empresas, proveedores, asesores colaboradores y cualquier otra entidad que lo precise

Apoyo a las auditorías internas o externas que pudieran desarrollarse en el centro.

Traslado de las directivas y operativas corporativas al equipo humano del centro"

(documento nº 25 de la demandada).

QUINTO.- El actor dispone de unas claves de acceso al Sistema Informático de la Seguridad Social (GISS), que son de carácter personal e intransferible.

(pacífico)

SEXTO.- En fecha 27 de junio de 2024, se recibió en el buzón de Protección de Datos de Mutua Universal, así como en el buzón corporativo de la Entidad una solicitud de la Secretaría General de la Tesorería General de la Seguridad Social (TGSS) y en nombre de la Inspección de Servicios, Auditoría y Protección de Datos, formulando la siguiente petición:

"El pasado 28/05/2024 tuvo entrada en el buzón de esta Inspección de Servicios de la TGSS, denuncia formulada par D. Teodulfo, can DNI número NUM000, referida a presuntos accesos irregulares a sus datos personales, registrados en el Sistema informático de la Seguridad Social, en el periodo comprendido entre 20 de abril de 2023 y 27 de mayo de 2024. Efectuada la oportuna auditoría de rastros se han detectado varias accesos a los datos personales del denunciante por parte diversos usuarios de esa Mutua (todas a través de la ATG62 - Consulta de afiliados de entidades de AT y EP), relacionados a continuación y respecto de los cuales solicitamos remisión de informe justificativo de los mismos a la mayor brevedad posible"

El actor se encuentra entre el listado de las personas trabajadoras que se relacionan y que han realizado uno o más accesos a datos personales del Sr. Teodulfo, a través del GISS.

El Sr. Teodulfo era trabajador de la Mutua hasta su despido el 20.04.2023.

Como consecuencia de la recepción de dicha solicitud, el mismo día se inició una investigación de los hechos por parte del OPD y se solicitó a la Dirección de Digitalización y Tecnología qué información incluía la transacción "ATG62" de la GISS. En concreto, se especificó que incluía datos identificativos y datos laborales.

(Documento 3 y 12 de la demandada y testifical de D. Rodolfo)

SÉPTIMO.- En fecha 04.07.2024 el director técnico de Riesgos, Cumplimiento y a su vez delegado de Protección de Datos le solicitó al actor que justificara dichos accesos, concretándose en los que se reproducen a continuación:

DATOS DEL USUARIO: Adriano

CODIGO NUM001

FECHA 28/04/2023

HORA 13:02:22 13:02:34 13:02:55

TRANSACCION ATG62

En fecha 15 de julio de 2024 Ud. respondió al DPD: "Buenos días. Acabo de ver su correo ya que estaba de vacaciones. Como miembro del comité de empresa y de la sección sindical de UGT en Canarias accedí a dichos datos en su momento. Un saludo."

Tras su respuesta el DPD le preguntó si podría indicar a finalidad de los accesos. A lo que Ud. el 16 de julio respondió: "Buenos días. Creo recordar que fue paro comprobar datos de afiliación que estuviesen correctamente comunicados. Un saludo."

(documento nº 13 de la demandada)

OCTAVO.- La entidad demandada impartió al demandante curso virtual de protección de datos personales virtual, en fecha 01.12.2021 y 27.01.2022.

El contenido de esta formación hace referencia al procedimiento NP0029 relativo a la Normativa sobre la confidencialidad de los datos y de la información y al procedimiento NP0037 sobre Política de Uso Aceptable de los Sistemas de información que establecen la obligación de la personas trabajadoras de mantener confidencialidad y secreto sobre cualquier información a la que tenga acceso por sus funciones, no pudiendo bajo ningún concepto utilizar dicha información para actividades ajenas a la relación laboral que vincula a la persona trabajadora con Mutua Universal.

El actor ha vuelto a realizar el curso en 21.10.2024.

(documento 11 y 23 de la demandada, y testifical de D. Rodolfo)

NOVENO.- En la empresa demandada constan procedimientos que se encuentran publicados en la Intranet que ésta tiene a disposición de todas las personas trabajadoras de la Entidad, y que son conocidos por estas:

NP0037 - Política de uso aceptable de los sistemas de información.

NP0013 - Normativa de protección de datos de carácter personal.

NP0029 - Normativa sobre la confidencialidad de los datos y la información.

NP0060 - Sistema Interno de Gestión de Protección de Datos.

(Testifical de D. Rodolfo)

DÉCIMO.- En la empresa demandada existe un código de conducta, conocido por las personas trabajadoras, estableciendo las pautas de comportamiento de las personas que integran la Entidad en el ejercicio de sus funciones.

En el mismo constan como principios rectores la confidencialidad y la honestidad, recogidos en el punto:

3.5.- "Deberemos salvaguardar y preservar el secreto y la confidencialidad de la información reservada a la que por razón de nuestro trabajo tengamos acceso. En cualquier caso, deberemos garantizar el respeto al honor, la intimidad personal y el plena ejercicio de las derechos."

3.6 "Deberemos ser leales con los compromisos adquiridos, manifestando en el trabajo diario nuestro responsabilidad personal y profesional. Actuaremos conforme a intereses institucionales, transmitiendo en todo momento al exterior una imagen positiva de nuestra Entidad. El uso de bienes y recursos o la posición que ocupamos en de la Entidad, así como la información de la que disponemos, no debe suponer en ningún momento un aprovechamiento o beneficio para la persona que tiene acceso a ellos o para terceros vinculados a la misma. Evitaremos las situaciones en las que nuestro interés privado individual interfiera de alguna manera con los intereses de la Entidad en su conjunto. la lealtad a Mutua Universal regirá las actuaciones de todas las personas empleadas y se traducirá en una actuación conforme a intereses institucionales."

(Documento 20 de la demandada y testifical de D. Rodolfo)

UNDÉCIMO.- El acceso del actor a los datos del denunciante suponen una "violación de lo seguridad de los datos personales" debido al acceso no autorizado a datos de carácter personal del denunciante, incumpliendo el Principio de confidencialidad (art. 5.1.f) recogida en el RGPD, pudiendo ser sancionado con multas administrativas de entre 10.000 y 50.000 euros por caso.

El Sr. Teodulfo y otras dos personas han presentado querella contra la hoy demandada por un delito de descubrimiento de secretos, siendo dictado Auto de Admisión a trámite el 26.11.2024 por el Juzgado de Instrucción nº 8 de esta ciudad, DP 3098/2024.

(Testifical de D. Rodolfo y documento nº 24 de la demandada).

DUODÉCIMO.- Fue agotada la vía previa."

TERCERO.- El Fallo de la Sentencia de instancia literalmente dice:

"Que desestimando la demanda interpuesta por D. Adriano frente a MUTUA UNIVERSAL en impugnación de SANCIÓN, debo absolver y absuelvo a la demandada de los pedimentos contenidos en su contra en la demanda."

CUARTO.- Que contra dicha Sentencia, se interpuso Recurso de Suplicación por D. Adriano y recibidos los Autos por esta Sala, se formó el oportuno rollo pasando al Ponente y señalándose para votación y fallo.