El acceso al correo electrónico corporativo de un trabajador por parte de la empresa es una cuestión espinosa en la que chocan, por un lado, los derechos del trabajador a la intimidad, al secreto de las comunicaciones y a la confidencialidad de los datos de carácter personal en el entorno digital, y, por otro, los derechos del empresario a acceder a dispositivos digitales puestos a disposición de la plantilla y a adoptar medidas de vigilancia y control para verificar el cumplimiento del trabajador de sus obligaciones laborales.

El conflicto de derechos es particularmente relevante cuando el trabajador abandona la empresa y, debido a su perfil (por ejemplo, porque ha tenido contacto con clientes o terceros relevantes para la empresa), es necesario mantener el acceso al e-mail del trabajador e, incluso, redirigir dicho e-mail a otro trabajador de la compañía (normalmente, el responsable jerárquico). Sería el caso, por ejemplo, de un trabajador que ha prestado servicios como comercial, dado que sus contactos con clientes son fundamentales para la compañía.

En caso de que el acceso al e-mail del trabajador se considere ilícito, las consecuencias son severas: en la esfera administrativa (sanción por parte de la Agencia Española de Protección de Datos), en la civil (indemnización en favor del trabajador), e incluso en la penal (penas de hasta cuatro años de prisión, con potencial responsabilidad penal para la propia empresa, como persona jurídica).

Otra consecuencia muy relevante de la ilicitud es que, en caso de que el acceso o monitorización del e-mail mostrase un incumplimiento por parte del trabajador de alguna de sus obligaciones laborales, la prueba sería nula y no podría sustentar, por ejemplo, un despido disciplinario o una reclamación de daños y perjuicios.

¿Qué requisitos deben observarse para acceder o redirigir el correo electrónico del trabajador de manera lícita?

En primer lugar, la empresa debe excluir la expectativa de privacidad del trabajador, es decir, informar claramente al trabajador de que el correo electrónico corporativo es una herramienta facilitada por la empresa con fines exclusivamente profesionales, que puede ser controlada o monitorizada por parte de la empresa y que no debe utilizarse con fines personales. Existe una gran cantidad de jurisprudencia en este sentido (por todas, la Sentencia del Tribunal Supremo 489/2018, de 23 de octubre). En todo caso, la información se le debe hacer llegar al trabajador en cualquier momento durante la relación laboral (siempre con anterioridad a la vigilancia, monitorización o acceso), idealmente al comienzo de ésta incorporándola al contrato de trabajo, y debe acreditarse su recepción (por ejemplo, mediante la firma por parte del trabajador).

Es muy recomendable contar con una política de uso de dispositivos electrónicos y medios digitales corporativos (incluido el e-mail) que sea accesible para todos los trabajadores en cualquier momento. Dicha política deberá incluir cuestiones tales como los criterios de utilización de los dispositivos y medios digitales corporativos, la prohibición de uso para fines personales, el protocolo por el cual la empresa podrá acceder a los emails del trabajador tras su salida de la empresa (inclusive, la posibilidad de redirigir el correo del trabajador a otro trabajador de la empresa), el procedimiento para el bloqueo de la cuenta de correo corporativa y el plazo de retención de los emails del trabajador tras su salida.

Un matiz muy relevante es que, de acuerdo con el artículo 87.3 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDgdd), en la elaboración de estas políticas o criterios debe participar la representación legal de los trabajadores (RLT). En este sentido, la reciente Sentencia del Tribunal Supremo 225/2024, de 6 de febrero, ha advertido que la no participación de la RLT conlleva la nulidad de las políticas o criterios, lo que implica que éstos no serían válidos, como tampoco lo sería su comunicación a los trabajadores. Siguiendo el razonamiento del Tribunal Supremo, el acceso al e-mail del trabajador, bajo estas circunstancias, se realizaría sin comunicación previa (dado que ésta, de haberse realizado, es nula) por lo que vulneraría el derecho a la intimidad del trabajador, con las potenciales consecuencias indicadas anteriormente.

En consecuencia, mientras que el propio Tribunal Supremo no modifique o matice este criterio, recomendamos que las políticas de uso de dispositivos electrónicos y medios digitales corporativos se negocien con la RLT o, en caso de que ya hayan sido objeto de publicación o difusión sin participación de la RLT con posterioridad a la entrada en vigor de la LOPDgdd (es decir, el 7 de diciembre de 2018), que sean ratificadas por la propia RLT.

Una vez excluida la expectativa de privacidad del trabajador, la empresa, dentro de sus poderes genéricos de control y dirección, podrá acceder a su correo electrónico sin su consentimiento y sin necesidad de autorización judicial, así como redirigir dicho correo electrónico a otro trabajador de la empresa, siempre respetando los estándares mínimos de dignidad e intimidad del trabajador.

Ahora bien, el acceso y la redirección no pueden ser indefinidos. El correo electrónico es un dato de carácter personal y, en tal sentido, la normativa en materia de protección de datos de carácter personal exige que el tratamiento del correo electrónico por parte de la empresa esté limitado y minimizado en lo posible y manteniendo en todo momento la confidencialidad de las comunicaciones del trabajador.

Como regla general, la cuenta de e-mail del trabajador deberá ser bloqueada y eliminada inmediatamente tras el cese de éste en la empresa para evitar que dicha cuenta pueda seguir recibiendo y enviando correos electrónicos. Excepcionalmente, cuando haya razones de negocio y/o seguridad que lo justifiquen, la cuenta de e-mail podrá ser redireccionada a otro trabajador (normalmente, el superior jerárquico) durante el plazo mínimo indispensable para atender a las necesidades de negocio y/o seguridad (no más de tres meses tras la salida del trabajador de la compañía). Además, es fundamental advertir al remitente que la cuenta de e-mail va a ser dada de baja e indicar una nueva dirección de e-mail (normalmente, mediante un mensaje de respuesta automática).

El uso del correo electrónico del trabajador para enviar mensajes a terceros está prohibido, salvo que el trabajador haya dado expresamente su consentimiento y se indique claramente que la comunicación se hace en su nombre. Fuera de estos supuestos, nos encontraríamos ante un acto fraudulento del que se podrían derivar consecuencias penales para el infractor.

El archivo de los correos electrónicos recibidos y enviados por el trabajador deberá ser bloqueado durante el tiempo mínimo indispensable para atender a posibles reclamaciones judiciales. Transcurridos los plazos de prescripción establecidos en la legislación, dicho archivo debe ser eliminado.

En conclusión, el acceso al correo electrónico de los empleados (especialmente, cuando abandonan la empresa) es una cuestión que ha sufrido cambios legislativos y jurisprudenciales recientes y de gran calado y en la que la empresa debe extremar las precauciones para evitar cualquier infracción.