María de los Ángeles Ruiz Malaver

Entre el deber que tiene el empresario de velar por que su empresa se mantenga dentro de la ley y los derechos fundamentales que cada trabajador tiene, individualmente considerado, se suelen presentar tensiones que parecen irreconciliables. Así ocurriría, por ejemplo, cuando el empresario pretenda acceder a comunicaciones de sus trabajadores para indagar frente a la sospecha de la comisión de una conducta delictiva de parte de alguno de ellos. En esos contextos, es importante tener claro cuáles son los límites del deber de vigilancia empresarial de cara a la intimidad del trabajador. Ello, especialmente, teniendo en cuenta que el deber de vigilancia de cualquier empresario se expresa de múltiples maneras: en la elección, formación y capacitación del personal; en el seguimiento periódico del trabajo asignado; en la disposición de un canal de denuncias y, por supuesto, en actividades de investigación interna, por ejemplo, recolección de información de carácter público o privada, previa orden judicial.

Es claro que el empresario tiene el deber de hacer seguimiento a la gestión del trabajador y, en general, a todas aquellas acciones relacionadas con el desarrollo del objeto social de la empresa. Ello, con el fin de controlar la fuente de riesgo que esto representa y evitar que se cometan conductas punibles dentro de la esfera de su cuidado, atendiendo a la posición de garante que le asiste al empresario en el cumplimiento de este deber[1]. La importancia que tiene este mandato para una empresa es tal, que impacta directamente la sostenibilidad de su modelo de negocio, su prestigio ante la opinión pública y su situación financiera, entre varios otros aspectos[2].

En Colombia, el art. 32 del Código Penal exonera de responsabilidad a quien obre en cumplimiento de un deber (num. 3), como el que ahora se comenta. Sin embargo, por la trascendencia que esta facultad podría tener de cara a afectaciones a terceros, la jurisprudencia se ha encargado de desarrollar su contenido y delimitar su alcance[3]. Entre las pautas que ha dictado, se encuentra aquella que indica que debe existir un “juicio de proporcionalidad” entre la importancia de la medida a tomar y las afectaciones que esta pueda generar a derechos fundamentales. Según la Corte Constitucional[4], este juicio consta de tres parámetros que deben analizarse en cada caso concreto: el primero, se denomina juicio de idoneidad, es decir, que debe estudiarse si la medida restrictiva que se pretende implementar cumple con el objetivo propuesto; el segundo, se denomina “juicio de necesidad” y debe determinar si la medida impuesta es indispensable, es decir, que ninguna otra serviría de la misma manera por menos invasiva que sea; y el tercer parámetro se denomina “juicio de proporcionalidad en sentido estricto”, el cual permite determinar si la medida restrictiva en su aplicación práctica genera más ventajas al interés general, que perjuicios a otros bienes jurídicos o derechos fundamentales de terceros.

Sin perjuicio de lo anterior, conviene tener presente que siempre deben respetarse los requisitos legales para el tratamiento de la información personal comprendidos por el marco general del derecho al habeas data (por ejemplo, si es información de carácter privada, debe contarse con autorización de un juez de la república).

Esto es así, pues la corporación ha manifestado que cada persona cuenta con una esfera privada en la que, ninguna otra persona ni institución, puede interferir de manera arbitraria[5]. Por eso, ha reiterado que el empleador no puede, amparado en su potestad sancionatoria, entrometerse en la esfera privada del trabajador[6]. Así, en la Corte aclaró expresamente que el empleador, amparado en su potestad sancionatoria, no puede entrometerse en la esfera privada del trabajador si la información perseguida no tiene relación directa con la actividad laboral.

En el específico caso de los correos electrónicos, la jurisprudencia ha dicho que no toda comunicación a través del correo corporativo es, necesariamente, pública. Esto quiere decir que si se puede prever razonablemente que la correspondencia contiene información privada frente a la cual el empleado mantiene una legítima expectativa de intimidad, el acceso a esta de parte del empleador no está cobijado por su deber de vigilancia. Sin embargo, de no ser ese el caso, el empresario podría acceder a esta en virtud de sus atribuciones de cara al cumplimiento empresarial[7].

La consideración del ámbito de intimidad del trabajador debe estar siempre presente en la actividad investigativa empresarial. De lo contrario, la empresa y/o las personas naturales que la administran, gobiernan o representan podrían verse expuestos a consecuencias punitivas. Algunas de ellas son:

• Imposición de multas y hasta penas de prisión por delitos que protegen la intimidad y la protección de la información (por ejemplo, violación de datos personales o acceso abusivo a un sistema informático, entre otros);
• No poder usar la información obtenida dentro de una investigación penal o disciplinaria interna por haber vulnerado garantías fundamentales, y
• Afectaciones patrimoniales a la empresa como pago de indemnizaciones al trabajador afectado, daños reputacionales, pérdida de clientes, etc., entre otras consecuencias.

En conclusión, es importante que, al momento de ejercer la vigilancia empresarial, se considere:

1. Si se dio a conocer a los empleados la forma de uso de las herramientas tecnológicas para establecer la expectativa de intimidad que se esperaba tener.
2. La finalidad, necesidad, racionalidad y proporcionalidad de la actividad investigativa.
3. La naturaleza de la información: si es eminentemente corporativa, es viable su extracción. Si es de la esfera privada del empleado, debe obtenerse bajo orden judicial.

Siguiendo estas y las demás pautas que contempla nuestro ordenamiento, el empresario podrá cumplir con su deber de vigilancia de forma efectiva y con una menor exposición al riesgo sancionatorio por su omisión o extralimitación. De esta manera, se protege al mismo tiempo al empresario y al trabajador.

[1] DOPICO GOMEZ ALLER, Jacobo. Posición de garante del compliance officer por infracción del “deber de control”: una aproximación tópica. En: ARROYO, L., Dir. El derecho penal económico en la era compliance. Valencia: Tirant to Blanch, 2013. [En línea] Disponible en: https://dialnet.unirioja.es/servlet/articulo?codigo=4469392

[2] Cfr. SILVA SÁNCHEZ, Jesús María. Criminalidad de empresa y Compliance. Prevención y reacciones corporativas. Barcelona: Atelier, 2013. p. 57.

[3] El análisis desarrollado por la Sala de Casación Penal, a través de una línea jurisprudencia relacionada con el deber de cuidado, está compuesta, principalmente, por las siguientes sentencias: SP 44886 del 26 de agosto de 2015, SP 28124 del 22 de mayo de 2008, SP 17196 del 12 de junio de 2003, SP 27388 del 8 de noviembre de 2007, SP 36554 del 10 de agosto de 2011, SP 43363 del 9 de agosto de 2011, SP 24557 del 17 de octubre de 2007, SP 27388 del 5 de diciembre de 2007, SP 26513 10 de diciembre del 2007, SP 25227 del 10 de diciembre de 2007, SP 26900 del 20 de febrero de 2008.

[4] COLOMBIA.CORTE CONSTITUCIONAL. Sentencia C-022. Expediente D-1008 (23, enero, 1996). M.P Carlos Gaviria Díaz. [Consultado: octubre de 2018]. Disponible en http://www.corteconstitucional.gov.co/relatoria/1996/C-022-96.htm, entre muchas otras.

[5] Entre muchas otras, la C-881 de 2014 marca un hito en la línea.

[6] CC, Sentencia T-054 de 2018, entre otras.

[7] COLOMBIA. CORTE SUPREMA DE JUSTICIA. Sentencia SP 25285 del 2015.

María de los Ángeles Ruiz Malaver

Abogada, Miembro del ICDP.