Agencia Estatal Boletín Oficial del Estado

• Acerca de esta colección
• Estadísticas

REVISTA DE JURISPRUDENCIA LABORAL - Número 5/2026

I. Introducción

La sentencia del Tribunal Superior de Justicia de Andalucía/Málaga que analizamos en el presente comentario aborda un interesante conflicto jurídico, que entrelaza la protección de datos de carácter personal (efectuando un didáctico deslinde de sus distintas categorías), con el ejercicio del poder disciplinario en el ámbito «singular» de un grupo de empresas.

Es casi un lugar común, que la vulneración de derechos fundamentales en el contexto de un despido determina, cuando no directamente la nulidad del cese, su improcedencia (normalmente cuando puede expulsarse la prueba viciada sin que el ámbito decisorio quede contaminado). No es, sin embargo, nada común, encontrar pronunciamientos que, pese a la demostrada vulneración de tan cualificados derechos, validen la decisión empresarial de despedir de manera procedente. De ahí la singularidad de esta resolución, que, también (aunque con menos interés), sale al paso de otra cuestión relevante: la capacidad de sancionar conductas extramuros, no ya, del tiempo y lugar de trabajo, sino del propio vínculo contractual con el empleador.   

En el presente caso, como veremos seguidamente, el Tribunal declara la vulneración del derecho fundamental a la intimidad y protección de datos de una trabajadora tras la cesión ilícita de una sentencia penal (relacionada con los hechos del despido) por parte de una empresa de seguridad vinculada al grupo empresarial. No obstante, califica el despido como procedente al existir una fuente de prueba independiente y previa (el reconocimiento de los hechos, por parte de la actora, ante compañeros de trabajo) y considerar que el hurto cometido en otra empresa del mismo grupo (Inditex) constituye una transgresión de la buena fe contractual, dada la existencia de un código de conducta común para todos los empleados del citado consorcio.

II. Identificación de la resolución judicial comentada

Tipo de resolución judicial: sentencia.

Órgano judicial: Tribunal Superior de Justicia de Andalucía/Málaga

Número de resolución judicial y fecha: Sentencia núm. 465/2026, de 9 de marzo.

Tipo y número recurso: recurso de suplicación núm. 90/2026

ECLI:ES:TSJAND:2026:4801

Fuente: CENDOJ

Ponente: Ilmo. Sr. D. Manuel Martín Hernández-Carrillo.

Votos Particulares: carece.

III. Problema suscitado. Hechos y antecedentes

Como suele ocurrir ante incumplimientos contractuales con relevancia penal, el asunto que comentamos propicia la intervención de órganos unipersonales de distinta jurisdicción: el que analiza la eventual trascendencia penal del incumplimiento (Juzgado de Instrucción 2 de Málaga, al tratarse de un delito leve) y el que decide si la respuesta laboral –despido disciplinario–, es jurídicamente válida (el todavía Juzgado de lo Social 6 de la misma localidad). En este caso, además, existe una conexión adicional entre ambas jurisdicciones, en la medida en que la cesión de datos relativos al primer procedimiento (sentencia condenatoria), llevada a cabo por un tercero, puede condicionar el resultado del proceso laboral.

Los hechos son los siguientes: Eva es una trabajadora de Stradivarius, que ostenta la categoría de dependienta, con una antigüedad de enero de 2019, y que presta sus servicios en el centro de trabajo que dicha mercantil tiene en el centro comercial Vialia de Málaga. Su empresa forma parte del grupo Inditex, al igual que Zara, compartiendo ambas sociedades una misma política de privacidad y un mismo código de conducta, común parta todos los empleados del grupo.

El día 4 de septiembre de 2024, la trabajadora salía de una tienda Zara situada en el centro comercial Lario de la Capital de la Costa del Sol, cuando fue interceptada por el vigilante de seguridad (actividad contratada con Prosegur), quien constató que portaba una prenda, valorada en 29,95 €, que no había abonado. Dicho hallazgo dio lugar a la correspondiente denuncia y celebración de juicio rápido resuelto por Sentencia condenatoria del Juzgado de Instrucción 2 de Málaga, de fecha 19 de septiembre de 2024, que fue remitida por los servicios jurídicos de Prosegur a la empresa de la trabajadora.

Al margen de lo anterior, la trabajadora habría comunicado el incidente, con fecha 5 de septiembre de 2024, en una zona reservada del establecimiento comercial de Stradivarius, tanto a su encargada de tienda como a la responsable del área.

Mediante comunicación formal del día 26 de septiembre de 2024, la empresa procede al despido disciplinario por transgresión de la buena fe contractual, decisión que impugna la trabajadora solicitando, con carácter principal, la nulidad del despido, por vulnerar su derecho fundamental a la intimidad y protección de datos personales y, subsidiariamente, la improcedencia de este. 

La respuesta judicial en la instancia avala la decisión empresarial al considerar, de una parte, que la conducta acreditada (ser sorprendida cuando pretendía salir sin pagar una prenda valorada en 29,95 € de una tiende del grupo de su empresa, por lo que resultó condenada como autora de un delito leve de hurto) constituye una transgresión de la buena fe contractual; y, de otra, que la comunicación del contenido de la sentencia penal por parte de la empresa de seguridad a la demandada no infringió su derecho a la protección de datos.

IV. Posición de las partes

En su alzada suplicatoria, la trabajadora, que no combate los hechos declarados probados, muestra sin embargo su disconformidad con lo resuelto por el órgano unipersonal, en la medida en que este habría errado doblemente: en primer lugar, al considerar punibles hechos cometidos en un contexto ajeno a la empresa (el hurto se produjo fuera de su jornada laboral, en un establecimiento distinto del de su empleadora y perteneciente a una sociedad con personalidad jurídica propia); y, en segundo término, al no haber «protegido» debidamente el derecho de la trabajadora a su intimidad y a la protección de sus datos personales, al haber valorado como prueba un documento (la sentencia penal) que, por contener datos personales especialmente sensibles, y carecer del consentimiento de la afectada para su tratamiento, no debió ser cedido a la empleadora por parte de la empresa de seguridad; desde esa premisa, entiende que la prueba obtenida de manera ilícita debía provocar la nulidad del despido, en la medida en que la decisión extintiva se habría construido sobre información indebidamente tratada. En definitiva, lo que trasluce su razonamiento es que la potestad disciplinaria empresarial no puede extenderse sin límite a la vida privada de la persona trabajadora, ni convertir cualquier conducta extralaboral reprobable en un incumplimiento contractual.

La empresa Stradivarius, por su parte, mantiene la trascendencia sancionadora de la conducta actora, al tiempo que se opone al motivo formal de la trabajadora, argumentando que «la empresa del grupo Zara España S.A. actuó como parte denunciante en el procedimiento penal, y que Prosegur solo intervino como asistente jurídico, concluyendo que la transmisión de la sentencia a Stradivarius España S.A. se realizó de manera legítima y conforme a la política de privacidad del grupo Inditex, sin que se haya producido un tratamiento ilícito de datos personales ni vulneración de la intimidad de la trabajadora».

V. La normativa aplicable al caso

Siendo varias las cuestiones abordadas, el interés singular de la resolución comentada se ciñe al tratamiento de datos personales, por lo que la Sala identifica varios preceptos integrados en el Reglamento Europeo de Protección de Datos^[1] (arts. 6, 7 y 10) y en nuestra Ley doméstica protectora de los mismos^[2] (arts. 5,6 y 10), que concretan, para este ámbito, las reglas generales de la Carta Magna (arts. 18.1 y 4), que han de ser aplicados en el marco procedimental que ofrece la LRJS (art. 90.1) y la LOPJ (art. 11.1).

Los preceptos nucleares, con todo, son los artículos 9 y 10 del Reglamento Europeo, que regulan, de manera expresa, el régimen de cesión de datos especialmente sensibles, diferenciando el «valor» del consentimiento según sea la causa determinante de dicha especialidad. En efecto, según el artículo 9 (apartado 1) queda prohibido el tratamiento de datos personales que revelen el origen étnico o racial, las opiniones políticas, las convicciones religiosas o filosóficas, o la afiliación sindical, y el tratamiento de datos genéticos, datos biométricos dirigidos a identificar de manera unívoca a una persona física, datos relativos a la salud o datos relativos a la vida sexual o las orientaciones sexuales de una persona física, salvo que el interesado (apartado 2) dé su «consentimiento explícito para el tratamiento de dichos datos personales», excepto cuando el derecho de la Unión o de los Estados miembros impida levantar tal prohibición.

Efecto parcialmente permisivo a la cesión que desaparece radicalmente en el artículo 10, relativo a las condenas e infracciones penales, al señalar que «el tratamiento de datos personales relativos a condenas e infracciones penales o medidas de seguridad conexas sobre la base del artículo 6, apartado 1, sólo podrá llevarse a cabo bajo la supervisión de las autoridades públicas o cuando lo autorice el Derecho de la Unión o de los Estados miembros que establezca garantías adecuadas para los derechos y libertades de los interesados…».

El esquema arriba detallado es reproducido, a nivel interno, por los artículos 9 y 10 de la Ley Orgánica de Protección de Datos, que regula el tratamiento de tales datos, sobre la base de la prohibición de su cesión, salvo concretos supuestos, como el consentimiento del afectado en relación a los datos especialmente sensibles, y el de la prohibición de su cesión en relación a los datos personales relativos a condenas e infracciones penales, salvo cuando su tratamiento «... se encuentre amparado en una norma de Derecho de la Unión, en esta ley orgánica o en otras normas de rango legal».

VI. Doctrina básica

La doctrina extraíble de la Sentencia comentada excede las dos cuestiones que el Tribunal malagueño acota como objeto de la suplicación («Son, pues, dos las cuestiones planteadas en la presente suplicación. De un lado, la vulneración de derechos fundamentales de la trabajadora, concretamente el de reserva de datos personales especialmente sensibles –como los relativos a una condena penal– al ceder la empresa de seguridad la Sentencia dictada por el Juzgado de Instrucción a la empleadora, pese a haberse dictado en relación a hechos ajenos a su relación laboral. Y de otro, si los hechos imputados son causa justa de despido pese a no guardar relación con su empresa»). En efecto, podemos descomponerla en cuatro apartados:

1. La transgresión de la buena fe extramuros del contrato

Desde un punto de vista material, la Sala debe delimitar hasta dónde alcanza la esfera disciplinaria empresarial cuando la conducta de la persona trabajadora se produce extramuros del contrato, pero afectando, al menos indirectamente, a intereses empresariales conectados por la pertenencia a un grupo mercantil. Delimitación que debe partir, con carácter general (STSJ Andalucía 03-03-2011, Rec. 1767/2010^[3]), de que «la buena fe debe entenderse en el marco de las relaciones trabajador-empresa, no respecto de terceras personas o sujetos ajenos a dicha relación».

Ocurre, sin embargo, que la anterior premisa debe completarse con un dato capital: el hurto se produce en una de las empresas del grupo Inditex, compartiendo Stradivarius y Zara un mismo código de conducta, que conocen los trabajadores, presidido por compromisos éticos de integridad y transparencia que difícilmente casan con una conducta de hurto, contraria a los intereses, en sentido amplio, de la empresa.

2. Ineficacia del consentimiento para tratar datos personales relativos a condenas e infracciones penales

La Sala no tiene dudas de que en el caso enjuiciado ha existido cesión de datos, al ser un hecho incontrovertido que la empresa de seguridad Prosegur remitió la sentencia penal condenatoria de la trabajadora demandante a la empleadora Stradivarius España S.A. Siendo igualmente incuestionable que los datos cedidos se refieren a «condenas e infracciones penales», por lo que, aun mediando consentimiento de la persona afectada, no podrían ser susceptibles de cesión. En efecto, como se desprende de la distinción apuntada (arts. 9 y 10 del Reglamento Europeo), la excepción del consentimiento a la prohibición del tratamiento de datos únicamente está prevista para las categorías especiales de datos personales del artículo 9 por el potencial riesgo de discriminación, entre los que no se encuentran los datos referentes a condenas e infracciones penales, que tiene un régimen propio y más restrictivo, como es el de la prohibición absoluta de su tratamiento y, por ende, de su cesión salvo que dicho tratamiento «... se encuentre amparado en una norma de Derecho de la Unión, en esta ley orgánica o en otras normas de rango legal». Dicho con otras palabras, no sería válida la prestación del consentimiento por la persona afectada para el tratamiento de dicha categoría especial de datos.

Con ello la Sala efectúa una declaración con carácter general sobre el tratamiento de datos relativos a condenas penales en el ámbito laboral, dejando claro que el «dato penal», no es un elemento neutro, ni tampoco una de las categorías especiales del artículo 9 del Reglamento (por mucho que comparta con ellas una intensa dimensión de privacidad), sino que, en virtud del artículo 10, se beneficia de un régimen específico, mucho más cerrado a cualquier intento de cesión, sin que la invocación de una política corporativa de privacidad o un consentimiento genérico de la persona trabajadora pueda legitimar la «circulación» de una sentencia penal condenatoria.

3. La prueba ilícita y la calificación del despido

En otro orden de cosas, la resolución comentada ejemplifica la doctrina constitucional relativa a la prueba ilícita y a la calificación del despido, mostrando cómo la vulneración de un derecho fundamental en la obtención o cesión de una prueba no arrastra automáticamente al despido hacia su nulidad. En efecto, parafraseando al TC (Sentencia 61/2021, de 15 de marzo), «la nulidad de una prueba obtenida con vulneración de derechos fundamentales no supone la existencia de un derecho constitucional a que el despido se califique como nulo». 

Por tanto, si eliminado el material probatorio contaminado, subsisten elementos de convicción autónomos y lícitos para acreditar el incumplimiento culpable, la sanción impuesta se entenderá justificada; ello es así porque la vulneración del derecho fundamental se produce en la «cesión» de sus datos, quedando invalidada a efectos probatorios, sin afectar, necesariamente, a la calificación del despido, que podrá ser, en atención al desarrollo del resto de actividad probatoria, nulo, improcedente o procedente.

Huelga decir que, en nuestro caso, en ausencia de una fuente de convicción «adicional» (el conocimiento del hurto a través de la confesión de la propia trabajadora ante dos compañeras con nivel jerárquico superior, confirmada a presencia judicial mediante testifical), la decisión empresarial habría tenido que ser calificada como improcedente, por falta absoluta de prueba.

4. La procedencia del despido no elimina las consecuencias de la cesión ilegítima de datos personales

Como hemos adelantado, la singularidad más «visible» de la sentencia es la reparación económica del daño moral causado pese a la declaración de procedencia del cese, compensación a la que la Sala accede combinando la obligación procesal de acumulación («la acción de despido y la de tutela de derechos fundamentales…deberán inexcusablemente acumularse y tramitarse por la modalidad procesal de despido, resolviendo el Juez lo procedente respecto de ambas acciones»), con la exigencia de responder materialmente, a través de una indemnización (art. 183 LRJS) de la «vulneración de su derecho a la protección de datos que –según indica la Sala– se ha materializado en el despido».

En definitiva, como señala la Sala, a modo de cierre: «la demandante ha ejercitado dos acciones (impugnación del despido y tutela de derechos fundamentales) que inexcusablemente fueron acumuladas al materializarse el despido como consecuencia de la vulneración, habiendo resultado una de ellas estimada, por lo que el pronunciamiento de la presente resolución debe contener el oportuno sobre la indemnización por el daño moral ocasionado» el cual se cifra en 5000 €, en atención a la «razonabilidad» que otorgan tres factores: la antigüedad de la demandante, la naturaleza del acto vulnerador del derecho fundamental, y el efecto preventivo o disuasorio^[4].

VII. Parte dispositiva

El órgano de suplicación andaluz estima en parte el recurso de suplicación interpuesto por la representación de la trabajadora frente a la sentencia de instancia, confirmando la procedencia del despido, al tiempo que, admitida la vulneración del derecho fundamental a la intimidad personal y a la protección de sus datos personales, declara la nulidad radical de la actuación de la empleadora, ordenando el cese inmediato de la misma, fijando una indemnización en favor de la demandante de 5000 €.

VIII. Pasajes decisivos

Siendo varias las cuestiones a resolver, algunas de corte material, como la calificación del despido o la eventual vulneración del derecho fundamental a la intimidad, y otras procesales, como la acumulación de acciones (despido y vulneración de derechos fundamentales) y la derivada obligación de resolverlas conjuntamente, podemos identificar los siguientes pasajes esenciales:

En el fundamento de derecho Sexto, la sala efectúa una primera advertencia, de corte procesal, que resulta fundamental: «En la presente litis, la vulneración del derecho fundamental de la trabajadora se ha producido en la cesión de sus datos incumpliendo lo dispuesto en el RGPD y LOPDGDD, lo que conduce a la nulidad de la citada cesión a efectos probatorios. Pero la nulidad de dicho medio probatorio no debe afectar, necesariamente, a la calificación del despido, que podrá ser, en atención al desarrollo del resto de actividad probatoria, nulo, improcedente o procedente».

Triple posibilidad que, en este caso, se decantará hacia la procedencia del despido, en la medida en que la empleadora «… llega a tener conocimiento de los hechos acaecidos en el establecimiento Zara por razones completamente distintas a la cesión de la sentencia por parte de Prosegur a Stradivaruis España S.A., por lo que dicho medio probatorio, independiente de la comunicación por parte de Prosegur, no se encuentra viciado de la nulidad de aquella cesión y, por ende, surte plenos efectos probatorios...».

El contorno material de la acción infractora queda delimitado en el Fundamento de derecho Séptimo, in fine, en el que el TSJ señala que «…conocido por la demandante dicho código de conducta y la pertenencia de Stradivarius España S.A. y Zara España S.A. al grupo Inditex, la conducta consistente en intentar apoderarse sin pagar su importe de una prenda de vestir, con independencia del valor de la misma, constituye transgresión de la buena fe contractual», debiendo considerarse, por lo demás, que la trabajadora «comete una ilegalidad fuera de su jornada de trabajo, y lo hace precisamente contra intereses de su propia empresa, (en este caso contra los intereses del Grupo Inditex) de manera voluntaria y deliberada, siendo plenamente consciente de que está causando un perjuicio a su empleadora…».

La decisión finalmente adoptada se desvela en el penúltimo párrafo anterior al Fallo, en el que la Sala considera, en definitiva, que «…la demandante ha ejercitado dos acciones (impugnación del despido y tutela de derechos fundamentales) que inexcusablemente fueron acumuladas al materializarse el despido como consecuencia de la vulneración, habiendo resultado una de ellas estimada, por lo que el pronunciamiento de la presente resolución debe contener el oportuno sobre la indemnización por el daño moral ocasionado».

IX. Comentario

La singularidad, sin duda, de la sentencia comentada radica en la admisión, simultánea, de la procedencia del despido y del derecho de la trabajadora a ser indemnizada por haber vulnerado la empresa sus derechos fundamentales, contenido, el de su Fallo, cuya justificación argumental desarrolla el órgano jurisdiccional en los pasajes principales de su sentencia, ya reseñados. 

Posibilidad jurídica, la de esta estimación parcial compleja, que sin embargo pocas veces observamos en resoluciones judiciales que resuelven la procedencia del despido. Dándose la paradoja de que, por esta «singular» vía reparadora, un despido procedente pueda ser «indemnizado» en cuantía superior a la que correspondería por su improcedencia. 

En segundo término, es relevante, si se extrapola con carácter de generalidad, la visión «amplia» del deber de lealtad exigible a los empleados en los grupos de empresa, al no quedar circunscrita la fidelidad de su comportamiento al código cuenta cotización de quien aparece como empleador, alcanzando, en cambio, a sociedades filiales que, pese a su personalidad jurídica independiente, comparten un código ético común, lo que determina que un ilícito cometido contra una empresa del grupo, afecte directamente a la confianza que el empleador depositó en su trabajador^[5].

X. Apunte final

El pronunciamiento judicial comentado resulta especialmente relevante porque separa con precisión dos planos que a menudo aparecen confundidos: la nulidad de una prueba obtenida con vulneración de derechos fundamentales y la calificación del despido; deslinde que no solo sirve para excluir la declaración de nulidad del despido y admitir en su lugar la improcedencia cuando tal prueba es el único elemento inculpatorio, sino también para que, acreditado el hecho de forma independiente, y considerada su trascendencia disciplinaria, la compensación por aquella vulneración no quede neutralizada por la declaración de procedencia. Esa doble respuesta, lejos de ser contradictoria, constituye precisamente el núcleo del interés doctrinal de la sentencia. Ocurriendo todo ello (y esto otorga mayor interés a la resolución), en una zona de intersección en la que confluyen el poder disciplinario empresarial, la expansión de los códigos de conducta del grupo empresarial, la protección de datos personales especialmente sensibles y la proyección extralaboral de comportamientos privados.