¿Pueden los tribunales utilizar datos obtenidos ilícitamente?

El caso

Una empresa de calefacción y climatización empleaba a una trabajadora que mantenía al mismo tiempo una relación sentimental con el administrador de la empresa. Tras el fin de la relación, la empresa averiguó que ella había vendido por cuenta propia, a través de la plataforma en línea eBay, mercancía de la empresa por valor de más de 13.000 euros, y la demandó por daños y perjuicios. La empresa tuvo conocimiento de las ventas al obtener acceso a la cuenta privada de eBay de la demandada, entre otras cosas porque el administrador denunció como perdido un teléfono móvil registrado a nombre de la empresa para restablecer la contraseña de la cuenta mediante una nueva tarjeta SIM. El Landesarbeitsgericht Niedersachsen (Tribunal Regional de Trabajo de Baja Sajonia) consideró que esta recogida de datos era posiblemente ilícita y planteó al TJUE la cuestión de si, aun así, podía utilizar las pruebas así obtenidas.

La resolución del TJUE

El TJUE respondió afirmativamente en principio (sentencia de 18.6.2026 – C-484/24, NTH Haustechnik). Conforme al art. 6, apartado 1, letra c, del RGPD, un tribunal está facultado para tratar datos personales contenidos en los medios de prueba aportados con el fin de decidir sobre su admisibilidad y, en caso de ser admisibles, tenerlos en cuenta en su resolución; esta obligación sirve al derecho a un proceso equitativo consagrado en la Carta de los Derechos Fundamentales y es necesaria para ello incluso cuando la parte que aportó las pruebas las obtuvo previamente vulnerando el derecho a la protección de datos. Lo decisivo es que dicha parte no persiga con el tratamiento ningún interés que vaya más allá de probar los hechos alegados. Tampoco la falta de cumplimiento del deber de información frente al interesado en el momento de la recogida original de los datos se opone, en principio, a su posterior utilización judicial.

Límites de la utilización

Sin embargo, el tribunal no tiene plena libertad al respecto: antes de revelar los datos en cuestión a las partes o a terceros —por ejemplo, en una sentencia notificada o publicada—, debe examinar si los datos se limitan a lo necesario para ese fin y, en su caso, adoptar medidas como una anonimización (parcial) para reducir al mínimo la injerencia en los derechos de terceros, por ejemplo cuando, como puede ocurrir aquí, se vean afectados también datos de compradores ajenos al litigio en la plataforma en línea. El TJUE aclaró además que tal base jurídica no tiene que figurar necesariamente en una ley formal: basta una jurisprudencia consolidada, clara y previsible, siempre que persiga un objetivo de interés público y sea proporcionada.

Qué significa

Para la práctica, la sentencia significa sobre todo una cosa: una infracción de protección de datos en la obtención de pruebas no conduce automáticamente a una prohibición judicial de utilización; por tanto, quien quiera basarse en el proceso en rastros digitales como historiales de chat, datos de cuentas o de plataformas no tiene que temer per se que estas pruebas queden sin tener en cuenta por su origen. Sin embargo, ello no cambia el hecho de que el acceso a una cuenta en línea ajena en sí mismo —con independencia de su posterior utilización ante el tribunal— sigue siendo arriesgado en materia de protección de datos y, según las circunstancias, también en el ámbito penal. Por ello, quien quiera asegurar pruebas contra un (antiguo) empleado o una parte contractual debería recurrir a vías lícitas, en lugar de confiar en que posteriormente puedan utilizarse ante el tribunal.