← España

AAPP-00019-2013

1/14 Procedimiento Nº AP/00019/2013 RESOLUCIÓN: R/02097/2013 En el procedimiento de Declaración de Infracción de Administraciones Públicas AP/00019/2013, instruido por la Agencia Española de Protección de Datos a la entidad AYUNTAMIENTO DE VALENCIA, vista la denuncia presentada por Dª. A.A.A., y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha 22 de agosto de 2012, tiene entrada en esta Agencia un escrito de Dña. A.A.A., en el que haciéndose eco de una noticia aparecida en la prensa, denuncia que, el Ayuntamiento de Valencia obliga a todos los trabajadores que comienzan a prestar servicios en el mismo a rellenar un cuestionario con datos de salud que, a su juicio, supone una violación a la intimidad. SEGUNDO: Tras la recepción de la denuncia, el Director de la Agencia Española de Protección de Datos ordenó a la Subdirección General de Inspección de Datos la realización de las actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: 1. Con fecha 22 de marzo de 2013, se realiza inspección en los locales del Ayuntamiento, en el departamento de Salud Laboral, en el transcurso de la cual se puso de manifiesto que: C/ Jorge Juan, 6 28001 – Madrid 1.1 Desde el año 1995, aproximadamente, el Ayuntamiento de Valencia cuenta con un Departamento de Salud Laboral propio del Consistorio, dependiente del Servicio de Personal, en el cual se realizan tanto la asistencia médica a trabajadores del Ayuntamiento, como los reconocimientos a trabajadores que comienzan a prestar sus servicios en el mismo, cuyo reconocimiento médico es obligatorio, y los reconocimientos voluntarios a los que obliga la Ley de Prevención de Riesgos Laborales. 1.2 El Departamento de Salud Laboral cuenta con cuatro ubicaciones en diferentes edificios del Ayuntamiento. El Departamento está compuesto por seis médicos y seis DUE. 1.3 Los reconocimientos médicos son repartidos entre las cuatro ubicaciones, contando cada una de ellas con su propio archivo de Historias clínicas en papel. www.agpd.es sedeagpd.gob.es 2/14 C/ Jorge Juan, 6 28001 – Madrid 1.4 Aproximadamente, desde dos años después de la creación del Departamento, se elaboró por parte de los profesionales médicos, un Cuestionario de Salud, el cual es una simplificación del test de Cornell, que el trabajador que accedía por primera vez a un puesto de trabajo debía cumplimentar al realizar el reconocimiento médico, que es obligatorio antes de su incorporación al puesto, tanto personal funcionario como contratado. 1.5 La finalidad de dicho cuestionario es la detección precoz de posibles enfermedades, que pudiera padecer la persona que se incorpora a un puesto de trabajo por primera vez, para poder determinar que es un persona “Apta” para el puesto, tras dicho reconocimiento desde el Departamento de Salud Laboral se emite un Certificado que es remitido al Departamento de Personal, en el caso de personas de nueva incorporación. 1.6 Asimismo, las personas que se reincorporan de un periodo largo de baja, han de cumplimentar el cuestionario, por si hubiera variado algún parámetro que determinase un cambio de puesto. 1.7 En el Departamento de Salud Laboral se llevan a cabo también los reconocimientos médicos voluntarios a los trabajadores del Ayuntamiento previstos en la Ley de Prevención de Riesgos Laborales. En estos casos, no se emiten Certificados, únicamente en los casos en los que el resultado del reconocimiento indique que el trabajador necesita un cambio de puesto de trabajo. 1.8 Tanto los resultados de los reconocimientos como el cuestionario, en su caso, no se encuentran automatizados, toda la información es incorporada a la Historia clínica del trabajador, que se encuentra almacenada en cada uno de los archivos ubicados en las cuatro ubicaciones donde se realizan reconocimientos. 1.9 La sede donde se realiza la inspección, cuenta con 1.500 historias más o menos, de las cuales solo 200 tienen incluido el Cuestionario de Salud. 1.10 El Ayuntamiento de Valencia cuenta con un fichero inscrito en el Registro General de Protección de Datos, denominado DATOS MEDICOS, cuya finalidad es FICHA MEDICA CON LAS REVISIONES PERIODICAS, HISTÓRICO DE BAJAS POR I.L.T., HISTORICO DE ACCIDENTES DE TRABAJO, HISTORIA CLINICA. No obstante se ha detectado que en dicha inscripción existe un error, ya que no está declarado como “MIXTO”, lo cual procederán a subsanar de inmediato. 1.11 Mediante acceso a la aplicación informática desde el Departamento de Salud Laboral, se comprueba que no existe información de datos relativos a la Historia clínica de los www.agpd.es sedeagpd.gob.es 3/14 trabajadores, ni de los datos recogidos en el Cuestionario de Salud. 1.12 Se accede al Archivo de Historias clínicas en papel, verificando que: 1.12.1 Dicho Archivo está ubicado en un armario en el pasillo donde se encuentra la puerta de entrada al Departamento de Salud Laboral. El armario se encuentra cerrado con llave, cuyo depositario es el Profesional de la Salud Responsable del Departamento. En su interior se encuentran varios archivadores de cartón que contienen las Historias clínicas en sobres, clasificadas por número de Historia. 1.12.2 Se accede al contenido de dos sobres, verificándose que en uno de ellos existe un Cuestionario de Salud, y que según manifiesta el Responsable del Departamento, se trata de una persona que se ha incorporado de una baja de larga duración y que debido a su patología consideró oportuno que cumplimentase el cuestionario, el cual está suscrito por el interesado. 1.13 Con relación al protocolo establecido por el Ayuntamiento para informar a las personas que se realizan reconocimientos médicos en el Departamento de Salud Laboral y, en concreto, a "las personas que cumplimentan el Cuestionario de Salud”, con relación al artículo 5 de la Ley Orgánica 15/1999, manifiestan que hasta este momento no existe ningún protocolo informativo establecido, no obstante van a proceder a la inclusión de una cláusula informativa, tanto en el cuestionario, como a los trabajadores que se realizan reconocimientos voluntarios. TERCERO: Con fecha 29 de mayo de 2013, el Director de la Agencia Española de Protección de Datos acordó iniciar procedimiento de declaración de infracción de Administraciones Públicas al AYUNTAMIENTO DE VALENCIA por la presunta infracción del artículo 5.1 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como leve en el apartado

  1. c)del artículo 44.2 de dicha norma. CUARTO: Notificado el citado acuerdo de inicio de procedimiento de declaración de infracción de Administraciones Públicas, el AYUNTAMIENTO DE VALENCIA presentó escrito de alegaciones en el que, en síntesis, manifestaba que: <<PRIMERA.- La información contenida en el cuestionario de referencia, forma parte de la anamnesis que se realiza a cualquier paciente y por tanto está sometida a la confidencialidad de cualquier documento médico. SEGUNDA.- El citado cuestionario, se entrega por el personal administrativo al aspirante y se recepciona por el facultativo, pasando a formar parte de su Historia Clínica y recibiendo el mismo tratamiento que cualquier otro documento médico, o sea, de carácter totalmente confidencia, siendo debidamente informado el trabajador de la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/14 necesidad de la realización de una anamnesis completa. En caso de negativa a la realización de la anamnesis y exploración por parte del trabajador, se le informa de que no puede considerarse Apto para el trabajo requerido, en el caso exclusivo del personal de ingreso. TERCERA.- El cuestionario es una simplificación del test de Cornell que se lleva aplicando en las diferentes Oficinas de Medicina Laboral durante los más de 22 años de vida probada que tiene y en el que cada una de las preguntas formuladas tiene una razón justificada centrada en la vigilancia en la salud y en la prevención. CUARTA.- No obstante, para dar cumplimiento a lo establecido en la Ley Orgánica 15/1999 de 13 de Diciembre, sobre protección de datos, se procederá a realizar las gestiones necesarias para que se añada el texto que a continuación se detalla, en todos los impresos utilizados por este Servicio Médico, incluidos los utilizados para la citación de los reconocimientos de ingreso, voluntarios y obligatorios (Ley 31/95, Real Decreto 3 9/97 y demás legislación que los desarrolla) y los cuestionario de Salud. “En cumplimiento de la Ley Orgánica 15/1999 de 13 de Diciembre sobre Protección de datos de carácter personal y legislación que la desarrolla, le informamos que los datos facilitados por Ud., quedarán incorporados a la Historia Clínica Laboral (soporte papel), siendo responsables de su custodia los distintos Servicios Médicos de Salud Laboral de este Excmo. Ayuntamiento de Valencia, en tanto se acceda a la informatización de dicha historia. Ud. Podrá en todo momento ejecutar sus derechos de acceso y/o rectificación mediante solicitud dirigida al Servicio de Personal del Ayuntamiento de Valencia, Pl. del Ayuntamiento n° 1, 46002 Valencia.”>> QUINTO: Con fecha 26 de junio de 2013 se acordó por el Instructor del procedimiento la apertura de un período de práctica de pruebas, acordándose practicar las siguientes: 1. Se dan por reproducidos a efectos probatorios la denuncia interpuesta por Dª. A.A.A. y su documentación, los documentos obtenidos y generados por los Servicios de Inspección ante el AYUNTAMIENTO DE VALENCIA, y el Informe de actuaciones previas de Inspección que forman parte del expediente E/05642/2012. 2. Asimismo, se da por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio AP/00019/2013 presentadas por el AYUNTAMIENTO DE VALENCIA, y la documentación que a ellas acompaña. 3. Se solicita la aportación de copia de los impresos utilizados por el Servicio Médico de ese Ayuntamiento que evidencien la inclusión de la clausula informativa prevista en el artículo 5 de la LOPD que, según lo previsto en el mismo, informe de lo siguiente: “
  2. a)De la existencia de un fichero o tratamiento de datos de carácter personal, de la finalidad de la recogida de éstos y de los destinatarios de la información.
  3. b)Del carácter obligatorio o facultativo de su respuesta a las preguntas que les sean planteadas.
  4. c)De las consecuencias de la obtención de los datos o de la negativa a suministrarlos.
  5. d)De la posibilidad de ejercitar los derechos de acceso, rectificación, cancelación y oposición. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/14
  6. e)De la identidad y dirección del responsable del tratamiento o, en su caso, de su representante” El resultado de estas pruebas podrá dar lugar a la realización de otras. SEXTO: Con fecha 30 de julio de 2013 tiene entrada en esta Agencia escrito del Ayuntamiento de Valencia en respuesta a lo solicitado en pruebas. En el escrito se expone que se han llevado a cabo las gestiones necesarias para incluir en los impresos utilizados por este Servicio Médico la cláusula informativa prevista en el artículo 5 de la LOPD. Se adjuntan los impresos en los que se ha incluido la misma cláusula que se aportó con las alegaciones al acuerdo de inicio del procedimiento y continúa el escrito manifestando: “Respecto al resto de las solicitudes, se informa que las respuestas a las anamnesis médicas y por tanto a los cuestionarios médicos utilizados, son de carácter totalmente voluntario. Significando que la falta de respuesta, puede dar lugar a fallos en la praxis médica, nunca imputables al médico que realiza el estudio.” SÉPTIMO: Con fecha 22 de agosto de 2013, el Instructor del procedimiento emitió Propuesta de Resolución, en el sentido de que por el Director de la Agencia Española de Protección de Datos se declare que el AYUNTAMIENTO DE VALENCIA ha infringido lo dispuesto en el artículo 5.1 de la LOPD, tipificada como leve en el artículo 44.2.
  7. c)de la citada norma, así como que se requiera la adopción de las medidas de orden interno que impidan que en el futuro pueda producirse una nueva infracción del artículo 5.1 de la mencionada Ley. OCTAVO: Notificada la propuesta de resolución el Secretario del AYUNTAMIENTO DE VALENCIA presentó alegaciones en las que comunica que se remite informe de la Oficina de Salud Laboral y los impresos que acreditan el cumplimiento del requerimiento realizado en la propuesta. El informe del servicio de salud laboral enviado, expone que se toma nota del requerimiento de las correcciones a efectuar en cumplimiento del artículo 5 de la LOPD y a tal fin se adjuntan los documentos que se han elaborado. Se adjuntan 18 documentos de carácter médico que aparecen duplicados porque en un caso aparece la clausula de protección de datos con el título “protección de datos de carácter obligatorio” y en otro caso “protección de datos de carácter facultativo” y en su texto se expresa “...que los datos, de carácter obligatorio, que han facilitado...” ó bien “...que los datos, de carácter facultativo, que han facilitado...” HECHOS PROBADOS PRIMERO: El Ayuntamiento de Valencia cuenta con un fichero de datos personales inscrito en el Registro General de Protección de Datos, denominado “DATOS MEDICOS”, cuya finalidad es “FICHA MEDICA CON LAS REVISIONES PERIODICAS, HISTÓRICO DE BAJAS POR I.L.T., HISTORICO DE ACCIDENTES DE TRABAJO, HISTORIA CLINICA”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/14 SEGUNDO: En la inspección llevada a cabo por esta Agencia el 22 de marzo de 2013 los responsables del Ayuntamiento de Valencia que atendieron la visita manifestaron que, desde el año 1995 aproximadamente, cuenta con un Departamento de Salud Laboral propio, dependiente del Servicio de Personal, en el que se realiza la asistencia médica a los trabajadores del Ayuntamiento, los reconocimientos médicos obligatorios a los trabajadores que comienzan a prestar sus servicios en el mismo y los reconocimientos voluntarios a los que obliga la Ley de Prevención de Riesgos Laborales. TERCERO: Manifiesta también el ayuntamiento que los profesionales médicos de ese Departamento de Salud Laboral elaboraron un Cuestionario de Salud, que es una simplificación del test de Cornell que, el trabajador que accedía por primera vez a un puesto de trabajo, debía cumplimentar al realizar el reconocimiento médico, que es obligatorio antes de su incorporación al puesto, tanto personal funcionario como contratado. La finalidad de este cuestionario es la detección precoz de posibles enfermedades, que pudiera padecer la persona que se incorpora a un puesto de trabajo por primera vez, para poder determinar que es un persona “Apta” para el puesto, tras dicho reconocimiento desde el Departamento de Salud Laboral se emite un Certificado que es remitido al Departamento de Personal, en el caso de personas de nueva incorporación. Asimismo, las personas que se reincorporan de un periodo largo de baja, han de cumplimentar el cuestionario, por si hubiera variado algún parámetro que determinase un cambio de puesto. CUARTO: Con relación al protocolo establecido por el Ayuntamiento para informar a las personas a las que se realizan reconocimientos médicos en el Departamento de Salud Laboral y, en concreto, a las personas que cumplimentan el Cuestionario de Salud, con relación al artículo 5 de la Ley Orgánica 15/1999, manifiestan que hasta este momento no existe ningún protocolo informativo establecido, no obstante van a proceder a la inclusión de una cláusula informativa, tanto en el cuestionario, como a los trabajadores a los que se realizan reconocimientos voluntarios. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
  8. g)en relación con el artículo 36 de la LOPD. II C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/14 En el presente caso, se plantea el incumplimiento del deber de información en el momento de la recogida de los datos previsto en el artículo 5 de la LOPD, al no informar a los empleados a los que se realizan reconocimientos médicos en el Departamento de Salud Laboral. Dicho incumplimiento aparece tipificado como infracción leve en el artículo 44.2.
  9. c)de la LOPD, que considera como tal “Proceder a la recogida de datos de carácter personal de los propios afectados sin proporcionarles la información que señala el artículo 5 de la presente Ley”. En el citado artículo 5 de la LOPD se establece lo siguiente: “1. Los interesados a los que se soliciten datos personales deberán ser previamente informados de modo expreso, preciso e inequívoco:
  10. a)De la existencia de un fichero o tratamiento de datos de carácter personal, de la finalidad de la recogida de éstos y de los destinatarios de la información.
  11. b)Del carácter obligatorio o facultativo de su respuesta a las preguntas que les sean planteadas.
  12. c)De las consecuencias de la obtención de los datos o de la negativa a suministrarlos
  13. d)De la posibilidad de ejercitar los derechos de acceso, rectificación, cancelación y oposición.
  14. e)De la identidad y dirección del responsable del tratamiento o, en su caso, de su representante. Cuando el responsable del tratamiento no esté establecido en el territorio de la Unión Europea y utilice en el tratamiento de datos medios situados en territorio español, deberá designar, salvo que tales medios se utilicen con fines de tránsito, un representante en España, sin perjuicio de las acciones que pudieran emprenderse contra el propio responsable del tratamiento. 2. Cuando se utilicen cuestionarios u otros impresos para la recogida, figurarán en los mismos, en forma claramente legible, las advertencias a que se refiere el apartado anterior. 3. No será necesaria la información a que se refieren las letras b),
  15. c)y
  16. d)del apartado 1 si el contenido de ella se deduce claramente de la naturaleza de los datos personales que se solicitan o de las circunstancias en que se recaban. (...)”. La obligación que impone este artículo 5 es, por tanto, la de informar al afectado en la recogida de datos, pues sólo así queda garantizado el derecho del mismo a tener una apropiada información y a consentir o no el tratamiento, en función de aquélla. Así, de acuerdo con lo establecido en el artículo 5 transcrito, la entidad denunciada debe informar a los interesados de los que recabe datos sobre los extremos establecidos en el aludido artículo 5.1. La información a la que se refiere el artículo 5.1 de la LOPD debe suministrarse a los afectados previamente a la solicitud de sus datos personales, y deberá ser expresa, precisa e inequívoca. Por su parte el artículo 4.1 de la LOPD concreta las finalidades para las que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/14 pueden recabarse y tratarse los datos personales exigiendo, a diferencia de la hoy derogada Ley Orgánica 5/1992, de 29 de octubre de Regulación del Tratamiento Automatizado de los Datos de Carácter Personal, que sólo se refería a finalidades “legítimas”, que las mismas sean “determinadas, explícitas y legítimas”. La Ley ha querido, por tanto, imponer una formalidad específica en la recogida de datos a través de cuestionarios u otros impresos que garantice el derecho a la información de los afectados. A tal efecto, impone la obligación de que la información figure en los propios cuestionarios e impresos y la refuerza exigiendo que conste de forma claramente legible. En este sentido, la Sentencia del Tribunal Constitucional 292/2000, de 30 de noviembre, que delimita el contenido esencial del derecho fundamental a la protección de los datos personales, se ha pronunciado sobre la vinculación entre el consentimiento y la finalidad para el tratamiento de los datos personales, en los siguientes términos: “el derecho a consentir la recogida y el tratamiento de los datos personales ( art. 6 LOPD) no implica en modo alguno consentir la cesión de tales datos a terceros, pues constituye una facultad específica que también forma parte del contenido del derecho fundamental a la protección de datos. Y, por tanto, la cesión de los mismos a un tercero para proceder a un tratamiento con fines distintos de los que originaron su recogida, aún cuando puedan ser compatibles con éstos (art. 4.2 LOPD), supone una nueva posesión y uso que requiere el consentimiento del interesado. Una facultad que solo cabe limitar en atención a derechos y bienes de relevancia constitucional y, por tanto, esté justificada, sea proporcionada y, además, se establezca por ley, pues el derecho fundamental a la protección de datos personales no admite otros límites. De otro lado, es evidente que el interesado debe ser informado tanto de la posibilidad de cesión de sus datos personales y sus circunstancias como del destino de éstos, pues sólo así será eficaz su derecho a consentir, en cuanto facultad esencial de su derecho a controlar y disponer de sus datos concreta. Pues en otro caso sería fácil al responsable del fichero soslayar el consentimiento del interesado mediante la genérica información de que sus datos pueden ser cedidos. De suerte que, sin la garantía que supone el derecho a una información apropiada mediante el cumplimiento de determinados requisitos legales (art. 5 LOPD) quedaría sin duda frustrado el derecho del interesado a controlar y disponer de sus datos personales, pues es claro que le impedirían ejercer otras facultades que se integran en el contenido del derecho fundamental al que estamos haciendo referencia”. De lo expuesto cabe concluir que la vigente LOPD ha acentuado las garantías precisas para el tratamiento de los datos personales en lo relativo a los requisitos del consentimiento, de la información previa a éste, y de las finalidades para las que los datos pueden ser recabados y tratados. La citada Sentencia del Tribunal Constitucional 292/2000, al delimitar el contenido esencial del derecho fundamental a la protección de los datos personales, ha considerado el derecho de información como un elemento indispensable del derecho fundamental a la protección de datos al declarar que “…el contenido del derecho fundamental a la protección de datos consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/14 control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el Estado o un particular. Y ese derecho a consentir el conocimiento y el tratamiento, informático o no, de los datos personales, requiere como complementos indispensables, por un lado, la facultad de saber en todo momento quién dispone de esos datos personales y a qué uso los está sometiendo, y, por otro lado, el poder oponerse a esa posesión y usos. En fin, son elementos característicos de la definición constitucional del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. Y resultan indispensables para hacer efectivo ese contenido el reconocimiento del derecho a ser informado de quién posee sus datos personales y con qué fin, y, el derecho a poder oponerse a esa posesión y uso requiriendo a quien corresponda que ponga fin a la posesión y empleo de los datos. Es decir, exigiendo del titular del fichero que le informe de qué datos posee sobre su persona, accediendo a sus oportunos registros y asientos, y qué destino han tenido, lo que alcanza también a posibles cesionarios; y, en su caso, requerirle para que rectifique o los cancele”. En este caso, se ha comprobado que la entidad denunciada no facilita a sus empleados la información prevista legalmente en materia de protección de datos en el momento de la recogida de datos personales de salud a los empleados a los que se realizan reconocimientos médicos en el Departamento de Salud Laboral y que cumplimentan el Cuestionario de Salud objeto de denuncia en el presente procedimiento. III En principio, el tratamiento de datos personales en el ámbito laboral por parte de la empresa en que presta sus servicios un trabajador, se encuentra legitimado por la existencia de una relación contractual cuyo cumplimiento lo hace necesario según expresa el artículo 6.2 de la LOPD. Sin embargo, ello no exime al responsable del fichero del deber de información en el momento de la solicitud de datos personales que establece el art. 5 de la LOPD, que, como ya se ha visto, forma parte del contenido esencial del derecho a la protección de datos, tanto para un tratamiento que requiera consentimiento como en el supuesto de que no lo requiera por encontrase habilitado por causas admitidas por el citado artículo 6 de la Ley. En el ámbito laboral la información en la recogida de datos personales es una cuestión particularmente importante, y las organizaciones deben tener en cuenta tanto el procedimiento que se emplee para la información como el momento en que se proceda a la captación de los datos personales, así como las particularidades de cada momento de la relación laboral: la selección de personal, la contratación, el desarrollo de la prestación. Siempre será además necesario informar al trabajador de cualquier cambio que afecte al tratamiento de sus datos personales como la aparición de nuevas finalidades o nuevos tratamientos. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/14 Por otra parte y con relación a los datos especialmente protegidos, la LOPD establece varias categorías entre las que se encuentran los datos que se refieren a la salud como ocurre en este caso con los datos que se recaban por la entidad denunciada por medio del cuestionario de salud. Estos datos pertenecen a la parte más íntima de la persona y por ello resultan merecedores de una especial protección lo que obliga a disponer de procedimientos que garanticen una adecuada información en la recogida de estos datos. En estos casos se acentúa la importancia del cumplimiento de este deber. Es necesario además prestar especial atención al principio de calidad y en particular a la proporcionalidad del tratamiento, de manera que habrán de ser los datos adecuados, pertinentes y no excesivos en relación con el ámbito y las finalidades determinadas, explícitas y legítimas para las que se hayan obtenido, según establece el artículo 4.1 de la LOPD. Los datos personales que se refieren a la salud de los trabajadores constituyen su historia clínica que, en el ámbito del trabajo, es el documento que recoge toda la información generada en el desarrollo de las funciones de vigilancia y control de la salud de los trabajadores. Su contenido está previsto en la legislación vigente, desde lo que expresa la Ley 41/2002, de 14 de noviembre, básica reguladora de la autonomía del paciente y de derechos y obligaciones en materia de información y documentación clínica, sobre la historia clínica diciendo que debe incorporar toda la información que se considere trascendental para el conocimiento veraz y actualizado del estado de salud del paciente, hasta lo previsto en el artículo 37.3.
  17. c)del Real Decreto 39/1997, de 17 de enero, por el que se aprueba el Reglamento de los Servicios de Prevención. La historia clínica laboral tiene como finalidad esencial ayudar a garantizar una asistencia adecuada a los trabajadores dentro de la empresa, que al contener el proceso preventivo-asistencial prestado a cada trabajador resulta el instrumento adecuado para la planificación y gestión de los servicios de prevención de riesgos laborales. Las historias clínico-laborales de una empresa tienen la consideración de fichero, que según establece la LOPD es “todo conjunto organizado de datos de carácter personal, cualquiera que fuere la forma o modalidad de su creación, almacenamiento, organización y acceso” y deben ser comunicados a la Agencia Española de Protección de Datos tanto su existencia como sus modificaciones. En el presente caso la entidad denunciada manifiesta disponer de un servicio de prevención de riesgos laborales propio que actúa como servicio médico de empresa y como servicio de prevención de riesgos laborales. Con esta situación, la entidad es la responsable del fichero que se genera en la gestión de los datos de salud de sus trabajadores. Para esta gestión la entidad dispondrá de distintos perfiles y facultades de acceso a esos datos, que serán plenos para el personal sanitario y limitadísimos para la gerencia hasta el punto de limitarse a la condición de apto/no apto para el puesto de trabajo. El artículo 22 de la Ley 31/1995, de Prevención de Riesgos Laborales expresa, con relación a esta cuestión, que: “El acceso a la información médica de carácter personal se limitará al personal médico y a las autoridades sanitarias que lleven a cabo la vigilancia de la salud de los trabajadores, sin que pueda facilitarse al empresario o a otras personas sin consentimiento expreso del trabajador”. Deben establecerse procedimientos para garantizar los derechos de acceso, rectificación y cancelación de los trabajadores a su historia clínica laboral. Cuando se trate del acceso a la historia clínica debe recordarse que la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/14 legislación específica impone deberes como la limitación del acceso a las anotaciones subjetivas del facultativo, la existencia de límites a la rectificación contenidas en regulaciones sectoriales en materia de Seguridad Social, o la limitada capacidad de proceder a la cancelación de datos que deban conservarse en virtud de la normativa sanitaria. En todo caso deberá contestarse la petición motivando la denegación. El presente procedimiento se inicia como consecuencia de una denuncia presentada ante esta Agencia Española de Protección de Datos que comunica que el cuestionario de datos de salud que deben rellenar los trabajadores que comienzan a prestar servicios en el Ayuntamiento de Valencia, supone a juicio del denunciante una violación a la intimidad. Esta cuestión se encuadra en el denominado principio de calidad de los datos previsto en el artículo 4.1 de la LOPD al que, como ya se ha visto, hay que prestar especial atención. Los datos personales que se recaben habrán de ser los adecuados, pertinentes y no excesivos en relación con el ámbito y las finalidades determinadas, explícitas y legítimas para las que se hayan obtenido, según establece el artículo 4.1 de la LOPD, es decir el tratamiento habrá de ser proporcional al ámbito y al fin del mismo. Sobre este tema, en la inspección de 22 de marzo de 2013 los representantes de la entidad denunciada manifestaron que el cuestionario de datos de salud objeto de denuncia es una “simplificación del test de Cornell que, el trabajador que accedía por primera vez a un puesto de trabajo, debía cumplimentar al realizar el reconocimiento médico, que es obligatorio antes de su incorporación al puesto, tanto personal funcionario como contratado”. Respecto de la finalidad para la que se solicitan los datos por medio del cuestionario manifestaron que “La finalidad de este cuestionario es la detección precoz de posibles enfermedades, que pudiera padecer la persona que se incorpora a un puesto de trabajo por primera vez, para poder determinar que es un persona “Apta” para el puesto, tras dicho reconocimiento desde el Departamento de Salud Laboral se emite un Certificado que es remitido al Departamento de Personal, en el caso de personas de nueva incorporación”. A este respecto cabe comentar que, como ya se ha visto, en todo caso hay que tener especial cuidado con el principio de calidad en el tratamiento de datos personales y en particular con la proporcionalidad, limitándose a recabar y utilizar los datos personales de los afectados que sean estrictamente necesarios para la finalidad para la que se obtienen, finalidad que habrá de ser, como establece la ley, determinada, explícita y legítima. Este principio está contemplado en el artículo 22 de la Ley 31/1995, de Prevención de Riesgos Laborales cuando expresa: “se deberá optar por la realización de aquellos reconocimientos o pruebas que causen las menores molestias al trabajador y que sean proporcionales al riesgo” y también cuando expone: “Las medidas de vigilancia y control de la salud de los trabajadores se llevarán a cabo respetando siempre el derecho a la intimidad y a la dignidad de la persona del trabajador y la confidencialidad de toda la información relacionada con su estado de salud”. Todo ello dirigido en esa Ley a la prevención de riesgos laborales pero que resulta de plena aplicación a toda actividad de vigilancia de la salud en la empresa. Por otra parte, en la inspección llevada a cabo por esta Agencia se puso de manifiesto que la entidad denunciada dispone de un servicio de prevención de riesgos laborales propio que actúa como servicio médico de empresa y como servicio de prevención de riesgos laborales de manera que es la responsable del fichero que se genera en la gestión de los datos de salud de sus trabajadores denominado “DATOS MEDICOS”, inscrito en el Registro de ficheros de esta Agencia, cuya finalidad es C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/14 “FICHA MEDICA CON LAS REVISIONES PERIODICAS, HISTÓRICO DE BAJAS POR I.L.T., HISTORICO DE ACCIDENTES DE TRABAJO, HISTORIA CLINICA”. En dicha inspección se constató también que hasta este momento no existía ningún protocolo informativo establecido para informar, previamente a la solicitud de datos personales, a las personas a las que se realizan reconocimientos médicos en el Departamento de salud laboral, con relación al artículo 5 de la Ley Orgánica 15/1999. En esta inspección se manifestó que se iba a proceder a la inclusión de una cláusula informativa, tanto en el cuestionario, como a los trabajadores a los que se realizan reconocimientos voluntarios. En las alegaciones al acuerdo de inicio de este procedimiento de Declaración de infracción se incluyó el texto de una cláusula informativa. En el acuerdo de apertura del periodo de pruebas se solicitó que se aportara constancia de la inclusión de una cláusula informativa en los impresos utilizados por el Servicio de Salud en la que se recogieran todos los extremos previstos en el artículo 5 de la LOPD. En las alegaciones a la propuesta de resolución el Secretario del AYUNTAMIENTO DE VALENCIA comunica que se remite informe de la Oficina de Salud Laboral y los impresos que acreditan el cumplimiento del requerimiento realizado en la propuesta. El informe del servicio de salud laboral enviado, expone que se toma nota del requerimiento de las correcciones a efectuar en cumplimiento del artículo 5 de la LOPD y a tal fin se adjuntan los documentos que se han elaborado. Se adjuntan 18 documentos de carácter médico que aparecen duplicados porque en un caso aparece la clausula de protección de datos con el título “protección de datos de carácter obligatorio” y en otro caso “protección de datos de carácter facultativo” y en su texto se expresa “...que los datos, de carácter obligatorio, que han facilitado...” ó bien “...que los datos, de carácter facultativo, que han facilitado...” Con relación a la clausula informativa incluida en esta ocasión en cada uno de los documentos de carácter médico cabe exponer que el artículo 5 de la LOPD en su punto
  18. b)dice que hay que informar de si la respuesta a las preguntas que se plantean es obligatoria o facultativa, es decir ese carácter de obligatorio o facultativo lo tiene la respuesta y no la protección de datos personales como se dice en la clausula ni los datos en si mismos que tampoco son obligatorios o facultativos. En la clausula se debe informar de si la respuesta a la solicitud de datos personales que se efectúa al interesado es obligada o bien el interesado tiene la facultad de no proporcionarla, si la respuesta es obligatoria o facultativa. En consecuencia, ha quedado acreditado que la entidad denunciada incumple el deber de informar establecido en el artículo 5 de la LOPD, al no proporcionar a sus empleados la información legalmente prevista respecto de la recogida de datos personales relacionados con la salud por el Departamento de Salud Laboral. IV El artículo 44.2.
  19. d)de la LOPD considera infracción leve: “Proceder a la recogida de datos de carácter personal de los propios afectados sin proporcionarles la información que señala el artículo 5 de la presente Ley”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/14 En este caso, ha quedado acreditado que la entidad denunciada recaba datos personales de sus empleados sin facilitarles la información que señala el artículo 5 de la LOPD, por lo que debe considerarse que ha incurrido en la infracción leve descrita. V Por último, el artículo 46 de la LOPD, “Infracciones de las Administraciones Públicas”, dispone que: «1. Cuando las infracciones a que se refiere el artículo 44 fuesen cometidas en ficheros de titularidad pública o en relación con tratamientos cuyos responsables lo serían de ficheros de dicha naturaleza, el órgano sancionador dictará una resolución estableciendo las medidas que procede adoptar para que cesen o se corrijan los efectos de la infracción. Esta resolución se notificará al responsable del fichero, al órgano del que dependa jerárquicamente y a los afectados si los hubiera. 2. El órgano sancionador podrá proponer también la iniciación de actuaciones disciplinarias, si procedieran. El procedimiento y las sanciones a aplicar serán las establecidas en la legislación sobre régimen disciplinario de las Administraciones Públicas. 3. Se deberán comunicar al órgano sancionador las resoluciones que recaigan en relación con las medidas y actuaciones a que se refieren los apartados anteriores.» 4. El Director de la Agencia comunicará al Defensor del Pueblo las actuaciones que efectúe y las resoluciones que dicte al amparo de los apartados anteriores”. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR que el AYUNTAMIENTO DE VALENCIA ha infringido lo dispuesto en el artículo 5.1 de la LOPD, tipificada como leve en el artículo 44.2.
  20. c)de dicha norma. SEGUNDO: NO REQUERIR al AYUNTAMIENTO DE VALENCIA la adopción de medidas correctoras, toda vez que ha quedado constatado que se cumple con el deber de informar establecido en el artículo 5 de la LOPD, al proporcionar a sus empleados la información legalmente prevista respecto de la recogida de datos personales relacionados con la salud por el Departamento de Salud Laboral, para evitar que puedan producirse de nuevo situaciones como las que han motivado la apertura del presente expediente, todo ello en cumplimiento de lo previsto en el artículo 5 de la LOPD. TERCERO: NOTIFICAR la presente resolución al AYUNTAMIENTO DE VALENCIA y a Dª. A.A.A.. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/14 CUARTO: COMUNICAR la presente resolución al Defensor del Pueblo, de conformidad con lo establecido en el artículo 46.4 de la LOPD. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, se podrá interponer potestativamente recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa (en lo sucesivo LJCA), en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Sin embargo, el responsable del fichero de titularidad pública, de acuerdo con el artículo 44.1 de la LJCA, sólo podrá interponer directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la LJCA, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.