1/15 Procedimiento Nº AP/00038/2013 RESOLUCIÓN: R/00065/2014 En el procedimiento de Declaración de Infracción de Administraciones Públicas AP/00038/2013, instruido por la Agencia Española de Protección de Datos a la entidad DIPUTACION DE SALAMANCA, vista la denuncia presentada por D. A.A.A., y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha 18 de octubre de 2012, tiene entrada en la Agencia Española de Protección de Datos (AEPD) un escrito remitido por D. A.A.A. (en adelante denunciante) en el que denuncia a la Diputación Provincial de Salamanca manifestando que “la institución solicita a sus empleados como justificante, por ausencia de trabajo, por problemas de salud cuando no conllevan baja, un informe médico en el que conste la patología y las prescripciones, lo que conculca los derechos de los empleados.” En la CIRCULAR PRESTACIONES COMPLEMENTARIAS POR INCAPACIDAD LABORAL, de fecha 10 de octubre de 2012, de dicha institución se detalla lo siguiente: En relación con la aplicación del Real Decreto Ley 20/2012, de 13 de julio, que establece la modificación del régimen retributivo de los empleados públicos incluidos en el Régimen General de Seguridad Social, durante las situaciones de incapacidad laboral temporal o transitoria, diferenciando entre las causas que puedan originarIo: enfermedad común o accidente no laboral y la enfermedad profesional o accidente laboral, la Diputación Provincial de Salamanca, mediante Resolución de Presidencia 3920/12, de 10 de octubre, reconoce los complementos que a continuación se relacionan, en los supuestos de incapacidad temporal: Incapacidad temporal por contingencias comunes: (enfermedad común o accidente no laboral) (…) Incapacidad laboral temporal por contingencias (enfermedad profesional o accidente laboral) (…) profesionales: En los supuestos de ausencia del trabajo por problemas de salud que no conllevan baja laboral (1, 2 o tres días) se deberá justificar la misma con el correspondiente documento/informe emitido por el médico de atención primaria de los Servicios Públicos de Salud, en el que consten las fechas, patología y las oportunas prescripciones con indicación expresa de los día/as de ausencia, no pudiendo rebasar, en ningún caso, el máximo permitido de tres días. (…) SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: 1. La Inspección de Datos ha requerido al denunciante para que informara si habían C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/15 impugnado o denunciado la precitada CIRCULAR y si les consta que están exigiendo en el informe médico la patología y las prescripciones. El primer requerimiento fue entregado en destino el día 28 mayo de 2013 y el segundo fue “no retirado” con fecha de 9 de julio de 2013, no habiéndose recibido respuesta en esta AEPD. 2. En el Registro General de Protección de Datos figura inscrito el fichero denominado “NFFUN”, con el código ***COD.1, cuyo responsable es la Diputación Provincial de Salamanca y la finalidad del mismo es elaboración de nómina y de plantilla, catálogo de puestos de trabajo, gestión de personal (…). Dichas circunstancias constan en la Diligencia de fecha 22 de mayo de 2013. 3. La Diputación de Salamanca ha informado a la Inspección de Datos, con fecha de 24 de junio de 2013, en relación con la información sobre patología y las oportunas prescripciones que debe constar en el informe emitido por el médico de atención primaria lo siguiente: La CIRCULAR se fundamenta en el Real Decreto Ley 20/2012, el cual y por lo que se refiere con carácter general al absentismo, en su exposición de motivos, recoge que la modificación temporal del régimen retributivo del personal incluido en el Régimen General de la Seguridad Social durante la situación de incapacidad temporal se determina “sin perjuicio de que se establece un mandato dirigido a las Administraciones Públicas a adoptar medidas para reducir el absentismo de su personal”. Añade dicho Real Decreto 20/2012 que cada Administración Pública podrá determinar, respecto a su personal, los supuestos en que con carácter excepcional y debidamente justificados pueda establecerse un complemento hasta alcanzar, como máximo, el cien por cien de las retribuciones que vinieran disfrutando en cada momento. Por lo que la Diputación de Salamanca aprobó, mediante Decreto de la Presidencia n° 3920/2012, del 10 de octubre, la regulación de las prestaciones complementarias para aquellos supuestos en que constando declarada en parte de baja la incapacidad laboral del empleado para la realización de su trabajo, la misma procediese de enfermedad común, accidente no laboral, enfermedad profesional y accidente laboral. La CIRCULAR interna de la misma fecha y a la que alude la denuncia, pone en conocimiento de los trabajadores la resolución administrativa adoptada e indica el proceso a seguir por los trabajadores para justificar debidamente las ausencias (absentismo por enfermedad) que no conllevasen baja laboral, en cumplimiento del mandato impuesto a todas las administraciones públicas, y en los términos “En los supuestos de ausencia del trabajo por problemas de salud que no conlleven baja laboral, (…) se deberá de justificar la misma con el correspondiente documento/informe emitido por el médico de atención primaria de los Servicios Públicos de Salud, en el que consten las fechas, patología y las oportunas prescripciones con indicación expresa de los días de ausencia, no pudiendo rebasar, en ningún caso, el máximo permitido de tres días”. La exigencia de un medio de justificación de la imposibilidad del cumplimiento del deber de la realización del trabajo y jornada del trabajo (ausencias en general) por parte de los empleados públicos, ya se recogía en la Resolución de 20 de diciembre de 2005, de la Secretaría General para la Administración Pública, por la que se dictaron instrucciones sobre jornada y horarios de trabajo del personal C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/15 civil al servicio de la Administración General del Estado, aplicable con carácter supletorio a la Administración de las Entidades locales en virtud de lo dispuesto en el art. 94 de la Ley 7/1985, de 2 de abril, Reguladora de las Bases de Régimen local. Dicha Resolución que fue derogada por Resolución del 28 de diciembre de 2012, determinaba en su punto séptimo que las ausencias, faltas de puntualidad y de permanencia en las que se alegasen entre otras causas la enfermedad, exigirían no sólo el aviso inmediato al responsable de la unidad respectiva sino además su ulterior justificativa acreditativa de que dicha circunstancia concurre, debiéndose notificar al órgano competente en materia de personal y admitiendo que se podría requerir la justificación documental oportuna, al menos durante los tres primeros días de ausencia con la obligación de que al cuarto día fuese obligatoria la presentación del parte de baja. Por otra parte establecía que si la ausencia no quedase documentalmente justificada, procedía la reducción proporcional de haberes. Por otra parte, el punto octavo de la citada Resolución que son funciones de los diversos órganos de la Administración la de velar por el cumplimiento de jornadas y horarios, por lo que en competencia de cada Administración de velar por el funcionamiento de los servicios se procedía a la emisión de la CIRCULAR. Con respecto a la información relativa a patología y prescripciones que debe constar en el informe, de acuerdo con la normativa sanitaria, es a los profesionales sanitarios del Sistema Público de Salud a quien les corresponde la emisión del mismo. Por otro lado, atendiendo a lo establecido en el Real Decreto 575/1997, de 18 de abril, por el que se regulan determinados aspectos de la gestión y control de la prestación económica de la Seguridad Social por incapacidad temporal y desarrollado por la Orden Ministerial del 18 de septiembre de 1998, se establece que el parte de baja por incapacidad laboral temporal, tras el reconocimiento del trabajador, dejará constancia del diagnóstico, descripción de la limitación que motiva la incapacidad y la duración probable del proceso patológico y añadiendo que el médico requerirá al trabajador los datos necesarios que contribuyan a precisar la patología objeto de diagnóstico. Atendiendo a ello, si en los partes de incapacidad tienen que figurar el proceso patológico o la patología objeto de diagnóstico, en la justificación de la ausencia sin baja habría de recogerse el término patología en su concepto más extenso utilizado por la propia normativa como sinónimo de enfermedad. Si bien queda a criterio del facultativo profundizar en la motivación de la ausencia, los términos utilizados “patología” y “prescripciones” son términos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/15 genéricos que indican el cuadro clínico y la orden médica oportuna a ese cuadro, de manera que el personal que tenga acceso a dicha información pueda entender la ausencia como debidamente justificada. Por lo que se refiere a la CIRCULAR denunciada no ha sido modificada ni anulada a la fecha del presente informe, no les consta reclamación o denuncia y tampoco consta recurso frente al Decreto de la Presidencia 3920/2012 que fundamenta la CIRCULAR del 10 de octubre de 2012. También, adjuntan una muestra de cinco informes médicos anonimizados emitidos en el periodo comprendido entre octubre de 2012 y enero de 2013 en los que constan los siguientes extremos: Paciente que acude a consulta médica y permanece en tratamiento médico domiciliario. Ha sido atendida por enfermedad, no pudiendo acudir a trabajar en dos días. S. gripal se recomienda reposo Por motivos médicos no ha podido acudir al trabajo los días 15, 16 y 17 de octubre. Paciente que acude a consulta de atención primaria por episodio agudo que requiere medicación más reposo relativo un mínimo de 24 horas. TERCERO: Con fecha 17 de septiembre de 2013, el Director de la Agencia Española de Protección de Datos acordó iniciar procedimiento de declaración de infracción de Administraciones Públicas a la DIPUTACION DE SALAMANCA por la presunta infracción del artículo 4.1 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como grave en el artículo 44.3.
- c)de dicha norma. CUARTO: Notificado el citado acuerdo de inicio de procedimiento de declaración de infracción de Administraciones Públicas, la DIPUTACION DE SALAMANCA presentó escrito de alegaciones en el que, en síntesis, manifestaba que: “... La instrucción procedimental que incorporaba la Circular del 10 de octubre de 2012 afectaba al ámbito de una de las competencias de esta Administración Local (art. 34 de la Ley 7/1985) como es de supervisar al personal al servicio de la Diputación con una finalidad determinada y explícita que se formulaba en el encabezamiento de la propia Circular Prestaciones complementarias por incapacidad laboral dirigida a los empleados, en aras a garantizar el cumplimiento por los mismos del deber consustancial a toda relación negocial o contractual, ya sea esta estatutaria o laboral.” Se expone a continuación la legitimidad de su actuación que se cumpliría en la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/15 Circular cuando expresa “en relación con la aplicación del Real Decreto Ley 20/2012, de 13 de julio, que establece la modificación del Régimen retributivo de los empleados públicos incluidos en el Régimen General de la Seguridad Social diferenciado entre las causas que puedan originarlo: Enfermedad Común o accidente no laboral y la enfermedad profesional o accidente laboral, la Diputación Provincial de Salamanca, mediante Resolución de Presidencia 3920/12, de 10 de octubre...” También es legítima su actuación, según manifiesta la entidad denunciada, porque se hace conforme a la normativa de las relaciones laborales. Así el artículo 20 del Real Decreto Legislativo 1/1995, de 24 de marzo, que aprueba el Texto Refundido de la Ley del Estatuto de los Trabajadores, reconoce entre los deberes y derechos derivados de la relación contractual, entre otros: • La posibilidad de la adopción por ésta de las medidas más oportunas de vigilancia y control con la finalidad de verificar el cumplimiento por parte de los trabajadores de las obligaciones y deberes laborales. • La certificación por personal médico del estado de enfermedad o accidente del trabajador si este lo aIega para justificar sus faltas de asistencia al trabajo, debiendo respetar siempre la dignidad humana y mantener el principio de buena fe recíproco que han de dirigir la relación empresa-trabajador. Por tanto manifiesta la entidad que lo plasmado en la Circular expresaba el cumplimiento de una normativa imperativa y, en consecuencia de naturaleza legítima por ser conforme al ordenamiento jurídico positivo. Respecto del justificante exigido en la Circular objeto de denuncia, manifiestan que podría estimarse como no clarificador y se exponen las razones por las que se consideran adecuados, pertinentes y no excesivos los datos referidos en la citada Circular. Se exponen también las definiciones de los términos de patología y prescripción y se plantea que no son ajenos a nuestra normativa. Concluyen las alegaciones expresando que en sus ficheros no figuran datos de diagnóstico y que no consta requerimiento expreso de esa Administración a los trabajadores para que aporte datos del tipo de patología o cuadro diagnóstico de su enfermedad y que por ello, los términos incluidos en la Circular no suponen vulneración alguna de los derechos de los empleados particularmente el derecho a la intimidad. Manifiesta la entidad denunciada que: ”Es por esto que los datos requeridos en relación con la alegación por parte de los empleados de concurrencia de patología o incapacidad que imposibiliten la prestación de su relación de servicio, han de estimarse legítimos, necesarios, pertinentes y no excesivos y en consecuencia armónicos con lo estipulado por la normativa vigente en materia de Protección de datos de carácter personal sin incurrir en infracción de la misma”. QUINTO: Con fecha 5 de noviembre de 2013 se acordó por el Instructor del procedimiento la apertura de un período de práctica de pruebas, acordándose practicar las siguientes: 1. Se dan por reproducidos a efectos probatorios la denuncia interpuesta por D. A.A.A. y su documentación, los documentos obtenidos y generados por los Servicios de Inspección ante la DIPUTACION DE SALAMANCA, y el Informe de actuaciones previas de Inspección que forman parte del expediente C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/15 E/07494/2012. 2. Asimismo, se da por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio AP/00038/2013 presentadas por la DIPUTACION DE SALAMANCA, y la documentación que a ellas acompaña. SEXTO: Con fecha 14 de enero de 2014, el Instructor del procedimiento emitió Propuesta de Resolución, en el sentido de que por el Director de la Agencia Española de Protección de Datos se declare que la DIPUTACION DE SALAMANCA ha infringido lo dispuesto en el artículo 4.1 de la LOPD, lo que supone una infracción tipificada como grave en el artículo 44.3.
- c)de la citada norma, así como que se requiera la adopción de las medidas de orden interno que impidan que en el futuro pueda producirse una nueva infracción del artículo 4.1 de la mencionada Ley. SÉPTIMO: Notificada la propuesta de resolución la DIPUTACION DE SALAMANCA realizó alegaciones frente a la misma en las que comunica: “En el ejercicio del emplazamiento efectuado en el procedimiento AP/00038/2013 como sujeto propuesto de declaración de infracción, la alegación a efectuar ha de vincularse a la cualificación de la declaración de infracción, es decir de infracción leve de la tipificada en la LOPD en el art 44 .1 d y no de infracción grave por infracción de los principios del art 4.1 de la LOPD. (...) Por otra parte esta Administración ha entendido, en la interpretación que hace el Tribunal constitucional, que la entrega voluntaria de los justificantes por parte de los empleados reproducía el consentimiento de los afectados a que fueran recogidos sus datos que tan sólo ellos conocen y decidiendo voluntariamente entregarlo a un tercero sin existencia de ningún vicio en el consentimiento, ni una oposición a que le fueran recogidos. (...) Por último y en la consideración del requerimiento efectuado de adoptar medidas que determina en la propuesta la Agencia de Protección de datos esta Administración procederá a indicar, mediante circular, que los justificantes de las ausencias por motivos de salud se efectuarán con documento expedido por Facultativo Médico Colegiado del Servicio Público de Salud en la que tan sólo habrá de figurar ausencia por enfermedad que imposibilita la asistencia al trabajo.” HECHOS PROBADOS PRIMERO: Con fecha 10 de octubre de 2012 el Delegado de Organización y RR.HH. de la Diputación Provincial de Salamanca emitió una Circular en la que se expone: “En relación con la aplicación del Real Decreto Ley 20/2012, de 13 de julio, que establece la modificación del régimen retributivo de los empleados públicos incluidos en el Régimen General de Seguridad Social, durante las situaciones de incapacidad laboral temporal o transitoria, diferenciando entre las causas que puedan originarIo: enfermedad común o accidente no laboral y la enfermedad profesional o accidente laboral, la Diputación Provincial de Salamanca, mediante Resolución de Presidencia 3920/12, de 10 de octubre, reconoce los complementos que a continuación se relacionan, en los supuestos de incapacidad temporal: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/15 Incapacidad temporal por contingencias comunes: (enfermedad común o accidente no laboral) (…) Incapacidad laboral temporal por contingencias (enfermedad profesional o accidente laboral) (…) profesionales: En los supuestos de ausencia del trabajo por problemas de salud que no conllevan baja laboral (1, 2 o tres días) se deberá justificar la misma con el correspondiente documento/informe emitido por el médico de atención primaria de los Servicios Públicos de Salud, en el que consten las fechas, patología y las oportunas prescripciones con indicación expresa de los día/as de ausencia, no pudiendo rebasar, en ningún caso, el máximo permitido de tres días. (…)” (folios 3 y 4) SEGUNDO: La Diputación de Salamanca ha informado a la Inspección de Datos, con fecha de 24 de junio de 2013, en relación con la información sobre patología y las oportunas prescripciones que deben constar en el informe emitido por el médico de atención primaria lo siguiente: Que la CIRCULAR objeto de denuncia se fundamenta en el Real Decreto Ley 20/2012, de 13 de julio, de medidas para garantizar la estabilidad presupuestaria y de fomento de la competitividad Que la Diputación de Salamanca aprobó, mediante Decreto de la Presidencia n° 3920/2012, del 10 de octubre, la regulación de las prestaciones complementarias para aquellos supuestos en que constando declarada en parte de baja la incapacidad laboral del empleado para la realización de su trabajo, la misma procediese de enfermedad común, accidente no laboral, enfermedad profesional y accidente laboral. La CIRCULAR interna de la misma fecha y a la que alude la denuncia, pone en conocimiento de los trabajadores la resolución administrativa adoptada e indica el proceso a seguir por los trabajadores para justificar debidamente las ausencias (absentismo por enfermedad) que no conllevasen baja laboral, en cumplimiento del mandato impuesto a todas las administraciones públicas. (folios 18 a 24) TERCERO: La Diputación de Salamanca adjunta a su informe una muestra de cinco informes médicos anonimizados emitidos en el periodo comprendido entre octubre de 2012 y enero de 2013 en los que constan los siguientes extremos: Paciente que acude a consulta médica y permanece en tratamiento médico domiciliario. Ha sido atendida por enfermedad, no pudiendo acudir a trabajar en dos días. S. gripal se recomienda reposo Por motivos médicos no ha podido acudir al trabajo los días 15, 16 y 17 de octubre. Paciente que acude a consulta de atención primaria por episodio agudo que requiere medicación más reposo relativo un mínimo de 24 horas. (folios 32 a 36) CUARTO: Consta que en el Registro General de Protección de Datos figura inscrito el fichero denominado “NFFUN”, cuyo responsable es la Diputación Provincial de Salamanca y la finalidad del mismo es “elaboración de nómina y de plantilla, catálogo de puestos de trabajo, gestión de personal...”. (folios 7 a 11) C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/15 FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
- g)en relación con el artículo 36 de la LOPD. II Con carácter previo al análisis del fondo del asunto, debe señalarse que el artículo 1 de la LOPD dispone que “La presente Ley Orgánica tiene por objeto garantizar y proteger, en lo que concierne al tratamiento de los datos personales, las libertades públicas y los derechos fundamentales de las personas físicas, y especialmente de su honor e intimidad personal y familiar”. La LOPD viene a regular el derecho fundamental a la protección de datos de las personas físicas, esto es, el derecho a disponer de sus propios datos sin que puedan ser utilizados, tratados o cedidos sin su consentimiento, con la salvedad de las excepciones legalmente previstas. En cuanto al ámbito de aplicación de la citada norma, el artículo 2.1 de la misma señala: “La presente Ley Orgánica será de aplicación a los datos de carácter personal registrados en soporte físico que los haga susceptibles de tratamiento, y a toda modalidad de uso posterior de estos datos por los sectores público y privado”. Por ello resulta preciso determinar que ha de entenderse por tratamiento de datos y dato de carácter personal. El artículo 3 de la LOPD define en su letra
- c)el tratamiento de datos como aquellas “operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”. La garantía del derecho a la protección de datos, conferida por la normativa de referencia, requiere que exista una actuación que constituya un tratamiento de datos personales en el sentido expresado. En otro caso las mencionadas disposiciones no serán de aplicación. El concepto de dato de carácter personal se define en el apartado
- a)del artículo 3 de la LOPD, como “Cualquier información concerniente a personas físicas identificadas o identificables”. III En el presente procedimiento, se imputa a la Diputación de Salamanca la infracción del artículo 4.1 de la LOPD. Con el fin de precisar la antijuridicidad de la infracción imputada, procede analizar, previamente, el principio del consentimiento C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/15 consagrado en el artículo 6.1 de la LOPD, que dispone: “El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa”. El tratamiento de datos de carácter personal sin consentimiento de los afectados constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre, (F.J. 7 primer párrafo) “consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporciona a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...)”. Son pues elementos característicos del derecho fundamental a la protección de datos de carácter personal los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. IV La LOPD, además de sentar el anterior principio de consentimiento, regula en su artículo 4 el principio de calidad de datos que resulta aplicable al supuesto de hecho que en el presente procedimiento se discute, en lo relativo a la solicitud por parte de la institución denunciada a sus empleados, como justificante por ausencia de trabajo por problemas de salud cuando no conllevan baja, de un informe médico en el que conste la patología y las prescripciones. El citado artículo 4 debe interpretarse conjunta y sistemáticamente con el transcrito anteriormente. El artículo 4.1 de la LOPD, garantiza el cumplimiento del principio de proporcionalidad en todo tratamiento de datos personales, cuando señala que: “1. Los datos de carácter personal sólo se podrán recoger para su tratamiento, así como someterlos a dicho tratamiento, cuando sean adecuados, pertinentes y no excesivos en relación con el ámbito y las finalidades determinadas, explícitas y legítimas para las que se hayan obtenido”. El artículo 4 de la LOPD, con la denominación “Calidad de datos” es el primer precepto del título II dedicado a los “Principios de calidad de datos”, que derivan del derecho fundamental a la protección de datos. En el apartado 1 del artículo 4 de la LOPD se establece que los datos de carácter personal sólo se podrán recoger para su tratamiento, así como someterlos a dicho tratamiento, de acuerdo con una serie de criterios, que se resumen en el principio de proporcionalidad. Este artículo 4.1 de la LOPD consagra el “principio de pertinencia en el tratamiento de los datos de carácter personal”, que impide el tratamiento de aquellos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/15 que no sean necesarios o proporcionados a la finalidad que justifica el tratamiento, debiendo restringirse el tratamiento de los datos excesivos o bien procederse a la supresión de los mismos. En consecuencia, el tratamiento del dato ha de ser pertinente y no excesivo en relación con el fin perseguido. Únicamente pueden ser sometidos a tratamiento aquellos datos que sean estrictamente necesarios para la finalidad perseguida. Por otra parte, el cumplimiento del principio de proporcionalidad no sólo debe producirse en el ámbito de la recogida de los datos, sino asimismo de respetarse en el posterior tratamiento que se realice de los mismos. Este criterio, se encuentra recogido también en el artículo 6 de la Directiva 95/46/CE, aparece también reflejado en el Convenio 108, cuyo artículo 5
- c)indica que "los datos de carácter personal que sean objeto de un tratamiento automatizado (...) serán adecuados, pertinentes y no excesivos en relación con las finalidades para las cuales se hayan registrado”. El mencionado precepto debe ponerse en correlación con lo previsto en el apartado 2 del citado artículo 4, según el cual: “Los datos de carácter personal objeto de tratamiento no podrán usarse para finalidades incompatibles con aquellas para las que los datos hubieran sido recogidos. No se considerará incompatible el tratamiento posterior de éstos con fines históricos, estadísticos o científicos.”. Las finalidades a las que alude este apartado 2 han de ligarse o conectarse siempre con el principio de pertinencia o limitación en la recogida de datos regulado en el artículo 4.1 de la misma Ley. Así, el tratamiento de datos realizado con la solicitud de la Diputación de Salamanca como justificante por ausencia de trabajo por problemas de salud cuando no conllevan baja, de un informe médico en el que conste la patología y las prescripciones ya citado, se hizo sin tener en cuenta que debe existir una relación de proporcionalidad entre la finalidad perseguida, la justificación de las ausencias al trabajo por problemas de salud que no conlleven baja laboral, y el tipo de datos que se requieren en la Circular denunciada. La Diputación de Salamanca, responsable del tratamiento, debió tener en cuenta la relación de proporcionalidad entre la finalidad perseguida y el modo en el que se trataban los datos, a fin de garantizar el cumplimiento de los principios de proporcionalidad y finalidad previstos por los apartados 1 y 2 del mencionado artículo 4 de la LOPD, siendo obligación del responsable del tratamiento adecuar el uso de los datos personales de modo que el impacto en los derechos de los afectados sea el mínimo posible. En el presente caso la entidad imputada ha manifestado en las alegaciones al cuerdo de inicio, que la instrucción procedimental que incorpora la Circular de 10 de octubre de 2012 está en el ámbito de una de sus competencias como Administración Local, la de supervisar al personal al servicio de la Diputación con la finalidad de garantizar el cumplimiento del deber consustancial a toda relación negocial o contractual. Expone también que su actuación se encuentra legitimada por lo previsto en el Real Decreto Ley 20/2012 de 13 de julio, de medidas para garantizar la estabilidad presupuestaria y de fomento de la competitividad, y de conformidad con la normativa laboral, el Estatuto de los Trabajadores, de manera que concluye la entidad imputada que lo plasmado en la Circular expresaba el cumplimiento de una normativa imperativa, de naturaleza legítima por ser conforme al ordenamiento jurídico positivo. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/15 En las actuaciones previas de este procedimiento la Diputación ha manifestado que, respecto de la información relativa a patología y prescripciones que debe constar en el informe, es a los profesionales sanitarios a quienes les corresponde la emisión del mismo, y expone que en el Real Decreto 575/1997, de 18 de abril, por el que se regulan determinados aspectos de la gestión y control de la prestación económica de la Seguridad Social por incapacidad temporal, se establece que el parte de baja por incapacidad laboral temporal, tras el reconocimiento del trabajador, dejará constancia del diagnóstico, descripción de la limitación que motiva la incapacidad y la duración probable del proceso patológico. La Diputación denunciada concluye que, si en los partes de incapacidad tienen que figurar el proceso patológico o la patología objeto de diagnóstico, en la justificación de la ausencia sin baja habría de recogerse el término patología en su concepto más extenso utilizado por la propia normativa como sinónimo de enfermedad. Añade la Diputación en sus manifestaciones que si bien queda a criterio del facultativo profundizar en la motivación de la ausencia, los términos utilizados “patología” y “prescripciones” son términos genéricos que indican el cuadro clínico y la orden médica oportuna a ese cuadro, de manera que el personal que tenga acceso a dicha información pueda entender la ausencia como debidamente justificada. Se han aportado cinco informes médicos de ausencia por enfermedad sin que conlleven baja, emitidos entre octubre 2012 y enero 2013 entre los que puede leerse lo siguiente: S. gripal se recomienda reposo. Este dato es un dato personal relativo a la salud de sus empleados. El artículo 7 de la LOPD dispone que el tratamiento de los datos especialmente protegidos como son los relativos a la salud, solo podrán ser recabados, tratados y cedidos cuando, por razones de interés general, así lo disponga una ley o el afectado consienta expresamente. Este artículo 7 de la LOPD establece un régimen específicamente protector diseñado por el Legislador para aquellos datos personales que proporcionan una información de las esferas más íntimas del individuo, a los que se califica en el citado artículo como “Datos especialmente protegidos”. Para las diversas categorías de éstos, el precepto citado establece específicas medidas para su protección. En el supuesto de los datos de salud, el Legislador español, siguiendo al Consejo de Europa (artículo 6 del Convenio 108/81, de 28 de enero, del Consejo de Europa, para la protección de las personas con respecto al tratamiento automatizado de datos de carácter personal) y al Derecho Comunitario (artículo 8 Directiva 95/46/CEE, del Parlamento y del Consejo, de 24 de octubre relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos), los considera como especialmente protegidos y prevé que sólo puedan ser recabados, tratados y cedidos, cuando por razones de interés general así lo disponga una Ley o el afectado consienta expresamente. Ello quiere decir que, solamente en estos supuestos específicos, dichos datos podrán ser tratados. El artículo 7.3 señala, para el tratamiento de los datos de salud, la exigencia de consentimiento expreso del afectado, pero no la relativa a que deba constar por escrito. Cabe, en consecuencia, admitir la posibilidad de que la manifestación del consentimiento expreso no conste por escrito. Sin embargo, esta posibilidad debe ponerse en relación con los elementos que integran la definición de consentimiento recogida en el artículo 3.
- h)de la LOPD, que dispone que lo será “Toda manifestación C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/15 de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen”. De la citada definición resulta particularmente relevante el extremo de que la manifestación de voluntad haya de ser informada, pues sin él difícilmente concurrirán los otros, en especial que sea inequívoca y específica. La letra
- a)del artículo 5.1 de la LOPD menciona específicamente que debe informarse de las finalidades de la recogida de los datos, las cuales, según el artículo 4.1 de la misma norma deben ser “determinadas, explícitas y legítimas”. En consecuencia, la posibilidad de admitir un consentimiento expreso que no conste por escrito para el tratamiento de los datos de salud, se encuentra condicionada a que pueda acreditarse que es una manifestación de voluntad libre, inequívoca y específica, que se presta una vez que se ha tenido conocimiento de una concreta información entre la que, necesariamente, ha de constar la finalidad determinada, explícita y legítima del tratamiento que se va a realizar sobre los datos personales del afectado. Lógicamente, la concurrencia de los extremos expuestos deberá constatarse en cada caso concreto. En el presente caso, ha quedado acreditado que la Diputación denunciada recoge datos personales relativos a la salud de sus empleados para su tratamiento con la finalidad de supervisión del personal a su servicio, para garantizar el cumplimiento de la relación contractual, sin que conste habilitación legal para dicho tratamiento y sin que conste consentimiento expreso de los afectados. El alegado Real Decreto 575/1997, de 18 de abril, por el que se regulan determinados aspectos de la gestión y control de la prestación económica de la Seguridad Social por incapacidad temporal, recoge en su artículo 3 denominado, “Actos de comprobación de la incapacidad temporal”, en sus puntos 3 y 4 lo siguiente: “3. Los datos derivados de las actuaciones médicas a que se refiere este artículo tendrán carácter confidencial, estando sujetos quienes los consulten al deber de secreto profesional. Dichos datos no podrán ser utilizados con fines discriminatorios ni en perjuicio del trabajador, ni para otras finalidades distintas del control de los procesos de incapacidad temporal. 4. Para garantizar el derecho a la intimidad de los trabajadores afectados, los datos reservados podrán cifrarse mediante claves codificadas. En todo caso, dichos datos quedarán protegidos según lo dispuesto en la Ley 5/1992, de 29 de octubre, sobre tratamiento automatizado de los datos de carácter personal.” Entre la normativa alegada no se recoge la habilitación para el tratamiento de los datos de salud de los empleados por parte de la empresa. El citado artículo 3 del Real Decreto 575/1997 dispone que los actos derivados de las actuaciones médicas de comprobación de la incapacidad temporal no podrán ser utilizados para otras finalidades distintas del control de los procesos de incapacidad temporal. En el presente supuesto la finalidad es la del control del absentismo laboral por parte del empleador en casos que no sean de incapacidad temporal por lo que no puede aceptarse la alegación de que en la justificación de la ausencia sin baja habría de recogerse el término patología en su concepto más extenso como sinónimo de enfermedad si en los partes de incapacidad tiene que figurar el diagnóstico. El mismo Real Decreto dispone en su artículo 1 que “el original del parte de baja y la copia a remitir a la Entidad Gestora o, en su caso, a la Mutua de Accidentes de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/15 Trabajo y Enfermedades Profesionales de la Seguridad Social deberán contener el diagnóstico y la descripción de las limitaciones en la capacidad funcional del trabajador, así como una previsión de la duración del proceso patológico ”. Este contenido sólo se establece en la norma para la copia a enviar a la entidad Gestora no en la copia del parte de baja para la empresa. En consecuencia, si el tratamiento del dato ha de ser “pertinente” al fin perseguido y la finalidad ha de estar “determinada”, difícilmente se puede defender, que el tratamiento de datos de carácter personal efectuado con la recogida de los datos relativos a la patología y las prescripciones médicas en caso de ausencias del trabajo por problemas de salud que no conlleven baja laboral de los empleados de la Diputación Provincial de Salamanca, cumplía el requisito de proporcionalidad, toda vez que ha quedado acreditado que los datos de la patología y las prescripciones médicas recogidas por la entidad denunciada, es un hecho que vulnera el principio de calidad de los datos recogido en el artículo 4.1 de la LOPD. Por todo ello, se considera que el tratamiento de datos efectuado supera los juicios de idoneidad, necesidad y proporcionalidad. Así, para conseguir el fin perseguido no resulta idónea en esta ocasión, la recogida para su tratamiento de los datos de la patología y la prescripción médica de los empleados en caso de ausencia de trabajo por enfermedad que no conlleve baja laboral. Asimismo, el cumplimiento de la finalidad de control de las ausencias del puesto de trabajo cuando no medie baja laboral, puede obtenerse con una medida más moderada y menos invasiva para la privacidad del afectado, puesto que resulta excesiva la solicitud de los datos de patología y prescripción médicas. Se considera que la forma en que se han tratado los datos no es adecuada, pertinente y resulta excesiva en relación con la finalidad que se pretendía. Se ha alegado a la propuesta de resolución que “la entrega voluntaria de los justificantes por parte de los empleados reproducía el consentimiento de los afectados a que fueran recogidos sus datos que tan sólo ellos conocen y decidiendo voluntariamente entregarlo a un tercero sin existencia de ningún vicio en el consentimiento, ni una oposición a que le fueran recogidos”. En esta ocasión no cabe entender que los empleados entregan voluntariamente los datos que se les exige en una circular del Diputado Delegado de Organización y RR.HH. de la Diputación de Salamanca. Se expone en las alegaciones a la propuesta de resolución lo siguiente: “Por último y en la consideración del requerimiento efectuado de adoptar medidas que determina en la propuesta la Agencia de Protección de datos esta Administración procederá a indicar, mediante circular, que los justificantes de las ausencias por motivos de salud se efectuarán con documento expedido por Facultativo Médico Colegiado del Servicio Público de Salud en la que tan sólo habrá de figurar ausencia por enfermedad que imposibilita la asistencia al trabajo”. A este respecto cabe contestar que con la adopción de una medida como la propuesta se considera que se conseguiría la corrección de los efectos de la infracción imputada en el presente procedimiento. A la vista de lo anterior, en el caso analizado se ha producido un tratamiento excesivo, no pertinente e inadecuado de datos de carácter personal en relación con la finalidad de controlar las ausencias por enfermedad que no conlleven baja laboral. Por lo tanto, dicho tratamiento ha supuesto una vulneración del principio de calidad de los datos en lo que se refiere al uso proporcional de los mismos. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/15 V El artículo 44.3.
- c)de la LOPD considera infracción grave: “Tratar datos de carácter personal o usarlos posteriormente con conculcación de los principios y garantías establecidos en el artículo 4 de la presente Ley y las disposiciones que lo desarrollan, salvo cuando sea constitutivo de infracción muy grave.” En este caso, la conducta de la Diputación de Salamanca vulnera el citado principio de calidad de datos, toda vez que ha quedado acreditado en el presente procedimiento que se ha producido un tratamiento excesivo, no pertinente e inadecuado de datos de carácter personal al haber solicitado y recogido datos de la patología y prescripción médicas de sus empleados en caso de ausencia del trabajo por enfermedad que no conlleve baja laboral, conducta que encuentra su tipificación en el artículo 44.3.
- c)de la LOPD VI Se ha alegado a la propuesta de resolución “...la cualificación de la declaración de infracción, es decir de infracción leve de la tipificada en la LOPD en el art 44 .1 d y no de infracción grave por infracción de los principios del art 4.1 de la LOPD”. La LOPD prevé en su artículo 45.5 que el órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, y ello en unos supuestos tasados. En el presente caso la infracción ha sido cometida en relación con tratamientos de datos personales de responsables de ficheros de titularidad pública. Procede por tanto la aplicación de lo previsto en el artículo 43.2, que, sobre los responsables establece: “Cuando se trate de ficheros de titularidad pública se estará, en cuanto al procedimiento y a las sanciones, a lo dispuesto en los artículos 46 y 48 de la presente Ley.” El artículo 46 de la LOPD, “Infracciones de las Administraciones Públicas”, dispone: “1. Cuando las infracciones a que se refiere el artículo 44 fuesen cometidas en ficheros de titularidad pública o en relación con tratamientos cuyos responsables lo serían de ficheros de dicha naturaleza, el órgano sancionador dictará una resolución estableciendo las medidas que procede adoptar para que cesen o se corrijan los efectos de la infracción. Esta resolución se notificará al responsable del fichero, al órgano del que dependa jerárquicamente y a los afectados si los hubiera. 2. El órgano sancionador podrá proponer también la iniciación de actuaciones disciplinarias, si procedieran. El procedimiento y las sanciones a aplicar serán las establecidas en la legislación sobre régimen disciplinario de las Administraciones Públicas. 3. Se deberán comunicar al órgano sancionador las resoluciones que recaigan en relación con las medidas y actuaciones a que se refieren los apartados anteriores.» 4. El Director de la Agencia comunicará al Defensor del Pueblo las actuaciones que efectúe y las resoluciones que dicte al amparo de los apartados anteriores”. Por todo ello no cabe estimar lo alegado. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/15 Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR que la DIPUTACION DE SALAMANCA ha infringido lo dispuesto en el artículo 4.1 de la LOPD, tipificada como grave en el artículo 44.3.
- c)de la citada Ley Orgánica. SEGUNDO: REQUERIR a la DIPUTACION DE SALAMANCA, de acuerdo con lo establecido en el apartado 3 del artículo 46 de la Ley 15/1999, para que acredite, en el plazo de un mes desde este acto de notificación, la adopción de las medidas de orden interno que impidan que en el futuro pueda producirse una nueva infracción del artículo 4.1 de la LOPD, para lo que se abre expediente de actuaciones previas E/01096/2014. TERCERO: NOTIFICAR la presente resolución a la DIPUTACION DE SALAMANCA y a D. A.A.A.. CUARTO: COMUNICAR la presente resolución al Defensor del Pueblo, de conformidad con lo establecido en el artículo 46.4 de la LOPD. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, se podrá interponer potestativamente recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa (en lo sucesivo LJCA), en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Sin embargo, el responsable del fichero de titularidad pública, de acuerdo con el artículo 44.1 de la LJCA, sólo podrá interponer directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la LJCA, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es