AAPP-00070-2015

1/12 Procedimiento Nº AP/00070/2015 RESOLUCIÓN: R/00776/2016 En el procedimiento de Declaración de Infracción de Administraciones Públicas AP/00070/2015, instruido por la Agencia Española de Protección de Datos al INSTITUTO NACIONAL DE LA SEGURIDAD SOCIAL, vista la denuncia presentada por Dª. A.A.A., y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha 9 de enero de 2015, tiene entrada en esta Agencia un escrito de Dª A.A.A., en el que comunica que, es trabajadora del Ministerio de Educación Cultura y Deporte y está prestando servicios en el INAEM y en el marco de un proceso de reconocimiento de Incapacidad, ha sido valorada por el Equipo de Valoración de Incapacidades (EVI) de la Dirección Provincial del INSS de Ciudad Real. Continúa comunicando que este EVI ha enviado al Ministerio de Educación Cultura y Deporte el dictamen evaluador de fecha 25 de noviembre de 2014 junto con el informe médico de síntesis que incluye antecedentes, enfermedades actuales que padece, diagnóstico, posibilidades terapéuticas y rehabilitadoras y limitaciones orgánicas o funcionales. Manifiesta que no sabe cómo se ha remitido este informe médico donde aparecen datos de carácter total y exclusivamente, privados. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: Con fecha 27 de mayo de 2015, se recibe en esta Agencia escrito de la Dirección Provincial del INSS de Ciudad Real. En el que pone de manifiesto que: Dentro del ámbito normativo de la Seguridad Social, por Real Decreto 397/1996, de 1 de marzo, se establece que los dictámenes médicos preceptivos para la determinación de la existencia de la incapacidad permanente y, en su caso, fijación del grado de la misma, así como verificación de lesiones, a efectos del reconocimiento del derecho de las prestaciones abonadas con cargo a los créditos de Clases Pasivas y cuya competencia está atribuida a la Dirección General de Costes de Personal y de Pensiones Públicas, se emitirán por el Equipo de Valoración del Instituto Nacional de la Seguridad Social de la provincia en que tenga el domicilio el interesado. Por Orden de 22 de noviembre de 1996, se establece el procedimiento para la emisión de los dictámenes médicos a efectos de reconocimiento de determinadas prestaciones de Clases Pasivas. Por lo que se refiere a los procesos de jubilación por incapacidad, el artículo 3 de la citada Orden establece el contenido que ha de figurar en los dictámenes médicos emitidos por el EVI, señalando lo siguiente: Los dictámenes preceptivos, a efectos de la declaración de jubilación por C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/12 incapacidad de los funcionarios, deberán contener la valoración del estado del interesado con indicación expresa de si está o no afectado por una lesión o proceso patológico, estabilizado e irreversible o incierta reversibilidad, que le imposibilite totalmente para el desempeño de las funciones propias de su Cuerpo, Escala, Plaza o Carrera, según establece el artículo 28.2,

1. c)del texto refundido de la Ley de Clases Pasivas del Estado, aprobado por Real Decreto Legislativo 670/1987, de 30 de abril. En los mencionados dictámenes, deberá constar si la lesión o proceso patológico de que está afectado el funcionario, además de incapacitarles para las funciones propias de su Cuerpo, en los términos del párrafo anterior, le inhabilita o no por completo para toda la profesión u oficio. Asimismo, deberá indicarse si el funcionario incapacitado necesita de otra persona para la realización de los actos más esenciales de la vida. TERCERO: Con fecha 27 de noviembre de 2015, el Director de la Agencia Española de Protección de Datos acordó iniciar procedimiento de declaración de infracción de Administraciones Públicas al INSTITUTO NACIONAL DE LA SEGURIDAD SOCIAL por la presunta infracción del artículo 10 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como grave en el artículo 44.3.
2. d)de dicha norma. CUARTO: Notificado el citado acuerdo de inicio de procedimiento de declaración de infracción de Administraciones Públicas, el INSTITUTO NACIONAL DE LA SEGURIDAD SOCIAL presentó escrito de alegaciones en el que, en síntesis, manifestaba que: “La Orden de 22 de noviembre de 1996 establece el procedimiento para la emisión de los dictámenes médicos a efectos del reconocimiento de determinadas prestaciones de clases pasivas, según el cual, iniciado el procedimiento en el correspondiente órgano de jubilación, éste se dirigirá a la Dirección Provincial del Instituto Nacional de la Segundad Social (INSS) de la provincia en que tenga su domicilio el interesado, para que provea lo necesario a fin de que el personal médico del mencionado Instituto lleve a cabo el reconocimiento médico de aquél, a cuyos efectos se deberán hacer constar todos los datos personales necesarios para la identificación de los interesados que hagan posible su reconocimiento, y asimismo deberán adjuntarse cuantas pruebas e informes médicos hayan sido aportados por el interesado y cualesquiera otros que obren en el expediente. Los dictámenes preceptivos, a efectos de la declaración de jubilación por incapacidad de los funcionarios, deberán contener la valoración del estado del interesado con indicación expresa de si está o no afectado por una lesión o proceso patológico, estabilizado e irreversible o de incierta reversibilidad, que le imposibilite totalmente para el desempeño de las funciones propias de su Cuerpo, Escala, Plaza o Carrera. En los mencionados dictámenes, deberá constar si la lesión o proceso patológico de que está afectado el funcionario, además de incapacitarle para las funciones propias de su Cuerpo, en los términos del párrafo anterior le inhabilita o no por completo para toda profesión u oficio. Asimismo, deberá indicarse si el funcionario incapacitado necesita de otra persona para la realización de los actos más esenciales de la vida. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/12 Además, la disposición adicional tercera de la citada Orden hace referencia a la comunicación por los órganos de jubilación de la valoración de las incapacidades, indicando que en los supuestos de jubilación por incapacidad permanente para el servicio, el órgano de jubilación deberá indicar, en el apartado correspondiente del impreso de iniciación de oficio del procedimiento de reconocimiento del derecho a pensión, si la lesión o proceso patológico del funcionario, además de incapacitarle para las funciones propias de su Cuerpo, le inhabilita por completo para toda profesión u oficio, y, en su caso, si necesita la asistencia de otra persona para la realización de los actos más esenciales de la vida, según conste en los dictámenes médicos que emitan los Equipos de Valoración de Incapacidades. En consecuencia, a la vista de la normativa que rige el procedimiento para la emisión de los dictámenes médicos a efectos del reconocimiento de prestaciones de clases pasivas, el EVI debe comunicar al órgano de jubilación la información médica necesaria para que éste, a su vez, indique lo señalado en el párrafo anterior. Se debe concluir, por tanto, que en el ámbito de clases pasivas rige un procedimiento especial, diferente al que opera en el ámbito exclusivo del INSS, que implica que, si bien la interesada desempeña su trabajo en el Ministerio de Educación, Cultura y Deporte, el envío de información con datos médicos a éste no puede equipararse a lo que supondría el envío de dichos datos a la empresa en la que prestara servicios cualquier trabajador de un régimen del sistema de Seguridad Social, toda vez que el Ministerio de Educación, Cultura y Deporte se erige en este caso como órgano competente para la jubilación, papel que en ningún caso corresponde a una empresa en el ámbito de la Seguridad Social. Se solicita, por tanto, que las alegaciones presentadas sean tenidas en cuenta a la hora de determinar la ausencia de infracción por parte de esta entidad en el procedimiento de declaración de infracción iniciado por esa Agencia.” QUINTO: Con fecha 12 de enero de 2016, se acordó por el Instructor del procedimiento la apertura de un período de práctica de pruebas, acordándose practicar las siguientes: 1. Se dan por reproducidos a efectos probatorios la denuncia interpuesta por Dª. A.A.A. y su documentación, los documentos obtenidos y generados por los Servicios de Inspección ante el INSTITUTO NACIONAL DE LA SEGURIDAD SOCIAL, y el Informe de actuaciones previas de Inspección que forman parte del expediente E/02535/2015. 2. Asimismo, se da por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio AP/00070/2015 presentadas por el INSTITUTO NACIONAL DE LA SEGURIDAD SOCIAL, y la documentación que a ellas acompaña. SEXTO: Con fecha 14 de marzo de 2016, el Instructor del procedimiento emitió Propuesta de Resolución, en el sentido de que por la Directora de la Agencia Española de Protección de Datos se declare que el INSTITUTO NACIONAL DE LA SEGURIDAD SOCIAL ha infringido lo dispuesto en el artículo 10 de la LOPD, lo que supone una infracción tipificada como grave en el artículo 44.3.
3. d)de la citada norma, así como que se requiera la adopción de las medidas de orden interno que impidan que en el futuro C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/12 pueda producirse una nueva infracción del artículo 10 de la mencionada Ley. SÉPTIMO: Notificada la propuesta de resolución el INSTITUTO NACIONAL DE LA SEGURIDAD SOCIAL realizó alegaciones frente a la misma en las que comunica: “En relación con su escrito de fecha 14 de marzo de 2016, por el que se considera infringido por esta Entidad lo dispuesto en el artículo 10 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal debido a la cesión por parte del Equipo de Valoración de Incapacidades de la Dirección Provincial del INSS de Ciudad Real al Ministerio de Educación, Cultura y Deporte del informe médico de síntesis de Dª A.A.A., se indica que, se trata de una actuación aislada por parte de esta Entidad y se adoptarán medidas para que no vuelva a producirse la infracción del citado artículo. Como consecuencia de ello, se comunica que, recordaremos a todas las Direcciones Provinciales la improcedencia de la transmisión de los datos que contiene el informe médico de síntesis así como la infracción del artículo 10 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal que lleva aparejada”. HECHOS PROBADOS PRIMERO: Una trabajadora del Ministerio de Educación Cultura y Deporte que presta servicios en el INAEM ha comunicado a esta Agencia que en el marco de un proceso de reconocimiento de Incapacidad, ha sido valorada por el Equipo de Valoración de Incapacidades (EVI) de la Dirección Provincial del INSS de Ciudad Real. Este EVI ha enviado al Ministerio de Educación Cultura y Deporte el dictamen evaluador de fecha 25 de noviembre de 2014 junto con el informe médico de síntesis que incluye antecedentes, enfermedades actuales que padece, diagnóstico, posibilidades terapéuticas y rehabilitadoras y limitaciones orgánicas o funcionales. SEGUNDO: A solicitud de esta Agencia la Dirección Provincial del INSS de Ciudad Real ha informado lo siguiente: En el Real Decreto 397/1996, de 1 de marzo, se establece que los dictámenes médicos preceptivos para la determinación de la existencia de la incapacidad permanente y, en su caso, fijación del grado de la misma, así como verificación de lesiones, a efectos del reconocimiento del derecho de las prestaciones abonadas con cargo a los créditos de Clases Pasivas y cuya competencia está atribuida a la Dirección General de Costes de Personal y de Pensiones Públicas, se emitirán por el Equipo de Valoración del Instituto Nacional de la Seguridad Social de la provincia en que tenga el domicilio el interesado. Por Orden de 22 de noviembre de 1996, se establece el procedimiento para la emisión de los dictámenes médicos a efectos de reconocimiento de determinadas prestaciones de Clases Pasivas. Por lo que se refiere a los procesos de jubilación por incapacidad, el artículo 3 de la citada Orden establece el contenido que ha de figurar en los dictámenes médicos emitidos por el EVI, señalando lo siguiente: Los dictámenes preceptivos, a efectos de la declaración de jubilación por incapacidad de los funcionarios, deberán contener la valoración del estado del C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/12 interesado con indicación expresa de si está o no afectado por una lesión o proceso patológico, estabilizado e irreversible o incierta reversibilidad, que le imposibilite totalmente para el desempeño de las funciones propias de su Cuerpo, Escala, Plaza o Carrera, según establece el artículo 28.2,
4. c)del texto refundido de la Ley de Clases Pasivas del Estado, aprobado por Real Decreto Legislativo 670/1987, de 30 de abril. En los mencionados dictámenes, deberá constar si la lesión o proceso patológico de que está afectado el funcionario, además de incapacitarles para las funciones propias de su Cuerpo, en los términos del párrafo anterior, le inhabilita o no por completo para toda la profesión u oficio. Asimismo, deberá indicarse si el funcionario incapacitado necesita de otra persona para la realización de los actos más esenciales de la vida. TERCERO: No consta acreditado en el presente procedimiento, que el INSTITUTO NACIONAL DE LA SEGURIDAD SOCIAL contara con el consentimiento expreso de la interesada para la cesión a su centro de trabajo, de los datos personales relativos a su salud. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
5. g)en relación con el artículo 36 de la LOPD. II El artículo 3.
6. a)de la LOPD define los datos de carácter personal como, ”Cualquier información concerniente a personas físicas identificadas o identificables”. Por su parte el artículo 3.
7. d)de la LOPD define al responsable del fichero o tratamiento como la “persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento.” A su vez, el artículo 3.
8. c)de la LOPD define el tratamiento de datos personales en los siguientes términos: “Operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias.” En el presente caso, se imputa la difusión de los datos personales de la denunciante por la entidad imputada. En este procedimiento se ha constatado que el INSTITUTO NACIONAL DE LA SEGURIDAD SOCIAL remitió, al centro donde la denunciante prestaba servicios como C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/12 empleada, el Ministerio de Educación, Cultura y Deporte, en un proceso de reconocimiento de incapacidad, junto con el dictamen evaluador de 25 de noviembre de 2014, el informe médico de síntesis que incluye antecedentes, enfermedades actuales que padece, diagnóstico, posibilidades terapéuticas y rehabilitadoras y limitaciones orgánicas o funcionales. Todos ellos, datos personales relativos a la salud de la denunciante, sin que mediara su consentimiento. III El artículo 10 de la LOPD que se considera infringido dispone "El responsable del fichero y quienes intervengan en cualquier fase de tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aún después de finalizar sus relaciones con el titular del fichero, o, en su caso, con el responsable del mismo". El artículo 10 de la LOPD contiene una regla que afecta a la confidencialidad como parte de la seguridad de los datos de carácter personal, tratando de salvaguardar el derecho de las personas a mantener la privacidad de tales datos y, en definitiva, el poder de control o disposición sobre los mismos. El deber de secreto trata de salvaguardar o tutelar el derecho de las personas a mantener la privacidad de sus datos de carácter personal y en definitiva el poder de control o disposición sobre sus datos. Este deber de secreto está lógicamente relacionado con el secreto profesional. Según el ATC de 11 de diciembre de 1989 "el secreto profesional se entiende como la sustracción al conocimiento ajeno, justificada por razón de una actividad, de datos o informaciones obtenidas que conciernen a la vida privada de las personas. El deber de secreto en el tratamiento de datos personales, tiene la misma fundamentación jurídica, pero se refiere al ámbito estricto del tratamiento de los datos personales, para que el responsable del fichero y, cualquier persona que intervenga en el tratamiento, esté obligado al mantener la confidencialidad de los datos personales”. En este sentido el deber de sigilo como señalan las SSAN, Sec. 1ª, de 14 de septiembre de 2002 (Rec.196/00), 13 de abril de 2005 (Rec. 230/2003), 18 de julio de 2007 (Rec. 377/2005 ) "es una exigencia elemental y anterior al propio reconocimiento del derecho fundamental a la libertad informática a que se refiere la STC 292/2000 (...) Este deber de sigilo resulta esencial en las sociedades actuales cada vez más complejas, en las que los avances de la técnica sitúan a la persona en zonas de riesgo para la protección de los derechos fundamentales, como la intimidad o el derecho a la protección de datos que recoge el artículo 18.4 de la CE (...)". El citado artículo 10 regula de forma individualizada el deber de secreto de quienes tratan datos personales, dentro del título dedicado a los principios de protección de datos, lo que refleja la gran importancia que el legislador atribuye al mismo. Este deber de secreto pretende que los datos personales no puedan conocerse por terceros, salvo de acuerdo con lo dispuesto en otros preceptos de la LOPD, como por ejemplo el artículo 11, comunicación de datos. El deber de confidencialidad obliga no sólo al responsable del fichero sino a todo aquel que intervenga en cualquier fase del tratamiento. El deber de secreto profesional que incumbe a los responsables de los ficheros, recogido en el artículo 10 de la LOPD, comporta que el responsable o quienes intervengan en cualquier fase del tratamiento de los datos almacenados no pueda revelar ni dar a conocer su contenido teniendo el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/12 “deber de guardarlos, obligaciones que subsistirán aún después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”. Este deber es una exigencia elemental y anterior al propio reconocimiento del derecho fundamental a la libertad informática a que se refiere la Sentencia del Tribunal Constitucional 292/2000, de 30 de noviembre, y por lo que ahora interesa, comporta que los datos tratados automatizadamente o no, no pueden ser conocidos por ninguna persona o entidad ajena fuera de los casos autorizados por la Ley, pues en eso consiste precisamente el secreto. En este caso concreto, el INSTITUTO NACIONAL DE LA SEGURIDAD SOCIAL, comunicó al centro de trabajo de la denunciante, datos relativos a su salud sin su consentimiento. El artículo 7 de la LOPD señala, respecto de los datos especialmente protegidos, en su punto 3 que: “Los datos de carácter personal que hagan referencia al origen racial, a la salud y a la vida sexual sólo podrán ser recabados, tratados y cedidos cuando, por razones de interés general, así lo disponga una ley o el afectado consienta expresamente”. La LOPD define el consentimiento del interesado en su artículo 3.
9. h)como toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen. El artículo 7 de la LOPD establece un régimen específicamente protector diseñado por el Legislador para aquellos datos personales que proporcionan una información de esferas más íntimas del individuo, a los que se califica en el citado artículo como “Datos especialmente protegidos”. Para las diversas categorías de éstos, el precepto citado establece específicas medidas para su protección. En el supuesto de los datos de salud que es el que se dirime en este procedimiento, el Legislador español, siguiendo al Consejo de Europa (artículo 6 del Convenio 108/81, de 28 de enero, del Consejo de Europa, para la protección de las personas con respecto al tratamiento automatizado de datos de carácter personal) y al Derecho Comunitario (artículo 8 Directiva 95/46/CEE, del Parlamento y del Consejo, de 24 de octubre relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos), los considera como especialmente protegidos y prevé que sólo puedan ser recabados, tratados y cedidos, cuando por razones de interés general así lo disponga una Ley o el afectado consienta expresamente. Ello quiere decir que, solamente en estos supuestos específicos, dichos datos podrán ser tratados. La letra
10. a)del artículo 5.1 de la LOPD menciona específicamente que debe informarse de las finalidades de la recogida de los datos, las cuales, según el artículo 4.1 de la misma norma deben ser “determinadas, explícitas y legítimas”. En consecuencia, la posibilidad de admitir un consentimiento expreso que no conste por escrito para el tratamiento de los datos de salud, se encuentra condicionada a que pueda acreditarse que es una manifestación de voluntad libre, inequívoca y específica, que se presta una vez que se ha tenido conocimiento de una concreta información entre la que, necesariamente, ha de constar la finalidad determinada, explícita y legítima del tratamiento que se va a realizar sobre los datos personales del afectado. Lógicamente, la concurrencia de los extremos expuestos deberá constatarse en cada caso concreto. En el presente procedimiento consta que con fecha 27 de mayo de 2015, la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/12 Dirección Provincial del INSS de Ciudad Real, en respuesta al requerimiento realizado por esta Agencia, en relación al envío del informe médico de síntesis de la denunciante a su centro de trabajo, presentó un escrito en el que se expone que: “En cuanto a los motivos por los que se remitió desde el EVI de esta Dirección Provincial, al Ministerio de Educación, Cultura y Deporte el Informe Médico de Síntesis, junto con el Dictamen Evaluador, se pone de manifiesto que dentro del ámbito normativo de la Seguridad Social, por Real Decreto 397/1996, de 1 de marzo, se establece que los dictámenes médicos preceptivos para la determinación de la existencia de la incapacidad permanente y, en su caso, fijación del grado de la misma, así como verificación de lesiones, a efectos del reconocimiento del derecho de las prestaciones abonadas con cargo a los créditos de Clases Pasivas y cuya competencia está atribuida a la Dirección General de Costes de Personal y de Pensiones Públicas, se emitirán por el Equipo de Valoración del Instituto Nacional de la Seguridad Social de la provincia en que tenga el domicilio el interesado. Por Orden de 22 de noviembre de 1996, se establece el procedimiento para la emisión de los dictámenes médicos a efectos de reconocimiento de determinadas prestaciones de Clases Pasivas. Por lo que se refiere a los procesos de jubilación por incapacidad, el artículo 3 de la citada Orden establece el contenido que ha de figurar en los dictámenes médicos emitidos por el EVI, señalando lo siguiente: “Los dictámenes preceptivos, a efectos de la declaración de jubilación por incapacidad de los funcionarios, deberán contener la valoración del estado del interesado con indicación expresa de si está o no afectado por una lesión o proceso patológico, estabilizado e irreversible o incierta reversibilidad, que le imposibilite totalmente para el desempeño de las funciones propias de su Cuerpo, Escala, Plaza o Carrera, según establece el artículo 28.2,
11. c)del texto refundido de la Ley de Clases Pasivas del Estado, aprobado por Real Decreto Legislativo 670/1987, de 30 de abril. En los mencionados dictámenes, deberá constar si la lesión o proceso patológico de que está afectado el funcionario, además de incapacitarles para las funciones propias de su Cuerpo, en los términos del párrafo anterior, le inhabilita o no por completo para toda la profesión u oficio. Asimismo, deberá indicarse si el funcionario incapacitado necesita de otra persona para la realización de los actos más esenciales de la vida.” Lo alegado por la entidad denunciada no contempla la remisión realizada en el proceso de reconocimiento de incapacidad de la denunciada, el informe médico de síntesis con datos relativos a su salud. El Real Decreto mencionado, de 1996, expone quien es el órgano competente para emitir los dictámenes médicos preceptivos para determinar la incapacidad: el EVI del INSS de la provincia del domicilio del interesado; y la Orden de 1996 establece el procedimiento para la emisión de los dictámenes médicos. La entidad denunciada ha alegado al acuerdo de iniciación del presente procedimiento la misma normativa expuesta en su anterior escrito y manifiesta ahora que: “Además, la disposición adicional tercera de la citada Orden hace referencia a la comunicación por los órganos de jubilación de la valoración de las incapacidades. indicando que en los supuestos de jubilación por incapacidad permanente para el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/12 servicio, el órgano de jubilación deberá indicar, en el apartado correspondiente del impreso de iniciación de oficio del procedimiento de reconocimiento del derecho a pensión, si la lesión o proceso patológico del funcionario, además de incapacitarle para las funciones propias de su Cuerpo, le inhabilita por completo para toda profesión u oficio, y, en su caso, si necesita la asistencia de otra persona para la realización de los actos más esenciales de la vida, según conste en los dictámenes médicos que emitan los Equipos de Valoración de Incapacidades. En consecuencia, a la vista de la normativa que rige el procedimiento para la emisión de los dictámenes médicos a efectos del reconocimiento de prestaciones de ciases pasivas, el EVI debe comunicar al órgano de jubilación la información médica necesaria para que éste, a su vez, indique lo señalado en el párrafo anterior. Se debe concluir, por tanto, que en el ámbito de clases pasivas rige un procedimiento especial, diferente al que opera en el ámbito exclusivo del INSS, que implica que, si bien la interesada desempeña su trabajo en el Ministerio de Educación, Cultura y Deporte, el envío de información con datos médicos a éste no puede equipararse a lo que supondría el envío de dichos datos a la empresa en la que prestara servicios cualquier trabajador de un régimen del sistema de Seguridad Social, toda vez que el Ministerio de Educación, Cultura y Deporte se erige en este caso como órgano competente para la jubilación, papel que en ningún caso corresponde a una empresa en el ámbito de la Seguridad Social. Se solicita, por tanto, que las alegaciones presentadas sean tenidas en cuenta a la hora de determinar la ausencia de infracción por parte de esta entidad en el procedimiento de declaración de infracción iniciado por esa Agencia.” Cabe señalar a este respecto que el Real Decreto Legislativo 670/1987, de 30 de abril, por el que se aprueba el Texto Refundido de la Ley de Clases Pasivas del Estado, en su artículo 28: “Hecho causante de las pensiones” establece en su punto 2 que la jubilación o retiro puede ser:
12. c)“Por incapacidad permanente para el servicio o inutilidad, que se declarará de oficio o a instancia de parte, cuando el interesado venga afectado por una lesión o proceso patológico, somático o psíquico que esté estabilizado y sea irreversible o de remota o incierta reversibilidad, cuya lesión o proceso le imposibiliten totalmente para el desempeño de las funciones propias de su Cuerpo, Escala, plaza o carrera, de acuerdo con el dictamen preceptivo y vinculante del órgano médico que en cada caso corresponda”. La Orden citada por la entidad imputada en este procedimiento, Orden de 22 de noviembre de 1996, por la que se establece el procedimiento para la emisión de los dictámenes médicos a efectos del reconocimiento de determinadas prestaciones de clases pasivas, expone en su artículo 3 las “Normas específicas en los procedimientos de jubilación por incapacidad permanente para el servicio del personal civil incluido en el ámbito de cobertura del Régimen de Clases Pasivas del Estado”, y expresa que “Los dictámenes preceptivos, a efectos de la declaración de jubilación por incapacidad de los funcionarios, deberán contener la valoración del estado del interesado” y expone a continuación lo que deberán indicar expresamente y lo que deberán contener esos dictámenes. En ningún caso se indica que el contenido de los dictámenes para la determinación de la existencia de la incapacidad permanente deba incluir la información contenida en el informe médico de síntesis de la denunciante que el INSS remitió al Ministerio de Educación, Cultura y Deporte. La Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, contempla la posibilidad de una habilitación legal para que los datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/12 de carácter personal que hagan referencia a la salud puedan ser recabados, tratados y cedidos por razones de interés general, sin que medie consentimiento expreso del interesado, de manera que dicha habilitación deberá estar contemplada en una norma con rango de ley. En cualquier caso, y sin entrar a valorar el rango de la normativa expuesta, lo cierto es que esa normativa no contempla la comunicación de los datos personales incluidos en el informe médico de síntesis de la denunciante, que la Dirección Provincial de Ciudad Real del Instituto Nacional de la Seguridad Social envió al Ministerio de Educación, Cultura y Deporte. En las alegaciones presentadas a la propuesta de resolución, el Subdirector General de Gestión de Prestaciones ha informado de que se trata de una actuación aislada por parte de esta Entidad y que se adoptarán las medidas necesarias para que no vuelva a producirse la cesión por parte del Equipo de Valoración de Incapacidades del informe médico de síntesis del interesado. En este sentido comunica que recordarán a todas las Direcciones Provinciales la improcedencia de la transmisión de los datos que contiene el informe médico de síntesis y que les recordarán también la infracción del artículo 10 de la LOPD en que incurrirían con ello. En este procedimiento ha quedado acreditado que la entidad imputada ha revelado datos de carácter personal relacionados con la salud de la denunciante, al enviar a su centro de trabajo, en el marco de un proceso de reconocimiento de incapacidad, un informe médico de síntesis que incluye antecedentes, enfermedades actuales que padece, diagnóstico, posibilidades terapéuticas y rehabilitadoras y limitaciones orgánicas o funcionales. Se considera por tanto que se ha vulnerado el principio del deber de secreto, consagrado en el artículo 10 de la LOPD, que obliga al responsable del fichero y a quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal. IV La LOPD califica la vulneración del deber de secreto como infracción grave en su artículo 44.3.d): “La vulneración del deber de guardar secreto acerca del tratamiento de los datos de carácter personal al que se refiere el artículo 10 de la presente Ley”. Ha quedado acreditado en el presente procedimiento que el INSTITUTO NACIONAL DE LA SEGURIDAD SOCIAL comunicó al centro de trabajo de la denunciante, datos especialmente protegidos relativos a su salud sin que, por razones de interés general, así lo disponga una ley y sin que la afectada consintiera expresamente. De acuerdo con lo señalado, se considera que el INSTITUTO NACIONAL DE LA SEGURIDAD SOCIAL ha incurrido en la infracción grave tipificada en el artículo 44.3.
13. d)de la LOPD. V C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/12 El artículo 46 de la LOPD, “Infracciones de las Administraciones Públicas”, dispone: “1. Cuando las infracciones a que se refiere el artículo 44 fuesen cometidas en ficheros de titularidad pública o en relación con tratamientos cuyos responsables lo serían de ficheros de dicha naturaleza, el órgano sancionador dictará una resolución estableciendo las medidas que procede adoptar para que cesen o se corrijan los efectos de la infracción. Esta resolución se notificará al responsable del fichero, al órgano del que dependa jerárquicamente y a los afectados si los hubiera. 2. El órgano sancionador podrá proponer también la iniciación de actuaciones disciplinarias, si procedieran. El procedimiento y las sanciones a aplicar serán las establecidas en la legislación sobre régimen disciplinario de las Administraciones Públicas. 3. Se deberán comunicar al órgano sancionador las resoluciones que recaigan en relación con las medidas y actuaciones a que se refieren los apartados anteriores. 4. El Director de la Agencia comunicará al Defensor del Pueblo las actuaciones que efectúe y las resoluciones que dicte al amparo de los apartados anteriores”. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR que el INSTITUTO NACIONAL DE LA SEGURIDAD SOCIAL ha infringido lo dispuesto en el artículo 10 de la LOPD, tipificada como grave en el artículo 44.3.
14. d)de de la citada Ley Orgánica. SEGUNDO: REQUERIR al INSTITUTO NACIONAL DE LA SEGURIDAD SOCIAL , de acuerdo con lo establecido en el apartado 3 del artículo 46 de la Ley 15/1999, para que acredite en el plazo de un mes desde este acto de notificación las medidas de orden interno que impidan que en el futuro pueda producirse una nueva infracción del artículo 10 de la LOPD, para lo que se abre un expediente de actuaciones previas con la referencia E/01971/2016. En concreto se requiere que aporten constancia de la comunicación a las Direcciones Provinciales de la improcedencia de la transmisión al órgano de jubilación de los datos personales del interesado contenidos en el informe médico de síntesis, para la tramitación de los procedimientos de Incapacidad. TERCERO: NOTIFICAR la presente resolución al INSTITUTO NACIONAL DE LA SEGURIDAD SOCIAL, a la Secretaría de Estado de la Seguridad Social y a Dª A.A.A.. CUARTO: COMUNICAR la presente resolución al Defensor del Pueblo, de conformidad con lo establecido en el artículo 46.4 de la LOPD. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/12 Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, se podrá interponer potestativamente recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa (en lo sucesivo LJCA), en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Sin embargo, el responsable del fichero de titularidad pública, de acuerdo con el artículo 44.1 de la LJCA, sólo podrá interponer directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la LJCA, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es