1/9 Expediente Nº: EXP202102949 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes: HECHOS PRIMERO: Don A.A.A. (en adelante, la parte reclamante), con fecha 17 de agosto de 2021, interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra SEAT, S.A., con NIF A28049161 (en adelante, la parte reclamada). Los motivos en que basa la reclamación son los siguientes: Que el 17 de junio de 2019 interpuso una demanda de reclamación de cantidad derivada de daños y perjuicios contra su empleadora, la parte reclamada, por infracción de medidas de seguridad. El 12 de febrero de 2021, el Juzgado de lo Social X de ***LOCALIDAD.1 dictó sentencia, señalando en su fundamento de derecho 6º que: “Una qüestió que no ha estat objecte de debat però que sorprèn a aquest jutjador i així s’ha de fer notar expressament per la possibilitat de que s’estigui vulnerant el dret a la intimitat dels treballadors de Seat (article 13.5 de la Llei d’infraccions i sancions en l’ordre social), (…). Això ho podem veure tant (…), com, finalment, dels informes aportats a títol d’exemple corresponents a altres Administració de justícia a Catalunya”. Traducido de manera informal indica: Una cuestión que no ha sido objeto de debate pero que sorprende a este juzgador es la posibilidad de que se esté vulnerando el derecho a la intimidad de los trabajadores, es la disponibilidad de los informes médicos de la salud del trabajador por parte de la empresa, es decir, la información médica del trabajador -y suponemos que de toda la plantilla- es accesible, abierta y sin ninguna restricción, por la empresa, lo que supone que se afectan aspectos de la vida personal e íntima, al ser datos sensibles, no protegidas de ningún modo. Asimismo, debemos hacer hincapié desde la perspectiva del deber de confidencialidad de los servicios médicos y del personal facultativo de la empresa, y la responsabilidad que se pueda derivar de ello, el cual facilita datos personales e íntimos, especialmente sensibles, a la dirección de la empresa.". El reclamante expone que esta actuación es contraria a lo dispuesto en la normativa de Protección de Datos. Junto a la reclamación se aporta la sentencia de fecha 12 de febrero de 2021 del juzgado de lo Social 3 de ***LOCALIDAD.1. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada/ALIAS, para que procediese a su análisis e informase a esta Agencia en el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/9 plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. Con fecha 18 de noviembre de 2021, se recibe en esta Agencia escrito de respuesta indicando lo siguiente: El reclamante, trabajador de SEAT desde el año 2002, se reincorporó a su puesto de trabajo el 23 de diciembre de 2009, después de una incapacidad aboral temporal aportando un informe médico al servicio Médico y de Vigilancia de la Salud interno de SEAT, al que nadie ha tenido acceso hasta la solicitud de actos preparatorios y exhibición previa de documentos presentada por el empleado el 16 de octubre de 2018. Tras evaluar el informe presentado se indicó que el reclamante era apto para su trabajo con la restricción temporal consistente en evitar la conducción de carretillas a jornada completa. Le recomendó usar una faja lumbar que SEAT le proporcionó. El 27 de noviembre de 2010, el reclamante sufrió un accidente in itinere por el que estuvo de baja en dos periodos de tiempo, hasta el 15 de abril de 2011. El 17 de julio de 2012 se volvió a analizar la aptitud del trabajador reclamante manteniendo las mismas restricciones y añadiendo recomendaciones como no forzar posturas y evitar la elevación de cargas pesadas. El 11 de febrero de 2014, se recibe informe sobre el grado de discapacidad del 33% reconocido al trabajador, del que dispone el Servicio de Salud únicamente. El Servicio de Salud lleva un seguimiento del trabajador, realizando revisiones los años 2013, 2014, 2015, 2017 y 2018, manteniendo la aptitud, pero con las restricciones señaladas. El 16 de julio de 2018, se recibe en el Servicio de Salud la revisión del grado de discapacidad del empleado que ha pasado a ser del 42%. El 12 de septiembre de 2018, el trabajador requirió a SEAT medidas necesarias de prevención de su salud y su reubicación. El 3 de octubre de 2018, el Servicio de Salud revisó la situación y volvió a mantener la aptitud con recomendaciones. El 16 de octubre de 2018, el trabajador solicita al Juzgado de lo Social nº X de ***LOCALIDAD.1 actos preparatorios y exhibición previa de documentos a fin de poder interponer la demanda de tutela de derechos con acumulación de daños y perjuicios. El 3 de diciembre de 2018, se le trasladó a otro puesto de trabajo, aunque el Servicio de Salud seguía manteniendo su aptitud para desempeñar el anterior. El 17 de junio de 2019, el trabajador interpone demanda judicial de reclamación de cantidad derivada del convenio colectivo y de los daños y perjuicios sufridos, ante el Juzgado de lo Social nº X de ***LOCALIDAD.1, contra SEAT y su aseguradora. La demanda es por incumplimiento del convenio colectivo, por la dejadez de la empresa en analizar su situación médica y adaptar el puesto de trabajo a esa situación. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/9 El día 12 de enero de 2021, se celebró el juicio y el Juzgado aceptó penamente la prueba presentada por ambas partes. El 12 de febrero de 2021, se dicta sentencia condenando a SEAT al abono de más de 40.000 euros. En cuanto a lo que señala la Sentencia de que es posible que sus informes médicos fuesen conocidos por todos los trabajadores, alegan que el tratamiento de los datos de salud de os trabajadores solo los ha realizado el personal médico, en aplicación de la Ley de Prevención de Riesgos Laborales, cuyo artículo 22.4 indica: “El acceso a la información médica de carácter personal se limitará al personal médico y a las autoridades sanitarias que lleven a cabo la vigilancia de la salud de los trabajadores, sin que pueda facilitarse al empresario o a otras personas sin consentimiento expreso del trabajador. No obstante lo anterior, el empresario y las personas u órganos con responsabilidades en materia de prevención serán informados de las conclusiones que se deriven de los reconocimientos efectuados en relación con la aptitud del trabajador para el desempeño del puesto de trabajo o con la necesidad de introducir o mejorar las medidas de protección y prevención, a fin de que puedan desarrollar correctamente sus funciones en materia preventiva”. Los trabajadores de la entidad solo conocían las recomendaciones de trabajo del reclamante, datos necesarios para que pudiese desempeñar el trabajo adecuado. Los abogados de recursos humanos conocieron las conclusiones de los reconocimientos médicos se produjo desde el momento que el trabajador solicitó actos preparatorios para recabar prueba e interponer posteriormente la demanda. Según la sentencia, es probado que los actos preparatorios se solicitaron el 16 de octubre de 2018. Por otra parte, todos los datos puestos en conocimiento de los abogados se realizaron para su aportación a juicio y el ejercicio del derecho a la tutela judicial efectiva. La actuación realizada sigue lo indicado en el informe del Gabinete Jurídico de la AEPD, 0098/2020, en el que se señala: “Finalmente, en lo que se refiere al acceso a la historia clínica para preparar la defensa sin la existencia de requerimiento previo, debe indicarse en primer lugar, que la opción más garantista desde el punto de vista de la colisión de los derechos a la intimidad y a la protección de datos del paciente ( artículo 18. 3 y 4 CE) con el derecho a la tutela judicial efectiva y a utilizar los medios de defensa previsto en el artículo 24 CE, es solicitar al juez que determine su aportación al proceso a través de los cauces procesales oportunos. Si por el contrario se pretende aportar la documentación referida a la historia clínica, motu proprio, el criterio de esta Agencia sobre el tratamiento datos de carácter personal en procesos judiciales derivado de la aportación de una de las partes, es que la documentación entregada a los órganos jurisdiccionales competentes por quien tiene legitimación -procesal- estaría legalmente amparada no solo cuando los datos personales hubieran sido solicitados directamente por dichos órganos, sino también cuando, al aportarse por las partes, hubieran sido admitidos como prueba. Criterio C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/9 confirmado por la Audiencia Nacional sirva citar la reciente Sentencia de fecha 5 de febrero de 2021, Recurso núm. 1045/2019 que indica lo siguiente: FD 4: En cuanto al fondo del asunto, tenemos que reseñar que el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE, establece en su art. 6.1 los supuestos que legitiman la comunicación de datos personales, como es cuando exista una obligación legal para ello, como puede ser el supuesto de comunicaciones a los Juzgados y Tribunales. A dicho precepto, se remite el art. 8 de la Ley Orgánica 3/2018, de 5 de diciembre”. En el mismo sentido, se encuentra el Considerando 52 del RGPD: “Asimismo deben autorizarse excepciones a la prohibición de tratar categorías especiales de datos personales cuando lo establezca el Derecho de la Unión o de los Estados miembros y siempre que se den las garantías apropiadas, a fin de proteger datos personales y otros derechos fundamentales, cuando sea en interés público, en particular el tratamiento de datos personales en el ámbito de la legislación laboral, la legislación sobre protección social, incluidas las pensiones y con fines de seguridad, supervisión y alerta sanitaria, la prevención o control de enfermedades transmisibles y otras amenazas graves para la salud. Tal excepción es posible para fines en el ámbito de la salud, incluidas la sanidad pública y la gestión de los servicios de asistencia sanitaria, especialmente con el fin de garantizar la calidad y la rentabilidad de los procedimientos utilizados para resolver las reclamaciones de prestaciones y de servicios en el régimen del seguro de enfermedad, o con fines de archivo en interés público, fines de investigación científica e histórica o fines estadísticos. Debe autorizarse asimismo a título excepcional el tratamiento de dichos datos personales cuando sea necesario para la formulación, el ejercicio o la defensa de reclamaciones, ya sea por un procedimiento judicial o un procedimiento administrativo o extrajudicial.” Acompañan análisis de riesgos y evaluación de impacto realizados por SEAT; así como los procedimientos de notificación de brechas de seguridad. TERCERO: Con fecha 26 de enero de 2022, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con las funciones que el artículo 57.1 a),
- f)y
- h)del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) confiere a cada autoridad de control y según lo dispuesto en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/9 Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos.” II Tratamiento de categorías especiales de datos personales El artículo 9 del RGPD, que regula el tratamiento de categorías especiales de datos personales, establece lo siguiente: "1. Quedan prohibidos el tratamiento de datos personales que revelen el origen étnico o racial, las opiniones políticas, las convicciones religiosas o filosóficas, o la afiliación sindical, y el tratamiento de datos genéticos, datos biométricos dirigidos a identificar de manera unívoca a una persona física, datos relativos a la salud o datos relativos a la vida sexual o la orientación sexual de una persona física. 2. El apartado 1 no será de aplicación cuando concurra una de las circunstancias siguientes:
- a)el interesado dio su consentimiento explícito para el tratamiento de dichos datos personales con uno o más de los fines especificados, excepto cuando el Derecho de la Unión o de los Estados miembros establezca que la prohibición mencionada en el apartado 1 no puede ser levantada por el interesado;
- b)el tratamiento es necesario para el cumplimiento de obligaciones y el ejercicio de derechos específicos del responsable del tratamiento o del interesado en el ámbito del Derecho laboral y de la seguridad y protección social, en la medida en que así lo autorice el Derecho de la Unión o de los Estados miembros o un convenio colectivo con arreglo al Derecho de los Estados miembros que establezca garantías adecuadas del respeto de los derechos fundamentales y de los intereses del interesado;
- c)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física, en el supuesto de que el interesado no esté capacitado, física o jurídicamente, para dar su consentimiento;
- d)el tratamiento es efectuado, en el ámbito de sus actividades legítimas y con las debidas garantías, por una fundación, una asociación o cualquier otro organismo sin ánimo de lucro, cuya finalidad sea política, filosófica, religiosa o sindical, siempre que el tratamiento se refiera exclusivamente a los miembros actuales o antiguos de tales organismos o a personas que mantengan contactos regulares con ellos en relación con sus fines y siempre que los datos personales no se comuniquen fuera de ellos sin el consentimiento de los interesados;
- e)el tratamiento se refiere a datos personales que el interesado ha hecho manifiestamente públicos;
- f)el tratamiento es necesario para la formulación, el ejercicio o la defensa de reclamaciones o cuando los tribunales actúen en ejercicio de su función judicial; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/9
- g)el tratamiento es necesario por razones de un interés público esencial, sobre la base del Derecho de la Unión o de los Estados miembros, que debe ser proporcional al objetivo perseguido, respetar en lo esencial el derecho a la protección de datos y establecer medidas adecuadas y específicas para proteger los intereses y derechos fundamentales del interesado;
- h)el tratamiento es necesario para fines de medicina preventiva o laboral, evaluación de la capacidad laboral del trabajador, diagnóstico médico, prestación de asistencia o tratamiento de tipo sanitario o social, o gestión de los sistemas y servicios de asistencia sanitaria y social, sobre la base del Derecho de la Unión o de los Estados miembros o en virtud de un contrato con un profesional sanitario y sin perjuicio de las condiciones y garantías contempladas en el apartado 3;
- i)el tratamiento es necesario por razones de interés público en el ámbito de la salud pública, como la protección frente a amenazas transfronterizas graves para la salud, o para garantizar elevados niveles de calidad y de seguridad de la asistencia sanitaria y de los medicamentos o productos sanitarios, sobre la base del Derecho de la Unión o de los Estados miembros que establezca medidas adecuadas y específicas para proteger los derechos y libertades del interesado, en particular el secreto profesional;
- j)el tratamiento es necesario con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos, de conformidad con el artículo 89, apartado 1, sobre la base del Derecho de la Unión o de los Estados miembros, que debe ser proporcional al objetivo perseguido, respetar en lo esencial el derecho a la protección de datos y establecer medidas adecuadas y específicas para proteger los intereses y derechos fundamentales del interesado. 3. Los datos personales a que se refiere el apartado 1 podrán tratarse a los fines citados en el apartado 2, letra h), cuando su tratamiento sea realizado por un profesional sujeto a la obligación de secreto profesional, o bajo su responsabilidad, de acuerdo con el Derecho de la Unión o de los Estados miembros o con las normas establecidas por los organismos nacionales competentes, o por cualquier otra persona sujeta también a la obligación de secreto de acuerdo con el Derecho de la Unión o de los Estados miembros o de las normas establecidas por los organismos nacionales competentes. 4. Los Estados miembros podrán mantener o introducir condiciones adicionales, inclusive limitaciones, con respecto al tratamiento de datos genéticos, datos biométricos o datos relativos a la salud." III Licitud del tratamiento 1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
- a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/9
- b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
- c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
- d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
- e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
- f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
- f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones. IV Reclamación La reclamación se presenta como consecuencia de una declaración recogida en la Sentencia en la que le reclamante ha sido el demandante, y que señala lo siguiente: Una cuestión que no ha sido objeto de debate pero que sorprende a este juzgador es la posibilidad de que se esté vulnerando el derecho a la intimidad de los trabajadores, es la disponibilidad de los informes médicos de la salud del trabajador por parte de la empresa, es decir, la información médica del trabajador -y suponemos que de toda la plantilla- es accesible, abierta y sin ninguna restricción, por la empresa, lo que supone que se afectan aspectos de la vida personal e íntima, al ser datos sensibles, no protegidas de ningún modo. Asimismo, debemos hacer hincapié desde la perspectiva del deber de confidencialidad de los servicios médicos y del personal facultativo de la empresa, y la responsabilidad que se pueda derivar de ello, el cual facilita datos personales e íntimos, especialmente sensibles, a la dirección de la empresa." En este párrafo se indica la posibilidad de que los datos referidos a informes médicos de salud de los trabajadores fueran conocidos por la dirección de la empresa. Le entidad reclamada ha señalado que lo único que conoce la empresa es la situación de aptitud de sus trabajadores, conforme habilita la Ley de Prevención de Riesgos Laborales. En el caso del reclamante, debían conocer las adaptaciones de su puesto de trabajo a su situación médica. Información cuyo tratamiento está legitimado por la normativa indicada. En cuanto al tratamiento de datos realizados por SEAT al presentar documentación al Juzgado en su defensa de la demanda presentada por el reclamante, hay que señalar que el derecho a la protección de datos no es un derecho absoluto y ha de ponerse en relación con otros derechos reconocidos en la Constitución Española como el de la tutela judicial efectiva. El Tribunal Constitucional ha declarado, en su Sentencia 292/2000, de 30 de noviembre, en cuanto al derecho fundamental a la protección de datos, “que el derecho a la protección de datos no es ilimitado, y aunque la Constitución no le C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/9 imponga expresamente límites específicos, ni remita a los Poderes Públicos para su determinación como ha hecho con otros derechos fundamentales, no cabe duda de que han de encontrarlos en los restantes derechos fundamentales y bienes jurídicos constitucionales protegidos, pues así lo exige el principio de unidad de la Constitución”. La exigibilidad del consentimiento de las partes en los procesos judiciales para la aportación de documentos en los que figuren los datos de la contraparte supondría dejar a disposición de aquél la voluntad de su uso que se traduciría en la imposibilidad de poder ejercer, en plenitud, su derecho a la tutela judicial efectiva, produciendo indefensión. Así, la falta de estos datos o su comunicación a la contraparte puede implicar, lógicamente, una merma en la posibilidad de aportación por el interesado de "los medios de prueba pertinentes para su defensa", vulnerándose otra de las garantías derivadas del citado derecho a la tutela efectiva y coartándose la posibilidad de obtener el pleno desenvolvimiento de este derecho. En vista de ello, el legislador ha creado un sistema en que el derecho a la protección de datos de carácter personal cede en aquellos supuestos en que el propio legislador (constitucional u ordinario) haya considerado la existencia de motivos razonados y fundados que justifiquen la necesidad del tratamiento de los datos, incorporando dichos supuestos a normas de, al menos, el mismo rango que la que regula la materia protegida. Tal y como sostiene reiterada jurisprudencia del Tribunal Constitucional (por todas, STC 186/2000, de 10/07, con cita de otras muchas) "el derecho a la intimidad no es absoluto, como no lo es ninguno de los derechos fundamentales, pudiendo ceder ante intereses constitucionalmente relevantes, siempre que el recorte que aquél haya de experimentar se revele como necesario para lograr el fin legítimo previsto, proporcionado para alcanzarlo y, en todo caso, sea respetuoso con el contenido esencial del derecho". Por tanto, no se precisa la aceptación o conocimiento del afectado para la cesión de datos personales, cuando la comunicación tenga por objeto la defensa judicial y como destinatarios a los Jueces o Tribunales en el seno del ejercicio de sus competencias, incluyéndose los supuestos en que se trata de pruebas que, si bien no han sido solicitadas por el Juez o Tribunal, son aportadas por las partes. La acción es subsumible en el derecho de todos los ciudadanos a utilizar todos los medios de prueba pertinentes para su defensa, en el ejercicio de sus derechos e intereses legítimos, sin que, en ningún caso, pueda producirse indefensión, como señala el artículo 24.2 del texto Constitucional que en este caso prevalece. En el mismo sentido se pronuncia el informe del Servicio Jurídico de la Agencia Española de Protección de Datos recogido en los Hechos. V Conclusión Por lo tanto, en base a lo indicado en los párrafos anteriores, no se han encontrado evidencias que acrediten la existencia de infracción en el ámbito competencial de la Agencia Española de Protección de Datos. Así pues, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/9 SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a Don A.A.A. y a SEAT, S.A. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
- c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 940-110322 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es