← España

AI-00325-2023

1/18  Expediente N.º: EXP202310399 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 4 de julio de 2023 se presentó reclamación con número de registro de entrada REGAGE23e00044414781 ante la Agencia Española de Protección de Datos contra la DIRECCIÓN GENERAL DE LA POLICÍA con NIF S2816015H (en adelante, D.G.POL.). Los motivos en que basa la reclamación son los siguientes: La parte reclamante, que (…) de CEPOL (Agencia Europea para la Formación Policial), refiere accesos indebidos a sus datos de salud obrantes en el fichero SIGESPOL por una facultativa de la reclamada. Expone que, a través de Resolución de fecha ***FECHA.1, se acordó la incoación de un procedimiento de jubilación (…) contra la reclamante, siendo el origen de dicho procedimiento una Nota interior del Área Sanitaria (Salud Ocupacional), firmada por la facultativa señalada, donde se recoge que "Estudiada la documentación clínico-laboral de la Funcionaria de la Policía Nacional Dª. A.A.A. se propone por parte de esta Área, el inicio de los trámites oportunos para la valoración por el Tribunal Médico de la Policía Nacional, al efecto de posible cambio de situación administrativa a JIF". Considera que se han tratado sus datos de salud sin su consentimiento, sin habilitación legal y con una finalidad distinta para la que se recabaron los datos. Alude a una supuesta discriminación, por su orientación sexual y por su vinculación con el sindicato JUPOL, (…). No aporta documentación adicional. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), se dio traslado de dicha reclamación a D.G.POL., para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/18 Públicas (en adelante, LPACAP), fue notificado en fecha 24/07/2023, como consta en el acuse de recibo que obra en el expediente. En fecha 08/08/2023 la parte reclamada presentó escrito de contestación al traslado de la reclamación en el que manifestaba entre otros aspectos: “Que el Registro de Actividades de Tratamiento de Datos del Ministerio de Interior, en su página 66 y siguientes se contienen todos los datos que, conforme a la normativa vigente han de publicarse respecto del tratamiento de datos que se hace en el fichero SIGESPOL. Que en la citada página 66 consta como base legal (legitimación): Ley Orgánica 9/2015, de 28 de julio, de Régimen de Personal de la Policía Nacional, Ley Orgánica 4/2010, de 20 de mayo, del Régimen Disciplinario del Cuerpo Nacional de Policía, Real Decreto Legislativo 5/2015, de 30 de octubre, por el que se aprueba el texto refundido de la ley del Estatuto básico del Empleado Público, Ley Orgánica 2/1986, de 13 de marzo, de Fuerzas y Cuerpos de Seguridad. En lo relativo a la circunstancia que levanta la prohibición para tratar categorías especiales de dato, ha de tenerse en cuenta que de acuerdo con lo previsto en el apartado

  1. h)del artículo 9 del RGPD uno de los motivos por los que está legalmente permitido el tratamiento de datos relativos a la salud es: “
  2. h)el tratamiento es necesario para fines de medicina preventiva o laboral, la evaluación de la capacidad laboral del trabajador, diagnóstico médico, prestación de asistencia o tratamiento de tipo sanitario o social, o gestión de los sistemas y servicios de asistencia sanitaria y social sobre la base del Derecho de la Unión o de los Estados miembros o en virtud de un contrato con un profesional sanitario sin perjuicio de las condiciones y garantías contempladas en el apartado 3”. Que el apartado 3 del artículo 9, al que se refiere el punto
  3. h)del mismo artículo advera “3. Los datos personales a que se refiere el apartado 1 podrán tratarse a los fines citados en el apartado 2, letra
  4. h)cuando su tratamiento se ha realizado por un profesional sujeto a la obligación de secreto profesional o bajo su responsabilidad, de acuerdo con el Derecho de la Unión o de los Estados miembros o con las normas establecidas por los organismos nacionales competentes. Los datos médicos de los funcionarios policiales se incluyen en sus expedientes personales que se contienen en el fichero SIGESPOL. Que los datos médicos de los funcionarios policiales, si bien están recogidos en el fichero SIGESPOL, los mismos están archivados en un apartado especialmente protegido y con acceso muy restringido y controlado para aquellos funcionarios que por sus funciones y conforme a la normativa vigente, pueden tener acceso a los mismos. De acuerdo con el anterior ha de tenerse en cuenta que no todo el funcionario policial tiene acceso a SIGESPOL y que no todo funcionario con acceso a SIGESPOL puede consultar el expediente completo del resto de funcionarios, de tal forma que existe una limitación a las consultas, la cual no solo es funcional, tipo de datos que se puede consultar por cada funcionario, si no también territorial, de tal forma que los funcionarios, salvo aquellos que por sus funciones tienen un acceso excepcional a C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/18 consultar el expediente en todos los funcionarios a nivel nacional, tales como el Área Sanitaria o la División de Personal, pero siempre con la limitación de sólo acceder a los datos necesarios conforme a las funciones de su puesto de trabajo, el resto de funcionarios destinados en Organismos periféricos tan solo tienen acceso a los datos de los funcionarios destinados en el ámbito territorial donde desempeñan sus funciones. Que la aplicación SIGEPOL está concebida y organizada de tal forma que en todo momento se protegen los derechos que la normativa vigente de protección de datos reconoce, de tal forma que cada funcionario al que se concede acceso a esta aplicación se le autoriza a consultar los datos directamente relacionados con las funciones que desempeña conforme a su puesto de trabajo, de esta manera, a los datos médicos, datos especialmente protegidos de todos los funcionarios policiales, sólo tienen acceso los funcionarios destinados en el Área Sanitaria la cual dependía orgánicamente de la División de Personal hasta la entrada en vigor de la Orden INT/859/2023, de 21 de julio, por la que se desarrolla la estructura orgánica y funciones de los servicios centrales y territoriales de la Dirección General de la Policía, la misma pasa a depender de la Subdirección General de Recursos Humanos y Formación, dentro de la Unidad de Coordinación de Prevención de Riesgos Laborales y Protección Sociosanitaria, igualmente funcionarios de las Unidades Regionales Sanitarias tienen acceso a los datos sanitarios de los funcionarios que se encuentran destinados en las dependencias policiales existentes en el ámbito territorial en el que desempeñan sus funciones. En lo que se refiere a la finalidad del tratamiento, el mismo consta en el Registro de Actividades de Tratamiento del Ministerio de Interior (…), no obstante, se significa que el primero de los fines del tratamiento que constan en el referido RAT es el de “gestión de asuntos relativos a los recursos humanos de la Dirección General de la Policía (…)” entre los que se encuentran el control de la actitud de los funcionarios policiales para el desempeño de sus funciones conforme recoge el artículo 80 de la Ley Orgánica 9/2015, de 28 de julio, de Régimen de Personal de la Policía Nacional, transcribiéndose el punto 1 del mismo. Que en todo momento se observa la normativa reguladora de Protección de Datos y se adoptan las medidas y garantías para la protección de los derechos y libertades de las personas, en el tan referido RAT del Ministerio de Interior, constan todos los datos normativamente exigiendo respecto del fichero SIGESPOL. En cuanto a “las categorías de los interesados” conforme consta en el punto con la misma denominación del RAT del Ministerio del Interior relativo a SIGESPOL son de los “empleados públicos”. Por lo que se refiere a la “Evaluación de Impacto”. No fue realizada toda vez que el tratamiento de datos de SIGEPOL, se considera que no constituye un alto riesgo para los derechos y libertades de las personas físicas, ya que el acceso a los datos está limitado a las personas que se autoriza para ello los cuales acceden con el usuario y contraseña que se les asigna quedando registrada toda consulta realizada, tanto quien la ha llevado a cabo como lo que ha consultado. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/18 Cabe significar que no se llevan a cabo consultas automatizadas, todas son realizadas por funcionarios individuales que quedan perfectamente identificados. Igualmente ha de señalarse que en el caso del fichero SIGEPOL no se da ninguno de los requisitos previstos en el artículo 35.3 del Reglamento General de Protección de Datos, donde se regulan los supuestos en el que sea obligatoria la realización de la evaluación de impacto. Respecto de la decisión adoptada a propósito de la reclamación objeto de las presentes, la primera medida que se ha tomado ha sido la de realizar una auditoría respecto de las consultas realizadas sobre los datos médicos que de la Sra. A.A.A. constan en la aplicación SIGEPOL desde el (...), se constata que, aparte de tres

(3)consultas realizadas por la propia Sra. A.A.A., todas las demás consultas han sido realizadas por funcionarios destinados en los distintos servicios de la Unidad Sanitaria, entre los que se encuentra la funcionaria nominativamente referida por la denunciante, (…). En base a lo anterior, queda acreditado, conforme a los datos que se han obtenido, que todas las consultas realizadas en los datos médicos de la Sra. A.A.A. han sido realizados por personas que conforme a la normativa vigente están facultados para ello y en lo que concretamente respecta a la Facultativa a la que se refiere la interesada, está autorizada, conforme a la normativa, a acceder a los datos médicos de la dicente, toda vez que es (…) de la Policía Nacional. Como se ha señalado a lo largo de todo el presente escrito lo que la Sra. A.A.A. califica de acceso indebido a sus datos médicos se ha constatado y justificado que no es así, además por parte de este Órgano Directivo se han adoptado todas las medidas para garantizar los derechos y libertades de la dicente en lo relativo a la protección de datos, las cuales han sido efectivas, toda vez que como se ha dicho con anterioridad, de la auditoría realizada con el fin de comprobar las personas que han accedido a los datos médicos de la funcionaria en cuestión en los últimos cinco años y medio, ya que en áreas de mayor calidad y garantía la reclamación realizada se ha retrotraído la auditoria hasta el año 20XX, en la misma consta que tan solo han accedido a esos datos médicos funcionarios con autorización legal para ello, es decir, funcionarios destinados en el Área Sanitaria de la Policía Nacional, además de los tres accesos que la propia interesada llevó a cabo. Del escrito de la Sra. A.A.A. se deduce que su disconformidad está más relacionada con la incoación del procedimiento de cambio de situación administrativa que por el acceso a los datos en sí, toda vez que, desde el inicio se hace referencia a que es fruto de esa consulta de datos médicos llevada a cabo por una Facultativa destinada en el Área Sanitaria, en virtud de la cual la citada Facultativa realiza el Informe Clínico Laboral del que dimana la propuesta del Área Sanitaria del inicio de trámites oportunos para la valoración por parte del Tribunal Médico de la Policía Nacional al efecto de posible cambio de situación administrativa. Se significa que el citado procedimiento ya ha sido resuelto en los términos notificados a la interesada (…). Todas las comunicaciones realizadas respecto al anteriormente referido procedimiento fueron llevadas a cabo mediante su remisión en sobre cerrado a nombre de la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/18 interesada, con el sello de confidencialidad, a la plantilla en la que en ese momento se encontraba destinada a la Sra. A.A.A. garantizando con ello los derechos y libertades relativos a la protección de datos personales de la funcionaria. En relación a las medidas adoptadas para evitar que se produzcan incidencias similares significa que se ha constatado que todos los accesos y consultas de los datos médicos de la Sra. A.A.A., que he sido realizados por personas legalmente autorizadas para ello, por lo que las medidas actualmente establecidas son eficaces y suficientes para garantizar la seguridad de los datos personales, si bien lo anterior, se sigue manteniendo un control continuo y vigilancia de que se cumple con la normativa vigente a fin de, que de surgir alguna incidencia, poder solventarlo a la mayor brevedad posible y poner las medidas necesarias para que no se vuelva a producir”. TERCERO: Con fecha 28 de septiembre de 2023, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: RESULTADO DE LAS ACTUACIONES DE INVESTIGACIÓN En fecha 17/05/2024 se requirió a la parte reclamante que aportara: “1.- Documentación justificativa de que los datos médicos de los funcionarios policiales, si bien están recogidos en el fichero SIGESPOL, los mismos están archivados en un apartado especialmente protegido y con acceso muy restringido y controlado para aquellos funcionarios que, por sus funciones y conforme a la normativa vigente, pueden tener acceso a los mismos. (Con indicación expresa de cuáles son las medidas de especial protección que se aplican al apartado donde se recogen los datos médicos de los funcionarios policiales. Documentación justificativa de los accesos muy restringidos y controlados a esos archivos). 2.- Documentación justificativa de la auditoría respecto de las consultas realizadas sobre los datos médicos de Dª. A.A.A., que han dado origen (…), así como de los permisos otorgados para que se realizaran esos accesos, desde el (…). 3.- Cualquier otra documentación que consideren oportuna”. En fecha 28/05/2024 tuvo entrada en el registro de la AEPD escrito de contestación a dicho requerimiento en el que participa lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/18 “Que mediante Oficio de fecha 04/08/2023 se dio respuesta al requerimiento de información inicial de la Agencia Española de Protección de Datos, trasladado a esta División de Personal mediante Oficio de esa Oficina Central Nacional con R. Salida nº ***NÚMERO.1, de 25 de julio de
  1. Que en dicho informe se especificaba que los datos médicos de los funcionarios policiales se encuentran dentro de sus expedientes personales en un apartado especialmente protegido y con acceso restringido y controlado para aquellos funcionarios que, por sus funciones y conforme a la normativa vigente pueden tener acceso a los mismos. Que la gestión de la asignación, control y retirada de usuarios y permisos se realiza directamente desde esta División de Personal, desde el Departamento de Informática que tiene dependencia directa del Secretario General de la División de Personal, Responsable de SIGESPOL según la Orden INT/859/2023, de 21 de julio, por la que se desarrolla la estructura orgánica y funciones de los servicios centrales y territoriales de la Dirección General de la Policía. Como así consta también en el RAT vigente del Ministerio del Interior. Que el procedimiento de gestión de usuarios, en este caso usuarios con privilegio de accesos a datos sanitarios (DATO Q en SIGESPOL), es el siguiente: Los órganos de personal de las distintas Unidades son quienes solicitan al Departamento de Informática de esta División, la concesión de un usuario PERM (acceso para modificación y consulta de datos sanitarios) a un funcionario en concreto de su plantilla, el cual debe tener un puesto de trabajo asignado que para el ejercicio de sus funciones deba tener un usuario de esas características. Por parte de este Departamento se solicita informe al Área Sanitaria de la Unidad de Prevención de Riesgos Laborales y Protección Socio-Sanitaria, quien debe suscribir o dar el visto bueno a la solicitud, en base a la determinación de si ese funcionario en esa Unidad realiza labores para los cuales es indispensable el nivel de acceso requerido. Una vez dado el visto bueno por parte del Área Sanitaria, se le concede el mismo. Asimismo, todos los usuarios son gestionados por una aplicación específica donde se guardan los datos del usuario, sus perfiles y los privilegios y el nivel de acceso que le otorga el perfil otorgado, incluido el ámbito de consulta autorizado (nacional, regional, provincial, local, etc.…). Por otro lado, estos usuarios con privilegio de acceso a datos médicos están condicionados, de tal forma que, por ejemplo, si existe un transcurso temporal determinado y no se utiliza, el mismo queda deshabilitado. Igualmente, si existe cambio de destino del funcionario y, por tanto, cambio de sus funciones. A día de hoy son (...) personas quienes tienen usuarios PERM autorizados en algunas de las 255 plantillas policiales que existen a nivel nacional. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/18 Por otra parte, se explicitó que se realizó una auditoria respecto a las consultas realizadas al expediente personal de la Sra. A.A.A. en el intervalo de fechas que explicita la AEPD en su documento, acreditándose que todas las consultas a datos sanitarios han sido realizadas por funcionarios habilitados para ello con los accesos concedidos, y desde distintas instancias de las unidades sanitarias al ser competentes y tener interés profesional en los mismos. Y que se corresponden con los accesos lógicos y consecuentes en virtud de los procedimientos sanitarios y administrativos en los que estaba inmersa la Sra. A.A.A. en ese intervalo de fecha. Asimismo, no hay constancia de ninguna cesión de datos sanitarios. En concreto, se ha constatado el acceso para consulta, modificación o carga de documento electrónico relacionado con funciones propias de control del absentismo, solicitud de reconocimiento médico, evaluación médica, procedimiento de reconocimiento causa-efecto, inicio de procedimientos y tribunal médico”. Documentación relevante aportada por la parte reclamada: - No aporta documentación alguna sobre los hechos contenidos en su escrito de contestación al requerimiento. En fecha 29/05/2024 se realiza un segundo requerimiento de información en el que se solicita: “1.- Acreditación de que si bien los datos médicos de los funcionarios policiales, están recogidos en el fichero SIGESPOL, los mismos están archivados en un apartado especialmente protegido y con acceso muy restringido y controlado para aquellos funcionarios que, por sus funciones y conforme a la normativa vigente, pueden tener acceso a los mismos. 2.- Acreditación de las medidas de especial protección que se aplican al apartado donde se recogen los datos médicos de los funcionarios policiales, con indicación de cuáles son las medidas aplicadas y de que las mismas cumplen el Real Decreto 311/2022, de 3 de mayo, por el que se regula el Esquema Nacional de Seguridad. 3.- Acreditación de por qué se aplican esas medidas y no otras. (Se podrá justificar con la Evaluación de Impacto en materia de Protección de Datos, que se haya realizado en su caso, o con el análisis de riesgos realizado) 4.- Acreditación de la auditoría realiza respecto de las consultas efectuadas sobre los datos médicos de Dª. A.A.A., que han dado origen a su jubilación por incapacidad permanente, así como de los permisos otorgados para que se realizaran esos accesos, desde el (...)”. En fecha 12/06/2024 se presentó escrito de contestación a dicho requerimiento en que se indica entre otros argumentos lo siguiente: “En la reclamación personal efectuada por la parte reclamante, quien se identifica ante la AEPD como (…) (CEPOL), denuncia un acceso indebido a datos sanitarios por parte de una Facultativa-colegiada de la Policía Nacional destinada (…), y la remisión posterior sin su consentimiento expreso de la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/18 reclamante de una Nota Interior al Servicio de Situaciones Administrativas (Área de Documentación y Expediente Personal de la División de Personal), donde se señalaba (textual): “Estudiada la documentación clínico-laboral de la Funcionaria de la Policía nacional Doña A.A.A., con…..adscrito a la Comisaría Provincial de ***LOCALIDAD.1, se propone por parte de esta área, el inicio de los trámites oportunos para la valoración por el Tribunal Médico de la Policía Nacional, al efecto de posible cambio de situación administrativa a JIF”. Asimismo, argumentaba la no habilitación legal por parte de la Facultativacolegiada para el tratamiento de sus datos, y además, le añadía una motivación “espuria” a este acceso relacionada por su actividad sindical con el sindicato “JUPOL” y su orientación sexual (datos publicitados por la propia reclamante en su escrito denuncia), así como a la confección de dicha Nota Interior y la repercusión que tuvo: inicio de un procedimiento de posible cambio de situación administrativa, que finalmente no tuvo. Por otro lado, en la reclamación inicial de información efectuada por la AEPD, se otorga el plazo de un mes para obtener y remitir información. De forma resumida, lo solicitado: base jurídica del tratamiento, finalidad, garantías adecuadas implementadas, categoría de interesados e información que se facilita a estos, evaluación del impacto realizada o motivos por el que no se ha realizado, decisiones adoptadas en relación a la reclamación, informe de las causas que han motivado la incidencia, así como sobre las medidas adoptadas para evitar que se produzcan incidencias similares y cualquier otra que se considere relevante. A esta solicitud de información ya se remitió contestación en fecha 04 de agosto de 2023, mediante Registro de Salida nº ***NÚMERO.2 dirigido a la Oficina Central Nacional de Protección de Datos de la Policía Nacional, donde se argumentaba sobre la información solicitada. Al respecto, reiterar una vez más, que tras la inspección de la reclamación y previa petición de la respectiva información al responsable del Área Sanitaria, se comprueba la habilitación legal del proceder por parte de la Facultativacolegiada no solo en el tratamiento de los datos sanitarios, sino también en las comunicaciones realizadas y en el procedimiento seguido, que tiene todo ello el correspondiente sustento jurídico-legal, como se expuso, y que es el ordinario y consecuente en las circunstancias que concurrían en la reclamante. En concreto y ciñéndonos exclusivamente a lo que denuncia la reclamante:
  2. Los Servicios Sanitarios de la Policía Nacional están habilitados, y obligados, para velar porque los miembros de la Policía Nacional mantengan las condiciones necesarias para el desempeño de sus funciones, según la LO 9/2015, de 28 de julio.
  3. Es una Facultativa-colegiada médica autorizada por razón de cargo para el desempeño de las funciones que otorga la normativa correspondiente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/18 a. Real Decreto 2/2010, de 8 de enero, por el que se modifica el Reglamento General del Mutualismo Administrativo, aprobado por Real Decreto 375/2003, de 28 de marzo. b. Modificación del Texto Refundido de la Ley General de la Seguridad social, aprobado por Real Decreto Legislativo 1/1994, de 20 de junio. c. Resolución nº 60 de 13 de julio de 1990, del Director General de la policía, estableciendo normas provisionales sobre organización, dependencia y funciones del Servicio Sanitario de la DGP.
  4. La remisión de la Nota Interior referida, en la que por cierto no se hace constar ningún tipo de dato sanitario en la misma, es un procedimiento totalmente ordinario y requerido por la normativa vigente. En este caso, es el Tribunal Médico de la Policía Nacional quien está obligado a valorar la existencia de causas para la prórroga de situación de IT más allá de los doce meses. Situación a la que llegaba la reclamante. Tal y como consta en la Ley General de la Seguridad Social antedicha, son los órganos competentes para evaluar, calificar y revisar la incapacidad permanente del trabajador (en el caso de la Policía Nacional el Tribunal Médico) el que antes de los 12 meses de Incapacidad Temporal debe emitir el correspondiente dictamen que prorrogue la situación de Incapacidad otros seis meses más. Que esta División no se limitó a comprobar que los hechos específicos que denunció la reclamante, sino que con ánimo de garantizar sus derechos realizó un control sobre todos los accesos al dato sanitario en SIGESPOL del expediente personal de la reclamante, comprobándose que no había existido acceso no previsto en los procedimientos oportunos y sustentados por las normativas legales que obligan a los mismos. Esta comprobación no se realizó solo desde al año 20XX, momento de la referida Nota Interior, sino que se amplió con mucho el plazo de los hechos, comprobando los 5 años anteriores (…). Tras la remisión del primer informe el 4 de agosto de 2023, se recibe el 20 de mayo de 2024, mediante Registro Salida nº ***NÚMERO.3 de 17/05/24 de la SGGT, nuevo escrito requiriendo ampliación de información, respecto a la reclamación antedicha suscrita por la reclamante en ***LOCALIDAD.2, el 28 de junio de 20XX. En el mismo se solicita que en el plazo de 10 días se remita la documentación que acredite que los datos médicos están archivados en un apartado especialmente protegido y con acceso restringido y controlado para aquellos funcionarios que, por sus funciones y conforme a la normativa vigente, pueden tener acceso a los mismos. Asimismo, también solicita documentación justificativa de la auditoria respecto a las consultas realizadas. Toda esta información difiere de la base fáctica que sustenta el escrito de reclamación inicial: acceso a datos médicos por parte de (…), Facultativa-colegiada, del (…), quien había firmado la Nota Interior con destino al Servicio de Situaciones Administrativas de esta División de Personal que daba comienzo al C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/18 procedimiento administrativo consecuente para valorar el posible pase a situación de jubilación. En respuesta a esta solicitud, se remitió informe de fecha (…) de 2024 con Registro de Salida nº ***NÚMERO.4 teniendo como destinatario la Oficina Central Nacional de Protección de Datos, donde se explicaba el procedimiento de gestión de usuarios a esos datos sanitarios de SIGESPOL, y se certificó que del control realizado al dato sanitario del expediente personal, en SIGESPOL, a nombre de la reclamante, y que se realizó para dotar de una mayor garantía los derechos de la reclamante, no se evidenciaba acceso ilegítimo alguno, ni brecha de seguridad, ni utilización fuera de los procedimientos establecidos legalmente ningún dato sanitario. Tras la remisión de este informe, tres días después (…) emite nuevo requerimiento la AEPD a través del mismo Inspector, otorgando un plazo de 10 días para acreditar nueva información. A este respecto y más allá de aclarar que la citada A.A.A. no está jubilada por incapacidad permanente, como se especifica erróneamente en la segunda y tercera notificación de la AEPD, sino que se encuentra en situación de activo prestando servicio, se ha solicitado el correspondiente informe a la Unidad de Informática y Comunicaciones de la Subdirección General de Logística (Registro Salida nº ***NÚMERO.5 de fecha 10/06/2024), encargada del desarrollo, seguridad y custodia de SIGESPOL. Dicho informe se remitirá cuando se reciba contestación al mismo, no siendo posible en estos momentos por el escaso plazo otorgado. Por último, sobre la inspección realizada a los accesos al expediente personal, datos médicos, de la reclamante, un total de (...) han accedido, todos ellos en virtud de las funciones que tienen asignadas el Servicio Sanitario o el Área de Prevención de Riesgos Laborales, bien en la demarcación territorial donde se encontraba destinada la interesada (***LOCALIDAD.1) o bien en los Organismos Centrales (Área Sanitaria y Área de PRL), por alguno de los motivos legalmente amparados: control del absentismo, informe de seguimiento y de evolución de la IT, trámites por el expediente de reconocimiento causa-efecto, solicitud de reconocimiento médico (riesgos laborales), Tribunal Médico o vacunaciones, y que se ajusta a los procedimientos en los que ha estado inmersa la funcionaria reclamante. Asimismo, se incorpora informe emitido por el (…), solicitado en el momento en el que se inspeccionó lo manifestado por la reclamante en su escrito, donde se especifica la cronología de los trámites médicos y administrativos relativos a la reclamante desde la solicitud de valoración por parte del Tribunal Médico de la Policía Nacional de la capacidad, y que muestra el procedimiento ordinario típico en estas situaciones”. Documentación relevante aportada por la parte reclamada: -Informe emitido por (…). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/18 El 02/07/2024 la parte reclamada presentó un nuevo escrito de ampliación de la contestación al anterior requerimiento en el que manifiesta que: “El registro de actividad del tratamiento del Ministerio de Interior incluye el tratamiento de datos de la DGP “SIGESPOL”. En dicho registro de actividad, las medidas de seguridad las identifica de nivel MEDIO. Igualmente, en el inventario categorizado, documento “***DOCUMENTO.1 Inventario Categorizado” SIGESPOL figura como de nivel (…). No obstante, todos los sistemas de información mantenidos por la DGP, incluido SIGESPOL, se encuentran gestionados con (…) en todas sus dimensiones de seguridad (disponibilidad, integridad, confidencialidad, trazabilidad, autenticidad y trazabilidad) según el Esquema Nacional de Seguridad (ENS). Esto es debido a que todos los sistemas de información (…), simplificando con ello la gestión de la seguridad de manera unificada para todos los sistemas de información o tratamientos de la información. Siguiendo los principios de la necesidad de conocer y de mínimos privilegios en SIGESPOL como en otros tratamientos, los usuarios sólo tienen acceso a la información necesaria para desarrollar sus funciones, con el mínimo privilegio posible. En concreto los datos médicos solo pueden ser accedidos por los servicios médicos, estableciéndose varios niveles de seguridad: - Sólo el personal médico tiene acceso a información médica. - Para que el personal médico pueda acceder a información médica, debe darse de alta en el sistema previa justificación de su desempeño y necesidad de conocer. En caso afirmativo se concede el control de acceso. - Además, su usuario debe perfilarse como perteneciente al grupo del servicio médico. - Adicionalmente y de manera individual se le deben otorgar los permisos para que pueda realizar sus funciones. - Si personal no médico necesita información para la realización de un expediente, se solicita al personal médico informe para tal fin. Las medidas de seguridad que se aplican están alineadas con el análisis de riesgo que se realiza de los sistemas de información y con el correspondiente plan de tratamiento de riesgo (plan de acciones). Como evidencias se adjuntan portadas e índices de ambos documentos”. En fecha 16/10/2024 la parte reclamada presenta un nuevo escrito ampliatorio en el que manifiesta entre otros aspectos lo siguiente: “Que el Departamento de Informática que depende directamente de esta Secretaría General, la cual es Responsable del Tratamiento SIGESPOL según la Orden INT/859/2023, de 21 de julio, por la que se desarrolla la estructura orgánica y funciones de los servicios centrales y territoriales de la DGP y según figura también en el Registro de Actividades de Tratamiento del Ministerio del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/18 Interior, lleva a cabo la gestión de la asignación, control y retirada de usuarios y permisos de acceso a la aplicación SIGESPOL. Que en Anexo I y Anexo II se remiten pantallazos del aplicativo utilizado para esta gestión, comprobándose que Doña B.B.B. es la titular del usuario ***USUARIO.1 con el que tiene acceso al Menú Servicios Sanitarios ((....)), pudiendo acceder a los campos de domicilio (DO) y todos los datos sanitarios de todos los funcionarios de la Policía Nacional, con un perfil de acceso correspondiente a los servicios médicos centralizados de la DGP ((....)). Que este perfil de usuario se corresponde con las funciones asociadas al puesto de trabajo que desempeña, (....). Por otro lado, en Anexo III se remite copia impresa del informe confeccionado por el aplicativo de control de usuario en consulta realizada a finales de julio de 2023, sobre los accesos del usuario ***USUARIO.1 al expediente de Doña A.A.A. en SIGESPOL. Que, a este respecto, es importante advertir que se auditó el período comprendido desde el 01/01/20XX hasta la llegada de la primera comunicación de la AEPD, finales de julio de
  5. Puede comprobarse que, inspeccionado un período de casi 5 años, todas las consultas realizadas por la Sra. B.B.B. se realizaron agrupadas en 3 meses (30/03/20XX al 30/06/20XX) y fueron referidas (…), inicio de procedimiento y reconocimientos de causa-efecto. Todo esto son los trámites estrictamente precisos y oportunos, mínimos incluso, y coincidiendo plenamente con la cronología de la situación de la reclamante, y concordante con los trámites médicos y administrativos consecuentes desde la solicitud de valoración de la capacidad por parte del Tribunal Médico de la Policía Nacional, cumpliendo el patrón ordinario típico en estas situaciones, tal y como se explicó en anterior comunicación, y según se acredita en los trámites que se detallan en el informe (…) remitido ya por esta División. No existe ninguna otra consulta más realizada por el usuario ***USUARIO.1 en algún otro momento temporal en esos cinco años a esos datos sanitarios. Que asimismo, en los Anexos IV, V y VI se muestran pantallazos del aplicativo donde queda registrado el acceso por parte del usuario ***USUARIO.1 a los datos de la reclamante, indicando la fecha de los accesos, el tipo, motivo, etc. … En relación a esto último, se han elegido de forma aleatoria tres accesos de los referenciados en el informe, realizando tres pantallazos, pero obviamente existe constancia e igual forma del resto de accesos que figuran en el informe que conforma el Anexo III”. Documentación relevante aportada por la parte reclamada: Anexo I y Anexo II pantallazos del aplicativo utilizado para demostrar que Doña B.B.B. es la titular del usuario ***USUARIO.1 con el que tiene acceso al Menú Servicios Sanitarios ((....)), pudiendo acceder a los campos de domicilio (DO) y todos los datos sanitarios de todos los funcionarios de la Policía Nacional, con un perfil de acceso correspondiente a los servicios médicos centralizados de la DGP ((....)). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/18 Anexos IV, V y VI pantallazos del aplicativo donde queda registrado el acceso por parte del usuario ***USUARIO.
  6. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con las funciones que el artículo 57.1 a), f) y h) del RGPD confiere a cada autoridad de control y según lo dispuesto en los artículos 47 y 48.1 de la LOPDGDD, es competente para resolver estas actuaciones de investigación la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Licitud del tratamiento El primer apartado del artículo 6 del RGPD establece lo siguiente: "
  7. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones: a) el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos; b) el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales; c) el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento; d) el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física; e) el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento; f) el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra f) del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones. " En este caso, la parte reclamante considera que se han tratado sus datos de salud sin base de legitimación, al no haber prestado consentimiento expreso y refiere accesos indebidos por una facultativa de la reclamada a sus datos de salud obrantes en el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/18 fichero SIGESPOL, aplicación donde se recogen los expedientes personales, incluidos los datos médicos, de los funcionarios policiales. Además, considera que sus datos se trataron sin habilitación legal y con una finalidad distinta para la que se recabaron los datos inicialmente y que ahora sería iniciar los trámites oportunos para la valoración por el Tribunal Médico de la Policía Nacional, al efecto de posible cambio de situación administrativa a Jubilación por Incapacidad Física. Solicitada información sobre este aspecto a la parte reclamada, se recibió en esta Agencia escrito, el 08/08/2023, en el que aclaraba que la base legal del tratamiento, estaría contenida en el Registro de Actividades de Tratamiento (RAT) del Ministerio del Interior y sería la Ley Orgánica 9/2015, de Régimen de Personal de la Policía Nacional, Ley Orgánica 4/2010, de 20 de mayo, del Régimen Disciplinario del Cuerpo Nacional de Policía, Real Decreto 5/2015, de 30 de octubre, por el que se aprueba el texto refundido de la Ley del Estatuto Básico del Empleado Público, Ley Orgánica 2/1986, de 13 de marzo, de Fuerzas y Cuerpos de Seguridad. Por tanto, las bases de legitimación del tratamiento de los datos contenidos en el fichero SIGESPOL serían las establecidas en el artículo 6.1 apartados c) y e) del RGPD. En cuanto a la habilitación de la Facultativa para acceder a los datos personales de la reclamante, la D.G.POL. manifiesta que estaba autorizada a consultar los datos directamente relacionados con las funciones que desempeña conforme a su puesto de trabajo, incluidos los datos médicos de los funcionarios policiales, recogidos en la aplicación SIGESPOL y a los que solo tienen acceso los funcionarios destinados en el Área Sanitaria, tanto de servicios centrales como de las unidades regionales sanitarias y este acceso estaría limitado a los datos de los funcionarios que se encuentren destinados en las dependencias policiales existentes en el ámbito territorial en el que desempeñen sus funciones. En lo que se refiere a la finalidad del tratamiento, el mismo consta en el RAT del Ministerio del Interior. Se significa que el primero de los fines del tratamiento que consta en el RAT es la gestión de asuntos relativos a los recursos humanos de la Dirección General de la Policía, entre los que se encuentran el control de la aptitud de los funcionarios policiales para el desempeño de sus funciones, conforme al artículo 80 de la Ley Orgánica 9/2015, de 28 de julio, de Régimen de Personal de la Policía Nacional, en cuyo punto 1 se recoge que “La Policía Nacional velará por que sus miembros mantenga las condiciones psicofísicas necesarias para el desempeño de sus funciones. A tal fin existirá un servicio sanitario cuyas competencias y organización se desarrollarán reglamentariamente”. Por lo tanto, por parte de esta Agencia se considera, con la información disponible, que no se han encontrado evidencias que acrediten la existencia de una posible infracción del artículo 6 del RGPD. III Tratamiento de categorías especiales de datos personales El artículo 9 del RGPD, que regula el tratamiento de categorías especiales de datos personales, establece lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/18 "
  8. Quedan prohibidos el tratamiento de datos personales que revelen el origen étnico o racial, las opiniones políticas, las convicciones religiosas o filosóficas, o la afiliación sindical, y el tratamiento de datos genéticos, datos biométricos dirigidos a identificar de manera unívoca a una persona física, datos relativos a la salud o datos relativos a la vida sexual o la orientación sexual de una persona física.
  9. El apartado 1 no será de aplicación cuando concurra una de las circunstancias siguientes: a) el interesado dio su consentimiento explícito para el tratamiento de dichos datos personales con uno o más de los fines especificados, excepto cuando el Derecho de la Unión o de los Estados miembros establezca que la prohibición mencionada en el apartado 1 no puede ser levantada por el interesado; b) el tratamiento es necesario para el cumplimiento de obligaciones y el ejercicio de derechos específicos del responsable del tratamiento o del interesado en el ámbito del Derecho laboral y de la seguridad y protección social, en la medida en que así lo autorice el Derecho de la Unión o de los Estados miembros o un convenio colectivo con arreglo al Derecho de los Estados miembros que establezca garantías adecuadas del respeto de los derechos fundamentales y de los intereses del interesado; c) el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física, en el supuesto de que el interesado no esté capacitado, física o jurídicamente, para dar su consentimiento; d) el tratamiento es efectuado, en el ámbito de sus actividades legítimas y con las debidas garantías, por una fundación, una asociación o cualquier otro organismo sin ánimo de lucro, cuya finalidad sea política, filosófica, religiosa o sindical, siempre que el tratamiento se refiera exclusivamente a los miembros actuales o antiguos de tales organismos o a personas que mantengan contactos regulares con ellos en relación con sus fines y siempre que los datos personales no se comuniquen fuera de ellos sin el consentimiento de los interesados; e) el tratamiento se refiere a datos personales que el interesado ha hecho manifiestamente públicos; f) el tratamiento es necesario para la formulación, el ejercicio o la defensa de reclamaciones o cuando los tribunales actúen en ejercicio de su función judicial; g) el tratamiento es necesario por razones de un interés público esencial, sobre la base del Derecho de la Unión o de los Estados miembros, que debe ser proporcional al objetivo perseguido, respetar en lo esencial el derecho a la protección de datos y establecer medidas adecuadas y específicas para proteger los intereses y derechos fundamentales del interesado; h) el tratamiento es necesario para fines de medicina preventiva o laboral, evaluación de la capacidad laboral del trabajador, diagnóstico médico, prestación de asistencia o tratamiento de tipo sanitario o social, o gestión de los sistemas y servicios de asistencia sanitaria y social, sobre la base del Derecho de la Unión o de los Estados C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/18 miembros o en virtud de un contrato con un profesional sanitario y sin perjuicio de las condiciones y garantías contempladas en el apartado 3; i) el tratamiento es necesario por razones de interés público en el ámbito de la salud pública, como la protección frente a amenazas transfronterizas graves para la salud, o para garantizar elevados niveles de calidad y de seguridad de la asistencia sanitaria y de los medicamentos o productos sanitarios, sobre la base del Derecho de la Unión o de los Estados miembros que establezca medidas adecuadas y específicas para proteger los derechos y libertades del interesado, en particular el secreto profesional; j) el tratamiento es necesario con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos, de conformidad con el artículo 89, apartado 1, sobre la base del Derecho de la Unión o de los Estados miembros, que debe ser proporcional al objetivo perseguido, respetar en lo esencial el derecho a la protección de datos y establecer medidas adecuadas y específicas para proteger los intereses y derechos fundamentales del interesado.
  10. Los datos personales a que se refiere el apartado 1 podrán tratarse a los fines citados en el apartado 2, letra h), cuando su tratamiento sea realizado por un profesional sujeto a la obligación de secreto profesional, o bajo su responsabilidad, de acuerdo con el Derecho de la Unión o de los Estados miembros o con las normas establecidas por los organismos nacionales competentes, o por cualquier otra persona sujeta también a la obligación de secreto de acuerdo con el Derecho de la Unión o de los Estados miembros o de las normas establecidas por los organismos nacionales competentes.
  11. Los Estados miembros podrán mantener o introducir condiciones adicionales, inclusive limitaciones, con respecto al tratamiento de datos genéticos, datos biométricos o datos relativos a la salud." En este caso concreto, y en lo que respecta a los datos de salud, ha quedado acreditado en las actuaciones de investigación, que la citada facultativa (…) y que es una Facultativa-colegiada médica autorizada por razón de cargo para el desempeño de las funciones que otorga la normativa correspondiente: a. Real Decreto 2/2010, de 8 de enero, por el que se modifica el Reglamento General del Mutualismo Administrativo, aprobado por Real Decreto 375/2003, de 28 de marzo. b. Modificación del Texto Refundido de la Ley General de la Seguridad social, aprobado por Real Decreto Legislativo 1/1994, de 20 de junio. c. Resolución nº 60 de 13 de julio de 1990, del Director General de la policía, estableciendo normas provisionales sobre organización, dependencia y funciones del Servicio Sanitario de la DGP. Es decir, el acceso a los datos médicos de la reclamante, estaría justificado en una de las circunstancias que levanta la prohibición para tratar categorías especiales de datos, ya que ha de tenerse en cuenta que, de acuerdo con lo previsto en el apartado h) del artículo 9 del RGPD, uno de los motivos por los que está totalmente permitido el tratamiento de datos relativos a la salud es: "h) el tratamiento es necesario para fines de medicina preventiva o laboral, evaluación de la capacidad laboral del trabajador, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/18 diagnóstico médico, prestación de asistencia o tratamiento de tipo sanitario o social, o gestión de los sistemas y servicios de asistencia sanitaria y social, sobre la base del Derecho de la Unión o de los Estados Miembros o en virtud de un connato con un profesional sanitario y sin perjuicio de las condiciones y garantías contempladas en el apartado 3 ". El apartado 3 del artículo 9, al que se refiere el punto h) del mismo artículo, recoge: "
  12. Los datos personales a que se refiere el apartado 1 podrán tratarse a los fines citados en el apartado 2, letra h), cuando su tratamiento sea realizado por un profesional sujeto a la obligación de secreto profesional, o bajo su responsabilidad, de acuerdo con el Derecho de la Unión o de los Estados miembros o con las normas establecidas por los organismos nacionales competentes o por cualquier otra persona sujeta también a la obligación de secreto de acuerdo con el Derecho de la Unión o los Estados miembros o de las normas establecidas por los organismos nacionales competentes”. Por otra parte, a la facultativa se le asignó conforme al procedimiento que la D.G.POL. tiene establecido para ello, un perfil de usuario en la aplicación SIGESPOL que se corresponde con las funciones asociadas al puesto de trabajo que desempeña, que le habilita para el acceso a los datos de la parte reclamante y ha quedado acreditado, tal y como se reflejó en las actuaciones de investigación, que en los accesos que se realizaron con ese código de usuario, constan la fecha de los accesos, el tipo, motivo, etc. y muestra el procedimiento ordinario típico en estas situaciones. Luego, esta Agencia considera que, con la información disponible, no se han encontrado evidencias que acrediten una posible vulneración del artículo 9 del RGPD, en lo relativo al tratamiento de datos médicos de la parte reclamante. IV Conclusión Por lo tanto, en base a lo indicado en los párrafos anteriores, no se han encontrado evidencias que acrediten la existencia de infracción en el ámbito competencial de la Agencia Española de Protección de Datos. Todo ello sin perjuicio de las posibles actuaciones posteriores que esta Agencia pudiera llevar a cabo, aplicando los poderes de investigación y correctivos que ostenta. Así pues, al no haber sido posible atribuir la responsabilidad por el tratamiento, de acuerdo con lo señalado, por la Presidencia de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a la DIRECCIÓN GENERAL DE LA POLICÍA y a la parte reclamante. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/18 Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.c) de la LPACAP, y de conformidad con lo establecido en los arts. 112 y 123 de la citada LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.