E-01427-2018

1/4 Expediente Nº: E/01427/2018 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante las entidades PREMAP SEGURIDAD Y SALUD, S.L.U, y QUIRÓN PREVENCIÓN, S.L.U., en virtud de denuncia presentada por Don B.B.B., y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 5 de marzo de 2018, tuvo entrada en esta Agencia escrito remitido por Don B.B.B. en el que expone lo siguiente: Tras el reconocimiento médico anual en QUIRON PREVENCION SALUD, S.L.U, han sido enviados a su teléfono móvil personal y, simultáneamente, al departamento de administración de su empresa los datos de acceso (clave y login), para descargar los resultados de las pruebas realizadas. Tuvo conocimiento de este hecho porque la persona del departamento de RR.HH receptora del correo electrónico, en la dirección ***EMAIL.1, procedió a su reenvío al denunciante. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos:

1. Con fecha 13 de abril de 2018, tiene entrada un escrito de Quirón Prevención Salud, S.L., en el que ponen de manifiesto que: 1.
2. Con fecha 29 de septiembre de 2017 tiene lugar una operación de fusión por absorción de varias sociedades, entre ellas Premap Seguridad y Salud, S.L.U., por la mercantil “Quirón Prevención, S.L.”; de tal manera que los derechos y deberes de Premap Seguridad y Salud, S.L.U., se transfieren a “Quirón Prevención, S.L.”, según consta en la Escritura de fusión por absorción, cuya copia adjuntan. 1.
3. El denunciante acudió a realizarse el reconocimiento médico laboral en Premap Seguridad y Salud, S.L.U. En dicho reconocimiento, el paciente optó por recibir la entrega de los resultados médicos en formato electrónico, en concreto, a través de su descarga por una plataforma corporativa de Premap, denominada “Área de Clientes”; para ello eligió recibir las claves de acceso a esa plataforma a través de un mensaje por SMS de teléfono móvil y a la dirección de correo ***EMAIL.
4. Acompañan impresión de pantalla de los sistemas de Quirón Prevención Salud, S.L., donde figura esta información. 1.
5. La Plataforma tecnológica que Quirón Prevención, S.L., pone a disposición de sus usuarios en internet, denominada “MiSalud”, absorbió por migración, los datos de contacto electrónico y notificación electrónica de envío de claves, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/4 para el acceso al reconocimiento médico, a través de la plataforma de “Área de Clientes” de Premap Seguridad y Salud, S.L.U. 1.
6. Con fecha 9 de febrero de 2018, el denunciante acudió de nuevo a realizarse un reconocimiento médico, esta vez a la entidad de Prevención “Quirón Prevención, S.L.”, eligiendo, nuevamente, como forma de recepción de las claves el mismo medio facilitado un año antes, en fecha 3 de marzo de
7. 1.
8. En este sentido, manifiestan que el denunciante no ha ejercido ningún derecho de rectificación ni de cancelación, de conformidad con la información que “Quirón Prevención, S.L.”. Por ello, procedió al envió de las claves al correo electrónico facilitado, a fin de que accediera su reconocimiento.
9. Con fecha 6 de junio de 2018, Quirón Salud informa telefónicamente de que PREMAP Prevención y Salud, S.L.U., está extinguida, por lo que el domicilio que figura en C/ Navaluenga de Madrid, no es válido.
10. Con fecha 26 de junio de 2018, se recibe escrito de Quirón Prevención, en el que pone de manifiesto, entre otros que: 3.
11. La fusión de las dos entidades fue comunicada a los afectados mediante carteles informativos en los diferentes centros afectados. 3.
12. La información relativa al correo electrónico, comunicado por PREMAP a Quirón Prevención, ***EMAIL.1, fue aportada por el trabajador a PREMAP verbalmente, para el envío de las claves de acceso a la Plataforma, bien a través de SMS a su móvil o mediante el citado correo electrónico. 3.
13. El envío de la información a Quirón Prevención se realizó a través de la aplicación informática VIGIA. Se adjuntan impresiones de pantalla de la información remitida y utilizada posteriormente por Quirón Prevención. FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.d) en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II En el supuesto presente, la denuncia se concreta en que Quirón Prevención Salud, S.L.U., ha enviado la clave y contraseña del denunciante al departamento de Recursos Humanos de su empresa para descargarse el resultado de sus análisis. El artículo 10 de la LOPD dispone: “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”. El deber de confidencialidad obliga no sólo al responsable del fichero sino a C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/4 todo aquel que intervenga en cualquier fase del tratamiento. Este deber de secreto comporta que el responsable de los datos almacenados no pueda revelar ni dar a conocer su contenido teniendo el “deber de guardarlos, obligaciones que subsistirán aún después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”. Este deber es una exigencia elemental y anterior al propio reconocimiento del derecho fundamental a la libertad informática a que se refiere la Sentencia del Tribunal Constitucional 292/2000, de 30/11, y por lo que ahora interesa, comporta que los datos tratados no pueden ser conocidos por ninguna persona o entidad ajena fuera de los casos autorizados por la Ley, pues en eso consiste precisamente el secreto. Este deber de sigilo resulta esencial en las sociedades actuales cada vez más complejas, en las que los avances de la técnica sitúan a la persona en zonas de riesgo para la protección de derechos fundamentales, como la intimidad o el derecho a la protección de los datos que recoge el artículo 18.4 de la Constitución Española. En efecto, este precepto contiene un “instituto de garantía de los derechos de los ciudadanos que, además, es en sí mismo un derecho o libertad fundamental, el derecho a la libertad frente a las potenciales agresiones a la dignidad y a la libertad de la persona provenientes de un uso ilegítimo del tratamiento mecanizado de datos” (Sentencia del Tribunal Constitucional 292/2000, de 30/11). Este derecho fundamental a la protección de datos persigue garantizar a esa persona un poder de control sobre sus datos personales, sobre su uso y destino que impida que se produzcan situaciones atentatorias con la dignidad de la persona, es decir, el poder de resguardar su vida privada de una publicidad no querida. La documentación aportada por el denunciante es un correo electrónico remitido desde la dirección misaludapp@quironprevencion.com y dirigido a ***EMAIL.
14. Asunto: RECONOCIMIENTO MÉDICO. Y el texto del correo es el siguiente: “Estimado/a Sr/a: Tiene su Reconocimiento Médico disponible https://quironprevencion.com/es/area/privada o https://quironprevencion.com/es/area/privada/portal-misalud. en Portal en MiSalud App No olvide sus credenciales para acceder: Usuario C.C.C. Clave D.D.D.…” Por tanto, no se facilita el acceso al resultado de los análisis del denunciante ya que si la receptora pone su DNI completo y no se corresponde con el del denunciado no va a poder acceder a los resultados. En el pie del correo se indica la dirección de atención al cliente y un teléfono ante cualquier duda que pueda surgir. Por tanto, solo se ha producido un error por parte de Quirón Prevención al enviar a un correo electrónico las credenciales para acceder a los resultados de una tercera persona. El denunciante, al tener conocimiento del error asociado a su correo electrónico deberá dirigirse a Quirón Prevención solicitando la rectificación del mismo. III C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/4 El artículo 126.1, apartado segundo, del Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal, aprobado por Real Decreto 1720/2007, de 21 de diciembre (RLOPD) establece: “Si de las actuaciones no se derivasen hechos susceptibles de motivar la imputación de infracción alguna, el Director de la Agencia Española de Protección de Datos dictará resolución de archivo que se notificará al investigado y al denunciante, en su caso.” Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA:  PROCEDER AL ARCHIVO de las presentes actuaciones.  NOTIFICAR la presente Resolución a QUIRÓN PREVENCIÓN, S.L.U., y a Don B.B.B.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es