E-07274-2020

1/6  Procedimiento Nº: E/07274/2020 940-0419 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes, HECHOS PRIMERO: Con fecha 08/03/20, tuvo entrada en esta Agencia escrito presentado por D. A.A.A., (en adelante, “el reclamante”), en los que indicaba, entre otras, lo siguiente: “Que un responsable de la entidad escribe un correo con copia a mis compañeros citando dolencias que tengo en relación con mi salud, los datos de mi salud no representan un peligro ni para la empresa ni para mis compañeros, (…), ni tampoco son un peligro para mi actividad profesional (…), por lo que no veo necesario que una persona ajena al servicio de prevención de riesgos laborales tenga que escribir un correo publicando estos datos a mis compañeros. Aunque la empresa puede solicitar pruebas médicas a los empleados hay un procedimiento que cumplir que tiene que ser mediante responsable de prevención de riesgos laborales , la persona que me los solicita no es la adecuada para solicitar estos datos, y mucho menos para ponerlo en conocimiento de mis compañeros, no es la primera vez que se entrega documentación en la oficina de RRHH y acaba en manos de compañeros jefes que nada tienen que ver con el departamento de recursos humanos o prevención de riesgos laborales”. En el correo electrónico denunciado por el reclamante, dirigido a su dirección de correo con copia a otros 6 destinatarios de la misma empresa (mismo dominio o extensión), se puede leer: “ (…) Hace más de un mes te remití un correo electrónico (leer más abajo) a través del cual te solicitaba que me enviaras un correo electrónico indicándome las dolencias que padeces (…) que te impiden realizar trabajos de campo relacionados con la actividad para el cual se te contrato. La finalidad es solicitar al responsable de prevención de riesgos laborales de nuestra entidad, un reconocimiento médico que acredite los problemas de salud que te impiden subir al Teide y realizar los trabajos de campo”. SEGUNDO: A la vista de los hechos expuestos en la reclamación y de los documentos aportados por el reclamante, la SG de Inspección de Datos procedió a realizar actuaciones para su esclarecimiento, al amparo de los poderes de investigación otorgados a las autoridades de control en el art 57.1 del Reglamento (UE) 2016/679 (RGPD). Así, con fecha 01/06/20, se dirige requerimiento informativo a la entidad, INSTITUTO TECNOLÓGICO DE ENERGÍAS RENOVABLES, S.A. (entidad reclamada). TERCERO: Con fecha 09/07/20, tiene entrada en esta Agencia escrito de contestación de la entidad reclamada en la que, entre otras, indica: “Que algunos de los receptores del correo eran previamente conocedores de los datos de carácter personal del denunciante, dado que el interesado los había comunicado por ser superiores jerárquicos. Hablamos de 6 destinatarios, 2 superiores jerárquicos del denunciante, 3 personas del departamento de recursos humanos que debido a sus funciones estaban relacionados con el procedimiento en el que se enmarca el correo, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/6 y el técnico de prevención de riesgos laborales. Cabe destacar, los señalado por la AEPD en el procedimiento E/02769/2010: “se ha de tener en consideración, que el correo es comprensivo de un limitado número de direcciones, cuatro en concreto, que probablemente alguna de ellas es conocida por otros vecinos, además de que las direcciones se difunden en el ámbito interno de la Comunidad y, en todo caso, que la conducta después del correo de la denunciante oponiéndose no se ha vuelto a producir". Por lo expuesto en el punto anterior, no existe impedimento para que los receptores del correo conocieran la existencia del mismo, no pudiendo derivarse ninguna responsabilidad en el envío de los datos incluido en el correo adjunto por el denunciante. Es importante recalcar que los datos fueron comunicados y puestos en copia a estas personas, debido al procedimiento tan sensible que se estaba llevando a cabo en ese momento, y en medio del cual, toda comunicación entre las partes del conflicto eran relevantes para la investigación, y los implicados, directa o indirectamente por motivo de su cargo, en ella. Por otra parte, es crítico resaltar que son personas autorizadas dentro de la organización, y que en ningún momento los datos fueron accedidos por terceros fuera de ella, ni por terceros fuera del ámbito de los involucrados, directa o indirectamente, en la gestión del procedimiento por presunto acoso que en ese momento estaba en curso. Señalaba la AEPD en el procedimiento E/02769/2010 que, “El deber de secreto profesional … comporta que los datos personales no pueden ser conocidos por ninguna persona o entidad ajena fuera de los casos autorizados por la Ley, pues en eso consiste precisamente el secreto”. Que el denunciante mantiene una posición de conflicto, encargándose no solo de haber divulgado estos y otra serie de datos suyos, asociados al procedimiento a algunos de los receptores, sino a terceros. Aludir a la resolución de la AEPD E/Oll44/2018, en la que se indica: “no se aprecia, en este caso, incumplimiento del deber de secreto, máxime cuando la calificación de minusvalía que se acompañaba a la denuncia era algo que se había hecho público en numerosos medios de comunicación". Nuestra entidad cumple plenamente con todas las exigencias en materia de salud laboral y prevención de riesgos laborales, contando dentro de su plantilla con un técnico de gestión de riesgos, así como con un servicio de Prevención ajena que garantiza la independencia y confidencialidad del tratamiento de los datos de salud. En casos de la complejidad que reviste este caso —el procedimiento por presunto acoso inició el 03/09/19- las personas receptoras del correo, ya conocedoras del procedimiento participaron de la gestión de la incidencia entre las partes, habiéndose decidido por la empresa que alguno de ellos haya mediado antisocial del mismo. Todo acto u omisión que, por la intención de su autor, por su objeto o por las circunstancias en que se realice sobrepase manifiestamente los límites normales del ejercicio de un derecho, con daño para tercero, dará lugar a la correspondiente indemnización y a la adopción de las medidas judiciales o administrativas que impidan la persistencia en el abuso”. La Audiencia Nacional, en Sentencia 1695/2011 expresa: “La importancia y trascendencia de la normativa de protección de datos y la relevancia de los derechos constituC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/6 cionales que se encuentran en juego, aconsejan que no se pongan al servicio de rencillas particulares que deben solventarse en ámbitos distintos que deben tener relevancia solo en el ámbito doméstico que le es propio y no un ámbito como el jurisdic cional. La seriedad que conlleva el ejercicio de la potestad sancionadora aconseja que se pongan en marcha los mecanismos administrativos y jurisdiccionales correspondientes solo cuando se suponga que se ha producido una verdadera violación del derecho fundamental a la protección de datos. Tal circunstancia no concurre en el caso presente". Señala la sentencia del TS de 20/05/2002 que “De esta forma, para los tribunales de esta jurisdicción, el abuso del derecho o el ejercicio antisocial del mismo que la ley no ampara (art. 7.2 del CC), supone que aun respetando los límites formales con la actuación desarrollada por los que son titulares de los derechos se produce una vulneración de los valores o de la idea axiológica que forma parte del contenido del derecho subjetivo o de la norma cuyo objetivo se trata”. Por tanto, en el presente caso, la denunciante, aún ejercitando los derechos que el ordenamiento jurídico le reconoce y actuando de conformidad con lo señalado en la LOPD, su ejercicio se produce de una forma que resulta finalmente abusiva en relación con los fines pretendidos en el ejercicio de los citados derechos, utilizándose de manera anormal con ausencia de una finalidad o un interés serio y legítimo y un exceso en el ejercicio de su derecho”. Indica la AEPD en numerosas resoluciones que “Es pacifico, por lo demás, que el principio general de buena fe no sólo debe guiar la actuación de la Administración con respecto a los administrados, tal conm> dispone el art. 3 LRJ—PAC, sino que también ha de presidir el ejercicio de toda clase de derechos por los particulares por imperativo del art. 7 CC.”. CUARTO: A tenor de la información preliminar de la que se dispone y al apreciarse indicios racionales de una posible vulneración de la normativa en materia de protección de datos, con fecha 04/08/20, la Directoria de Agencia Española de Protección de Datos, de acuerdo con el artículo 65 de la LOPDGDD, acordó admitir a trámite la denuncia presentada por la reclamante. FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del Reglamento (UE) 2016/679, del Parlamento Europeo y del Consejo, de 27/04/2016, relativo a la Protección de las Personas Físicas en lo que respecta al Tratamiento de Datos Personales y a la Libre Circulación de estos Datos (Reglamento General de Protección de Datos, en adelante RGPD) reconoce a cada Autoridad de Control y, según lo establecido en los artículos 47, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales (en lo sucesivo LOPDGDD), la Directora de la Agencia Española de Protección de Datos es competente para resolver estas actuaciones de investigación. II C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/6 En el presente caso, el reclamante denuncia que, el correo electrónico recibido del responsable de la entidad, haciendo referencia a su estado de salud, era además redirigido con copia a otros trabajadores de la empresa que no tenían nada que ver con RRHH ni con el departamento de Prevención de Riesgos Laborales, por lo que se infringía la normativa vigente en materia de protección de datos, al desvelar, a estas personas, datos personales referentes al estado de su salud. Por parte de la empresa, se alega que dichas personas, “son personas autorizadas dentro de la organización, y que en ningún momento los datos fueron accedidos por terceros fuera de ella, ni por terceros fuera del ámbito de los involucrados, directa o indirectamente (…)”. En este sentido, el artículo 9.1 del RGPD indica que, queda prohibido el tratamiento de los datos personales referentes, entre otros, a los “datos relativos a la salud …”. No obstante, en el apartado 2.b) del mismo artículo, se establece que: “lo anterior no será de aplicación cuando el tratamiento es necesario para el cumplimiento de obligaciones y el ejercicio de derechos específicos del responsable del tratamiento o del interesado en el ámbito del Derecho laboral y de la seguridad y protección social, en la medida en que así lo autorice el Derecho de la UE miembros o un convenio colectivo con arreglo al Derecho de los E. miembros que establezca garantías adecuadas del respeto de los derechos fundamentales y de los intereses del interesado”. En este sentido, el artículo 22.4, de la Ley 31/1995, de 8 de noviembre, de Prevención de Riesgos Laborales, (LPRL) indica, referente a la vigilancia de la salud que: “4. Los datos relativos a la vigilancia de la salud de los trabajadores no podrán ser usados con fines discriminatorios ni en perjuicio del trabajador. El acceso a la información médica de carácter personal se limitará al personal médico y a las autoridades sanitarias que lleven a cabo la vigilancia de la salud de los trabajadores, sin que pueda facilitarse al empresario o a otras personas sin consentimiento expreso del trabajador. No obstante, lo anterior, el empresario y las personas u órganos con responsabilidades en materia de prevención serán informados de las conclusiones que se deriven de los reconocimientos efectuados en relación con la aptitud del trabajador para el desempeño del puesto de trabajo o con la necesidad de introducir o mejorar las medidas de protección y prevención, a fin de que puedan desarrollar correctamente sus funciones en materia preventiva. Por lo que, la normativa de protección de datos habilita el tratamiento de datos de salud en el ámbito laboral cuando sea necesario para el cumplimiento de obligaciones y el ejercicio de derechos específicos del responsable del tratamiento o del afectado, de acuerdo con lo previsto en una disposición legislativa o en el correspondiente convenio colectivo, con garantías adecuadas del respeto de los derechos fundamentales y de los intereses del afectado. Por su parte, la Ley del Estatuto de los Trabajadores atribuye facultades específicas a la empresa que posibilitan la vigilancia y control del desarrollo de la prestación laboral, particularmente para verificar el cumplimiento por el trabajador de sus obligaciones y C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/6 deberes. El empresario podrá asimismo verificar el estado de enfermedad o accidente del trabajador que sea alegado por este para justificar sus faltas de asistencia al trabajo, mediante reconocimiento a cargo de personal médico, estando previsto que la negativa del trabajador a dichos reconocimientos podrá determinar la suspensión de los derechos económicos que pudieran existir a cargo del empresario por dichas situaciones. Por tanto, la normativa permite expresamente el acceso a datos personales por terceros que, para la prestación de un determinado servicio, regulado en un contrato u otro acto jurídico válido, han recibido el encargo de actuar por cuenta del empleador. En estos supuestos, estas personas tendrán, respecto de los datos de salud que conozcan la consideración de responsables del tratamiento. En todo caso, deberán existir distintos perfiles y facultades de acceso a los datos de salud, que serán plenos para el personal sanitario y limitados para la gerencia, que conocerá tan solo las condiciones de aptitud o no aptitud del trabajador. Es posible que el empleador deba acceder incidentalmente, de modo específico, a otra información personal del trabajador que permita adaptar las condiciones de su puesto de trabajo, debiendo limitarse a los datos estrictamente necesarios. Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a la entidad INSTITUTO TECNOLÓGICO DE ENERGÍAS RENOVABLES, S.A., y a D. A.A.A.. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.c) de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/6 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es