1/7 Expediente Nº: E/07645/2013 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad MUTUALIDAD GENERAL DE FUNCIONARIOS CIVILES DEL ESTADO (MUFACE) en virtud de denuncia presentada por dos denunciantes, y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 18 de noviembre de 2013, tiene entrada en esta Agencia un escrito remitido por denunciante 1, en el que denuncia que los funcionarios de MUFACE, han de presentar en su centro de trabajo el parte de baja donde figura el código CIE-9MC, el cual es público, pudiendo constatarse en cualquier momento el tipo de dolencia a la que se refiere. Aporta copia de un parte de baja que ha de entregarse en el Departamento de PERSONAL, donde, entre los datos a cumplimentar por el médico están: CODIGO CIE9-MC y Descripción de la limitación en la capacidad funcional. Con fecha 20 de junio de 2014, se recibe escrito remitido por denunciante 2, en el que denuncia los mismos hechos. SEGUNDO: Tras la recepción de la primera denuncia, la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: 1. Con fechas 24 de marzo de 2014 y 9 de junio de 2014, se reciben en esta Agencia escritos de la SECRETARIA GENERAL DE MUFACE, en los que se pone de manifiesto que: 1.1. La Orden PRE/1744/2010, de 30 de junio, por la que se regula el procedimiento de reconocimiento, control y seguimiento de las situaciones de incapacidad temporal, riesgo durante el embarazo y riesgo durante la lactancia natural en el Régimen de la Seguridad Social de los funcionarios Civiles del Estado, desarrolla a estos efectos, los artículos 18 a 22 del Texto refundido de la Ley sobre Seguridad Social de los Funcionarios Civiles del Estado. 1.2. El artículo 19 del citado Texto Refundido establece, entre otros, los siguientes: 1.2.1.Se encontraran en situación de incapacidad temporal los funcionarios que acrediten padecer un proceso patológico por enfermedad o lesión por accidente que les impida con carácter temporal el normal desempeño de sus funciones públicas……. 1.2.2.La concesión de las licencias y sus prorrogas a los que tendrán derecho los funcionarios que se encuadren en la situación establecida en el apartado 1, corresponderá a los órganos administrativos con competencia C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/7 en materias de gestión de personal. Para la concesión y control de estas licencias los órganos administrativos con competencia en materias de gestión de personal podrán hacer uso del asesoramiento facultativo propio o ajeno que consideren oportuno. 1.3. Por lo tanto, tal y como establece el apartado anterior, la configuración jurídica y las competencias que tienen que ejercer los órganos administrativos responsables de la gestión de personal con respecto a los funcionarios, es muy distinta al personal perteneciente al Régimen General de la Seguridad Social, puesto que los órganos administrativos tienen la potestad de conceder o no la licencia al funcionario para acceder a la situación de incapacidad temporal, y que es requisito indispensable para el funcionario de MUFACE. 1.4. Por otra parte el artículo 90.1 del Reglamento General del Mutualismo Administrativo, especifica: “El órgano de personal que sea competente para expedir la correspondiente licencia podrá acordar su concesión o denegación a partir del asesoramiento médico que el propio parte supone, así como del procedente de: Las Unidades médicas que dependan o presten su colaboración con el citado órgano administrativo. El asesoramiento facilitado por la Mutualidad General de Funcionarios Civiles del Estado a través de las Unidades Médicas de seguimiento… 1.5. Por todo ello resulta proporcionado y adecuado que en el ejemplar del parte de enfermedad para el órgano de Personal conste el CIE-9_MC, tal como se contempla en el Anexo I de la Orden PRE/1744/2010 antes citada, con el fin de que el órgano administrativo competente pueda ejercitar las funciones que legalmente le vienen atribuidas para la concesión o denegación de la licencia por enfermedad de los funcionarios a su cargo. 1.6. No obstante, en los partes entregados al órgano de personal y a MUFACE no consta ningún diagnóstico, únicamente figura en el que se entrega al mutualista. 1.7. En otro orden de cosas, es necesario señalar que la Orden PRE/1744/2010 y sus Anexos, fue sometida a informe de la Agencia Española de Protección de Datos, que se emitió con fecha 12 de marzo de 2010, en el que se prevé esta situación. FUNDAMENTOS DE DERECHO I Es competente para resolver el Director de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.
- d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/7 II Se denuncia por parte de dos funcionarios, designados como denunciante 1 y denunciante 2, la existencia de un dato excesivo en el ejemplar del “Parte médico para situaciones de incapacidad temporal, riesgo durante el embarazo y riesgo durante la lactancia natural” que hay que entregar al ÓRGANO DE PERSONAL, ya que en ese parte que se entrega a personal se incluye el Código CIE-9-MC, que puede buscarse en internet sin ninguna limitación y aparece la patología, de una forma muy detallada, que ha originado la baja. El Parte médico objeto de denuncia se incluye en el Anexo I de la Orden PRE/1744/2010, que tiene por objeto el desarrollo de las previsiones contenidas en la reforma del Reglamento General de Mutualismo Administrativo, aprobada por Real Decreto 2/2010, de 8 de enero, en desarrollo a su vez de las previsiones contenidas en los artículo 18 a 22 del Texto refundido de la Ley sobre Seguridad Social de los Funcionarios Civiles del Estado, aprobado por Real Decreto Legislativo 4/2000, de 23 de junio, en la redacción dada a los mismos por la disposición adicional séptima de Ley 2/2008, de 23 de diciembre, de Presupuestos Generales del Estado para 2009. Dentro del Capítulo I, referido a las normas comunes a todas las situaciones reguladas, se establece el procedimiento para la expedición del parte médico inicial, del que se entregarán dos copias, una para el mutualista y otra para el órgano de personal, competente según el Texto Refundido para otorgar la correspondiente licencia. Igualmente, se prevé, en el artículo 3.2 lo siguiente: “Con la entrega de la copia de este parte y de los posteriores que se pudieran ir emitiendo a lo largo de la evolución de la situación, se entenderá solicitada la concesión de la licencia inicial y sus posibles prórrogas”, añadiendo que “De acuerdo con lo previsto en la disposición adicional décima del Reglamento General del Mutualismo Administrativo, no será preciso el consentimiento del interesado para que los datos codificados puedan ser tratados a través del fichero automatizado de que disponga MUFACE, y al que podrán tener acceso, con las condiciones de seguridad asociadas al mismo, los órganos de personal y las Unidades Médicas de Seguimiento a los efectos oportunos”. Debe, en particular, señalarse que el artículo 9 de la Orden PRE/1744/2010 regula la transmisión de datos sobre las licencias concedidas, previendo lo siguiente: “1. Por cada licencia inicial y sus prórrogas, el órgano de personal, en un plazo no superior a cinco días hábiles contados desde la fecha del acto de concesión de la licencia o prórroga, transmitirá al fichero automatizado de datos de salud de MUFACE aquellos datos esenciales del proceso que permitan su adecuado seguimiento y la gestión del subsidio, en su caso. 2. La introducción en el fichero de MUFACE de la información relativa a la concesión de licencias será realizada por el personal designado por cada órgano de personal competente. A tal efecto, el acceso de dicho personal al fichero se realizará mediante el uso de certificados digitales u otros modos de autenticación electrónica que garanticen la seguridad del acceso y la identificación unívoca del usuario. En el acceso y en la transmisión de datos de salud, así como de datos personales se garantizará el estricto cumplimiento de las condiciones establecidas en la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal.” La Orden mencionada, fue objeto de informe previo por parte del Servicio C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/7 Jurídico de esta Agencia Española de Protección de Datos, en el que se indica lo siguiente en referencia a las cesiones y tratamientos previstos en la Orden referida: “Para que los tratamientos y las cesiones y las cesiones de datos a las que se viene haciendo referencia puedan considerarse conformes a lo dispuesto en la Ley Orgánica 15/1999 será necesario que se dé cumplimiento a lo previsto en su artículo 7.3, según el cual “los datos de carácter personal que hagan referencia al origen racial, a la salud y a la vida sexual sólo podrán ser recabados, tratados y cedidos cuando, por razones de interés general, así lo disponga una Ley o el afectado consienta expresamente”. Pues bien, como ya se indicaba en el informe de 17 de julio de 2009, esta habilitación, en lo que se viene analizando hasta este momento, se encontraría recogida en las previsiones del Texto Refundido resultantes de la reforma operada por la Ley 2/2008, de 23 de diciembre. Así, el artículo 19.3 prevé la posible cesión al órgano de personal derivada del asesoramiento recabado, al disponer que “Para la concesión y control de estas licencias los órganos administrativos con competencia en materias de gestión de personal podrán hacer uso del asesoramiento facultativo propio o ajeno que consideren oportuno” Asimismo, el tratamiento llevado a cabo para el seguimiento de la situación por parte de la Mutualidad se regula en el artículo 19.4, a cuyo tenor “Sin perjuicio de lo dispuesto en el apartado anterior, la Mutualidad General de Funcionarios Civiles del Estado podrá ejercer el control y seguimiento de la situación de incapacidad temporal del funcionario desde el inicio de la situación mediante el reconocimiento a efectuar por las Unidades Médicas de Seguimiento de las que disponga, propias o dependientes de otras Entidades Gestoras de la Seguridad Social y Servicios Públicos de Salud con los que la Mutualidad establezca acuerdos de colaboración”. Asimismo, el artículo 20.2 dispone que “Reglamentariamente se determinarán los plazos para la presentación de los partes o informes médicos que acrediten la necesidad de mantener la licencia”, lo que justificará el tratamiento de los datos derivado de los mencionados partes o informes médicos por el órgano de personal y por la Mutualidad. Por último, el artículo 22 remite a estas reglas el régimen aplicable para las situaciones de riesgo durante el embarazo y la lactancia. Por este motivo, y como también se indicó en el anterior informe de esta Agencia, de constante cita, a la vista de todo ello, debe considerarse que las cesiones y tratamientos regulados en el Proyecto resultan amparado por la Ley Orgánica 15/1999 en conexión con las normas citadas. No obstante, debe tenerse en cuenta lo previsto en el artículo 19.5 del Texto Refundido, según el cual “Los reconocimientos médicos mencionados en el apartado anterior serán potestativos, pero sus resultados vincularán para la concesión o denegación de las licencias y sus sucesivas prórrogas. Reglamentariamente se determinarán las situaciones, períodos y formas en los que se llevarán a cabo los seguimientos de los distintos procesos patológicos, salvaguardando, en todo caso, el derecho a la intimidad y la dignidad de la persona y la autonomía del paciente, así como a la confidencialidad de las informaciones referentes a su estado de salud sanitario, según lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/7 A tal efecto, el artículo 21 del Reglamento dispone que “Los datos obrantes en cualquier fichero automatizado, archivo o expediente de la Mutualidad General sólo podrán ser tratados y cedidos de acuerdo con lo que establece la legislación vigente en materia de protección de datos de carácter personal y sus disposiciones de desarrollo”. Estas previsiones se encuentran recogidas en las disposiciones adicionales décima y undécima del Reglamento General, en la redacción dada a las mismas finalmente por el Real Decreto 2/2010, de 8 de enero, que habrá de ser interpretado de forma armonizada con lo dispuesto en el Texto Refundido, al que se remite expresamente, al no poder constituir el mencionado Reglamento en sí mismo una norma legitimadora del tratamiento, dada la reserva de Ley consagrada por el artículo 7.3 de la Ley Orgánica 15/1999. De este modo, los tratamientos y cesiones derivadas de lo dispuesto en el Proyecto sometido a informe se encuentran amparados por el artículo 7.2 de la Ley Orgánica, en conexión con las competencias atribuidas a cada uno de los órganos que acceden a los datos por el Texto Refundido, debiendo en todo caso respetarse en ese tratamiento y en las cesiones de datos derivadas del mismo las habilitaciones otorgadas por el citado texto, no pudiendo ser objeto de tratamiento más que los datos adecuados, pertinentes y no excesivos que sean necesarios para el ejercicio por cada uno de ellos de las competencias establecidas en el mencionado texto legal. A tal efecto, debe nuevamente hacerse referencia a lo previsto en el apartado 2 del artículo 10 del Proyecto, según el cual “La introducción en el fichero de MUFACE de la información relativa a la concesión de licencias será realizada por el personal designado por cada órgano de personal competente. A tal efecto, el acceso de dicho personal al fichero se realizará mediante el uso de certificados digitales u otros modos de autenticación electrónica que garanticen la seguridad del acceso y la identificación unívoca del usuario. En el acceso y en la transmisión de datos de salud, así como de datos personales se garantizará el estricto cumplimiento de las condiciones establecidas en la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal”. En este sentido, el acceso a los datos por parte de los usuarios autorizados que presten sus servicios en el correspondiente órgano de personal deberá ser conforme a la normativa de protección de datos, de forma que deberán implantarse en el sistema mecanismos de seguridad que eviten el posible acceso por ese personal a datos que no se correspondan con los relativos a las licencias y permisos del personal cuya autorización de licencia o permiso corresponda al citado órgano de personal. En consecuencia, deberán instaurarse en el sistema medidas de autorización de usuarios que limiten el acceso por parte de los mismos a la información para la que se encuentren legitimados, en los términos que se han indicado, lo que resulta especialmente importante teniendo en cuenta que el artículo 3.2 del Proyecto prevé que al sistema establecido por la Mutualidad general “podrán tener acceso, con las condiciones de seguridad asociadas al mismo, los órganos de personal y las Unidades Médicas de Seguimiento a los efectos oportunos”. Por último, como se ha indicado, el Proyecto incorpora en sus Anexos I y II los modelos de partes de solicitud. A tal efecto, recordarse el necesario cumplimiento de las obligaciones de información previstas en el artículo 5.1 de la Ley Orgánica 15/1999. Dicho precepto establece, como regla exigible a todos los supuestos en que los C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/7 datos sean recabados del afectado, el deber de informarles “de modo expreso, preciso e inequívoco:
- a)De la existencia de un fichero o tratamiento de datos de carácter personal, de la finalidad de la recogida de éstos y de los destinatarios de la información.
- b)Del carácter obligatorio o facultativo de su respuesta a las preguntas que les sean planteadas.
- c)De las consecuencias de la obtención de los datos o de la negativa a suministrarlos.
- d)De la posibilidad de ejercitar los derechos de acceso, rectificación, cancelación y oposición.
- e)De la identidad y dirección del responsable del tratamiento o, en su caso, de su representante”. Además, añade el artículo 5.2 que “cuando se utilicen cuestionarios u otros impresos para la recogida, figurarán en los mismos, en forma claramente legible, las advertencias a que se refiere el apartado anterior”. Pues bien, examinado el contenido de los modelos incluidos en el Proyecto, ninguno de ellos incorpora cláusula informativa alguna acerca del tratamiento de los datos por parte de los distintos órganos respecto de los que el propio texto prevé el tratamiento y cesión de los datos relacionados con la salud del mutualista. Por tanto deberán modificarse los modelos incluidos en los Anexos incluyendo expresamente una cláusula informativa que dé cumplimiento a los requisitos exigidos por el artículo 5.1 de la Ley Orgánica 15/1999.” La actuación que los órganos de personal de cada Centro efectúan es transmitir al fichero automatizado de datos de salud de MUFACE los datos esenciales que permiten el adecuado seguimiento del proceso y la gestión del subsidio, en su caso. Esta transmisión de datos se realizará por cada licencia inicial y sus prórrogas en el plazo máximo de cinco días desde la fecha en que se concedió tal licencia o prórroga. Así se prevé en el artículo 9 de la Orden PRE/1744/2010. En consecuencia, y tal como detalla el informe del Servicio Jurídico del Estado, el tratamiento de los datos existentes en el parte de baja que se entrega en la unidad de personal, en el que consta el Código CIE-9-MC se puede realizar en base a la previsión legal existente. Por otra parte, debe significarse que las personas que trabajan en la Unidad de personal quedan sometidas a la obligación de secreto y demás exigencias establecidas en la LOPD, pudiendo incurrir en las responsabilidades derivadas de la Ley en caso de incumplimiento. Por lo tanto, de acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA: PROCEDER AL ARCHIVO de las presentes actuaciones. NOTIFICAR la presente Resolución a la MUTUALIDAD GENERAL DE FUNCIONARIOS CIVILES DEL ESTADO (MUFACE) y a denunciante 1 y denunciante 2, según consta en los Anexos 1 y 2. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/7 en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Sin embargo, el responsable del fichero de titularidad pública, de acuerdo con el artículo 44.1 de la citada LJCA, sólo podrá interponer directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la LJCA, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es