E-08982-2021

1/11  Expediente N.º: E/08982/2021 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes: HECHOS PRIMERO: A.A.A. (en adelante, la parte reclamante), con fecha 5 de marzo de 2021, interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra INSTITUTO SOCIAL DE LA MARINA con NIF Q2869056H (en adelante, la parte reclamada o ISM). Los motivos en que basa la reclamación son los siguientes: La parte reclamante, médico del Instituto Social de la Marina, manifiesta que el resultado de la PCR realizada antes del embarque en el buque no se lo han comunicado a él sino a la parte reclamada en agosto de 2020 sin su conocimiento ni consentimiento, vulnerando la privacidad de sus datos médicos. Por otra parte, en febrero de 2021, al manifestar expresamente al laboratorio que no consentía la cesión de los resultados de una nueva prueba PCR realizada, el resultado quedó bloqueado en el laboratorio sin que la parte reclamante pudiera acceder a él. La Dirección Provincial de Cantabria del ISM ha dictado resolución que deja sin efecto el llamamiento de embarque el día 1 de marzo de 2021 al buque "***BUQUE.1". Y adjunta la siguiente documentación relevante: - Copia de correo electrónico dirigido al laboratorio de "no consentimiento" para la cesión de los resultados. - Resolución del Director Provincial del ISM de Cantabria que deja sin efecto su llamamiento para enrolar el día 1 de marzo de 2021. El 30 de mayo de 2021 ha presentado escrito de ampliación de su reclamación contra la Directora del ISM en Madrid por acusación de falta grave e incoación de expediente disciplinario y suspensión provisional de empleo al no consentir que el resultado de su PCR fuera enviado directamente a la Dirección Provincial del ISM Cantabria. Con fecha de 27 de septiembre 2021 se presenta ampliación de la reclamación informando que, como resultado del expediente disciplinario, se le acusa de una falta muy grave por el incumplimiento muy grave de las obligaciones en materia de prevención de riesgos laborales contempladas en la normativa vigente y se propone sea impuesta al encausado la sanción de despido. Adjunta copia de la propuesta de despido. Con fecha de 20 de octubre de 2021 presenta nuevo escrito informando que ha recibido su carta de despido. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/11 SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 5 de abril de 2021, como consta en el acuse de recibo que obra en el expediente. No se ha recibido respuesta a este escrito de traslado. TERCERO: Con fecha 2 de julio de 2021, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de los poderes de investigación otorgados a las autoridades de control en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: - Se solicitó a la parte reclamada que expusiera las causas que motivaron el acceso a la PCR del reclamante y justificación y base de legitimación para tratamiento de datos de salud del reclamante. Con fecha de 13 de enero de 2022 se recibe en esta Agencia escrito de alegaciones manifestando que el Instituto Social de la Marina consideró desde el inicio de la pandemia que los tripulantes de sus dos buques hospitales, dado el interés público que realizan como buques asistenciales en dicho ámbito a las flotas mercantes y pesqueras, tuvieran la protección de salud necesaria que permitiera, no sólo salvaguardar la protección de la salud de sus tripulantes, sino de aquellos tripulantes terceros de buques asistidos que, bien por accidente o enfermedad en la mar, solicitaran la asistencia de los buques hospitales del Instituto Social de la Marina y, para ello se realizase a los tripulantes de los dos buques del ISM una prueba PCR. Añaden que el Convenio Internacional sobre Formación, Titulación y Guardia para la Gente de Mar (Convenio STCW), elaborado en el seno de la Organización Marítima Internacional (organismo especializado en asuntos marítimos de Naciones Unidas), establece en el apartado I/9 de sus Reglas que cada Estado Parte establecerá normas médicas de aptitud física para la Gente de mar para expedir certificados médicos de conformidad con lo dispuesto en la presente regla, y en la sección A-I/9 del Código de Formación, que cada Parte garantizará que los responsables de evaluar la aptitud física de la Gente de mar sean facultativos reconocidos por el Estado Parte. Continúan manifestando que como se ha expuesto anteriormente, el convenio STCW, obliga a cada Estado miembro a garantizar que los responsables de evaluar la aptitud psicofísica de la gente de mar sean facultativos reconocidos por el Estado Parte. El modo que ha establecido España, desde hace ya muchos años, para cumplir con la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/11 citada Regla I/9 del Convenio STCW no ha sido el reconocimiento de facultativos ad hoc, sino que conforme al Real Decreto 1696/2007 es de competencia exclusiva de un Organismo público, el Instituto Social de la Marina, quien tiene la competencia, a través de los médicos de las unidades de sanidad marítima de cada Dirección provincial para acreditar, previos los reconocimientos médicos, pruebas, informes y datos de salud necesarios realizados y evaluados a criterio de dichos facultativos que la Gente de mar cumple con las condiciones psicofísicas que les permita, entre otros requisitos de competencia técnica, ser enrolados en un buque por parte de la Autoridad marítima y, por ello, dichos facultativos están legitimados para el tratamiento de datos de salud recogidos por el RGPD. La reclamada añade las razones de los considerandos 35, 51, 52 y el artículo 9 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016 relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos que en su apartado 2, letra h, establece “el tratamiento es necesario para fines de medicina preventiva o laboral, evaluación de la capacidad laboral del trabajador, diagnóstico médico, prestación de asistencia o tratamiento de tipo sanitario o social, o gestión de los sistemas y servicios de asistencia sanitaria y social, sobre la base del Derecho de la Unión o de los Estados miembros o en virtud de un contrato con un profesional sanitario y sin perjuicio de las condiciones y garantías contempladas en el apartado 3”, estableciendo el apartado 3 “Los datos personales a que se refiere el apartado 1 podrán tratarse a los fines citados en el apartado 2, letra h), cuando su tratamiento sea realizado por un profesional sujeto a la obligación de secreto profesional, o bajo su responsabilidad, de acuerdo con el Derecho de la Unión o de los Estados miembros o con las normas establecidas por los organismos nacionales competentes, o por cualquier otra persona sujeta también a la obligación de secreto de acuerdo con el Derecho de la Unión o de los Estados miembros o de las normas establecidas por los organismos nacionales competentes”. Continúan señalando que, por último, el apartado 4 de este artículo dispone: Los Estados miembros podrán mantener a introducir condiciones adicionales, inclusive limitaciones, con respecto al tratamiento de datos genéticos, datos biométricos o datos relativos a la salud”. De acuerdo con este precepto, la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), establece en su artículo 9.2 que: “Los tratamientos de datos contemplados en las letras g),

1. h)e
2. i)del artículo 9.2 del Reglamento (UE) 2016/679 fundados en el Derecho español deberán estar amparados en una norma con rango de ley, que podrá establecer requisitos adicionales relativos a su seguridad y confidencialidad. En particular, dicha norma podrá amparar el tratamiento de datos en el ámbito de la salud cuando así lo exija la gestión de los sistemas y servicios de asistencia sanitaria y social, pública y privada, o la ejecución de un contrato de seguro del que el afectado sea parte.” En consecuencia, el tratamiento de los datos de salud requiere estar previsto en una norma con rango de ley. A estos efectos, la Disposición adicional decimoséptima LOPDGDD relaciona una serie de leyes que regulan tratamientos de datos de salud, amparados en la letra
3. h)del artículo 9.2 RGPD, leyes entre las que se encuentran la Ley 33/2011, de 4 de octubre, General de Salud Pública y la Ley 31/1995, de 8 de noviembre, de Prevención de Riesgos Laborales, entre otras. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/11 En este sentido argumentan que la Ley 33/2011, de 4 de octubre, General de Salud Pública (LGSP), en su artículo 1 define la salud pública como "el conjunto de actividades organizadas por las Administraciones públicas, con la participación de la sociedad, para prevenir la enfermedad, así como para proteger, promover y recuperar la salud de las personas, tanto en el ámbito individual como en el colectivo y mediante acciones sanitarias, sectoriales y transversales". Señalan también la Ley 31/1995, de 8 de noviembre, de Prevención de Riesgos Laborales (LPRL) que en su artículo 22 desarrolla cómo debe llevarse a efecto la vigilancia periódica del estado de salud de los trabajadores en función de los riesgos inherentes al trabajo, y el Real Decreto 39/1997, de 17 de enero, por el que se aprueba el Reglamento de Servicios de Prevención que en artículos 28 y 39 imponen la colaboración de los servicios de prevención con las Administraciones sanitarias en campañas sanitarias y epidemiológicas. Mencionan igualmente el informe 17/2020 de esta Agencia sobre los tratamientos de datos en relación con la COVID-19, en el que se concluye que el RGPD permite el tratamiento de datos personales de salud sin consentimiento del interesado en situaciones de interés público en el ámbito de la salud pública y en el cumplimiento de obligaciones legales en el ámbito laboral derivado de dichas situaciones. Finalmente, concluyen manifestando que el Instituto Social de la Marina: - Se limitó a dar cumplimiento a la obligación del empresario en materia de prevención de riesgos, sin que se haya producido vulneración de los principios que en materia de tratamiento de datos impone el articulo 5 LPDPGDD. Especialmente se ha respetado el principio minimización, en cuanto la actuación practicada y su tratamiento se limita a la estricta realización de la prueba de detección de covid, medida que además resulta proporcionada y necesaria ante el inminente embarque del trabajador en el buque “***BUQUE.1", sin que exista otra medida o alternativa que permita garantizar que, al menos, en el momento de embarque, ninguno de los trabajadores que acceden al buque tengan la enfermedad. Añaden que, en la situación de pandemia actual, esta medida tiene trascendencia más allá de la propia navegación, y que como ya ha sido señalado, los servicios de prevención tienen que cumplir asimismo con el deber de colaboración con las Administraciones sanitarias en campañas sanitarias y epidemiológicas (artículos 38 y 39 RDP). - No les consta que el trabajador manifestara oposición alguna al tratamiento de estos datos. - Tampoco consta que se comunicaran al resto de la plantilla. La aptitud del trabajador fue comunicada a los médicos de Sanidad Marítima, aptitud que en este caso coincide con el resultado positivo o negativo de la prueba. Resultado que además debió de ser negativo puesto que no consta que el trabajador cesara en la prestación de sus servicios. - Finalmente, si bien el trabajador efectivamente tiene derecho a conocer el resultado de las pruebas practicadas, derecho de acceso previsto en el artículo 15 RGPD, no consta la negativa de la empresa a comunicar los resultados de la prueba ni tampoco que estos resultados hayan sido solicitados por el trabajador. En todo caso, la simple C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/11 no comunicación de los resultados sin que el trabajador haya ejercitado su derecho de acceso ni, por lo tanto, el empresario haya impedido dicho acceso, no constituye una infracción de protección de datos. Por otro lado, debe existir la presunción de que el Servicio Cántabro de Salud comunicó al reclamante, de conformidad con el procedimiento habitual establecido por la mayoría o todos los servicios de salud de las diferentes comunidades autónomas, el resultado de su prueba PCR. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con las funciones que el artículo 57.1 a),
4. f)y
5. h)del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) confiere a cada autoridad de control y según lo dispuesto en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos.” II Legitimación del tratamiento La reclamación recibida en esta Agencia va dirigida contra ISM por haber tenido conocimiento del resultado de una prueba PCR, sin su consentimiento, vulnerando su privacidad de los datos médicos. En relación con la exigencia de una prueba PCR de las personas como parte de las medidas adoptadas en centros de trabajo para ayudar a prevenir la propagación de la pandemia de COVID-19, se considera necesario resaltar que es un dato de salud en sí mismo, a tenor de la definición contenida en el artículo 4, apartado 15, del RGPD. Según el artículo 4 del RGPD, apartados 1 y 2, se entenderá por «datos personales»: “toda información sobre una persona física identificada o identificable”; y por «tratamiento»: “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción.” Partiendo de lo anterior, los controles mediante el resultado de una prueba PCR de las personas constituye un tratamiento de datos de salud relativo a una persona física identificada, y como tal deben ajustarse a una de las bases jurídicas enumeradas en el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/11 artículo 6 del RGPD y concurrir alguna de las excepciones específicas que se relacionan en el artículo 9 del RGPD. Con carácter general, el empleador tiene la obligación de garantizar la seguridad y salud de las personas trabajadoras a su servicio en los aspectos relacionados con el trabajo, como se desprende de los artículos 14 y siguientes de la Ley 31/1995, de 8 de noviembre, de prevención de Riesgos Laborales. Esta obligación opera a la vez como excepción que permite el tratamiento de datos de salud, al amparo de las circunstancias previstas en el artículo 9.2.
6. h)del RGPD, y como base jurídica que legitima el tratamiento, por cuanto el tratamiento es necesario para el cumplimiento de una obligación legal impuesta al empleador (artículo 6.1.
7. c)del RGPD). No cabe duda de que en la situación de crisis sanitaria ocasionada por la COVID-19, el empleador está obligado a adoptar medidas extraordinarias encaminadas a prevenir nuevos contagios de COVID-19 y estas medidas deben aplicarse atendiendo a los criterios definidos por las autoridades sanitarias. En el ámbito de las empresas, el Ministerio de Sanidad, en su documento “Procedimiento de actuación para los servicios de prevención de riesgos laborales frente a la exposición al SARS-CoV-2”, indica que “La intervención de las empresas, a través de los servicios de prevención (SPRL), frente a la exposición al SARS-COV-2 ha sido y es crucial, adaptando su actividad con recomendaciones y medidas actualizadas de prevención (…) con el objetivo general de limitar los contagios: medidas de carácter organizativo, de protección colectiva, de protección personal, de trabajador especialmente vulnerable y nivel de riesgo, de estudio y manejo de casos y contactos ocurridos en la empresa y de colaboración en la gestión de la incapacidad temporal” y añade que “las empresas, a través de los servicios de prevención, están llamadas a colaborar con las autoridades sanitarias en la detección precoz de todos los casos compatibles con COVID-19 y sus contactos, para controlar la transmisión.” En este contexto, debe entenderse que el control de la posible enfermedad de los trabajadores realizado por los empleadores, como medida para permitir el embarque en un buque hospital con la finalidad de limitar los contagios, dado que un resultado positivo de una prueba PCR impediría el embarque por el riesgo que implica para el resto de los trabajadores y de las personas a las que van a auxiliar, como parte de un conjunto más amplio de medidas que incluyen medidas preventivas, de higiene, protectoras, etc., cumple con los criterios indicados por las autoridades sanitarias. El tratamiento de datos de salud de los trabajadores, en este contexto, encuentra su legitimación en la causa prevista en el artículo 6.1.
8. c)del RGPD y en las excepciones que habilitan el tratamiento de datos de salud, recogidas en el artículo 9.2.
9. h)del RGPD. La finalidad de la realización de una prueba PCR de los trabajadores sería obtener un indicador que posibilite detectar a trabajadores estén contagiados del COVID-19 y, en su caso, informar a la persona afectada. Se trataría de una medida para que no embarquen personas que estén contagiados evitando el contagio del resto de los trabajadores y de las personas a las que asistirán. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/11 En cuanto a la base jurídica del tratamiento, en el contexto laboral, es la prevención de los riesgos para la salud, como el control de enfermedades y otras amenazas para la salud. La decisión de establecer un control de temperatura corresponde a ISM en virtud de la Ley 31/1995, de 8 de noviembre, de Prevención de Riesgos Laborales (en adelante, LPRL) y del artículo 20 del Real Decreto Legislativo 2/2015, de 23 de octubre, por el que se aprueba el texto refundido de la Ley del Estatuto de los Trabajadores que le permite adoptar las medidas que estime más oportunas de vigilancia y control para verificar el cumplimiento por el trabajador de sus obligaciones y deberes laborales. El artículo 29 de la LPRL establece que corresponde a cada trabajador velar, según sus posibilidades y mediante el cumplimiento de las medidas de prevención que en cada caso sean adoptadas, por su propia seguridad y salud en el trabajo y por la de aquellas otras personas a las que pueda afectar su actividad profesional, a causa de sus actos y omisiones en el trabajo, de conformidad con su formación y las instrucciones de la empresa. El mismo artículo 29 establece que el incumplimiento por los trabajadores de las obligaciones en materia de prevención de riesgos laborales tendrá la consideración de incumplimiento laboral a los efectos previstos en el artículo 58.1 del Estatuto de los Trabajadores. Por todo ello, el trabajador tiene actualmente la obligación legal de acudir al centro de trabajo sin enfermedades que puedan contagiar a sus compañeros y a las personas a las que van a asistir y la empresa está facultada para verificar el cumplimiento de esta obligación de acuerdo con el artículo 20.3 del Estatuto de los Trabajadores. La principal conclusión que se puede obtener de un resultado positivo en el control por PCR es que la medida de autoprotección es eficaz y que se impide el acceso a un trabajador que podía generar un riesgo para sus compañeros. III Licitud del tratamiento El artículo 6 del RGPD, que regula la licitud del tratamiento, establece lo siguiente: "1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
10. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
11. b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
12. c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
13. d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
14. e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/11
15. f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
16. f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones. 2. Los Estados miembros podrán mantener o introducir disposiciones más específicas a fin de adaptar la aplicación de las normas del presente Reglamento con respecto al tratamiento en cumplimiento del apartado 1, letras
17. c)y e), fijando de manera más precisa requisitos específicos de tratamiento y otras medidas que garanticen un tratamiento lícito y equitativo, con inclusión de otras situaciones específicas de tratamiento a tenor del capítulo IX. 3. La base del tratamiento indicado en el apartado 1, letras
18. c)y e), deberá ser establecida por:
19. a)el Derecho de la Unión, o
20. b)el Derecho de los Estados miembros que se aplique al responsable del tratamiento. La finalidad del tratamiento deberá quedar determinada en dicha base jurídica o, en lo relativo al tratamiento a que se refiere el apartado 1, letra e), será necesaria para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento. Dicha base jurídica podrá contener disposiciones específicas para adaptar la aplicación de normas del presente Reglamento, entre otras: las condiciones generales que rigen la licitud del tratamiento por parte del responsable; los tipos de datos objeto de tratamiento; los interesados afectados; las entidades a las que se pueden comunicar datos personales y los fines de tal comunicación; la limitación de la finalidad; los plazos de conservación de los datos, así como las operaciones y los procedimientos del tratamiento, incluidas las medidas para garantizar un tratamiento lícito y equitativo, como las relativas a otras situaciones específicas de tratamiento a tenor del capítulo IX. El Derecho de la Unión o de los Estados miembros cumplirá un objetivo de interés público y será proporcional al fin legítimo perseguido. 4. Cuando el tratamiento para otro fin distinto de aquel para el que se recogieron los datos personales no esté basado en el consentimiento del interesado o en el Derecho de la Unión o de los Estados miembros que constituya una medida necesaria y proporcional en una sociedad democrática para salvaguardar los objetivos indicados en el artículo 23, apartado 1, el responsable del tratamiento, con objeto de determinar si el tratamiento con otro fin es compatible con el fin para el cual se recogieron inicialmente los datos personales, tendrá en cuenta, entre otras cosas:
21. a)cualquier relación entre los fines para los cuales se hayan recogido los datos personales y los fines del tratamiento ulterior previsto;
22. b)el contexto en que se hayan recogido los datos personales, en particular por lo que respecta a la relación entre los interesados y el responsable del tratamiento;
23. c)la naturaleza de los datos personales, en concreto cuando se traten categorías especiales de datos personales, de conformidad con el artículo 9, o datos personales relativos a condenas e infracciones penales, de conformidad con el artículo 10;
24. d)las posibles consecuencias para los interesados del tratamiento ulterior previsto; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/11
25. e)la existencia de garantías adecuadas, que podrán incluir el cifrado o la seudonimización." IV Tratamiento de categorías especiales de datos personales El artículo 9 del RGPD, que regula el tratamiento de categorías especiales de datos personales, establece lo siguiente: "1. Quedan prohibidos el tratamiento de datos personales que revelen el origen étnico o racial, las opiniones políticas, las convicciones religiosas o filosóficas, o la afiliación sindical, y el tratamiento de datos genéticos, datos biométricos dirigidos a identificar de manera unívoca a una persona física, datos relativos a la salud o datos relativos a la vida sexual o la orientación sexual de una persona física. 2. El apartado 1 no será de aplicación cuando concurra una de las circunstancias siguientes:
26. a)el interesado dio su consentimiento explícito para el tratamiento de dichos datos personales con uno o más de los fines especificados, excepto cuando el Derecho de la Unión o de los Estados miembros establezca que la prohibición mencionada en el apartado 1 no puede ser levantada por el interesado;
27. b)el tratamiento es necesario para el cumplimiento de obligaciones y el ejercicio de derechos específicos del responsable del tratamiento o del interesado en el ámbito del Derecho laboral y de la seguridad y protección social, en la medida en que así lo autorice el Derecho de la Unión o de los Estados miembros o un convenio colectivo con arreglo al Derecho de los Estados miembros que establezca garantías adecuadas del respeto de los derechos fundamentales y de los intereses del interesado;
28. c)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física, en el supuesto de que el interesado no esté capacitado, física o jurídicamente, para dar su consentimiento;
29. d)el tratamiento es efectuado, en el ámbito de sus actividades legítimas y con las debidas garantías, por una fundación, una asociación o cualquier otro organismo sin ánimo de lucro, cuya finalidad sea política, filosófica, religiosa o sindical, siempre que el tratamiento se refiera exclusivamente a los miembros actuales o antiguos de tales organismos o a personas que mantengan contactos regulares con ellos en relación con sus fines y siempre que los datos personales no se comuniquen fuera de ellos sin el consentimiento de los interesados;
30. e)el tratamiento se refiere a datos personales que el interesado ha hecho manifiestamente públicos;
31. f)el tratamiento es necesario para la formulación, el ejercicio o la defensa de reclamaciones o cuando los tribunales actúen en ejercicio de su función judicial;
32. g)el tratamiento es necesario por razones de un interés público esencial, sobre la base del Derecho de la Unión o de los Estados miembros, que debe ser proporcional C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/11 al objetivo perseguido, respetar en lo esencial el derecho a la protección de datos y establecer medidas adecuadas y específicas para proteger los intereses y derechos fundamentales del interesado;
33. h)el tratamiento es necesario para fines de medicina preventiva o laboral, evaluación de la capacidad laboral del trabajador, diagnóstico médico, prestación de asistencia o tratamiento de tipo sanitario o social, o gestión de los sistemas y servicios de asistencia sanitaria y social, sobre la base del Derecho de la Unión o de los Estados miembros o en virtud de un contrato con un profesional sanitario y sin perjuicio de las condiciones y garantías contempladas en el apartado 3;
34. i)el tratamiento es necesario por razones de interés público en el ámbito de la salud pública, como la protección frente a amenazas transfronterizas graves para la salud, o para garantizar elevados niveles de calidad y de seguridad de la asistencia sanitaria y de los medicamentos o productos sanitarios, sobre la base del Derecho de la Unión o de los Estados miembros que establezca medidas adecuadas y específicas para proteger los derechos y libertades del interesado, en particular el secreto profesional;
35. j)el tratamiento es necesario con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos, de conformidad con el artículo 89, apartado 1, sobre la base del Derecho de la Unión o de los Estados miembros, que debe ser proporcional al objetivo perseguido, respetar en lo esencial el derecho a la protección de datos y establecer medidas adecuadas y específicas para proteger los intereses y derechos fundamentales del interesado. 3. Los datos personales a que se refiere el apartado 1 podrán tratarse a los fines citados en el apartado 2, letra h), cuando su tratamiento sea realizado por un profesional sujeto a la obligación de secreto profesional, o bajo su responsabilidad, de acuerdo con el Derecho de la Unión o de los Estados miembros o con las normas establecidas por los organismos nacionales competentes, o por cualquier otra persona sujeta también a la obligación de secreto de acuerdo con el Derecho de la Unión o de los Estados miembros o de las normas establecidas por los organismos nacionales competentes. 4. Los Estados miembros podrán mantener o introducir condiciones adicionales, inclusive limitaciones, con respecto al tratamiento de datos genéticos, datos biométricos o datos relativos a la salud." Por todo lo anterior, parece desprenderse la legitimación del Instituto Social de la Marina para el conocimiento de aptitud del reclamante para el desarrollo de sus funciones a través de los servicios de prevención de riesgos laborales. Por otra parte, respecto a la denegación del derecho de acceso indicado en la reclamación, tampoco queda acreditado que el reclamante haya solicitado el resultado de la PCR al servicio de toma de muestra ni de que este le haya sido denegado. V Conclusión C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/11 Por lo tanto, en base a lo indicado en los párrafos anteriores, no se han encontrado evidencias que acrediten la existencia de infracción en el ámbito competencial de la Agencia Española de Protección de Datos. Así pues, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a Don A.A.A. y al INSTITUTO SOCIAL DE LA MARINA. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
36. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 940-110322 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es