PS-00088-2020

1/18  Procedimiento Nº: PS/00088/2020 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: A.A.A. (en adelante, el reclamante) con fecha 24/09/2019 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra SECRETARÍA GENERAL DE INSTITUCIONES PENITENCIARIAS con NIF S2813060G (en adelante, el reclamado). Manifiesta: “He sido sancionado con la reducción de mis retribuciones salariales hasta en dos ocasiones por no haber atendido a la exigencia por parte de la Directora del Centro Penitenciario de Lanzarote, lugar de mi trabajo, de ceder datos e información médica relativa a mi estado de salud. A continuación paso a relatar en orden cronológico los hechos Durante los días ***FECHA.1, ***FECHA.2 y ***FECHA.3 no asistí a trabajar por encontrarme enfermo. Presenté el justificante médico habitual en los casos de ausencias por enfermedad de hasta tres días, donde el médico reflejaba los días de la indisposición (ANEXO 1) El día 9 de mayo de 2019 la Directora de mi centro de trabajo, emite una resolución requiriendo el diagnóstico y el tratamiento médico relativa a la ausencia médica mencionada (ANEXO 2 apartado Segundo) El 17 de mayo de 2019 presento alegaciones (anexo 3) en las que hago constar en el apartado Tercero y Sexto que el diagnóstico y el tratamiento forma parte del derecho a la intimidad así como la legislación existente sobre protección de datos en lo relativo a justificantes médicos El día 2 de junio de 2019 se me notifica una resolución en la que se me comunica la deducción de la nómina de los días de ausencia por no haber atendido a la petición de información sobre diagnóstico y tratamiento (ANEXO 4, apartado Segundo y Tercero) Por otra parte El día ***FECHA.6 asistí a consulta médica durante la jornada de trabajo, presentando el justificante de asistencia a la consulta (ANEXO 5) El día 17 de mayo se me notifica resolución (ANEXO 6) en la que se indica que en el justificante no figura diagnóstico ni tratamiento (apartados Segundo y Tercero), C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/18 advirtiendo que de no aportar tal información se procederá a descontar las horas no trabajadas El día ***FECHA.6 presento alegaciones (ANEXO 7). En sus apartados Tercero y Sexto refiero, de nuevo, que tal información entra en ámbito de la intimidad y que la legislación estatal en materia de protección de datos establece que el justificante no debe contener tales datos Finalmente, ANEXO 8, notificado el 19 de junio de 2019. En sus apartados Segundo y Cuarto se reitera la falta de diagnóstico y tratamiento en el justificante, y la orden consiguiente para proceder a la reducción de haberes en mi nómina.”  Aporta copia de justificantes expedidos por medico: -El primero, centro médico privado en el que no figura diagnóstico, consta los datos del reclamante “fecha de indisposición del ***FECHA.1 al ***FECHA.3,” “total 3 días” firmado el ***FECHA.3 y con el sello del médico. -El segundo indica en letra manuscrita que el paciente, con nombre y apellido del reclamante, ha sido atendo en la mañana del día de la fecha, fecha ***FECHA.6.  Aporta escrito ANEXO 2, resolución del Centro Penitenciario de ***FECHA.4, en la que se indica sobre la revisión del justificante de ausencia de servicio: -Tenía turnos de trabajo asignados los días ***FECHA.1 a ***FECHA.3 y que el 16/04/2019 “A través de un compañero de trabajo presenta un parte de reposo de fecha ***FECHA.3 en el que consta la indisposición del ***FECHA.1 al ***FECHA.3 sin que hasta ese día se tuviera conocimiento de la razón de dicha falta de asistencia”. -Se indica que en dicho parte “no consta diagnóstico ni tratamiento ni ninguna formalidad” y que de acuerdo con la RESOLUCIÓN de la Secretaría de Estado de Función Pública de 28/02/2019 (11.4 a .6) publicada en el BOE 1/03/2019, ( en lo sucesivo, LA RESOLUCION) donde se dictan instrucciones sobre jornada y horas de trabajo del personal de la AGE y el apartado decimosexto de la INSTRUCCIÓN 7/2019 de la Secretaría General de instituciones penitenciarias ( en lo sucesivo INSTRUCCIÓN) Cita en primer término el apartado 11.4 a 11.6 de la resolución que señala: “11.4 En los casos de ausencia durante la totalidad de la jornada diaria por causa de enfermedad o accidente sin que se haya expedido parte médico de baja, deberá darse aviso de esta circunstancia al superior jerárquico de manera inmediata y comportará, en su caso, la reducción de retribuciones prevista en la regulación aplicable a las ausencias al trabajo por causa de enfermedad o accidente que no dé lugar a una situación de incapacidad temporal. En todo caso, una vez reincorporado el empleado o empleada a su puesto, deberá justificar de manera inmediata la concurrencia de la causa de enfermedad.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/18 El punto 11.5 alude a un supuesto no relacionado con el de la reclamación, el de incapacidad temporal con parte de baja médica y el 11.6 a sus partes de confirmación. En la resolución del Centro, no se transcribe expresamente el contenido del citado apartado decimosexto de la INSTRUCCIÓN 7/2019, pero indica expresamente un artículo de la citada instrucción que determina: “La parte de jornada no realizada sin causa justificada dará lugar a la deducción proporcional de haberes, dentro de los tres meses siguientes a que se haya producido, de acuerdo con lo establecido en el artículo 36 de la Ley 31/1991, de 30 de diciembre, que aprueba los presupuestos generales del Estado para 1992, modificado por el artículo 102.2 de la Ley 13/1996, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, sin perjuicio de las medidas disciplinarias que pudieran, en su caso, adoptarse. El artículo 36 señala: “Modificación de la Ley 30/1984” “La diferencia en cómputo mensual, entre la jornada reglamentaria de trabajo y la efectivamente realizada por el funcionario dará lugar, salvo justificación, a la correspondiente deducción proporcional de haberes. Para el cálculo del valor hora aplicable en dicha deducción se tomará como base la totalidad de las retribuciones íntegras mensuales que perciba el funcionario dividida entre el número de días naturales del correspondiente mes y, a su vez, este resultado por el número de horas que el funcionario tenga obligación de cumplir, de media, cada día. Quedan derogados los artículos 31.2 de la Ley 30/1984, de 2 de agosto , y 14, apartado

1. d), y 17, segundo párrafo del Reglamento de Régimen Disciplinario de los Funcionarios de la Administración del Estado de 10 de enero de 1986 , así como cuantas normas se opongan a lo dispuesto en los dos párrafos anteriores.” Asimismo, el apartado 16 de la citada INSTRUCCIÓN señala: “DÉCIMOSEXTO. JUSTIFICACIÓN DE AUSENCIAS” Se estará lo establecido en el apartado 11 de la RESOLUCIÓN de 28 de febrero de 2019 de la Secretaría de Estado de Función Pública, por la que se dictan instrucciones sobre jornada y horarios de trabajo del personal al servicio de la Administración General del Estado y sus organismos públicos (BOE de 1 de marzo).” -En resolución del Centro se le requiere para que subsane dicho “parte de reposo presentando uno nuevo con todas las formalidades exigibles caso de no hacerlo se procederá a descontar la totalidad de sus retribuciones de las jornadas no realizadas sin causa justificada”. Finaliza informándole que “se va a proceder a la comunicación de su ausencia no justificada en tiempo y forma al área de análisis e inspección penitenciaria a los efectos que procedan”  Se aporta como ANEXO 3, escrito del reclamante a su centro de empleo efectuando alegaciones indicando que el “diagnóstico/ tratamiento” no puede constar C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/18 en justificantes médico ni en parte médico de incapacidad temporal, también señala que en todo caso con anterioridad a su incorporación a su puesto de trabajo procedió a entregar el correspondiente parte de reposo de los 3 días que se ausentó de su puesto de trabajo.  Como ANEXO 4, aporta una resolución del centro de 2/05/2019. En la parte de HECHOS se contiene que el funcionario presentó el 16/05/2019 escrito para remitir a la Secretaría General donde formula alegaciones sin que justifique por ningún medio las ausencias del servicio. Refiere nuevamente la instrucción 7/2019 de Instituciones Penitenciarias en su apartado 1.7 relativo al control y seguimiento de jornada y horario de trabajo, indica que la parte de jornada no realizada sin causa justificada dará lugar a la reducción proporcional de haberes dentro de los 3 meses siguientes a que se haya producido, de acuerdo con lo establecido en el artículo 36 de la ley 3/1991 de 30/12 modificada por el artículo 102 de la ley 13/96 de 30/12 y se procede a la deducción proporcional de los días considerados como asistencia no justificada ***FECHA.1 al ***FECHA.3.  Aporta un nuevo ANEXO, del 13/05/2019 en el que nuevamente la dirección del Centro Penitenciario le requiere en este caso respecto de una ausencia del trabajo del ***FECHA.6, día que tenía asignado el turno de trabajo, y se indica que se personó en el servicio a las 12:00 acompañando un justificante donde consta simplemente que ha sido atendido en consulta en la mañana del día de la fecha y se le requiere expresamente para que presente subsanando dicho documento presentando uno nuevo que contenga las formalidades exigibles. Se indica que no consta en dicho documento ni diagnóstico ni tratamiento ni ninguna formalidad.  Finalmente, se aporta escrito de ***FECHA.5, del reclamante contra dicha resolución, y resolución de 18/06/2019 ratificando la procedencia de la deducción “por no acreditarlo”, entendiendo el tiempo de la jornada no realizada, sin causa justificada por el día ***FECHA.6 ya que se presentó a las 12 horas acompañando justificante donde consta “ha sido atendido en esta consulta en la mañana del día de la fecha”, y “dado que en el mismo no consta diagnóstico ni tratamiento ni ninguna formalidad, añadiendo que se entiende que dicha consulta podría haberse realizado en horario fuera de la jornada de trabajo. SEGUNDO: La reclamación fue inadmitida a trámite el 24/10/2019, si bien fue recurrida en reposición RR/00798/2019 y fue estimado por acuerdo de la Directora de 28/02/2020. TERCERO: Se obtiene copia de la web de la INSTRUCCIÓN 1/7/2019, Resolución del Secretario General de Instituciones Penitenciarias y Presidente de la Entidad Estatal Trabajo Penitenciario y Formación para el Empleo, por la que se dictan instrucciones sobre jornada y horarios de trabajo del personal funcionario y laboral destinado en los servicios periféricos de la Secretaría General de Instituciones Penitenciarias y de la Entidad Estatal Trabajo Penitenciario y Formación para el Empleo, firmada por el Secretario General de Instituciones Penitenciarias el 9/4/2019 y en las disposiciones que deroga señala: “Queda derogada la Instrucción 3/2013, aprobada por Resolución de 25 de octubre, de la Secretaría General de Instituciones Penitenciarias, así como toC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/18 das las disposiciones de igual o inferior rango en lo que contradigan o se opongan a lo dispuesto en la presente Resolución” . Ni en la INSTRUCCIÓN 1/7/2019, ni en la precedente se menciona la obligatoriedad de la aportación de diagnósticos o tratamientos médicos como datos que han de constar en el justificante médico, ignorándose la procedencia de dicha interpretación. Ambas instrucciones se incorporan al procedimiento. Se debe tener en cuenta que la fecha de primera ausencia abarca de ***FECHA.1 a ***FECHA.3, y el médico signa el justificante el día ***FECHA.3, es decir se le aplica una instrucción firmada el mismo día ***FECHA.3 a unas situación de enfermedad iniciada el ***FECHA.1. Además, el dato de diagnóstico y tratamiento médico es un dato de salud. CUARTO: Para la aclaración de la justificación de asistencia médica sin baja médica, se corresponda con visita de consulta médica de un día, o con ausencia de varios, se suscribe aquí por guardar relación con el objeto, el informe de la AGENCIA MADRILEÑA DE PROTECCIÓN DE DATOS que figura en la web y que se incorpora al procedimiento, por considerar validas sus conclusiones y razonamientos jurídicos. Se trata de la INSTRUCCIÓN 2/2009, de 21/12, de la Agencia de Protección de Datos de la Comunidad de Madrid, sobre el tratamiento de datos personales en la emisión de justificantes médicos, publicado en el Boletín Oficial de la CAM de 21/01/2010. QUINTO: Con fecha 9/06/2020, la Directora de la AEPD acordó INICIAR PROCEDIMIENTO SANCIONADOR de APERCIBIMIENTO a SECRETARÍA GENERAL DE INSTITUCIONES PENITENCIARIAS, (Centro Penitenciario de Lanzarote), por la presunta infracción del artículo 5.1.
2. c)del RGPD conforme señala el artículo 83.5.
3. a)y 58.2.
4. b)del citado RGPD. SEXTO: Con fecha 1/07/2020, la reclamada efectúa las siguientes alegaciones: - Como trasfondo considera que la Ley General Penitenciaria tiene asignada la función de garantizar servicios penitenciarios que permitan la ejecución de la pena privativa de libertad y el control de los servicios que prestan sus funcionarios. Los hechos guardan relación con el contexto de una actividad donde la ausencia no planificada de efectivos puede suponer un riesgo adicional en el mantenimiento de la seguridad y el orden regimental interior de un centro. Sobre la ausencia de ***FECHA.1 a ***FECHA.3 indica que el reclamante, “Durante el ciclo que tenía que trabajar fue llamado reiteradamente por teléfono por parte de la oficina de personal del Centro Penitenciario sin que atendiera las llamadas” En cuanto a la incidencia del ***FECHA.6, el interesado no se presenta al inicio de su jornada, 8 de la mañana, sino a las 12 de la mañana, presentando el parte de consulta en el que se indica que ha sido atendido en dicha mañana. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/18 -“Ante la sospecha de que se tratase de incapacidades ficticias, especialmente la primera desde el Centro Penitenciario se le solicitó que concretarse de manera más específica a los hechos acaecidos” “Consideran que concurren fundamentos jurídicos específicos para tener en cuenta para evitar que la normativa de Protección de Datos pueda utilizarse en fraude de ley y ello ante el riesgo de convertir en no fiscalizables y opacas para la administración, las ausencias del servicio de los funcionarios. -Menciona la publicación de 30/07/2018, Real Decreto 956/2018 de 27/07, por el que se aprueba el acuerdo adoptado por la mesa general de negociación de la AGE de 23/08/2018, en relación con el régimen retributivo de la situación de incapacidad temporal del personal al servicio de la AGE y organismos entidades públicas en “el que los días de ausencia al trabajo por parte de los funcionarios públicos penitenciarios motivados por enfermedad o accidente que no den lugar a una situación de incapacidad temporal no comportan deducción alguna de retribuciones siempre que queden debidamente justificados”, a diferencia del régimen anterior en que se imponía la deducción de haberes como norma general. Se trata de evitar el uso fraudulento de mecanismos establecidos para su protección. La RESOLUCIÓN 28/02/2019 de la Secretaría de Estado de la Función Pública, por la que se dictan instrucciones sobre jornada y horarios de trabajo del personal al servicio de la AGE y sus organismos públicos, 11.3 y 4 indica: 11.3 “en los supuestos de ausencia parcial al puesto de trabajo como consecuencia de la existencia consulta, prueba tratamiento médicos, dicho período de tiempo se considerará como de trabajo efectivo siempre que la ausencia se limita el tiempo necesario y si justifique documentalmente su asistencia y la hora de la cita.” 11.4 “en los casos de ausencia durante la totalidad de la jornada diaria por causa de enfermedad o accidente sin que se haya expedido parte médico de baja, deberá darse aviso de estas circunstancias al superior jerárquico de manera inmediata y comportará , en su caso la reducción de retribuciones previstas en la regulación aplicable a las ausencias al trabajo por causa de enfermedad o accidente que no dé lugar a una situación de incapacidad temporal . En todo caso, una vez reincorporado el empleado o empleada a su supuesto, deberá justificar de manera inmediata una concurrencia de la causa de enfermedad. “ -Indica que aunque saben que deben evitar la inclusión de diagnóstico o tratamiento alguno en las ausencias, se debe efectuar una mayor especificación de los partes médicos presentados y que ella encuentra amparo en artículos 6
5. c)y 6
6. e)del RGPD. SÉPTIMO: Con fecha 18/01/2021 se formuló propuesta de resolución, del literal: “Que por la Directora de la Agencia Española de Protección de Datos se sancione a SECRETARÍA GENERAL DE INSTITUCIONES PENITENCIARIAS, por una infracción del artículo 5.1.
7. c)del RGPD, conforme determina el artículo 83.5
8. a)del RGPD, con una multa de apercibimiento.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/18 OCTAVO: Se reciben alegaciones de la reclamada que además de reiterar lo manifestado indica: 1 Sobre las consideraciones advertidas en la propuesta de la forma en la que estaban actuando tras el acuerdo de inicio respecto a las justificantes de ausencia de jornada manifiesta que la Secretaría General Instituciones Penitenciarias no requiere a sus trabajadores en caso como el que nos ocupa, que con carácter general en todo justificante de asistencia puntual y ocasional que presenten hagan constar el diagnóstico en el caso que nos ocupa estriba en la necesidad que siente la administración penitenciaria de poder adoptar un plus de garantías en puestos de trabajo que concierne al centro penitenciario de Arrecife Lanzarote que se trata de un establecimiento con una alta frecuencia estadística de bajas laborales que no llegan a convertirse en Incapacidad Temporal por no superar los 4 días pero que suelen coincidir con los días en que se debiera trabajar y que coinciden por delante o por detrás con otros días de libranza o vacaciones lo que genera un sobreesfuerzo en el resto de compañeros mermando la atención que se debe prestar a la población reclusa. 2) Para lograr una “resolución proporcionada” consideran de forma específica las siguientes alegaciones:
9. a)Si bien reconocen que la petición expresa del diagnóstico médico para puede suponer un acceso desde el punto de vista de la normativa en Protección de Datos considera necesario contextualizarlo en el ámbito preciso de conflicto laboral en el que se produce. La alta tasa de absentismo que se produce en el centro penitenciario facilitada por “partes médicos prácticamente opacos para la administración penitenciaria”.
10. b)No se ha producido una lesión efectiva en el derecho fundamental a la intimidad del interesado en la medida en que a pesar de habérsele solicitado los datos o más datos relativos a su situación en ningún caso lo soportó HECHOS PROBADOS 1) El reclamante, funcionario de instituciones penitenciarias no asistió a su Centro de trabajo ni prestó sus servicios los días ***FECHA.1, ***FECHA.2 y ***FECHA.3, por encontrarse enfermo. Aporta el día 16 del mismo mes en su centro, un justificante de asistencia médica a un centro médico privado en el que constan los datos del reclamante, la “fecha de indisposición del ***FECHA.1 al ***FECHA.3,” “total 3 días” firmado el ***FECHA.3, y con el sello del médico. 1) El Centro Penitenciario, por resolución de ***FECHA.4 remite un escrito al reclamante en el que le indica sobre la revisión del justificante de ausencia de servicio, que tiene un plazo para subsanar el mismo porque: “ no consta diagnóstico ni tratamiento ni ninguna formalidad” y que de acuerdo con la RESOLUCIÓN de la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/18 Secretaría de Estado de Función Pública de 28/02/2019 (11.4 a .6) y en concordancia con la Instrucción núm. 7/ 2019 de la Secretaría General de Instituciones Penitenciarias, apartado decimosexto, y que si no lo lleva a cabo “se procederá a descontar la totalidad de sus retribuciones de las jornadas no realizadas sin causa justificada”. El reclamante efectuó alegaciones a dicho escrito, indicando que no existe obligación legal que conlleve que en justificantes médicos de ausencia del trabajo por enfermedad de hasta tres días, cuando no se expide parte de baja médica se haya de aportar el diagnóstico o tratamiento médico para justificar la ausencia. 2) El Centro Penitenciario emite con fecha ***FECHA.5 una resolución que figura como documentación adjunta por el reclamante, como anexo 4, en la que además de no responder a las concretas alegaciones del reclamante, por estimar que no ha aportado la subsanación del parte médico requerido, “remite la citada resolución a la Oficina de Habilitación, con el fin de que se realice la deducción proporcional de haberes.” 3) El mismo hecho de requerir el diagnostico o tratamiento por no contener ninguna formalidad, so pena reducción de retribuciones, le sucede al reclamante por su Centro de trabajo, sobre, en este caso una consulta médica el día ***FECHA.6, volviendo a su centro de trabajo a las 12 de la mañana, cuando su hora de entrada eran las 8 horas. Acompañó el reclamante al centro esa misma mañana el justificante medico de ausencia, consistente en un parte sellado del médico privado, y firmado con fecha ***FECHA.6 en el que se indica el nombre y apellidos del reclamante, y que “ha sido atendido en esta consulta en la mañana del día de la fecha”. La resolución del Centro es de 13/05/2019 (ANEXO 6) en la documentación del reclamante, e Igualmente, tras hacer alegaciones en el mismo sentido de las de ***FECHA.5, la reclamada con fecha 18/06/2019 resuelve en el mismo sentido que con las ausencias de los días ***FECHA.1 a ***FECHA.3. 4) La Instrucción núm. 7/2019 de la Secretaría General de Instituciones Penitenciarias, Y presidente de la entidad estatal trabajo penitenciario y formación para el empleo por la que se dictan instrucciones sobre jornada y horarios de trabajo del personal funcionario y laboral destinado en los servicios periféricos de la Secretaría general de Instituciones penitenciarias, firmada el ***FECHA.3, entrada en vigor al día siguiente considerando el horario especifico en que prestan sus servicios los funcionarios penitenciarios, dada la naturaleza de sus funciones, dictamina en su apartado 16: “JUSTIFICACIÓN DE AUSENCIAS”: “Se estará lo establecido en el apartado 11 de la Resolución de 28/02/2019 de la Secretaría de Estado de Función Pública, por la que se dictan instrucciones sobre jornada y horarios de trabajo del personal al servicio de la Administración General del Estado y sus organismos públicos (BOE de 1 de marzo).” El apartado 17 establece que “cada centro penitenciario exigida a justificación oportuna de todas las ausencias”. La citada RESOLUCION, en su punto 11, y circunscrito a ausencias, señala: “11.4 En los casos de ausencia durante la totalidad de la jornada diaria por causa de enfermedad o accidente sin que se haya expedido parte médico de baja, deberá darse aviso de esta circunstancia al superior jerárquico de manera inmediata y comportará, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/18 en su caso, la reducción de retribuciones prevista en la regulación aplicable a las ausencias al trabajo por causa de enfermedad o accidente que no dé lugar a una situación de incapacidad temporal. En todo caso, una vez reincorporado el empleado o empleada a su puesto, deberá justificar de manera inmediata la concurrencia de la causa de enfermedad.” FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de control, y según lo establecido en los artículos 47 y 48 de la LOPDGDD, la Directora de la Agencia Española de Protección de Datos es competente para iniciar y para resolver este procedimiento. II El artículo 4 del RGPD define: 2)«tratamiento»: cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción;” 7) «responsable del tratamiento» o «responsable»: la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros; La circunstancia de que en un parte de ausencia figure el diagnostico o tratamiento es considerado recabar datos de salud al empleado y su obtención supone que se llevan cabo operaciones de tratamiento de datos de salud, en este caso los datos que la reclamante le pedía, de diagnóstico o tratamiento médico. Sobre datos de salud, señala el considerando 35 del RGPD: “Entre los datos personales relativos a la salud se deben incluir todos los datos relativos al estado de salud del interesado que dan información sobre su estado de salud física o mental pasado, presente o futuro. Se incluye la información sobre la persona física recogida con ocasión de su inscripción a efectos de asistencia sanitaria, o con ocasión de la prestación de tal asistencia, de conformidad con la Directiva 2011/24/UE del Parlamento Europeo y del Consejo; todo número, símbolo o dato asignado a una persona física que la identifique de manera unívoca a efectos sanitarios; la información obtenida de pruebas o exámenes de una parte del cuerpo o C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/18 de una sustancia corporal, incluida la procedente de datos genéticos y muestras biológicas, y cualquier información relativa, a título de ejemplo, a una enfermedad, una discapacidad, el riesgo de padecer enfermedades, el historial médico, el tratamiento clínico o el estado fisiológico o biomédico del interesado, independientemente de su fuente, por ejemplo un médico u otro profesional sanitario, un hospital, un dispositivo médico, o una prueba diagnóstica in vitro.” Los “datos relativos a la salud” se definen como: “los datos personales relativos a la salud física o mental de una persona física, incluida la prestación de servicios de atención sanitaria, que revelen información sobre su estado de salud”.(art 4.15 RGPD). Los datos personales relativos a la salud son considerados como datos de categoría especial en el RGPD, pues son particularmente sensibles en relación con los derechos y las libertades fundamentales ya que el contexto de su tratamiento podría entrañar importantes riesgos para los derechos y libertades fundamentales. En cuanto a los datos de salud, el régimen general del mismo se señala el artículo 9 del RGPD: “1. Quedan prohibidos el tratamiento de datos personales que revelen el origen étnico o racial, las opiniones políticas, las convicciones religiosas o filosóficas, o la afiliación sindical, y el tratamiento de datos genéticos, datos biométricos dirigidos a identificar de manera unívoca a una persona física, datos relativos a la salud o datos relativos a la vida sexual o la orientación sexual de una persona física. 2. El apartado 1 no será de aplicación cuando concurra una de las circunstancias siguientes:
11. a)el interesado dio su consentimiento explícito para el tratamiento de dichos datos personales con uno o más de los fines especificados, excepto cuando el Derecho de la Unión o de los Estados miembros establezca que la prohibición mencionada en el apartado 1 no puede ser levantada por el interesado;
12. b)el tratamiento es necesario para el cumplimiento de obligaciones y el ejercicio de derechos específicos del responsable del tratamiento o del interesado en el ámbito del Derecho laboral y de la seguridad y protección social, en la medida en que así lo autorice el Derecho de la Unión de los Estados miembros o un convenio colectivo con arreglo al Derecho de los Estados miembros que establezca garantías adecuadas del respeto de los derechos fundamentales y de los intereses del interesado;
13. c)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física, en el supuesto de que el interesado no esté capacitado, física o jurídicamente, para dar su consentimiento;
14. g)el tratamiento es necesario por razones de un interés público esencial, sobre la base del Derecho de la Unión o de los Estados miembros, que debe ser proporcional al objetivo perseguido, respetar en lo esencial el derecho a la protección de datos y C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/18 establecer medidas adecuadas y específicas para proteger los intereses y derechos fundamentales del interesado;
15. h)el tratamiento es necesario para fines de medicina preventiva o laboral, evaluación de la capacidad laboral del trabajador, diagnóstico médico, prestación de asistencia o tratamiento de tipo sanitario o social, o gestión de los sistemas y servicios de asistencia sanitaria y social, sobre la base del Derecho de la Unión o de los Estados miembros o en virtud de un contrato con un profesional sanitario y sin perjuicio de las condiciones y garantías contempladas en el apartado 3;
16. i)el tratamiento es necesario por razones de interés público en el ámbito de la salud pública, como la protección frente a amenazas transfronterizas graves para la salud, o para garantizar elevados niveles de calidad y de seguridad de la asistencia sanitaria y de los medicamentos o productos sanitarios, sobre la base del Derecho de la Unión o de los Estados miembros que establezca medidas adecuadas y específicas para proteger los derechos y libertades del interesado, en particular el secreto profesional, 3. Los datos personales a que se refiere el apartado 1 podrán tratarse a los fines citados en el apartado 2, letra h), cuando su tratamiento sea realizado por un profesional sujeto a la obligación de secreto profesional, o bajo su responsabilidad, de acuerdo con el Derecho de la Unión o de los Estados miembros o con las normas establecidas por los organismos nacionales competentes, o por cualquier otra persona sujeta también a la obligación de secreto de acuerdo con el Derecho de la Unión o de los Estados miembros o de las normas establecidas por los organismos nacionales competentes. 4. Los Estados miembros podrán mantener o introducir condiciones adicionales, inclusive limitaciones, con respecto al tratamiento de datos genéticos, datos biométricos o datos relativos a la salud.” LA LODGDD añade en su artículo 9.2: “2. Los tratamientos de datos contemplados en las letras g),
17. h)e
18. i)del artículo 9.2 del Reglamento (UE) 2016/679 fundados en el Derecho español deberán estar amparados en una norma con rango de ley, que podrá establecer requisitos adicionales relativos a su seguridad y confidencialidad. En particular, dicha norma podrá amparar el tratamiento de datos en el ámbito de la salud cuando así lo exija la gestión de los sistemas y servicios de asistencia sanitaria y social, pública y privada, o la ejecución de un contrato de seguro del que el afectado sea parte.” Disposición adicional decimoséptima. Tratamientos de datos de salud “1. Se encuentran amparados en las letras g), h),
19. i)y
20. j)del artículo 9.2 del Reglamento (UE) 2016/679 los tratamientos de datos relacionados con la salud y de datos genéticos que estén regulados en las siguientes leyes y sus disposiciones de desarrollo:
21. a)La Ley 14/1986, de 25 de abril , General de Sanidad. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/18
22. c)La Ley 41/2002, de 14 de noviembre , básica reguladora de la autonomía del paciente y de derechos y obligaciones en materia de información y documentación clínica.
23. d)La Ley 16/2003, de 28 de mayo , de cohesión y calidad del Sistema Nacional de Salud.
24. e)La Ley 44/2003, de 21 de noviembre , de ordenación de las profesiones sanitarias.
25. g)La Ley 33/2011, de 4 de octubre , General de Salud Pública.” En principio rige la prohibición de tratamiento de datos de carácter personal referentes a la salud, por lo que las excepciones deben interpretarse de manera restrictiva. El uso de los datos de salud está prohibido, salvo que se cuente con el consentimiento expreso del afectado o concurra alguna de las circunstancias del articulo 9.2
26. b)y ss. En este sentido, para el caso que nos ocupa, destinado a la finalidad de gestión de personal del Centro en el que presta servicios el reclamado, no concurre causa para que se puedan recoger los citados diagnósticos de salud de los procesos por los que es atendido para realización de justificante médico, por tiempos que no implican baja médica, ni en la consulta temporal del día. La RESOLUCIÓN de la Secretaría de Estado de Función Pública de 28/02/2019 (11.4 a .6), solo permite lo que su literal enuncia, “justificar de manera inmediata la concurrencia de la causa de enfermedad.” , y considerando el rango normativo y el marco que regula, no se deriva que tenga que pueda interpretarse que haya de ser el diagnostico o la posibilidad de que sea el diagnostico El RGPD establece unas bases legitimadoras para el tratamiento de los datos en su artículo 6.1 y especificidades en el 9, de modo que al iniciar actividades que impliquen el tratamiento de datos personales, el responsable del tratamiento debe tomar siempre tiempo para considerar cuál sería el motivo legal apropiado para el tratamiento previsto. La base legitimadora que la reclamada propugna partiendo de la RESOLUCION y la Instrucción, que se asocian con los artículos 6
27. c)y 6
28. e)del RGPD. Si bien no es necesario que concurran las dos, basta con que una fuera aplicable. El RGPD indica: 6.1 “El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones: “
29. c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/18 Existe cumplimiento de obligación legal en cuanto se trate del desarrollo de las funciones de personal por la administración, justificación de ausencias, pero no ampara el tratamiento de los datos de salud. No existe causa legal de las previstas en el artículo 9 del RGPD, ni consentimiento del afectado ni norma con rango de ley que permita, para justificar las ausencias del puesto de trabajo, sin expedición de baja médica, que se haya de aportar el diagnostico por el que se acude al médico para justificar hasta tres días, ni por una consulta médica. La ausencia se justifica con la emisión de justificante por el medico sin necesidad ni exigibilidad de que se haya de contener el diagnostico o tratamiento. Resulta además excesivo para la finalidad concreta que se pretende. “
30. e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;” En este caso, el responsable del tratamiento ejerce poderes públicos en relación con la custodia de las personas privadas de libertad, sus derechos y libertades. La normativa por la que se rigen los funcionarios en centros penitenciarios es la general de cualquier funcionario con entre otras, especificidades de su centro en cuanto a la prestación del servicio, sin que les sea exigible la justificación de la ausencia al trabajo sino conforme determina el régimen general aplicable al resto de funcionarios, no con los diagnósticos con la finalidad pretendida de, según la reclamada evitar fraudes. Por otro lado, hubo un segundo justificante medico al que no le sería aplicable la exigencia de diagnóstico sino que completara las horas a que acude o que tenía cita médica y sale de consulta, entendiendo que así se pueden limitar los eventuales abusos. III El RGPD establece que los datos de carácter personal solo se podrán recoger para su tratamiento, así como someterlos a dicho tratamiento, cuando sea con unas finalidades legítimas determinadas, explícitas y legítimas, adecuados, pertinentes y no excesivos en relación con el ámbito para el que se hayan obtenido y se vayan a tratar. No consta que los datos de diagnóstico de salud de la asistencia a consulta médica se hayan recogido o se recojan para justificar el tiempo de ausencia en el trabajo sino por la prestación de asistencia sanitaria al paciente. La finalidad de justificar las ausencias no deriva de norma alguna. Una mención a la documentación necesaria para justificar las ausencias se prevé en la ley 41/2002 de 14/11, básica reguladora de la autonomía del paciente y de derechos y obligaciones en materia de información y documentación clínica, que contempla el derecho del paciente a que se le faciliten los certificados acreditativos de su estado de salud y el facultativo la obligación de expedirla. Estos justificantes médicos también pueden aparecer en otros ámbitos como amplían su ámbito de funcionamiento cuando se precisan por ejemplo para el disfrute de permisos que permite las leyes laborales o el Estatuto básico del empleado público, como por ejemplo la hospitalización, parto etc. de la persona con la que se convive. De ello trata C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/18 la Instrucción de la CCAA de Madrid Otros ejemplos sobre permisos o licencias se contienen en la mencionada instrucción, que aunque referida a la LOPD, es aplicable por analogía dado que lo que se pretende es adecuar a las necesidades los datos mínimos y precisos para justificar la falta de asistencia. Dado que la reclamada tiene aprobadas y en funcionamiento unas instrucciones que aplica, exigiendo un tratamiento de datos, medios para la justificación de inasistencia al puesto de trabajo, y que ha sido aplicada al reclamante con consecuencias en sus derechos, y que no se considera conforme a la normativa de protección de datos, se estima que los hechos constituyen una infracción, imputable a la reclamada, por vulneración del principio establecido en el artículo 5.1.
31. c)del RGPD: “1. Los datos personales serán:
32. c)adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados («minimización de datos»)”. Para nuestra jurisprudencia constitucional, si el derecho a la intimidad actúa como barrera frente a injerencias o intromisiones de otros ( STC 142/1993, de 22/04 ), el derecho a la protección de datos «consiste en un poder de disposición y de control sobre los datos personales» ( SSTC 290 y 292/2000, de 30/11); si el derecho a la intimidad veda el conocimiento por parte de terceros de ciertos aspectos de la persona (aspectos íntimos o relativos a su vida privada y familiar), el derecho a la protección de datos proporciona garantías de disposición y control respecto de datos personales que pueden pertenecer o no al ámbito de la intimidad y que pueden ser objeto de conocimiento y manejo por parte de otros; si el derecho a la intimidad es derecho de abstención de otros respecto de nuestra esfera personal, el derecho a la protección de datos implica sobre todo autodeterminación sobre nuestros datos. En este caso que los datos médicos se generan por y para el paciente, y tienen una serie de finalidades, la más importante la asistencia sanitaria, el diagnóstico médico, sin perjuicio de justificación documental que corresponde a los facultativos. En este caso se exigen diagnósticos para justificar la ausencia de la jornada del afectado en dos ocasiones, siendo especial la segunda ocasión con motivo de visita médica. Se concluye que se tratan datos de salud del afectado cuando se condiciona la no reducción de retribuciones por el tiempo de las ausencias a que acredite dicho diagnóstico médico, perjudicando su derecho a no aportar algo que la norma no establece y que es contrario a las reglas del tratamiento de los datos de salud que se da en dos ocasiones. En este caso el reclamante declara que sufrió la reducción de retribuciones por no aportar el justificante. Por tanto, dado que el tratamiento estaba establecido en tal sentido con unas consecuencias, se debe considerar cometida la infracción. IV Se significa que los departamentos de personal pueden tratar los datos de ausencias justificadas de sus empleados, si bien con ciertos límites, entre los que concurre la no necesidad ni obligatoriedad de consignarse diagnóstico o tratamiento médico, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/18 no necesario , proporcional para dichos fines, e invasivo de la intimidad y derechos del empleado, excesivo para los fines que se pretenden. Sin duda, que pueden ser ciertos los problemas y dificultades cuando se desarrollan servicios de turnos rotatorios como el de los centros penitenciarios. Estos se tienen que cubrir con normalidad y dadas las dificultades que se causan en casos como el analizado en el que se produce la falta de asistencia del ***FECHA.1 al ***FECHA.3, y no se comunica ni el primer día ni en esos días, sino el día 16. Sin embargo, aparte de detectarse cuanto antes la situación, implantando medidas, esa disrupción en el servicio no permite la intromisión en los derechos de los empleados, pudiendo coordinar las normas vigentes con otras medidas complementarias. Para la justificación de ausencia por consulta médica puede servir la mera mención del facultativo expresando fecha y hora y alusión genérica, sin entrar en diagnósticos, recordando siempre que los datos personales que se reflejen en los justificantes deberán ser adecuados, pertinentes y no excesivos. Para facilitar el respeto y cumplimiento de dicha adecuación, se valora: 1) No se aconseja que se utilicen documentos clínicos o administrativos que pudieran estar diseñados para su uso con otras finalidades distintas de la emisión de justificantes, por el solo hecho de contener éstos, con carácter general, referencias directas o indirectas al concreto problema de salud del paciente o usuario. 2) En la emisión de justificantes para el propio trabajador enfermo no se considerará adecuada la inclusión en el justificante, entre otros posibles datos, de los relativos al diagnóstico, prueba realizada o denominación del servicio que ha atendido al paciente. A dichos efectos, el justificante emitido deberá limitarse a constatar que existe un problema de salud que es causa de la incapacidad laboral en que se encuentra el paciente o usuario. También se considera ajustado a normativa de protección de datos, que si el médico lo considera conveniente, en caso de imposibilidad de asistencia en los días sucesivos, sin expedición de baja médica, pueda indicar los días de reposo necesarios, con las consideraciones antes citadas. 3) En el parte de consulta médica solo se podría exigir a que se consignen los tiempos de la cita de la consulta, entrada y salida, lo que resulta adecuado y proporcional para justificar esa interrupción del servicio. V A la infracción del artículo 5.1c) del RGPD se refiere el artículo 83.5.
33. a)del RGPD que indica: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/18 tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
34. a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9;” El artículo 83.7 del RGPD indica: “Sin perjuicio de los poderes correctivos de las autoridades de control en virtud del artículo 58, apartado 2, cada Estado miembro podrá establecer normas sobre si se puede, y en qué medida, imponer multas administrativas a autoridades y organismos públicos establecidos en dicho Estado miembro” El ordenamiento jurídico español ha optado por no sancionar con multa a las entidades públicas, tal como se indica en el artículo 77.1.
35. c)y 2. 4. 5. y 6. de la LOPDDGG: “1. El régimen establecido en este artículo será de aplicación a los tratamientos de los que sean responsables o encargados:
36. c)La Administración General del Estado, las Administraciones de las comunidades autónomas y las entidades que integran la Administración Local. 2. Cuando los responsables o encargados enumerados en el apartado 1 cometiesen alguna de las infracciones a las que se refieren los artículos 72 a 74 de esta ley orgánica, la autoridad de protección de datos que resulte competente dictará resolución sancionando a las mismas con apercibimiento. La resolución establecerá asimismo las medidas que proceda adoptar para que cese la conducta o se corrijan los efectos de la infracción que se hubiese cometido. La resolución se notificará al responsable o encargado del tratamiento, al órgano del que dependa jerárquicamente, en su caso, y a los afectados que tuvieran la condición de interesado, en su caso. 3. Sin perjuicio de lo establecido en el apartado anterior, la autoridad de protección de datos propondrá también la iniciación de actuaciones disciplinarias cuando existan indicios suficientes para ello. En este caso, el procedimiento y las sanciones a aplicar serán las establecidas en la legislación sobre régimen disciplinario o sancionador que resulte de aplicación. Asimismo, cuando las infracciones sean imputables a autoridades y directivos, y se acredite la existencia de informes técnicos o recomendaciones para el tratamiento que no hubieran sido debidamente atendidos, en la resolución en la que se imponga la sanción se incluirá una amonestación con denominación del cargo responsable y se ordenará la publicación en el Boletín Oficial del Estado o autonómico que corresponda. 4. Se deberán comunicar a la autoridad de protección de datos las resoluciones que recaigan en relación con las medidas y actuaciones a que se refieren los apartados anteriores. 5. Se comunicarán al Defensor del Pueblo o, en su caso, a las instituciones análogas C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/18 de las comunidades autónomas las actuaciones realizadas y las resoluciones dictadas al amparo de este artículo. 6. Cuando la autoridad competente sea la Agencia Española de Protección de Datos, esta publicará en su página web con la debida separación las resoluciones referidas a las entidades del apartado 1 de este artículo, con expresa indicación de la identidad del responsable o encargado del tratamiento que hubiera cometido la infracción.” Se deriva del RGPD la distinción entre responsable del tratamiento y empleado de este, por ejemplo al referirse al Delegado de Protección de Datos, en su considerando 97:”… Tales delegados de protección de datos, sean o no empleados del responsable del tratamiento”, y las funciones de este en el artículo 39 del RGPD “
37. a)informar y asesorar al responsable o al encargado del tratamiento y a los empleados que se ocupen del tratamiento de las obligaciones que les incumben en virtud del presente Reglamento y de otras disposiciones de protección de datos de la Unión o de los Estados miembros;”. Con ello, se quiere significar, que los cargos o empleados del responsable del tratamiento, al llevar a cabo tratamientos de datos de carácter personal en el desempeño de sus funciones, se hallan bajo su poder de dirección, y que se les debe instruir y dirigir directrices sobre la materia de modo que se consiga una aplicación uniforme en su ámbito. Por lo tanto, de acuerdo con la legislación aplicable la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a SECRETARÍA GENERAL DE INSTITUCIONES PENITENCIARIAS, con NIF S2813060G, por una infracción del artículo 5.1.
38. c)del RGPD, de conformidad con el artículo 83.5
39. b)del RGPD, una sanción de apercibimiento. SEGUNDO: NOTIFICAR la presente resolución a SECRETARÍA GENERAL DE INSTITUCIONES PENITENCIARIAS. TERCERO: COMUNICAR la presente resolución al DEFENSOR DEL PUEBLO, de conformidad con lo establecido en el artículo 77.5 de la LOPDGDD. CUARTO: De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/18 recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13/07, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
40. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-131120 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es