PS-00118-2014

1/14 Procedimiento NºPS/00118/2014 RESOLUCIÓN: R/01396/2014 En el procedimiento sancionador PS/00118/2014, instruido por la Agencia Española de Protección de Datos a la entidad SOCIEDAD DE PREVENCION DE FREMAP SLU, vista la denuncia presentada por D. A.A.A. y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha 22 de marzo de 2013, tiene entrada en esta Agencia un escrito de D. A.A.A., en el que denuncia que, la Sociedad de Prevención de FREMAP, procedió al envío de un certificado de aptitud para el puesto de trabajo a la Subdelegación de Defensa de Sevilla, donde el denunciante presta sus servicios, por correo ordinario, con motivo de una solicitud de movilidad del puesto de trabajo. Asimismo manifiesta que la dirección que figuraba en el sobre era errónea, constando una persona de referencia que, al parecer no existe en la Subdelegación, en dicho Informe aparecen datos de tratamiento farmacológico correspondiente al denunciante. Dicho Informe debía haber sido remitido a la Subdirección General de Personal Civil del Ministerio de Defensa, en sobre cerrado, según establece el art. 64 de la instrucción de la Subdirección General de Personal Civil. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: 1. Con fecha 13 de septiembre de 2013, se recibe en esta Agencia escrito de SOCIEDAD DE PREVENCIÓN DE FREMAP, S.L.U, en el que ponen de manifiesto que: 1.1. El citado Informe fue remitido por correo ordinario al Ministerio de Defensa, a la Srta. Inmaculada, persona de contacto en el Ministerio, en sobre cerrado, en contestación a la petición realizada desde la Delegación de Defensa en Sevilla, figurando en la Referencia: 41/SGE-EXP-PERSONAL, y firmado por el Subdelegado de Defensa en Sevilla, (se adjunta copia del mismo). Todo ello en base a lo dispuesto en el art. 64 del III Convenio Único para el personal laboral de la Administración del Estado, según consta en el apartado primero del mencionado precepto. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/14 TERCERO: Con fecha 10 de marzo de 2014, el Director de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a SOCIEDAD DE PREVENCION DE FREMAP SLU, por presunta infracción del artículo 10 de la Ley Orgánica 15/1999, de 13/12, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como grave en el artículo 44.3.

1. d)de dicha norma, pudiendo ser sancionada con multa de 40.001 € a 300.000 €, de acuerdo con el artículo 45.2 de la citada Ley Orgánica. CUARTO: Notificado el acuerdo de inicio, la SOCIEDAD DE PREVENCION DE FREMAP SLU formuló alegaciones, significando, que: “…QUINTA.- Ausencia de infracción. En definitiva, mi representada cumplió con lo dispuesto en el artículo 10 de la Ley Orgánica de Protección de Datos, por cuanto observó el deber de secreto acerca del tratamiento de los datos de carácter personal, por los siguientes motivos: l.- Se hizo constar la información previo consentimiento y a petición del Sr. A.A.A.. 2°.- Se detectó un riesgo laboral que pone en peligro la salud del trabajador, prevaleciendo la salud del Sr. A.A.A. sobre cualquier otro derecho. Por ende, se realizó una correcta prestación de los servicios, y no se excedió con la información facilitada. 3°.- Se remitió el informe médico al Órgano competente, al personal autorizado y a la dirección a efectos de notificaciones señalada en la solicitud así como con el contenido estrictamente necesario para permitir la valoración del traslado solicitado por el Sr. A.A.A.. 4°.- Los hechos descritos no son constitutivos de la infracción administrativa recogida en el artículo 44.3.
2. d)de la Ley Orgánica de Protección de Datos de carácter personal. 5°.- Ausencia de voluntariedad y culpabilidad necesarias para sancionar. Por todo ello, resulta ajustada a Derecho la actuación de SPFREMAP y, por consiguiente, procede revocar el Acuerdo de iniciación del presente expediente sancionador y dejarlo sin efecto. SEXTA.- Subsidiariamente, proporcionalidad y graduación de la sanción. Para el hipotético supuesto de que esta Agencia considere que mi representada vulneró el artículo 10 de la mencionada Ley, esta parte entiende que deberá imponerse una sanción de APERCIBIMIENTO con la adopción, en su caso, de las medidas correctoras que esta parte propondrá más adelante y, en el caso de que entienda que debe imponerse una sanción pecuniaria, se fije ésta en una multa de 900 €.” QUINTO: Con fecha 23 de abril de 2014 se inició el período de práctica de pruebas, acordándose practicar las siguientes: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/14 1. Se dan por reproducidos a efectos probatorios la denuncia interpuesta por D. A.A.A. y su documentación, los documentos obtenidos y generados por los Servicios de Inspección ante la SOCIEDAD DE PREVENCION DE FREMAP SLU, y el Informe de actuaciones previas de Inspección que forman parte del expediente E/02601/2013. 2. Asimismo, se da por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio PS/00118/2014 presentadas por SOCIEDAD DE PREVENCION DE FREMAP SLU, y la documentación que a ellas acompaña. SEXTO: Notificado el acuerdo de inicio, el denunciante presenta escrito de personación en el procedimiento y solicita que se le tenga como parte interesada en el mismo y añade una serie de consideraciones. SÉPTIMO: Con fecha 27 de junio de 2014 se formuló propuesta de resolución, proponiendo la imposición de una sanción de 6.000 € a la entidad SOCIEDAD DE PREVENCION DE FREMAP SLU, por la comisión de una infracción del artículo 10 de la LOPD, tipificada como grave en el artículo 44.3.
3. d)de dicha Ley. OCTAVO: Notificada la propuesta de resolución, la entidad SOCIEDAD DE PREVENCION DE FREMAP SLU realizó alegaciones frente a la misma en las que comunica: “…En definitiva, mi representada cumplió con lo dispuesto en el artículo 10 de la Ley Orgánica de Protección de Datos, por cuanto observó el deber de secreto acerca del tratamiento de los datos de carácter personal, por los siguientes motivos: 1°.- Se hizo constar la información previo consentimiento y a petición del Sr. A.A.A.. 2°.- Se detectó un riesgo laboral que puso en peligro la salud del trabajador, prevaleciendo la salud del Sr. A.A.A. sobre cualquier otro derecho. Además también debe prevalecer la salud de todos los trabajadores frente al derecho a la intimidad de un solo trabajador. Por ende, se realizó una correcta prestación de los servicios, y no se excedió con la información facilitada. 3°.- Se remitió el informe médico al Órgano competente, al personal autorizado y a la dirección a efectos de notificaciones señalada en la solicitud así como con el contenido estrictamente necesario para permitir la valoración del traslado solicitado por el Sr. A.A.A.. 4°.- Los hechos descritos no son constitutivos de la infracción administrativa recogida en el artículo 44.3.
4. d)de la Ley Orgánica de Protección de Datos de carácter personal. 5°.- Ausencia de voluntariedad y culpabilidad necesarias para sancionar. (…) Expuestas las anteriores circunstancias, es obvio que se dan todas y cada una de las circunstancias enumeradas y no varias de ellas como se manifiesta en la Propuesta de Resolución, lo que, sin duda, ha de tenerse en cuenta para graduar la sanción que en su caso se imponga. (…) Por otro lado la Propuesta de Resolución propone la imposición de una sanción de 6.000,00 € sin motivar, siquiera mínimamente, qué argumentos justifican que ésta se C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/14 imponga por encima de la cuantía mínima establecida para las sanciones leves. Todo ello supone una actitud arbitraria e injustificada de la Administración, expresamente prohibida por nuestro ordenamiento jurídico. Esta actitud quebranta, además, el objetivo de la sanción administrativa que no es otro que evitar la repetición en la comisión de infracciones. De tal modo que dicho fin perseguido se conseguiría igualmente con la imposición de una sanción de 900,00 €…” HECHOS PROBADOS PRIMERO: El denunciante, como personal laboral fijo del Ministerio de Defensa destinado en la Subdelegación de Defensa en Sevilla, con fecha 14 de enero de 2013, presentó solicitud de movilidad en puesto de trabajo según lo previsto en el artículo 64 del III Convenio Único para el Personal Laboral de la Administración General de Estado, dirigido a la Subdirección General de Personal Civil, de la Dirección General de Personal del Ministerio de Defensa. Adjuntó a la solicitud, en sobre cerrado, informe médico de especialista del Servicio Andaluz de Salud. (folios 1 a 8) SEGUNDO: Con fecha 31 de enero el denunciante recibió un oficio de la Subdirección de Personal Civil, Dirección de Personal de la Subsecretaría de Defensa del Ministerio de Defensa, en Madrid, solicitando que, con relación a su solicitud de movilidad, “deberá remitir informe actualizado del Servicio de Prevención Ajeno de aptitud para el trabajo, así como un informe del trabajador en el que se indique su situación actual, que será valorado por el Servicio de Prevención de esta Unidad, previo a su estudio por la Subcomisión Delegada de Defensa”. (folios 1 a 8) TERCERO: La Subdelegación de Defensa en Sevilla solicitó cita, para la realización del reconocimiento médico al denunciante, a la Sociedad de Prevención de FREMAP SLU que tuvo lugar el día 15 de febrero de 2013 y cuyos resultados le fueron remitidos al denunciante a través de internet con clave que recibió el día 27 del mismo mes, según él mismo manifiesta. El denunciante manifiesta que el día 1 de marzo envió, en sobre cerrado, el informe médico de la revisión a la Subdirección de Personal Civil en Madrid. (folio 33) CUARTO: Con fecha 14 de marzo de 2013, en el Registro General de la Subdelegación de Defensa de Sevilla, se registra un documento de aptitud para el puesto de trabajo, dirigido a la Subdelegación de Defensa de Sevilla, y a nombre del denunciante, en el que se expone que el día 15 de febrero de 2013 se ha sometido a un reconocimiento médico para valorar su capacidad laboral para el puesto de trabajo, en el que se le considera apto en relación con su puesto de trabajo en el momento actual. En el apartado observaciones de este informe de aptitud se expone: “trabajador que padece trastorno de adaptación que atribuye a su entorno laboral con medicación C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/14 (psicofármacos) prescrita por su médico de familia. No hay causa médica que impida el traslado de puesto de trabajo”. (folio 6) FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
5. g)en relación con el artículo 36 de la LOPD. II El artículo 3.
6. a)de la LOPD define los datos de carácter personal como ”Cualquier información concerniente a personas físicas identificadas o identificables”. Por su parte el artículo 3.
7. d)de la LOPD define al responsable del fichero o tratamiento como la “persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento.” A su vez, el artículo 3.
8. c)de la LOPD define el tratamiento de datos personales en los siguientes términos: “Operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias.” En el presente caso, se imputa la difusión de los datos personales del denunciante por la entidad imputada. La Sociedad denunciada remitió, al centro donde el denunciante prestaba servicios como empleado, la Subdelegación de Defensa de Sevilla, el certificado de aptitud para su puesto de trabajo en el que se incluían datos relativos a su salud, sin que mediara su consentimiento. III El artículo 10 de la LOPD que se considera infringido dispone "El responsable del fichero y quienes intervengan en cualquier fase de tratamiento de los datosde carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aún después de finalizar sus relaciones con el titular del fichero, o, en su caso, con el responsable del mismo". El artículo 10 de la LOPD contiene una regla que afecta a la confidencialidad C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/14 como parte de la seguridad de los datos de carácter personal, tratando de salvaguardar el derecho de las personas a mantener la privacidad de tales datos y, en definitiva, el poder de control o disposición sobre los mismos. El deber de secreto trata de salvaguardar o tutelar el derecho de las personas a mantener la privacidad de sus datosde carácter personal y en definitiva el poder de control o disposición sobre sus datos. Este deber de secreto está lógicamente relacionado con el secreto profesional. Según el ATC de 11 de diciembre de 1989 "el secreto profesional se entiende como la sustracción al conocimiento ajeno, justificada por razón de una actividad, de datoso informaciones obtenidas que conciernen a la vida privada de las personas". El deber de secreto en el tratamiento de datos personales, tiene la misma fundamentación jurídica, pero se refiere al ámbito estricto del tratamiento de los datos personales, para que el responsable del fichero y, cualquier persona que intervenga en el tratamiento, esté obligado al mantener la confidencialidad de los datos personales”. En este sentido el deber de sigilo como hemos señalado en las SSAN, Sec. 1ª, de 14 de septiembre de 2002 (Rec.196/00), 13 de abril de 2005 (Rec. 230/2003), 18 de julio de 2007 (Rec. 377/2005 ) "es una exigencia elemental y anterior al propio reconocimiento del derecho fundamental a la libertad informática a que se refiere la STC 292/2000 (...) Este deber de sigilo resulta esencial en las sociedades actuales cada vez más complejas, en las que los avances de la técnica sitúan a la persona en zonas de riesgo para la protección de los derechos fundamentales, como la intimidad o el derecho a la protección de datos que recoge el artículo 18.4 de la CE (...)". El citado artículo 10regula de forma individualizada el deber de secreto de quienes tratan datos personales, dentro del título dedicado a los principios de protección de datos, lo que refleja la gran importancia que el legislador atribuye al mismo. Este deber de secreto pretende que los datos personales no puedan conocerse por terceros, salvo de acuerdo con lo dispuesto en otros preceptos de la LOPD, como por ejemplo el artículo 11, comunicación de datos. El deber de confidencialidad obliga no sólo al responsable del fichero sino a todo aquel que intervenga en cualquier fase del tratamiento. El deber de secreto profesional que incumbe a los responsables de los ficheros, recogido en el artículo 10 de la LOPD, comporta que el responsable o quienes intervengan en cualquier fase del tratamiento de los datos almacenados no pueda revelar ni dar a conocer su contenido teniendo el “deber de guardarlos, obligaciones que subsistirán aún después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”. Este deber es una exigencia elemental y anterior al propio reconocimiento del derecho fundamental a la libertad informática a que se refiere la Sentencia del Tribunal Constitucional 292/2000, de 30 de noviembre, y por lo que ahora interesa, comporta que los datos tratados automatizadamente o no, no pueden ser conocidos por ninguna persona o entidad ajena fuera de los casos autorizados por la Ley, pues en eso consiste precisamente el secreto. En este caso concreto, la entidad Sociedad de Prevención de FREMAP SLU, comunicó al centro de trabajo del denunciante, datos relativos a su salud sin su consentimiento. Cabe señalar a este respecto que el artículo 32 de la Ley 31/1995, de 8 de noviembre, de Prevención de Riesgos Laborales, atribuye a las Mutuas de Accidentes de Trabajo y Enfermedades Profesionales los servicios de prevención, estableciendo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/14 que “Las Mutuas de Accidentes de Trabajo y Enfermedades Profesionales de la Seguridad Social podrán desarrollar para las empresas a ellas asociadas las funciones correspondientes a los servicios de prevención, con sujeción a lo dispuesto en el apartado 5 del artículo 31”. El artículo 31.2 de la misma Ley define como “servicio de prevención”: “el conjunto de medios humanos y materiales necesarios para realizar las actividades preventivas a fin de garantizar la adecuada protección de la seguridad y la salud de los trabajadores, asesorando y asistiendo para ello al empresario, a los trabajadores y a sus representantes y a los órganos de representación especializados”. El tratamiento y la comunicación de los datos de salud de los trabajadores tienen un régimen jurídico especial de protección. Así, el artículo 7. 3 de la LOPD, relativo a los datos especialmente protegidos, indica que: “Los datos de carácter personal que hagan referencia al origen racial, a la salud y a la vida sexual sólo podrán ser recabados, tratados y cedidos cuando, por razones de interés general, así lo disponga una Ley o el afectado consienta expresamente”. A este respecto, la LPRL establece en su artículo 22, relativo a la obligación por parte del empresario de garantizar la vigilancia de la salud a los trabajadores, lo siguiente: “1. El empresario garantizará a los trabajadores a su servicio la vigilancia periódica de su estado de salud en función de los riesgos inherentes al trabajo. Esta vigilancia sólo podrá llevarse a cabo cuando el trabajador preste su consentimiento. De este carácter voluntario sólo se exceptuarán, previo informe de los representantes de los trabajadores, los supuestos en los que la realización de los reconocimientos sea imprescindible para evaluar los efectos de las condiciones de trabajo sobre la salud de los trabajadores o para verificar si el estado de salud del trabajador puede constituir un peligro para el mismo, para los demás trabajadores o para otras personas relacionadas con la empresa o cuando así esté establecido en una disposición legal en relación con la protección de riesgos específicos y actividades de especial peligrosidad. En todo caso se deberá optar por la realización de aquellos reconocimientos o pruebas que causen las menores molestias al trabajador y que sean proporcionales al riesgo. 2. Las medidas de vigilancia y control de la salud de los trabajadores se llevarán a cabo respetando siempre el derecho a la intimidad y a la dignidad de la persona del trabajador y la confidencialidad de toda la información relacionada con su estado de salud. 3. Los resultados de la vigilancia a que se refiere el apartado anterior serán comunicados a los trabajadores afectados. 4. Los datos relativos a la vigilancia de la salud de los trabajadores no podrán ser usados con fines discriminatorios ni en perjuicio del trabajador. El acceso a la información médica de carácter personal se limitará al personal C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/14 médico y a las autoridades sanitarias que lleven a cabo la vigilancia de la salud de los trabajadores, sin que pueda facilitarse al empresario o a otras personas sin consentimiento expreso del trabajador. No obstante lo anterior, el empresario y las personas u órganos con responsabilidades en materia de prevención serán informados de las conclusiones que se deriven de los reconocimientos efectuados en relación con la aptitud del trabajadorpara el desempeño del puesto de trabajo o con la necesidad de introducir o mejorar las medidas de protección y prevención, a fin de que puedan desarrollar correctamente sus funciones en materia preventiva. 5. En los supuestos en que la naturaleza de los riesgos inherentes al trabajo lo haga necesario, el derecho de los trabajadores a la vigilancia periódica de su estado de salud deberá ser prolongado más allá de la finalización de la relación laboral, en los términos que reglamentariamente se determinen. 6. Las medidas de vigilancia y control de la salud de los trabajadores se llevarán a cabo por personal sanitario con competencia técnica, formación y capacidad acreditada” (el subrayado es de la Agencia Española de Protección de Datos). En este régimen legal específico del tratamiento de la salud en el ámbito laboral se establece, expresamente, el carácter voluntario de las actividades de control periódico de la salud de los trabajadores (con la única excepción contemplada en el artículo 22.1 párrafo segundo de la LPRL), estableciendo también de forma expresa, la obligación de respeto a la intimidad de los trabajadores y de la confidencialidad de los datos. En el presente caso la revisión médica a la que fue sometido el denunciante en fecha 15 de febrero de 2013 fue consecuencia de su solicitud de movilidad en puesto de trabajo según lo previsto en el artículo 64 del III Convenio Único para el Personal Laboral de la AGE. A estos efectos, la Dirección de Personal de la Subsecretaría de Defensa solicitó, al interesado, la aportación de un “informe actualizado del Servicio de Prevención Ajeno de aptitud para el trabajo, así como un informe del trabajador en el que se indique su situación actual, que será valorado por el Servicio de Prevención de esta Unidad, previo a su estudio por la Subcomisión Delegada de Defensa. El citado informe médico deberá remitirse a esta Subdirección General de Personal Civil en sobre cerrado”. A estos efectos la subdelegación de Defensa en Sevilla solicitó a FREMAP la realización de un reconocimiento médico de acuerdo con la solicitud de movilidad presentada por el denunciante en aplicación del art. 64 del III Convenio Único para el personal laboral de la AGE. Una vez realizado el reconocimiento médico solicitado a FREMAP, esta entidad envió el informe médico correspondiente al interesado quien, a su vez, manifiesta que lo envió a la Subdirección General de Personal Civil en Madrid. Además FREMAP envió al centro de trabajo del interesado en Sevilla, el informe de aptitud para el puesto de trabajo tras el reconocimiento médico. En este informe tras exponer lo correspondiente a la identificación del reconocimiento médico al que se le sometió, los protocolos aplicados, la aptitud para su puesto de trabajo, que se le entrega al trabajador el informe y que su historial médico queda en poder de FREMAP, se añade un último punto de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/14 observaciones en las que se pone en conocimiento de su centro de trabajo lo siguiente: “trabajador que padece trastorno de adaptación que atribuye a su entorno laboral con medicación (psicofármacos) prescrita por su médico de familia. No hay causa médica que impida el traslado de puesto de trabajo”. El artículo 2 de la LPRL citada, con el título de “Objeto y carácter de la norma”, en su punto uno expone: “La presente Ley tiene por objeto promover la seguridad y la salud de los trabajadores mediante la aplicación de medidas y el desarrollo de las actividades necesarias para la prevención de riesgos derivados del trabajo. A tales efectos, esta Ley establece los principios generales relativos a la prevención de los riesgos profesionales para la protección de la seguridad y de la salud, la eliminación o disminución de los riesgos derivados del trabajo, la información, la consulta, la participación equilibrada y la formación de los trabajadores en materia preventiva, en los términos señalados en la presente disposición. Para el cumplimiento de dichos fines, la presente Ley regula las actuaciones a desarrollar por las Administraciones públicas, así como por los empresarios, los trabajadores y sus respectivas organizaciones representativas.” En el presente caso son de plena aplicación las previsiones de la LPRL. Por otra parte, el artículo 64 del citado Convenio Único faculta al trabajador o a la Administración a solicitar la movilidad por disminución de la capacidad del trabajador, previo informe del servicio médico designado por la Administración. En esta ocasión, la solicitud de movilidad la realizó el propio trabajador, a quien la Administración solicitó el informe médico previsto en dicho artículo 64. La solicitud que recibió FREMAP solicitando la realización del reconocimiento médico expone cual es el motivo de la misma: la solicitud de movilidad presentada por el interesado. A tal fin la entidad de prevención emite los dos documentos previstos en la LPRL: el informe médico para el interesado y el certificado de aptitud para el centro de trabajo en el que como prevé el citado artículo 22 de la LPRL en su punto 4, “Los datos relativos a la vigilancia de la salud de los trabajadores no podrán ser usados con fines discriminatorios ni en perjuicio del trabajador. El acceso a la información médica de carácter personal se limitará al personal médico y a las autoridades sanitarias que lleven a cabo la vigilancia de la salud de los trabajadores, sin que pueda facilitarse al empresario o a otras personas sin consentimiento expreso del trabajador. No obstante lo anterior, el empresario y las personas u órganos con responsabilidades en materia de prevención serán informados de las conclusiones que se deriven de los reconocimientos efectuados en relación con la aptitud del trabajador para el desempeño del puesto de trabajo o con la necesidad de introducir o mejorar las medidas de protección y prevención, a fin de que puedan desarrollar correctamente sus funciones en materia preventiva”. (El subrayado es de la AEPD) C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/14 En esta ocasión no cabe duda de que el contenido de lo informado en el apartado observaciones del informe de aptitud emitido por la entidad denunciada, son datos relativos a la salud del denunciante y que según el citado artículo 7.3 de la LOPD, sólo podrán ser recabados, tratados y cedidos cuando, por razones de interés general, así lo disponga una Ley o el afectado consienta expresamente. La LPRL también expone cómo debe ser el tratamiento de los datos de salud de los trabajadores, como ya hemos visto en su artículo 22.4 En definitiva se expone que los datos médicos se comunicarán a los trabajadores afectados mientras que al empresario y a los responsables de prevención se les informará de las conclusiones de los reconocimientos en relación con la aptitud del trabajador para el desempeño de su puesto de trabajo. Con relación a la concreta normativa que permitía al afectado la solicitud de traslado de puesto de trabajo y los informes que en ella se establecen, hay que señalar que, en el citado artículo 64 del III Convenio Unico para el personal laboral de la AGE, dispone que “Cuando el motivo de la movilidad esté fundamentado en la salud del trabajador será necesario el informe del servicio de prevención de riesgos laborales o unidad que asuma las funciones de prevención, sobre el tipo de tareas que el trabajador no puede realizar como consecuencia de su estado de salud”. En el presente caso fue el denunciante quien solicitó la movilidad por motivos de salud y por ello el órgano competente para resolver le pidió, al ahora denunciante, el informe del servicio de prevención de riesgos laborales sobre el tipo de tareas que el trabajador no puede realizar como consecuencia de su estado de salud. Ese es el contenido previsto en el informe que se califica de “necesario” para la resolución de las solicitudes de movilidad, en el que no se contempla que el informe incluya datos de salud del trabajador para resolver dicha solicitud. La entidad denunciada ha alegado también que el denunciante otorgó su consentimiento informado al reconocimiento y que “dicho consentimiento contiene la autorización expresa e inequívoca para que FREMAP pueda ceder sus datos personales a cualesquiera terceros colaboradores al único efecto de permitir la correcta prestación de los servicios, incluidos los Organismos y/o Autoridades públicas competentes”. Frente a esta alegación cabe definir el consentimiento previsto en la LOPD para el tratamiento de datos personales, y el consentimiento informado previsto en la Ley 41/2002, de 14 de noviembre, básica reguladora de la autonomía del paciente y de derechos y obligaciones en materia de información y documentación clínica. El artículo 8 de esta Ley define el consentimiento informado como: “1. Toda actuación en el ámbito de la salud de un paciente necesita el consentimiento libre y voluntario del afectado, una vez que, recibida la información prevista en el artículo 4, haya valorado las opciones propias del caso…” La LOPD define el consentimiento del interesado en su artículo 3.
9. h)como toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen. A su vez el artículo 7.3 para el tratamiento de los datos de salud, entre otros, exige que el consentimiento del afectado sea expreso. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/14 En definitiva, el consentimiento informado actúa en el ámbito de la salud del paciente, no en el del tratamiento de sus datos personales. Se alega a la propuesta de resolución que el consentimiento expreso no tiene que ser escrito y que en la propuesta se confunden ambos. En la propuesta de resolución se ha diferenciado entre el consentimiento informado previsto en la Ley de autonomía del paciente y el consentimiento para el tratamiento de datos personales de la LOPD. Respecto del consentimiento expreso previsto en la LOPD, el artículo 7.3 de la Ley señala, para el tratamiento de los datos de salud, la exigencia de consentimiento expreso del afectado, pero no la relativa a que deba constar por escrito. Cabe, en consecuencia, admitir la posibilidad de que la manifestación del consentimiento expreso no conste por escrito. Sin embargo, esta posibilidad debe ponerse en relación con los elementos que integran la definición de consentimiento recogida en el artículo 3.
10. h)de la LOPD. De la citada definición resulta particularmente relevante el extremo de que la manifestación de voluntad haya de ser informada, pues sin ello difícilmente concurrirán los otros, en especial que sea inequívoca y específica. La letra
11. a)del artículo 5.1 de la LOPD menciona específicamente que debe informarse de las finalidades de la recogida de los datos, las cuales, según el artículo 4.1 de la misma norma deben ser “determinadas, explícitas y legítimas”. En consecuencia, la posibilidad de admitir un consentimiento expreso que no conste por escrito para el tratamiento de los datos de salud, se encuentra condicionada a que pueda acreditarse que es una manifestación de voluntad libre, inequívoca y específica, que se presta una vez que se ha tenido conocimiento de una concreta información entre la que, necesariamente, ha de constar la finalidad determinada, explícita y legítima del tratamiento que se va a realizar sobre los datos personales del afectado. La concurrencia de los extremos expuestos no se ha constatado en este caso concreto porque tan solo se ha manifestado que se dispone del consentimiento para el tratamiento de datos personales que se realizó sin que se haya acreditado que se dispone del mismo. Se expone a la vez, también en las alegaciones a la propuesta de resolución, que el consentimiento del trabajador no era necesario en este caso porque se aplica la excepción prevista en el artículo 7.3 según la cual sus datos podían ser cedidos al concurrir razones de interés general, primando el derecho de la colectividad frente al del trabajador en cuestión, según manifiesta la entidad denunciada. El artículo citado expresa que los datos de carácter personal que hagan referencia al origen racial, a la salud y a la vida sexual sólo podrán ser recabados, tratados y cedidos cuando, por razones de interés general, así lo disponga una ley o el afectado consienta expresamente. Lo que se expone en este artículo es que no es necesario el consentimiento del afectado cuando lo habilite una ley y ello por razones de interés general. La entidad denunciada alega que primaba el interés general frente al del afectado. Para eximir del consentimiento del afectado es preciso que una ley, por razones de interés general, así lo disponga y en este caso no concurre esta circunstancia por lo que no puede estimarse lo alegado. En este procedimiento ha quedado acreditado que la entidad imputada ha C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/14 revelado datos personales del denunciante al enviar a su centro de trabajo un certificado de aptitud para su puesto de trabajo con datos relativos a su salud. Se considera por tanto que se ha vulnerado el principio del deber de secreto, consagrado en el artículo 10 de la LOPD, que obliga al responsable del fichero y a quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal. Se solicita, en el escrito de alegaciones al acuerdo de inicio, la posibilidad de la aplicación de lo establecido en el nuevo régimen sancionador de la LOPD dado que, a su parecer, se cumplen los presupuestos del artículo 45.6 de la ley para apercibir en lugar de acordar la apertura de un procedimiento sancionador. Del análisis de la concurrencia de los criterios establecidos en dicho precepto, se concluye que, atendida la naturaleza de los hechos constatados, debe valorarse que en un caso como el presente de una entidad con una actividad relacionada con el tratamiento de datos personales y teniendo en cuenta el tipo de datos que se tratan, datos especialmente protegidos que hacen referencia a la salud, esta Agencia entiende que no procede la aplicación de la previsión contenida en el apartado 6 del artículo 45 LOPD, que permite no acordar la apertura de un procedimiento sancionador, y en su lugar, apercibir al sujeto responsable. Por lo que cabe desestimar lo alegado. Ha quedado acreditado en el presente procedimiento que la entidad SOCIEDAD DE PREVENCION DE FREMAP SLU comunicó al centro de trabajo del denunciante, datos especialmente protegidos relativos a su salud sin que el afectado consintiera expresamente. Sin embargo, en el presente caso, no puede dejar de valorarse que la Subdelegación de Defensa en Sevilla solicitó a la entidad denunciada, el 7 de febrero de 2013, la realización del reconocimiento médico al denunciante invocando el artículo 64 del III Convenio Único para personal laboral de la Administración del Estado y también debe tenerse en cuenta que el motivo de la comunicación efectuada a su centro de trabajo fue el riesgo laboral detectado que ponía en peligro la salud del trabajador, según ha manifestado la entidad denunciada. Tal conducta por otra parte, como argumenta la entidad denunciada encontraría amparo en el contrato de servicios suscrito con el Ministerio de Defensa. Por todo ello cabe razonablemente pensar que la entidad denunciada tuvo la conciencia de estar actuando con arreglo a la normativa aplicable en materia de protección de datos puesto que la administración que solicitó el reconocimiento médico le ofreció las máximas garantías de acomodación a la ley y pudieron inducir a error a la entidad imputada. En este caso se considera que la entidad SOCIEDAD DE PREVENCION DE FREMAP SLU habría actuado de acuerdo con el principio de confianza legítima de forma que faltaría el requisito de la culpabilidad que debe estar presente en el ejercicio de la potestad sancionadora. Según la doctrina del Tribunal de Justicia de las Comunidades Europeas y la jurisprudencia del Tribunal Supremo, el principio de confianza legítima comporta que la autoridad pública no pueda adoptar medidas que resulten contrarias a la esperanza inducida por la razonable estabilidad en las decisiones de aquella, y en función de las C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/14 cuales los particulares han adoptado determinadas decisiones; y resulta especialmente aplicable cuando se basa en signos externos producidos por la Administración suficientemente concluyentes, unido a unos perjuicios que razonablemente se cree que no se iban a producir. El principio de confianza legítima, de construcción jurisprudencial, relacionado por el Tribunal Supremo con los principios de seguridad jurídica y buena fe en las relaciones entre la Administración y los particulares, ha sido recogido como principio al que está sometido el actuar de la Administración en el art. 3 de la Ley de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, Ley 30/1992. Conforme a lo establecido por nuestro Tribunal Supremo, el principio de protección de la confianza legítima ha de ser aplicado "no tan sólo cuando se produzca cualquier tipo de convicción psicológica en el particular beneficiado, sino más bien cuando se basa en signos externos producidos por la Administración lo suficientemente concluyentes para que le induzcan razonablemente a confiar en la legalidad de la actuación administrativa, unido a que, dada la ponderación de los intereses en juego interés individual e interés general, la revocación o la dejación sin efectos del acto hace crecer en el patrimonio del beneficiado que confió razonablemente en dicha situación administrativa unos perjuicios que no tiene por qué soportar, derivados de unos gastos o inversiones que sólo pueden serle restituidos con graves perjuicios para su patrimonio, al no ser todos ellos de simple naturaleza económica". La actuación de la entidad denunciada vulnera lo dispuesto en el artículo 10 de la LOPD. No obstante lo anterior, habida cuenta que el elemento subjetivo del dolo o la culpa ha sido enervado por aplicación del principio de confianza legítima en la actuación de la administración analizada en la presente resolución, procede el archivo de las actuaciones por falta del elemento de la culpabilidad, presupuesto necesario para el ejercicio de la potestad sancionadora, ex art. 130 de la Ley 30/1992, de 26 de noviembre, y de acuerdo con lo recogido en la Sentencia del TS de fecha 9 de marzo de 2005 (Rec 3895/2002) en relación con dicho principio: “este principio, que se garantiza en el artículo 25 de la Constitución como principio estructural básico del Derecho Penal y del Derecho Administrativo Sancionador, según refiere el Tribunal Constitucional en la sentencia 150/1991, de 4 de julio, que limita el ejercicio del ius puniendi del Estado, exige que la imposición de la sanción se sustente en la exigencia del elemento subjetivo de culpa para garantizar el principio de responsabilidad y el derecho a un procedimiento sancionador con todas las garantías ( STC 129/2003, de 20 de junio)” Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: EXONERAR de responsabilidad a la entidad SOCIEDAD DE PREVENCION DE FREMAP SLU por los hechos imputados en el presente procedimiento sancionador, por la infracción del artículo 10 de la LOPD, tipificada como grave en el artículo 44.3.
12. d)de dicha norma. SEGUNDO: NOTIFICAR la presente resolución a la SOCIEDAD DE PREVENCION DE C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/14 FREMAP SLU y a D. A.A.A.. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00-0000-0000-00-0000000000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco Bilbao Vizcaya Argentaria, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es