1/6 Procedimiento nº.: E/04273/2017 ASUNTO: Recurso de Reposición Nº RR/00010/2018 Examinado el recurso de reposición interpuesto por Doña A.A.A., contra la resolución dictada por la Directora de la Agencia Española de Protección de Datos en el expediente de actuaciones previas de inspección E/04273/2017, y en base a los siguientes HECHOS PRIMERO: Con fecha 25 de octubre de 2017, se dictó resolución por la Directora de la Agencia Española de Protección de Datos en el expediente de actuaciones previas de inspección E/04273/2017, procediéndose al archivo de actuaciones. Dicha resolución, que fue notificada a la recurrente en fecha 25 de noviembre de 2017, según aviso de recibo que figura en el expediente. SEGUNDO: Doña A.A.A. ha presentado, en fecha 19 de diciembre de 2017, con registro de entrada en esta Agencia, en fecha 3 de enero de 2018, recurso de reposición, fundamentándolo básicamente en los mismos hechos ya denunciados: que la entidad TEBEX almacena datos de salud desproporcionales puesto que tiene datos de sus períodos de incapacidad temporal de los últimos 7 años que trabajó; que acceden a dichos datos terceros de la entidad Caprabo, donde trabajó. Añade que no puede informar a los trabajadores Caprabo a través de los Comités de Empresa y que hay trabajadoras de Caprabo que tienen acceso a información de sus bajas más allá de los datos que manifiestan tener. FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo LPACAP). II La Resolución ahora recurrida se fundamentó en lo siguiente: << El tratamiento de datos sin consentimiento de los afectados constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia de 30 de noviembre de 2000, consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporciona a un tercero, sea el Estado o un C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/6 particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...) (F.J. 7 primer párrafo). Son pues elementos característicos del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. El artículo 7 de la LOPD establece el régimen específicamente protector diseñado por el legislador para aquellos datos personales que proporcionan una información de esferas más íntimas del individuo, a los que etiqueta bajo la denominación común de “Datos especialmente protegidos”. Para las diversas categorías de éstos el precepto citado establece específicas medidas para su protección. En el supuesto específico de los datos de salud, el legislador español siguiendo al europeo (artículo 6 del Convenio 108/81 Consejo de Europa, para la protección de las personas con respecto al tratamiento de datos de carácter personal) y al de la Comunidad Europea (artículo 8 Directiva 95/46 CEE de 24 de octubre de 1995) los considera como especialmente protegidos, o sensibles, en la denominación europea o comunitaria y prevé que sólo puedan ser recabados, tratados y cedidos, cuando por razones de interés general así lo disponga una Ley o el afectado consienta expresamente (artículo 7.3 LOPD). Ello quiere decir que sólo en estos supuestos específicos dichos datos podrán ser tratados. No obstante lo anterior, el artículo 8 la Ley Orgánica 15/99 establece que las instituciones y centros sanitarios, y los profesionales correspondientes podrán tratar sin consentimiento datos relativos a la salud de las personas que a los mismos acudan o hayan de ser tratados en ellos, de acuerdo con "la legislación estatal o autonómica”. El artículo 7.2 de la LOPD exige para el tratamiento de datos especialmente protegidos que revelen la ideología, afiliación sindical, religión y creencias el consentimiento expreso y escrito del afectado. El artículo 7.3 reitera, para el tratamiento de los datos de salud la exigencia de consentimiento expreso del afectado, pero no la relativa a que deba constar por escrito. Cabe, en consecuencia, admitir la posibilidad de que la manifestación del consentimiento expreso no conste por escrito. Sin embargo, esta posibilidad debe ponerse en relación con los elementos que integran la definición de consentimiento recogida en el artículo 3.
- h)de la LOPD; a saber, que sea una manifestación de voluntad libre, inequívoca, específica e informada. De ellos resulta particularmente relevante este último extremo – que sea informada – pues sin él difícilmente concurrirán otros como que sea inequívoca y específica. La LOPD concreta el elemento informativo para la prestación del consentimiento en la regla general del artículo 5.1 conforme al cual “Los interesados a los que se soliciten datos personales deberán ser previamente informados de modo expreso, preciso e inequívoco:
- a)De la existencia de un fichero o tratamiento de datos de carácter personal, de la finalidad de la recogida de éstos y de los destinatarios de la información.
- b)Del carácter obligatorio o facultativo de su respuesta a las preguntas que les sean planteadas. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/6
- c)De las consecuencias de la obtención de los datos o de la negativa a suministrarlos.
- d)De la posibilidad de ejercitar los derechos de acceso, rectificación, cancelación y oposición.
- e)De la identidad y dirección del responsable del tratamiento o, en su caso, de su representante”. La letra
- a)del artículo transcrito menciona específicamente que debe informarse de la finalidad de la recogida de los datos, la cual, según el artículo 4.1 de la misma norma debe ser “determinada, explícita y legítima”. La LOPD incorpora a su artículo 7, apartado 6 una excepción al disponer “No obstante lo dispuesto en los apartados anteriores podrán ser objeto de tratamiento los datos de carácter personal a que se refieren los apartados 2 y 3 de este artículo, cuando dicho tratamiento resulte necesario para la prevención o para el diagnóstico médicos, la prestación de asistencia sanitaria o tratamiento médicos o la gestión de servicios sanitarios, siempre que dicho tratamiento de datos se realice por un profesional sanitario sujeto al secreto profesional o por otra persona sujeta asimismo a una obligación equivalente de secreto. También podrán ser objeto de tratamiento los datos a que se refiere el párrafo anterior cuando el tratamiento sea necesario para salvaguardar el interés vital del afectado o de otra persona, en el supuesto de que el afectado esté física o jurídicamente incapacitado para dar su consentimiento.” El precepto transcrito viene pues a posibilitar que todos los datos que se consideran en los apartados 2 y 3 anteriores del mismo artículo como especialmente protegidos, entre los que se encuentran los relativos a la salud, puedan ser tratados sin las exigencias especiales de protección que al respecto se señala. En el caso concreto de los datos de salud sin la exigencia del consentimiento expreso del afectado o sin que una Ley así lo disponga por razones de interés general (art. 7.3). Pero el régimen excepcional del art. 7.6 requiere la concurrencia de dos requisitos:
- a)que el tratamiento de dichos datos “resulte necesario para la prevención o para el diagnóstico médicos, la prestación de asistencia sanitaria o tratamientos médicos o la gestión de servicios sanitarios”; así como en el supuesto de que el tratamiento sea necesario para salvaguardar el interés vital del afectado o de otra persona cuando el afectado esté incapacitado, según precisa el segundo párrafo del propio art. 7.6 y
- b)que el tratamiento de datos se realice por un profesional o por otra persona obligada a equivalente secreto. A este respecto, la Sentencia de la Sección 1, Sala de lo ContenciosoAdministrativo, número de Recurso 1271/2000, de fecha 12 de abril de 2002, señala que “La prestación del servicio médico realizado por los facultativos de SADES, S.L. (empresa que realiza un trabajo muy similar a TEBEX) no tiene por objeto la mejora, ni la prevención de la salud de las personas a quienes examina y cuyos datos incorpora al fichero, es decir, no realiza una prestación necesaria para la salud, ni tampoco para el tratamiento médico a que pudieran estar sometidos, ni para la investigación científica o el desarrollo de la medicina, sino que la prestación únicamente está al servicio del arrendador que, a través de ese mecanismo, pretende evitar el absentismo en el trabajo. Por tanto, no puede hablarse de prestación de servicios médicos en los términos exigidos en la Ley, y ello aunque intervengan facultativos sometidos al secreto profesional, sino de otro tipo de prestación de servicios, no amparada en el artículo 7.6 C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/6 de la LOPD, para cuyo tratamiento informatizado de datos precisa el consentimiento del afectado. IV Respecto del tratamiento de datos de salud para el control de absentismo, la Sentencia del Tribunal Constitucional 203/1999, de 8 de noviembre, declara que la existencia de diagnósticos médicos en una base de datos sobre “absentismo con baja médica”, cuya titularidad corresponde a la empresa, vulnera el derecho del recurrente en amparo a su intimidad, concluyendo el Tribunal que el tratamiento y conservación del diagnóstico médico en la mencionada base de datos sin mediar el consentimiento expreso del afectado incumple la garantía que para la protección de los derechos fundamentales se contiene en el artículo 53 de la Constitución. Excluida la habilitación basada en el artículo 7.6 de la LOPD para el tratamiento de datos de salud con la finalidad de controlar el absentismo laboral, debe analizarse si TEBEX obtiene el consentimiento expreso de los afectados a los que realiza seguimiento de IT. Caprabo tiene contratado con TEBEX, la realización de citaciones, revisiones médicas, control y seguimiento de la IT, estando incluidas cuantas pruebas complementarias sean necesarias. Todo ello, tendente a determinar la evolución de los procesos de incapacidad temporal para el personal. Cuando un trabajador inicia un período de IT se le envía una notificación de citación médica, en la que se le informa que el reconocimiento médico y el artículo 20.4 del Estatuto de los Trabajadores. El artículo 20.4 de este Estatuto determina: “El empresario podrá verificar el estado de enfermedad o accidente del trabajador que sea alegado por éste para justificar sus faltas de asistencia al trabajo, mediante reconocimiento a cargo de personal médico. La negativa del trabajador a dichos reconocimientos podrá determinar la suspensión de los derechos económicos que pudieran existir a cargo del empresario por dichas situaciones.” Caprabo hace este seguimiento con personal médico de TEBEX, para lo cual tiene habilitación legal. Los datos de salud que resulten, serán objeto de archivo por parte de TEBEX como se informa, en la que consta la leyenda informativa del artículo 5 de la LOPD y serán automatizados por profesionales sanitarios sujetos a secreto profesional. Como se expuso anteriormente cabría admitir la posibilidad de obtener el consentimiento expreso para el tratamiento de los datos de salud, aunque no se preste por escrito, conforme al artículo 7.3 de la LOPD. Una manifestación de este consentimiento, en las circunstancias específicas del presente procedimiento, puede ser la de permitir el reconocimiento por parte del médico acreditado, tras haber sido notificada la citación médica con toda la información ya mencionada. En el supuesto presente, TEBEX tiene una grabación telefónica de la denunciante en la que consiente el tratamiento de sus datos de salud por parte de dicha entidad. En síntesis, Caprabo tiene contratada la prestación de servicios con TEBEX para la realización de citaciones, revisiones médicas, control y seguimiento de la IT, estando incluidas cuantas pruebas complementarias sean necesarias. Todo ello, tendente a C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/6 determinar la evolución de los procesos de incapacidad temporal para el personal de la empresa. Los trabajadores que se encuentran de baja, como es el caso de la denunciante, reciben citaciones en los que se especifica detalladamente la finalidad de las mismas. Ciertamente la denunciante fue citada en diferentes ocasiones y nunca acudió a que TEBEX le prestará los servicios que tiene contratados con su empleador, Caprabo. Si bien, tras hablar por teléfono con ella poco antes de que fuese despedida por Caprabo, recogió una anotación pericial acerca del estado en que la había encontrado. En consecuencia, no se ha constatado ninguna infracción a la normativa de protección de datos en los hechos denunciados; Caprabo había informado de la prestación de servicios con TEBEX y esta última había informado y solicitado a la denunciante el consentimiento expreso para el tratamiento de sus datos de salud.>> III Por lo tanto, en el presente recurso de reposición, la recurrente no ha aportado nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada. No hay constancia de que la entidad Caprabo tenga más datos de los indicados, salvo los días en que no acudió al puesto de trabajo, como documenta la recurrente, no tratándose de datos de salud de los que no pueda disponer la entidad en la que trabajaba. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por Doña A.A.A., contra la resolución de esta Agencia dictada con fecha 25 de octubre de 2017, en el expediente de actuaciones previas de inspección E/04273/2017. SEGUNDO: NOTIFICAR la presente resolución a Doña A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/6 Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es