1/7 Procedimiento nº.: E/04732/2015 ASUNTO: Recurso de Reposición Nº RR/00586/2016 Examinado el recurso de reposición interpuesto por Doña A.A.A. contra la resolución dictada por la Directora de la Agencia Española de Protección de Datos en el expediente de actuaciones previas de inspección E/04732/2015, y en base a los siguientes HECHOS PRIMERO: Con fecha 7 de julio de 2016, se dictó resolución por la Directora de la Agencia Española de Protección de Datos en el expediente de actuaciones previas de inspección E/04732/2015, procediéndose al archivo de actuaciones. Dicha resolución, que fue notificada a la recurrente en fecha 22 de julio de 2016, según aviso de recibo que figura en el expediente. SEGUNDO: Doña A.A.A. ha presentado en esta Agencia, en fecha 22 de agosto de 2016, recurso de reposición, fundamentándolo básicamente en que ella es funcionaria de Correos y no personal laboral; que cuando la citan a pasar reconocimiento médico no “accede a ser tratada por el facultativo o centro médico al que lo deriva Correos”, lo hace porque en la citación hay una amenaza expresa de que si no se presenta se denegará la baja laboral. Se encuentran ante controles de absentismo realizados por facultativos de Tebex, que no cuentan con el consentimiento expreso del afectado. Acompaña la notificación administrativa que recibió la recurrente en el mes de mayo de 2016, en la que se indica “De conformidad con el artículo 19 y siguientes de la Ley sobre Seguridad Social de los Funcionarios del estado, se le cita a reconocimiento…. En el caso de no presentarse al reconocimiento médico, sin haber justificado fehacientemente su no asistencia, la licencia de enfermedad solicitada será denegada desde el mismo día de su no presentación al mismo, por lo que deberá incorporarse a su puesto de trabajo…” Insiste en que los médicos de Tebex se hacen pasar por médicos de Correos. FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (en lo sucesivo LRJPAC). II En relación con las alegaciones vertidas en el escrito de recurso, muchas C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/7 de ellas ya fueron respondidas en la Resolución ahora recurrida, en la que se indicaba lo siguiente: << II El tratamiento de datos sin consentimiento de los afectados constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia de 30 de noviembre de 2000, consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporciona a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...) (F.J. 7 primer párrafo). Son pues elementos característicos del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. El artículo 7 de la LOPD establece el régimen específicamente protector diseñado por el legislador para aquellos datos personales que proporcionan una información de esferas más íntimas del individuo, a los que etiqueta bajo la denominación común de “Datos especialmente protegidos”. Para las diversas categorías de éstos el precepto citado establece específicas medidas para su protección. En el supuesto específico de los datos de salud, el legislador español siguiendo al europeo (artículo 6 del Convenio 108/81 Consejo de Europa, para la protección de las personas con respecto al tratamiento de datos de carácter personal) y al de la Comunidad Europea (artículo 8 Directiva 95/46 CEE de 24 de octubre de 1995) los considera como especialmente protegidos, o sensibles, en la denominación europea o comunitaria y prevé que sólo puedan ser recabados, tratados y cedidos, cuando por razones de interés general así lo disponga una Ley o el afectado consienta expresamente (artículo 7.3 LOPD). Ello quiere decir que sólo en estos supuestos específicos dichos datos podrán ser tratados. No obstante lo anterior, el artículo 8 la Ley Orgánica 15/99 establece que las instituciones y centros sanitarios, y los profesionales correspondientes podrán tratar sin consentimiento datos relativos a la salud de las personas que a los mismos acudan o hayan de ser tratados en ellos, de acuerdo con "la legislación estatal o autonómica”. El artículo 7.2 de la LOPD exige para el tratamiento de datos especialmente protegidos que revelen la ideología, afiliación sindical, religión y creencias el consentimiento expreso y escrito del afectado. El artículo 7.3 reitera, para el tratamiento de los datos de salud la exigencia de consentimiento expreso del afectado, pero no la relativa a que deba constar por escrito. Cabe, en consecuencia, admitir la posibilidad de que la manifestación del consentimiento expreso no conste por escrito. Sin embargo, esta posibilidad debe ponerse en relación con los elementos que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/7 integran la definición de consentimiento recogida en el artículo 3.
- h)de la LOPD; a saber, que sea una manifestación de voluntad libre, inequívoca, específica e informada. De ellos resulta particularmente relevante este último extremo – que sea informada – pues sin él difícilmente concurrirán otros como que sea inequívoca y específica. La LOPD concreta el elemento informativo para la prestación del consentimiento en la regla general del artículo 5.1 conforme al cual “Los interesados a los que se soliciten datos personales deberán ser previamente informados de modo expreso, preciso e inequívoco:
- a)De la existencia de un fichero o tratamiento de datos de carácter personal, de la finalidad de la recogida de éstos y de los destinatarios de la información.
- b)Del carácter obligatorio o facultativo de su respuesta a las preguntas que les sean planteadas.
- c)De las consecuencias de la obtención de los datos o de la negativa a suministrarlos.
- d)De la posibilidad de ejercitar los derechos de acceso, rectificación, cancelación y oposición.
- e)De la identidad y dirección del responsable del tratamiento o, en su caso, de su representante”. La letra
- a)del artículo transcrito menciona específicamente que debe informarse de la finalidad de la recogida de los datos, la cual, según el artículo 4.1 de la misma norma debe ser “determinada, explícita y legítima”. La LOPD incorpora a su artículo 7, apartado 6 una excepción al disponer “No obstante lo dispuesto en los apartados anteriores podrán ser objeto de tratamiento los datos de carácter personal a que se refieren los apartados 2 y 3 de este artículo, cuando dicho tratamiento resulte necesario para la prevención o para el diagnóstico médicos, la prestación de asistencia sanitaria o tratamiento médicos o la gestión de servicios sanitarios, siempre que dicho tratamiento de datos se realice por un profesional sanitario sujeto al secreto profesional o por otra persona sujeta asimismo a una obligación equivalente de secreto. También podrán ser objeto de tratamiento los datos a que se refiere el párrafo anterior cuando el tratamiento sea necesario para salvaguardar el interés vital del afectado o de otra persona, en el supuesto de que el afectado esté física o jurídicamente incapacitado para dar su consentimiento.” El precepto transcrito viene pues a posibilitar que todos los datos que se consideran en los apartados 2 y 3 anteriores del mismo artículo como especialmente protegidos, entre los que se encuentran los relativos a la salud, puedan ser tratados sin las exigencias especiales de protección que al respecto se señalan. En el caso concreto de los datos de salud sin la exigencia del consentimiento expreso del afectado o sin que una Ley así lo disponga por razones de interés general (art. 7.3). Pero el régimen excepcional del art. 7.6 requiere la concurrencia de dos requisitos:
- a)que el tratamiento de dichos datos “resulte necesario para la prevención o para el diagnóstico médicos, la prestación de asistencia sanitaria o tratamientos médicos o la gestión de servicios sanitarios”; así como en el supuesto de que el tratamiento sea necesario para C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/7 salvaguardar el interés vital del afectado o de otra persona cuando el afectado esté incapacitado, según precisa el segundo párrafo del propio art. 7.6 y
- b)que el tratamiento de datos se realice por un profesional o por otra persona obligada a equivalente secreto. A este respecto, la Sentencia de la Sección 1, Sala de lo ContenciosoAdministrativo, número de Recurso 1271/2000, de fecha 12 de abril de 2002, señala que “La prestación del servicio médico realizado por los facultativos de SADES, S.L. (empresa que realiza un trabajo muy similar a TEBEX) no tiene por objeto la mejora, ni la prevención de la salud de las personas a quienes examina y cuyos datos incorpora al fichero, es decir, no realiza una prestación necesaria para la salud, ni tampoco para el tratamiento médico a que pudieran estar sometidos, ni para la investigación científica o el desarrollo de la medicina, sino que la prestación únicamente está al servicio del arrendador que, a través de ese mecanismo, pretende evitar el absentismo en el trabajo. Por tanto, no puede hablarse de prestación de servicios médicos en los términos exigidos en la Ley, y ello aunque intervengan facultativos sometidos al secreto profesional, sino de otro tipo de prestación de servicios, no amparada en el artículo 7.6 de la LOPD, para cuyo tratamiento informatizado de datos precisa el consentimiento del afectado. III Respecto del tratamiento de datos de salud para el control de absentismo, la Sentencia del Tribunal Constitucional 203/1999, de 8 de noviembre, declara que la existencia de diagnósticos médicos en una base de datos sobre “absentismo con baja médica”, cuya titularidad corresponde a la empresa, vulnera el derecho del recurrente en amparo a su intimidad, concluyendo el Tribunal que el tratamiento y conservación del diagnóstico médico en la mencionada base de datos sin mediar el consentimiento expreso del afectado incumple la garantía que para la protección de los derechos fundamentales se contiene en el artículo 53 de la Constitución. Excluida la habilitación basada en el artículo 7.6 de la LOPD para el tratamiento de datos de salud con la finalidad de controlar el absentismo laboral, debe analizarse si TEBEX obtiene el consentimiento expreso de los afectados a los que realiza seguimiento de IT. Correos tiene contratado con TEBEX, que a su vez a subcontratado con Centro Médico Goya (con consentimiento de Correos) la realización de citaciones, revisiones médicas, control y seguimiento de la IT, bien por el propio proveedor o por especialistas que se determinen por CORREOS, estando incluidas cuantas pruebas complementarias sean necesarias. Todo ello, tendente a determinar la evolución de los procesos de incapacidad temporal para el personal funcionario y laboral. Cuando un trabajador inicia un período de IT se le envía una notificación de citación médica, en la que se le informa que el reconocimiento médico se efectúa según lo previsto en el artículo 115 del Convenio Colectivo de Correos y el artículo 20.4 del Estatuto de los Trabajadores. El artículo 20.4 de este Estatuto determina: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/7 “El empresario podrá verificar el estado de enfermedad o accidente del trabajador que sea alegado por éste para justificar sus faltas de asistencia al trabajo, mediante reconocimiento a cargo de personal médico. La negativa del trabajador a dichos reconocimientos podrá determinar la suspensión de los derechos económicos que pudieran existir a cargo del empresario por dichas situaciones.” Correos hace este seguimiento con personal médico de TEBEX y Centro Médico Goya, para lo cual tiene habilitación legal. Los datos de salud que resulten, serán objeto de archivo por parte de Correos (como se informa en la citación personalizada, en la que consta la leyenda informativa del artículo 5 de la LOPD y serán automatizados por profesionales sanitarios sujetos a secreto profesional”. Como se expuso anteriormente cabría admitir la posibilidad de obtener el consentimiento expreso para el tratamiento de los datos de salud, aunque no se preste por escrito, conforme al artículo 7.3 de la LOPD. Una manifestación de este consentimiento, en las circunstancias específicas del presente procedimiento, puede ser la de permitir el reconocimiento por parte del médico acreditado, tras haber sido notificada la citación médica con toda la información ya mencionada. En síntesis, Correos tiene contratada la prestación de servicios con TEBEX para la realización de citaciones, revisiones médicas, control y seguimiento de la IT, bien por el propio proveedor o por especialistas que se determinen por CORREOS, estando incluidas cuantas pruebas complementarias sean necesarias. Todo ello, tendente a determinar la evolución de los procesos de incapacidad temporal para el personal funcionario y laboral. TEBEX subcontrató la realización de determinadas consultas y pruebas médicas con el Centro Médico Goya, con conocimiento y consentimiento de Correos. Los trabajadores que se encuentran de baja reciben citaciones en los que se especifica detalladamente la finalidad de las mismas. En consecuencia, no se ha constatado ninguna infracción a la normativa de protección de datos en los hechos denunciados.>>. III Como se señalaba, Tebex actúa como encargado del tratamiento de la sociedad Correos, existiendo contratos al efecto. Por otro lado, indica que es funcionaria, por lo que la citación no debe ir referida al Estatuto de los Trabajadores. En la Notificación administrativa que acompaña, del mes de mayo de 2016, ya se incorpora el artículo 19 del Real Decreto Legislativo 4/2000, de 23 de junio, por el que se aprueba el texto refundido de la Ley sobre Seguridad Social de los Funcionarios Civiles del Estado, que determina lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/7 “Artículo 19 Situación de incapacidad temporal “1. Se encontrarán en situación de incapacidad temporal los funcionarios que acrediten padecer un proceso patológico por enfermedad o lesión por accidente que les impida con carácter temporal el normal desempeño de sus funciones públicas o que se encuentren en período de observación médica por enfermedad profesional, siempre y cuando reciban la asistencia sanitaria necesaria para su recuperación facilitada por la Mutualidad General de Funcionarios Civiles del Estado y hayan obtenido licencia por enfermedad. “2. Reglamentariamente se determinará la acreditación del proceso patológico o del periodo de observación médica y la improcedencia de instar la iniciación del procedimiento de jubilación por incapacidad permanente para el servicio. 3. La concesión de las licencias y sus posibles prórrogas a los que tendrán derecho los funcionarios que se encuadren en la situación establecida en el apartado 1 corresponderá a los órganos administrativos con competencia en materias de gestión de personal. Para la concesión y control de estas licencias los órganos administrativos con competencia en materias de gestión de personal podrán hacer uso del asesoramiento facultativo propio o ajeno que consideren oportuno. 4. Sin perjuicio de lo dispuesto en el apartado anterior, la Mutualidad General de Funcionarios Civiles del Estado podrá ejercer el control y seguimiento de la situación de incapacidad temporal del funcionario desde el inicio de la situación mediante el reconocimiento a efectuar por las Unidades Médicas de Seguimiento de las que disponga, propias o dependientes de otras Entidades Gestoras de la Seguridad Social y Servicios Públicos de Salud con los que la Mutualidad establezca acuerdos de colaboración. 5. Los reconocimientos médicos mencionados en el apartado anterior serán potestativos, pero sus resultados vincularán para la concesión o denegación de las licencias y sus sucesivas prórrogas. Reglamentariamente se determinarán las situaciones, períodos y formas en los que se llevarán a cabo los seguimientos de los distintos procesos patológicos, salvaguardando, en todo caso, el derecho a la intimidad y la dignidad de la persona y la autonomía del paciente, así como a la confidencialidad de las informaciones referentes a su estado de salud sanitario, según lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal.” En consecuencia, se informa correctamente del tratamiento de los datos de salud y de la finalidad de dicho tratamiento, así como de las consecuencias de no acudir al reconocimiento médico, las cuales están indicadas en la norma reseñada. IV Por tanto, dado que, en el presente recurso de reposición, no se han aportado nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada, procede acordar su desestimación. Vistos los preceptos citados y demás de general aplicación, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/7 La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por Doña A.A.A. contra la resolución de esta Agencia dictada con fecha 7 de julio de 2016, en el expediente de actuaciones previas de inspección E/04732/2015. SEGUNDO: NOTIFICAR la presente resolución a Doña A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es