1/11 Procedimiento Nº: TD/00162/2016 RESOLUCIÓN Nº.: R/01480/2016 Vista la reclamación formulada el 7 de enero de 2016, ante esta Agencia por D. A.A.A., contra la entidad ASEPEYO, Mutua Colaboradora con la Seguridad Social Nº 151, por no haber sido debidamente atendido el derecho de acceso. Realizadas las actuaciones procedimentales previstas en el artículo 117 del Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, aprobado por el Real Decreto 1720/2007, de 21 de diciembre (en adelante RLOPD), se han constatado los siguientes, HECHOS PRIMERO: Con fecha 11 de noviembre de 2015, D. A.A.A. (en lo sucesivo, el reclamante) ejerció derecho de acceso a sus datos personales y de salud, así como los cesionarios de los mismos, obrantes en los ficheros de la entidad ASEPEYO, Mutua Colaboradora con la Seguridad Social Nº 151 (en adelante, ASEPEYO). Mediante escrito de fecha 20 de noviembre de 2015, ASEPEYO procede a solicitar la subsanación del ejercicio del derecho, requiriendo al reclamante copia de su DNI. Que es aportada por el interesado el mismo día. A través de correo electrónico de fecha 7 de diciembre de 2015, ASEPEYO aporta al reclamante el Informe Resumen de Contingencias Comunes y le informa de que “…sus datos únicamente son comunicados a terceros en los supuestos legalmente previstos (organismos oficiales, compañías de seguros, etc.) o aquellos que colaboren directamente en el cumplimiento de las finalidades antes indiciadas (centros médicos concertados)”. Con fecha 7 de diciembre de 2015, el reclamante muestra su disconformidad con la respuesta recibida, solicitando acceso a los cesionarios de sus datos y a toda la documentación médica que se ha generado en sus distintas visitas e informes enviados y recibidos de la inspección médica y del INSS. Con fecha 12 de enero de 2016, el reclamante ejercita nuevamente derecho de acceso a los datos que sobre su persona obren en poder de la entidad reclamada, que incluya sus datos de salud, y los cesionarios de los mismos. En fecha 28 de enero de 2016, ASEPEYO hace entrega al reclamante de los informes de las visitas efectuadas al reclamante, propuesta de alta y revisión y valoración de enfermería. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/11 SEGUNDO: Trasladadas sucesivamente la reclamación y los escritos de descargos que se produjeron en la tramitación del presente expediente, y por lo que a efectos de la resolución de la presente reclamación interesa, se realizaron, en síntesis, las siguientes alegaciones: ASEPEYO alega los siguientes extremos: o Que ha venido realizando el control y seguimiento de la situación de incapacidad temporal por contingencia común en la que se encuentra el reclamante, en los términos previstos en el Real Decreto 625/2014, de 18 de julio. A este respecto, de conformidad con lo previsto en el artículo 8 de ese Real Decreto, Asepeyo puede acceder a los informes médicos, pruebas y diagnósticos relativos a las situaciones de incapacidad temporal, a fin de ejercer sus funciones. o Que no ha dispensado asistencia sanitaria al interesado, ya que el mismo se encuentra en situación de incapacidad temporal por contingencia común y la obligación de prestar asistencia sanitaria corresponde al Servicio Público de Salud. Así, aun cuando en el ejercicio de esas facultades de control y seguimiento haya accedido a datos relativos a la salud del interesado, no dispone de una historia clínica, en sentido estricto, ya que los datos recogidos no tenían por finalidad facilitar la asistencia sanitaria del paciente, en los términos previstos en el artículo 15.2 de la LAP. o Que el día 7 de diciembre de 2015, envió al correo electrónico designado por el interesado un Informe Resumen de Contingencias Comunes. En ese mismo correo se informaba sobre las finalidades del tratamiento de sus datos y comunicaciones a terceros. o Que el día 28 de enero de 2016 envió al reclamante un fichero que contenía los informes de las visitas efectuadas al reclamante, propuesta de alta y revisión y valoración de enfermería. El reclamante manifiesta que la información se le ha entregado fuera de plazo, faltando un informe enviado al INSS, no se le ha dado acceso a los datos de base que sobre su persona obran en los ficheros de la entidad reclamada ni se ha contestado de forma expresa quién o quiénes se han cedido sus datos. ASEPEYO alega lo siguiente: C/ Jorge Juan, 6 28001 – Madrid o Que por error, no incluyó entre la documentación entregada al reclamante el Informe Clínico que se envía al Instituto Nacional de la Seguridad Social al cumplir el paciente los 11 meses de duración de la incapacidad temporal y el Informe Clínico Prop. Alta/Incapacidad. Adjunta dichos informes a sus alegaciones, emitido el 23 de diciembre de 2015. o Que no precisa el consentimiento del mutualista para comunicar datos relativos a su salud al Instituto Nacional de la Seguridad Social y al Servicio Público de Salud al tratarse de una cesión habilitada por Ley. www.agpd.es sedeagpd.gob.es 3/11 o El número de teléfono y el puesto de trabajo son datos que deben venir recogidos en el propio parte de baja médica por contingencias comunes destinado a la Mutua, así como en el destinado a la empresa, según el modelo aprobado por la Orden de 19 de junio de 1997 (vigente el año 2015 de acuerdo con lo previsto en la disposición final 7 del Real Decreto 625/2014, de 18 de julio). La empresa remite a la Mutua el parte a ella destinada a través del sistema RED (Orden TAS/399/2014, de 12 de febrero). Asepeyo está autorizada para conocer y verificar esa información con la finalidad de ejercer sus facultades de gestión de la prestación de incapacidad temporal, sin necesidad de precisar el consentimiento del interesado. TERCERO: Son conocidos por las partes de forma completa todos los hechos, alegaciones y demás documentación aportada por los interesados para su defensa, al haberse dado traslado por la instrucción del expediente a cada uno de los interesados en este procedimiento, tal y como consta en el expediente que obra en esta Agencia Española de Protección de Datos. FUNDAMENTOS DE DERECHO PRIMERO: Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.
- d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). SEGUNDO: El artículo 18.1 de la LOPD señala que: “Las actuaciones contrarias a lo dispuesto en la presente Ley pueden ser objeto de reclamación por los afectados ante la Agencia Española de Protección de Datos, en la forma que reglamentariamente se determine”. TERCERO: El artículo 15 de la LOPD en relación con el derecho de acceso establece que: “1.- El interesado tendrá derecho a solicitar y obtener gratuitamente información de sus datos de carácter personal sometidos a tratamiento, el origen de dichos datos, así como las comunicaciones realizadas o que se prevén hacer de los mismos. 2.- La información podrá obtenerse mediante la mera consulta de los datos por medio de su visualización, o la indicación de los datos que son objeto de tratamiento mediante escrito, copia, telecopia o fotocopia, certificada o no, en forma legible e inteligible, sin utilizar claves o códigos que requieran el uso de dispositivos mecánicos específicos. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/11 3.- El derecho de acceso a que se refiere este artículo sólo podrá ser ejercitado a intervalos no inferiores a doce meses, salvo que el interesado acredite un interés legítimo al efecto, en cuyo caso podrán ejercitarlo antes.” CUARTO: El artículo 27 del RLOPD, regula el derecho de acceso en los siguientes términos: "1. El derecho de acceso es el derecho del afectado a obtener información sobre si sus propios datos de carácter personal están siendo objeto de tratamiento, la finalidad del tratamiento que, en su caso, se está realizando, así como la información disponible sobre el origen de dichos datos y las comunicaciones realizadas o previstas de los mismos. 2. En virtud del derecho de acceso el afectado podrá obtener del responsable del tratamiento información relativa a datos concretos, a datos incluidos en un determinado fichero, o a la totalidad de sus datos sometidos a tratamiento. No obstante, cuando razones de especial complejidad lo justifiquen, el responsable del fichero podrá solicitar del afectado la especificación de los ficheros respecto de los cuales quiera ejercitar el derecho de acceso, a cuyo efecto deberá facilitarle una realización una relación de todos ellos. 3. El derecho de acceso es independiente del que otorgan a los afectados las leyes especiales y en particular la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común." QUINTO: El artículo 25 del RLOPD, determina el procedimiento que debe seguirse en el ejercicio del derecho de acceso: “1. Salvo en el supuesto referido en el párrafo 4 del artículo anterior, el ejercicio de los derechos deberá llevarse a cabo mediante comunicación dirigida al responsable del fichero, que contendrá:
- a)Nombre y apellidos del interesado; fotocopia de su documento nacional de identidad, o de su pasaporte u otro documento válido que lo identifique y, en su caso, de la persona que lo represente, o instrumentos electrónicos equivalentes; así como el documento o instrumento electrónico acreditativo de tal representación. La utilización de firma electrónica identificativa del afectado eximirá de la presentación de las fotocopias del DNI o documento equivalente. El párrafo anterior se entenderá sin perjuicio de la normativa específica aplicable a la comprobación de datos de identidad por las Administraciones Públicas en los procedimientos administrativos.
- b)Petición en que se concreta la solicitud.
- c)Dirección a efectos de notificaciones, fecha y firma del solicitante.
- d)Documentos acreditativos de la petición que formula, en su caso. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/11 2. El responsable del tratamiento deberá contestar la solicitud que se le dirija en todo caso, con independencia de que figuren o no datos personales del afectado en sus ficheros. 3. En el caso de que la solicitud no reúna los requisitos especificados en el apartado primero, el responsable del fichero deberá solicitar la subsanación de los mismos. 4. La respuesta deberá ser conforme con los requisitos previstos para cada caso en el presente título. 5. Corresponderá al responsable del tratamiento la prueba del cumplimiento del deber de respuesta al que se refiere el apartado 2, debiendo conservar la acreditación del cumplimiento del mencionado deber…” SEXTO: El artículo 29 del RLOPD, dispone lo siguiente en relación al plazo en que el responsable del fichero debe resolver la solicitud de acceso: “1. El responsable del fichero resolverá sobre la solicitud de acceso en el plazo máximo de un mes a contar desde la recepción de la solicitud. Transcurrido el plazo sin que de forma expresa se responda a la petición de acceso, el interesado podrá interponer la reclamación prevista en el artículo 18 de la Ley Orgánica 15/1999, de 13 de diciembre. En el caso de que no disponga de datos de carácter personal de los afectados deberá igualmente comunicárselo en el mismo plazo. 2. Si la solicitud fuera estimada y el responsable no acompañase a su comunicación la información a la que se refiere el artículo 27.1, el acceso se hará efectivo durante los diez días siguientes a dicha comunicación. 3. La información que se proporcione, cualquiera que sea el soporte en que fuere facilitada, se dará en forma legible e inteligible, sin utilizar claves o códigos que requieran el uso de dispositivos mecánicos específicos. Dicha información comprenderá todos los datos de base del afectado, los resultantes de cualquier elaboración o proceso informático, así como la información disponible sobre el origen de los datos, los cesionarios de los mismos y la especificación de los concretos usos y finalidades para los que se almacenaron los datos". SÉPTIMO: El derecho de acceso en relación con la historia clínica se regula específicamente en el artículo 18 de la Ley 41/2002, de 14 de noviembre, básica reguladora de la Autonomía del Paciente y de Derechos y Obligaciones en Materia de Información y Documentación Clínica (en lo sucesivo LAP), cuyo tenor literal expresa: “1. El paciente tiene derecho de acceso, con las reservas señaladas en el apartado 3 de este artículo, a la documentación de la historia clínica y a obtener C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/11 copia de los datos que figuran en ella. Los centros sanitarios regularán el procedimiento que garantice la observancia de estos derechos. 2. El derecho de acceso del paciente a la historia clínica puede ejercerse también por representación debidamente acreditada. 3. El derecho de acceso del paciente a la documentación de la historia clínica no puede ejercitarse en perjuicio del derecho de terceras personas a la confidencialidad de los datos que constan en ella recogidos en interés terapéutico del paciente, ni en perjuicio del derecho de los profesionales participantes en su elaboración, los cuales pueden oponer al derecho de acceso la reserva de sus anotaciones subjetivas. 4. Los centros sanitarios y los facultativos de ejercicio individual sólo facilitarán el acceso a la historia clínica de los pacientes fallecidos a las personas vinculadas a él, por razones familiares o de hecho, salvo que el fallecido lo hubiese prohibido expresamente y así se acredite. En cualquier caso el acceso de un tercero a la historia clínica motivado por un riesgo para su salud se limitará a los datos pertinentes. No se facilitará información que afecte a la intimidad del fallecido ni a las anotaciones subjetivas de los profesionales, ni que perjudique a terceros.” OCTAVO: En cuanto a la apertura de un procedimiento sancionador por supuestas infracciones a la LOPD, cabe señalar que el procedimiento de Tutela de Derechos al que hace referencia esta norma legal, se inicia siempre a instancia del afectado para garantizar sus derechos de acceso, rectificación cancelación y oposición. Por el contrario, el procedimiento sancionador en materia de protección de datos, que constituye una de las manifestaciones del “ius puniendi” del Estado, se inicia siempre de oficio por el Director de la Agencia Española de Protección de Datos, de conformidad a lo previsto en el artículo 122.2 del RGLOPD, como así ha mantenido la Audiencia Nacional en sentencias como, entre otras, la dictada en marzo de 2006(REC 319/2004). Por tanto es competencia exclusiva de la Agencia Española de Protección de Datos valorar si existen responsabilidades administrativas que han de ser depuradas en un procedimiento sancionador y, en consecuencia, la decisión sobre su apertura, no existiendo obligación de iniciar procedimiento ante cualquier petición realizada por tercero, sino que la misma ha de basarse en la existencia de elementos que justifiquen dicho inicio de actividad sancionadora. Así lo establece el artículo 11.2 del Real Decreto 1398/1993, de 4 de Agosto, por el que se aprueba el Reglamento de Procedimiento para el Ejercicio de la Potestad Sancionadora, que es del tenor siguiente: “La formulación de una petición no vincula al órgano competente para iniciar procedimiento sancionador, si bien deberá comunicar al órgano que la hubiera formulado los motivos por los que, en su caso, no procede la iniciación del procedimiento. Cuando se haya presentado una denuncia, se deberá comunicar al denunciante la iniciación o no del procedimiento cuando la denuncia vaya acompañada de una solicitud de iniciación” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/11 Por otro lado, debe recordarse que para definir la condición de “interesado” para instar al ejercicio de la competencia sancionadora de esta Agencia, la STS de 6-102009 dispone que el denunciante no es interesado, y lo hace en los siguiente términos: "el denunciante de una infracción de la legislación de protección de datos carece de legitimación activa para impugnar la resolución de la Agencia en lo que concierne al resultado sancionador mismo (imposición de una sanción, cuantía de la misma, exculpación, etc.)." En el mismo sentido se ha manifestado la SAN 27/5/2010: "quien denuncia hechos que considera constitutivos de infracción de la legislación de protección de datos carece de legitimación activa para impugnar en vía jurisdiccional lo que resuelva la Agencia. (...) La razón es, en sustancia, que el denunciante carece de la condición de interesado en el procedimiento sancionador que se puede incoar a resultas de su denuncia. Ni la Ley Orgánica de Protección de Datos ni su Reglamento de desarrollo le reconocen esa condición. (...) El argumento crucial en esta materia es que el denunciante, incluso cuando se considere a sí mismo "víctima" de la infracción denunciada, no tiene un derecho subjetivo ni un interés legítimo a que el denunciado sea sancionado". Aplicando la doctrina pacífica del Tribunal Supremo, conforme a la cual “la denuncia no convierte al denunciante en titular de un derecho subjetivo ni de un interés personal o legítimo que hubiera de traducirse en un beneficio o utilidad”. (STSS. De 23/06/1997, 22/12/1997, 14/07/1998, 2/03/1999, 26/10/2000, 30/01/2001, 15/07/2002, 28/02/2003 y 06/03/2003); la circunstancia de haber presentando el actual reclamante la denuncia no le otorga por sí mismo la condición de persona interesada. Junto a ello debe tenerse en cuenta el criterio restrictivo mantenido por la Audiencia Nacional en Sentencia de 1 de abril de 2011 acerca de la puesta de la protección de datos al servicio de otros intereses por legítimos que sean: “La seriedad que conlleva el ejercicio de la potestad sancionadora aconseja que se pongan en marcha los mecanismos administrativos y jurisdiccionales correspondientes solo cuando se suponga que se ha producido una verdadera violación del derecho fundamental a la protección de datos”. A este respecto, cabe señalar que la tutela de derechos tiene por objeto garantizar el ejercicio de los derechos de acceso, rectificación, cancelación y oposición reconocidos por la LOPD, de modo que el presente procedimiento persigue tutelar los derechos del reclamante, sin que pueda modificarse el planteamiento inicial añadiendo nuevas pretensiones ajenas al objeto propio de la tutela de derechos. NOVENO: En el supuesto examinado, ha quedado acreditado que el reclamante solicitó el acceso a sus datos de carácter personal y de salud, así como los cesionarios, obrantes en los ficheros de la entidad reclamada y que, trascurrido el plazo establecido conforme a las normas antes señaladas, su solicitud no obtuvo la respuesta legalmente exigible. Durante la tramitación del presente procedimiento, la citada entidad ha acreditado documentalmente que a través de correo electrónico de fecha 7 de diciembre C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/11 de 2015, hizo entrega al reclamante de un Informe Resumen de Contingencias Comunes y que en fecha 28 de enero de 2016, amplió el acceso haciendo entrega al reclamante de los informes de las visitas efectuadas al reclamante, propuesta de alta y revisión y valoración de enfermería. Asimismo, en la fase de alegaciones ha aportado al procedimiento copia del Informe Clínico que se envía al Instituto Nacional de la Seguridad Social al cumplir el paciente los 11 meses de duración de la incapacidad temporal y el Informe Clínico Prop. Alta/Incapacidad, informes emitidos el 23 de diciembre de 2015, que por un presunto error, no adjuntó a las respuestas dadas el 7 de diciembre de 2015 y 28 de enero de 2016. No obstante, no cabe aceptar que la respuesta que corresponda realizar pueda manifestarse con ocasión de un mero trámite administrativo, como es la formulación de alegaciones con motivo del procedimiento de tutela de derechos, iniciado precisamente por no atender debidamente la solicitud en cuestión. Debiendo remitir al interesado dichos informes. En cuanto a los datos relativos a la salud de las personas, se ha de traer a colación el artículo 5.1.
- g)que define datos de carácter personal relacionados con la salud: “las informaciones concernientes a la salud pasada, presente y futura, física o mental, de un individuo. En particular, se consideran datos relacionados con la salud de las personas los referidos a su porcentaje de discapacidad y a su información genética.” Por tanto, sin entrar a valorar si la documentación e información relativa a la salud del reclamante que obra en los ficheros de la reclamada conforma una historia clínica, aun cuando en la documentación aportada en su encabezamiento figura “N. Historia” y un número que designa a la misma que se repite en todos los documentos, se ha de señalar que la jurisprudencia del Tribunal Supremo pone de relieve acerca del alcance del derecho de acceso que los datos que deben proporcionarse para satisfacer el derecho de acceso que nos ocupa son todos aquellos datos relativos a la determinación y constatación del estado de salud de su titular, ya sea físico o psíquico, pasado, presente o futuro, en especial la información disponible acerca de su grado o porcentaje de incapacidad y la información de carácter genético, incluidas las valoraciones o apreciaciones de índole médica acerca de la información expresada y vinculada a la misma, en consonancia con el art. 5.1g) del RLOPD, como recoge la SAN de fecha 10 de febrero de 2015. Por otro lado, en cuanto a la información facilitada acerca de los cesionarios, no cabe aceptar que la entidad reclamada despache la obligación de informa de ellos de forma expresa (arts. 15.1 de la LOPD y 27.1 del RLOPD) con una contestación genérica como la utilizada en su respuesta de fecha 7 de diciembre de 2015, cuyo tenor literal es el siguiente: “…sus datos únicamente son comunicados a terceros en los supuestos legalmente previstos (organismos oficiales, compañías de seguros, etc.) o aquellos que colaboren directamente en el cumplimiento de las finalidades antes indiciadas (centros médicos concertados)”. Así, deberá proporcionar una relación de los organismos oficiales, compañías de seguros… a los que se les haya comunicado los datos del interesado. Ahora bien, a este respecto conviene señalar el artículo 5.1.
- r)del citado Reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/07, define Tercero como: “la persona física o jurídica, pública o privada u órgano administrativo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/11 distinta del afectado o interesado, del responsable del tratamiento, del responsable del fichero, del encargado del tratamiento y de las personas autorizadas para tratar los datos bajo la autoridad directa del responsable del tratamiento o del encargado del tratamiento”. Asimismo, como resuelve la Agencia Española de Protección de Datos en el Informe Jurídico 167/2005, sobre Naturaleza y alcance del Derecho de Acceso: “De este modo, el derecho concedido al interesado por la Ley únicamente abarcaría el contenido de la información sometida o tratamiento, pero no qué personas, dentro del ámbito de organización del responsable del fichero han podido tener acceso a dicha información, tal y como ha indicado esta Agencia Española de Protección de Datos al resolver cuestiones similares a la planteada en presente supuesto”. El artículo 15.1 de la LOPD dispone que “El interesado tendrá derecho a solicitar y obtener gratuitamente información de sus datos de carácter personal sometidos a tratamiento, el origen de dichos datos, así como las comunicaciones realizadas o que se prevén hacer de los mismos”. En consecuencia, conviene señalar que al solicitar el acceso al listado de personas que hayan accedido a su historial clínico, el reclamante solicita unos datos que no son relativos a su persona sino a terceros, por lo tanto, dicha solicitud no se puede realizar en base a la LOPD. En definitiva, la Agencia Española de Protección de Datos no es competente para atender una reclamación de esa naturaleza. A mayor abundamiento, existe reiterada jurisprudencia en tal sentido, como ejemplo, se cita la reciente SAN de 26 de febrero de 2014, Procedimiento Ordinario 216/2013, cuyo tenor literal es el siguiente: “En este sentido, debe recordarse que el artículo 15 de la LOPD reconoce el derecho del titular de los datos personales a acceso a información sobre los mismos, siempre y cuando estén siendo sometidos a tratamiento, y el artículo 27 del Real Decreto 1720/2007, de 21 de diciembre, que aprueba el Reglamento de desarrollo de la LODP, define este derecho de acceso como el derecho del afectado a obtener información sobre si sus propios datos de carácter personal están siendo objeto de tratamiento, la finalidad de su tratamiento que, en su caso, se esté realizando, así como la información disponible sobre el origen de dichos datos y las comunicaciones realizadas o previstas de los mismos. Añade el artículo 27 citado que el afectado podrá obtener del responsable del tratamiento información relativa a datos concretos, a datos incluidos en un determinado fichero o a la totalidad de los datos sometidos a tratamiento. Ahora bien, la delimitación del concreto alcance del derecho de acceso reclamado, se ve comprometida en el caso que nos ocupa por dos circunstancias relevantes que conducen a la procedencia de su denegación. En primer lugar, debe destacarse que solicitud de acceso a información formulada por la aquí demandante ante el Ministerio de Hacienda y Administraciones Públicas es ajena al contenido del derecho de acceso a datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/11 personales que reconoce al titular de tales datos el artículo 15 de la LOPD, pues va dirigida a obtener información sobre la identidad de los funcionarios o servidores públicos que pudieran hubieran accedido a los datos personales de la actora, presumiendo que pudieran haberlos cedido a terceros. Por consiguiente, no tiene por objeto la obtención de información de sus datos de carácter personal sometidos a tratamiento, del origen de tales datos y de las comunicaciones realizadas o que se prevén hacer de los mismos por el responsable de fichero, sino acerca de los datos de identidad de aquellos empleados públicos pertenecientes a la organización administrativa del responsable del fichero que hubieran accedido a los mismos, que no quedan comprendidos en el derecho de acceso reconocido al titular de datos personales y configurado legalmente en los términos expresados.” Por otro lado, el mencionado artículo 15.1 de la LOPD recoge que el interesado tiene derecho a solicitar las comunicaciones realizadas de sus datos a terceros, ahora bien, los accesos llevados a cabo por el responsable del fichero o las personas de dentro de la organización autorizadas para tratar los datos no se consideran una cesión o comunicación a un tercero. No obstante, cabe señalar que estas personas autorizadas por el responsable del fichero para tratar los datos están obligadas al secreto profesional respecto de los mismos, según recoge el artículo 10 de la LOPD y 16.6 de la LAP. Por último, señalar que el reclamante no ha aportado elemento probatorio alguno permita demostrar, ni siquiera de forma indiciaria, que ASEPEYO haya podido comunicar datos relativos a su salud a la empresa en la que trabaja. En consecuencia, queda acreditado que ASEPEYO no ha atendido correctamente el derecho de acceso recibido, pues no ha dado acceso completo a todos los datos o documentos que contienen datos de salud del reclamante que obran en sus ficheros, independientemente de quién los haya confeccionado y de que el interesado pueda solicitar el acceso a los mismos a través de otras instituciones, organismos o responsables de ficheros. Asimismo, no ha proporcionado al reclamante una relación de sus datos de base en atención a su solicitud de acceso a sus datos de carácter personal de conformidad con lo establecido en los arts. 15.1 de la LOPD, 27.1 y 29.3 del RLOPD, debiendo informar de forma expresa del origen, finalidad y los cesionarios de sus datos de conformidad con lo expuesto más arriba. Por todo ello, procede estimar la reclamación que originó el presente procedimiento de tutela de derechos. El resto de las cuestiones planteadas por las partes, no resultan de la competencia de esta Agencia, debiéndose dirimir y resolver por las instancias correspondientes, o bien, quedan fuera del objeto del procedimiento de tutela de derechos. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: ESTIMAR la reclamación formulada por D. A.A.A. e instar a la entidad C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/11 ASEPEYO, Mutua Colaboradora con la Seguridad Social Nº 151 para que, en el plazo de los diez días hábiles siguientes a la notificación de la presente resolución, remita al reclamante certificación en la que se facilite el acceso completo a sus datos de carácter personal de base, a sus datos de salud y al origen, finalidad y los cesionarios de los mismos de conformidad con lo expuesto en la presente resolución, pudiendo incurrir en su defecto en una de las infracciones previstas en el artículo 44 de la LOPD. Las actuaciones realizadas como consecuencia de la presente Resolución deberán ser comunicadas a esta Agencia en idéntico plazo. SEGUNDO: NOTIFICAR la presente resolución a la entidad ASEPEYO, Mutua Colaboradora con la Seguridad Social Nº 151 y a D. A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 18.4 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa (en lo sucesivo LJCA), en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí. Directora de la Agencia Española de Protección de Datos. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es