Source: http://docplayer.es/14599178-Gabinete-juridico-informe-0346-2008.html
Timestamp: 2018-04-25 05:14:04+00:00

Document:
Gabinete Jurídico. Informe 0346/ PDF
Download "Gabinete Jurídico. Informe 0346/2008"
Lidia Cuenca Zúñiga
1 Informe 0346/2008 La consulta plantea, varias cuestiones relacionadas con la necesidad de formalizar los oportunos contratos con aquellas empresas encargadas de prestar los servicios de prevención de riesgos laborales, a los efectos de adecuarse a la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal y el Reglamento que lo desarrolla. En primer lugar, se plantea si es necesario formalizar un contrato de cesión de datos con el coordinador de seguridad, para que éste mantenga la privacidad y confidencialidad de los mismos. Es preciso indicar que el deber de secreto se contempla en el artículo 10 de la citada Ley Orgánica 15/1999 señalando que El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo. Es por ello, que los coordinadores de seguridad y salud en el ejercicio de sus funciones deban mantener la confidencialidad y seguridad de los datos, sin que esta obligación se derive del que denomina contrato de cesión, dado que le resulta directamente aplicable el artículo 10 de la Ley Orgánica 15/1999. Además en cuanto a la cesión de datos, debe indicarse que la misma se encuentra definida en el artículo 3 i) de la Ley Orgánica 15/1999, como toda revelación de datos realizada a persona distinta del interesado. En relación con la cesión de datos, el artículo 11.1 de la Ley dispone que los datos de carácter personal objeto del tratamiento sólo podrán ser comunicados a un tercero para el cumplimiento de fines directamente relacionados con las funciones legítimas del cedente y del cesionario con el previo consentimiento del interesado. El consentimiento deberá ser otorgado con carácter previo a la cesión y suficientemente informado de la finalidad a la que se destinen los datos cuya comunicación se autoriza o el tipo de actividad c. Jorge Juan 6 1
2 de aquél a quién se pretende comunicar (artículo 11.3), y que debe recabar el cedente como responsable del fichero que contiene los datos que se pretenden ceder. La obligación de consentimiento sólo se verá exceptuada en los supuestos enumerados en el artículo 11.2 se prevén las excepciones a la necesidad del consentimiento para que la cesión de datos pueda ser efectiva y así se establece que nos será necesario dicho consentimiento: a) Cuando la cesión está autorizada en una Ley. b) Cuando se trate de datos recogidos de fuentes accesibles al público. c) Cuando el tratamiento responda a la libre y legítima aceptación de una relación jurídica cuyo desarrollo, cumplimiento y control implique necesariamente la conexión de dicho tratamiento con ficheros de terceros. En este caso la comunicación sólo será legítima en cuanto se limite a la finalidad que la justifique. d) Cuando la comunicación que deba efectuarse tenga por destinatario al Defensor del Pueblo, el Ministerio Fiscal o los Jueces o Tribunales o el Tribunal de Cuentas, en el ejercicio de las funciones que tiene atribuidas. Tampoco será preciso el consentimiento cuando la comunicación tenga como destinatario a instituciones autonómicas con funciones análogas al Defensor del Pueblo o al Tribunal de Cuentas. e) Cuando la cesión se produzca entre Administraciones Públicas y tenga por objeto el tratamiento posterior de los datos con fines históricos, estadísticos o científicos. f) Cuando la cesión de datos de carácter personal relativos a la salud sea necesaria para solucionar una urgencia que requiera acceder a un fichero o para realizar los estudios epidemiológicos en los términos. En consecuencia, para que tenga lugar una cesión de datos debe requerirse el consentimiento del afectado, salvo que resulte de aplicación alguna de las excepciones recogidas en el apartado segundo del artículo 11. La segunda y tercera cuestión está íntimamente conectada con la anteriormente señalado, dado que el deber de confidencialidad y secreto se ha de cumplirse por todos aquellos que tratan datos de carácter personal sin c. Jorge Juan 6 2
3 necesidad de formalizar un contrato específico sobre dicho extremo pues así lo establece el artículo 10 de la Ley Orgánica15/1999. En cuanto a la necesidad de formalizar un contrato de cesión de datos por parte de la consultante respecto al servicio de prevención ajeno es necesario señalar que la actuación llevada a cabo por parte de la empresa encargada de prestar un servicio de prevención puede considerarse como una actuación de un responsable de fichero o un encargado del tratamiento, así se ha venido señalando por parte de la Agencia en diversos informes pudiendo destacarse el de fecha de 11 de marzo de 2008 en el que se establecía que: En primer lugar, conviene aclarar que, en los términos previstos por la Ley 31/1995, de 8 de noviembre de Prevención de Riesgos Laborales, la misma tiene por objeto la determinación del cuerpo básico de garantías y responsabilidades necesarias para establecer un adecuado nivel de protección de las salud de los trabajadores frente a los riesgos derivados de las condiciones de trabajo, a partir del reconocimiento del derecho de los trabajadores en el ámbito laboral a la protección de su salud e integridad (articulo 2). En cumplimiento del deber de protección, la Ley 31/1995 establece como obligación de la empresa, la de constituir un servicio de prevención que se responsabilice de las actividades de prevención y protección de riesgos laborales. Para la realización de dicha actividad deberá contar bien con un servicio de prevención propio o contratar con un servicio de prevención ajeno debidamente acreditado (artículo 14.2). En relación con el acceso a determinados datos de carácter personal de los trabajadores de aquellas empresas que tengan contratado con otra empresa el Servicio de Prevención de Riesgos laborales, de cara a la aplicación de la normativa sobre protección de datos de carácter personal, existirán supuestos en que es posible considerar que ese servicio de prevención ajeno accede a los datos en calidad de encargado del tratamiento (artículo 12 de la Ley 15/1999) y otros serán considerados como cesiones de datos (artículos 30.3 y c. Jorge Juan 6 3
4 23.1 de la Ley 31/1995). En este último supuesto no cabe duda que el servicio de prevención será considerado responsable del tratamiento. Mención especial merece la obligación de vigilancia de la salud de los trabajadores a la que se refiere el artículo 22 de la Ley 31/1995 cuyo apartado 6 establece expresamente que '" Las medidas de vigilancia y control de la salud de los trabajadores se llevarán a cabo por personal sanitario con competencia técnica, formación y capacidad acreditada". En cuanto a la prestación de este tipo de servicios, en todo caso, y sin perjuicio de la categorización mercantil que merezca el contrato, debe señalarse que el mismo no encontrará amparo en lo establecido en el artículo 12 de la Ley Orgánica, toda vez que es preciso para que dicho precepto sea de aplicación que el tratante de los datos sea un mero encargado del tratamiento, que actúe en nombre y por cuenta del responsable, siendo así que el párrafo segundo del artículo 22.4 de la Ley 31/1995 al señalar que "El acceso a la información médica de carácter personal se limitará al personal médico y a las autoridades sanitarias que lleven a cabo la vigilancia de la salud de los trabajadores, sin que pueda facilitarse al empresario o a otras personas sin consentimiento expreso del trabajador, se opone al considerar que el tratamiento no sea directamente efectuado por la propia empresa, atribuyéndole por tanto la condición de responsable. Atendiendo a lo que acabamos de indicar, la empresa externa que presta el servicio de prevención será responsable del tratamiento de todos aquellos datos que el trabajador le proporcione en desarrollo de la actividad de prevención de riesgos laborales llevada a cabo por un servicio médico, destinado la vigilancia de la salud de los trabajadores de las empresas que son sus clientes, que deberán ser informadas de las conclusiones que se deriven de los reconocimientos efectuados sólo en relación con la aptitud del trabajador para el desempeño del puesto de trabajo. c. Jorge Juan 6 4
5 Por otro lado, y contestando a la segunda de las cuestiones planteadas, la declaración de aptitud del trabajador para el desempeño de un puesto de trabajo seria un supuesto de cesión de datos que aplicando lo establecido en el párrafo tercero del mismo artículo 22.4, "No obstante lo anterior, el empresario y las personas u órganos con responsabilidades en materia de prevención serán informados de las conclusiones que se deriven de los reconocimientos efectuados en relación con la aptitud del trabajador para el desempeño del puesto de trabajo o con la necesidad de introducir o mejorar las medidas de protección y prevención, a fin de que puedan desarrollar correctamente sus funciones en materia preventiva", el acceso de la empresa a los datos, limitado a lo que se acaba de indicar, supone una cesión de datos de carácter personal, que al estar está autorizada en una Ley, no necesitará del consentimiento de los trabajadores La siguiente cuestión hace referencia al deber de informar a los clientes de los extremos previstos en el artículo 5.1 de la Ley Orgánica, lo que constituye una auténtica obligación para el responsable del fichero y un derecho para todos los clientes. Por ello la consultante debe de informar a todos sus clientes de los extremos previstos en el artículo 5.1 de la Ley Orgánica 15/1999, que dispone lo siguiente Los interesados a los que soliciten datos personales deberán ser previamente informados de modo, expreso, preciso e inequívoco: a)de la existencia de un fichero o tratamiento de datos de carácter personal, de la finalidad de la recogida de éstos de los destinatarios de la información. b) Del carácter obligatorio o facultativo de su respuesta a las preguntas que les sean planteadas. c) De las consecuencias de la obtención de los datos o de la negativa a suministrarlos. d) De la posibilidad de ejercer los derechos de acceso, rectificación, cancelación y oposición. De la identidad y dirección del responsable del tratamiento o, en su caso, de su representante. Y por último se cuestiona las medidas de seguridad adoptar en los ficheros de recursos humanos. el Reglamento de desarrollo de la Ley Orgánica c. Jorge Juan 6 5
6 15/1999, aprobado por Real Decreto 1720/2007 viene a regular las medidas de seguridad en el Título VIII y concretamente el artículo 81 regula la aplicación de los distintos los niveles de seguridad a los ficheros atendiendo los tipos de datos contenidos en el mismos. Dado que en la consulta sólo se habla de los ficheros de recursos humanos sin concretar que tipo de datos se van a incluir, no podemos otorgar una respuesta concreta. Sin embargo a efectos informativos indicar que en la página web de la Agencia, hay varios informes concretando las medidas de seguridad adoptar según los datos que trate el empresario de sus trabajadores. c. Jorge Juan 6 6

References: artículo 10
 artículo 10
 artículo 3
 artículo 11
 artículo 11
 artículo 11
 artículo 10
 artículo 22
 artículo 12
 artículo 22
 artículo 22
 artículo 5
 artículo 5
 Real Decreto 
 artículo 81