Revisions mèdiques Ajuntament i protecció de dades

Plantejament

Una Corporació rep d’ una empresa el servei de revisions mèdiques anuals. A l’efecte de preparar la nova licitació necessitaríem saber, quin és el tractament que s’ha d’aplicar en relació a la protecció de dades mèdiques dels empleats?

– Ha de tenir accés la Corporació a aquestes dades com a responsable del tractament?

– En cas contrari, com s’ha de formular el Plec Administratiu per traslladar aquestes dades d’una empresa a una altra?

– Ha d’eliminar l’empresa anterior les dades un cop formalitzat el contracte amb la nova empresa?

Resposta

En primer lloc, les dades mèdiques dels empleats tenen la consideració de dades personals seguint l’article 4.15) del Reglament (UE) 2016/679 del Parlament Europeu i del Consell, de 27 d’abril de 2016, relatiu a la protecció de les persones físiques pel que fa al tractament de dades personals i a la lliure circulació d’aquestes dades i pel qual es deroga la Directiva 95/46/CE (Reglament general de protecció de dades) – RGPD-:

“15) «dades relatives a la salut»: dades personals relatives a la salut física o mental d’una persona física, inclosa la prestació de serveis d’atenció sanitària, que revelin informació sobre el seu estat de salut”.

A més, l’ art.5.1.a) del RGPD estableix que tot tractament de dades personals se sotmetrà als principis de licitud, lleialtat i transparència.

Per tant, per efectuar el tractament d’ aquestes dades s’ hauran de donar alguna de les circumstàncies previstes a l’ art.6.1 RGPD:

“1. El tractament només serà lícit si es compleix almenys una de les següents condicions:

1. a) l’ interessat va donar el seu consentiment per al tractament de les seves dades personals per a un o diversos fins específics;
2. b) el tractament és necessari per a l’ execució d’ un contracte en el qual l’ interessat és part o per a l’ aplicació a petició d’ aquest de mesures precontractuals;
3. c) el tractament és necessari per al compliment d’ una obligació legal aplicable al responsable del tractament;
4. d) el tractament és necessari per protegir interessos vitals de l’ interessat o d’ una altra persona física;
5. e) el tractament és necessari per al compliment d’ una missió realitzada en interès públic o en l’ exercici de poders públics conferits al responsable del tractament;
6. f) el tractament és necessari per a la satisfacció d’ interessos legítims perseguits pel responsable del tractament o per un tercer, sempre que sobre aquests interessos no prevalguin els interessos o els drets i llibertats fonamentals de l’ interessat que requereixin la protecció de dades personals, en particular quan l’ interessat sigui un infant.

El que disposa la lletra f) del paràgraf primer no serà d’ aplicació al tractament realitzat per les autoritats públiques en l’ exercici de les seves funcions”.

Així mateix, d’ acord amb l’ art.9 RGPD:

“1. Queden prohibits el tractament de dades personals que revelin l’origen ètnic o racial, les opinions polítiques, les conviccions religioses o filosòfiques, o l’afiliació sindical, i el tractament de dades genètiques, dades biomètriques dirigides a identificar de manera unívoca una persona física, dades relatives a la salut o dades relatives a la vida sexual o les orientació sexuals d’una persona física. 2. L’apartat 1 no serà d’aplicació quan concorri una de les circumstàncies següents: h) el tractament és necessari per a finalitats de medicina preventiva o laboral, avaluació de la capacitat laboral del treballador, diagnòstic mèdic, prestació d’assistència o tractament de tipus sanitari o social, o gestió dels sistemes i serveis d’assistència sanitària i social,  sobre la base del Dret de la Unió o dels Estats membres o en virtut d’ un contracte amb un professional sanitari i sense perjudici de les condicions i garanties contemplades en l’ apartat 3”.

Quant a la legitimació per al tractament de dades de revisions mèdiques anuals, l’article 22 de la Llei 31/1995, de 8 de novembre, de Prevenció de Riscos Laborals -LPRL- disposa que:

“1. L’empresari garantirà als treballadors al seu servei la vigilància periòdica del seu estat de salut en funció dels riscos inherents al treball.

Aquesta vigilància només podrà dur-se a terme quan el treballador presti el seu consentiment. D’ aquest caràcter voluntari només s’ exceptuaran, previ informe dels representants dels treballadors, els supòsits en què la realització dels reconeixements sigui imprescindible per avaluar els efectes de les condicions de treball sobre la salut dels treballadors o per verificar si l’ estat de salut del treballador pot constituir un perill per al mateix,  per als altres treballadors o per a altres persones relacionades amb l’ empresa o quan així estigui establert en una disposició legal en relació amb la protecció de riscos específics i activitats d’ especial perillositat.

En tot cas s’ haurà d’ optar per la realització d’ aquells reconeixements o proves que causin les menors molèsties al treballador i que siguin proporcionals al risc.

2. Les mesures de vigilància i control de la salut dels treballadors es duran a terme respectant sempre el dret a la intimitat i a la dignitat de la persona del treballador i la confidencialitat de tota la informació relacionada amb el seu estat de salut.
3. Els resultats de la vigilància a què es refereix l’apartat anterior seran comunicats als treballadors afectats.
4. Les dades relatives a la vigilància de la salut dels treballadors no podran ser usades amb finalitats discriminatòries ni en perjudici del treballador.

L’ accés a la informació mèdica de caràcter personal es limitarà al personal mèdic i a les Autoritats sanitàries que duguin a terme la vigilància de la salut dels treballadors, sense que pugui facilitar-se a l’ empresari o a altres persones sense consentiment exprés del treballador.

No obstant l’ anterior, l’ empresari i les persones o òrgans amb responsabilitats en matèria de prevenció seran informats de les conclusions que es derivin dels reconeixements efectuats en relació amb l’ aptitud del treballador per a l’ acompliment del lloc de treball o amb la necessitat d’ introduir o millorar les mesures de protecció i prevenció,  per tal que puguin desenvolupar correctament les seves funcions en matèria preventiva.

5. En els supòsits en què la naturalesa dels riscos inherents al treball ho faci necessari, el dret dels treballadors a la vigilància periòdica del seu estat de salut haurà de ser perllongat més enllà de la finalització de la relació laboral, en els termes que reglamentàriament es determinin.
6. Les mesures de vigilància i control de la salut dels treballadors es duran a terme per personal sanitari amb competència tècnica, formació i capacitat acreditada”.

Del que disposa el precepte es desprèn que caldrà el consentiment del treballador, com a regla general, per a la realització de les accions de vigilància de la salut i els resultats de la vigilància a què es refereix l’ apartat anterior seran comunicats als treballadors afectats. No obstant això, l’ anterior, l’ ajuntament serà informat de les conclusions que es derivin dels reconeixements efectuats en relació amb l’ aptitud del treballador per a l’ acompliment del lloc de treball o amb la necessitat d’ introduir o millorar les mesures de protecció i prevenció.

Així, seguint Informe 0206/2010 de l’Agència Espanyola de Protecció de Dades -AEPD-:

“Les conseqüències d’ aquest precepte afecten, òbviament l’ abast de la informació a la qual podrà tenir accés cadascun dels agents involucrats en les accions de vigilància de la salut, però alhora delimita els supòsits en què la Llei legitima el tractament d’ aquestes dades de salut sense comptar amb el consentiment de l’ interessat; és a dir, els supòsits en què l’ esmentat consentiment quedarà exceptuat per així preveure’ l una norma amb rang suficient. Així, una vegada efectuades les accions de vigilància de la salut, l’ accés i tractament de les dades de caràcter personal relacionades amb la pràctica dels reconeixements podrà realitzar-se sense consentiment de l’ interessat pel personal mèdic que realitza aquells, podent a més ser objecte de comunicació a les autoritats sanitàries. En els restants supòsits, la cessió de les dades quedarà vedada llevat que el treballador així ho consenteixi expressament”.

En conseqüència, la corporació no ha de tenir accés a aquestes dades.

Per tant, el Plec Administratiu haurà de formular-se de tal manera que contingui l’objecte del contracte del servei de revisions mèdiques anuals, advertint que en tot cas es respectarà el principi de confidencialitat previst en la normativa respectant, al seu torn, la LO 3/2018 de 5 de desembre, de Protecció de Dades Personals i Garantia dels Drets Digitals -LOPD- i el RGPD.

Igualment, les dades que se li comuniquen a l’ ajuntament per part de l’ empresa del servei de revisions mèdiques, solen efectuar-se en termes d’ aptitud o no aptitud, seguint el que disposa la LPRL.

Finalment, respecte a si l’ empresa anterior ha d’ eliminar les dades un cop formalitzat el contracte amb la nova empresa, l’ art. 23 LPRL:

“1. L’empresari haurà d’elaborar i conservar a disposició de l’autoritat laboral la següent documentació relativa a les obligacions establertes en els articles anteriors:

1. a) Pla de prevenció de riscos laborals, d’ acord amb el que preveu l’ apartat 1 de l’ article 16 d’ aquesta llei.
2. b) Avaluació dels riscos per a la seguretat i la salut en el treball, inclòs el resultat dels controls periòdics de les condicions de treball i de l’ activitat dels treballadors, d’ acord amb el que disposa el paràgraf a) de l’ apartat 2 de l’ article 16 d’ aquesta llei.
3. c) Planificació de l’ activitat preventiva, incloses les mesures de protecció i de prevenció a adoptar i, si s’ escau, material de protecció que s’ hagi d’ utilitzar, de conformitat amb el paràgraf b) de l’ apartat 2 de l’ article 16 d’ aquesta llei.
4. d) Pràctica dels controls de l’ estat de salut dels treballadors previstos a l’ article 22 d’ aquesta Llei i conclusions obtingudes d’ aquests en els termes recollits en el darrer paràgraf de l’ apartat 4 de l’ esmentat article.
5. e) Relació d’ accidents de treball i malalties professionals que hagin causat al treballador una incapacitat laboral superior a un dia de treball. En aquests casos l’ empresari realitzarà, a més, la notificació a què es refereix l’ apartat 3 del present article.
6. En el moment de cessació de la seva activitat, les empreses hauran de remetre a l’autoritat laboral la documentació assenyalada en l’apartat anterior”.

En relació amb l’ art.30.3 LPRL:

“3. Per a la realització de l’activitat de prevenció, l’empresari haurà de facilitar als treballadors designats l’accés a la informació i documentació a què es refereixen els articles 18 i 23 d’aquesta Llei”.

Per tant, en produir-se un canvi d’ empresa per a la prestació del servei de revisions mèdiques anuals, podria comunicar-se les dades a la nova empresa i no necessàriament ser eliminades, tenint en compte el principi de minimització de dades i limitació de la finalitat reconeguts en l’ art. 5 RGPD, és a dir, únicament seran tractades les dades precises per a cadascuna de les finalitats del tractament i que aquestes dades no seran tractades ulteriorment de manera incompatible amb els seus fins.

Conclusions

1a. Les dades mèdiques tenen la consideració de dades personals segons el RGPD.

2a. La corporació no ha de tenir accés a aquestes dades seguint la LPRL, sí que el tindrà el personal mèdic.

3a. Per traslladar les dades d’ una empresa a una altra, el Plec Administratiu haurà d’ advertir de la subjecció al principi de confidencialitat previst en la normativa respectant, al seu torn, la LOPD i el RGPD.

4a. Un cop finalitzi el contracte, seria convenient que l’ empresa anterior comuniqués les dades a la nova empresa tenint en compte el principi de minimització de dades i limitació de la finalitat, sense que sigui necessària la seva eliminació.

Font: El Dret Local