Otra de mutuas

Un fallo avala ceder datos de salud de un trabajador para valorar su aptitud

La Audiencia Nacional ha anulado dos sanciones interpuestas contra una mutua que cedió datos de salud de un trabajador recabados durante la revisión de su incapacidad temporal a su nueva empresa. Según el fallo, dicha cesión está permitida porque la finalidad de la utilización de la información era compatible con aquella para la que se recabó inicialmente.
Gonzalo de Santiago 23/10/2007

La Audiencia Nacional ha estimado el recurso de la Mutua de Accidentes de Trabajo y Enfermedades Profesionales de la Seguridad Social (Fremap) y ha anulado dos sanciones que le fueron impuestas por ceder datos de salud de un trabajador a una empresa en la que estaba en periodo de prueba. La Agencia Española de Protección de Datos (AEPD) impuso a Fremap dos multas por valor total de 360.607 euros por una infracción muy grave del artículo 44.4.b de la Ley Orgánica, 15/1999, de Protección de Datos, que sanciona "la comunicación o cesión de datos de carácter personal, fuera de los casos en los que estén permitidas".

Al trabajador se le dio la baja en su empresa a causa de una hernia discal C6-C7, en virtud de un reconocimiento realizado por Fremap. Posteriormente comenzó a prestar servicios en otra entidad, que durante el periodo de prueba le exigió otra prueba médica, realizado por la misma mutua.

El último día de prueba el afectado fue despedido con una carta que llevaba el logotipo de Fremap y en la que se le achacaban limitaciones para el trabajo.

El trabajador denunció a Fremap por haber incluido en el reconocimiento médico de su nuevo trabajo datos que habían sido recabados durante la revisión de su incapacidad temporal en la anterior empresa e imputaba a la mutua la infracción del artículo 4.2 de la LOPD, que determina que los datos de carácter personal objeto de tratamiento automatizado "no podrán usarse para finalidades incompatibles con aquéllas para las que los datos hubieran sido recogidos".

Además, el denunciante citaba la Directiva 95/46 CE, que señala que si la recogida se hace con unos fines determinados, cualquier uso o tratamiento posterior con finalidad distinta "es incompatible con la primera finalidad que determinó la captura".

La resolución de la AEPD concluyó que se trató de una cesión no consentida de datos personales y entendía que el artículo 22.4 de la Ley de Prevención de Riesgos Laborales no autorizaba dicha comunicación. Este artículo establece que los datos relativos a la vigilancia de la salud de los trabajadores "no podrán ser usados en perjuicio del trabajador" y que el acceso a la información médica de carácter personal "se limitará al personal médico y a las autoridades sanitarias que lleven a cabo la vigilancia de la salud de los trabajadores, sin que pueda facilitarse al empresario o a otras personas sin consentimiento expreso del trabajador".

Utilización justificada
La sentencia de la Audiencia Nacional, facilitada por Aranzadi, reconoce que, efectivamente, los datos del trabajador que recabó Fremap cuando prestaba servicios en la primera empresa fueron utilizados por la mutua en un momento posterior y para otra empresa distinta. Sin embargo, "dicha utilización posterior se produjo con una finalidad compatible con aquélla para la que los datos habían sido recabados inicialmente". Ello porque que tales datos fueron recogidos para conocer el estado de salud del trabajador, a efectos de valorar su aptitud laboral, y su utilización para la segunda empresa se llevó a cabo también para ello.

El tribunal argumenta que, si bien el Tribunal Constitucional ha rechazado los tratamientos de datos de salud de los empleados que no persiguen la mejora ni la prevención sino únicamente controlar el absentismo laboral, en el caso enjuiciado Fremap "sí trató los datos con una finalidad que se encuentra en consonancia con aquélla para los que fueron facilitados".

La sentencia cita la Ley de Autonomía y argumenta que no comunicar los datos podría "dificultar la adecuada y eficaz gestión racional de la sanidad". Además, señala que el supuesto se encuentra amparado en el artículo 11.2 a de la LOPD, que establece que "el consentimiento exigido no será preciso cuando la cesión está autorizada en una ley".