| Informe | 2016-0059 |
| Enlace | 📋 |
Resumen del informe jurídico de la AEPD (2016-0059)
El informe jurídico de la Agencia Española de Protección de Datos (AEPD) analiza si una empresa de restauración, que presta servicios a comedores escolares, puede acceder a los certificados médicos sobre alergias o intolerancias alimentarias de los alumnos para adaptar los menús.
Contexto y normativa aplicable
Los datos de salud (como alergias o intolerancias) están especialmente protegidos según el artículo 7.3 de la LOPDGDD (Ley Orgánica 15/1999) y el artículo 9 del Reglamento de desarrollo (RD 1720/2007), que los considera datos de carácter personal especialmente protegidos. Su tratamiento solo es lícito si existe consentimiento expreso del interesado o una base legal que lo justifique.
Además, la Ley 17/2011 de seguridad alimentaria y nutrición exige que los comedores escolares adapten menús a necesidades especiales, garantizando la seguridad de los alumnos. La LOE (Ley Orgánica 2/2006) también refuerza el principio de igualdad y atención a la diversidad.
Acceso a los certificados médicos
La empresa consultante actuaría como encargada del tratamiento (artículo 3.g LOPDGDD), ya que prestaría un servicio (adaptación de menús) por cuenta del responsable del tratamiento (el colegio). Según el artículo 12 de la LOPDGDD, el acceso a los datos sería lícito si:
Existe un contrato por escrito entre ambas partes, donde se especifique que la empresa solo usará los datos para el fin acordado (adaptación de menús) y no los comunicará a terceros.
No habrá cesión de datos: La empresa no puede utilizar la información para otros fines ni conservarla más allá de lo necesario.
Cumplimiento de medidas de seguridad: Debe garantizar la confidencialidad y destruir los datos una vez finalizado el contrato.
Requisitos clave
Consentimiento de los padres/tutores: Aunque la empresa actúa como encargada, los padres deben haber autorizado previamente el tratamiento de los datos ante el colegio.
Finalidad limitada: Solo se permite acceder a los datos necesarios para adaptar los menús, sin almacenarlos ni compartirlos.
Destrucción o devolución de datos: Tras finalizar la prestación del servicio, la empresa debe devolver o eliminar los certificados médicos.
Conclusión
La empresa de restauración puede acceder a los certificados médicos, pero únicamente como encargada del tratamiento dentro de un marco contractual claro, garantizando la protección de datos y la no cesión a terceros. El colegio (responsable del tratamiento) debe velar por el cumplimiento de estas condiciones.
Posibles riesgos: Si la empresa extrapola los datos o los usa para otros fines, incurriría en infracción grave de la LOPDGDD, respondiendo como único responsable del tratamiento.