| Informe | 2016-0199 |
| Enlace | 📋 |
Resumen del Informe Jurídico de la AEPD (Caso 2016-0199)
La consulta presentada ante la Agencia Española de Protección de Datos (AEPD) plantea la legalidad del acceso de los órganos de personal de la Dirección de Área Territorial de una Consejería a los sistemas informáticos de bases de datos médicos del Instituto Nacional de la Seguridad Social (INSS). Estos datos incluyen resoluciones razonadas e informes médicos de síntesis elaborados por los Equipos de Valoración de Incapacidades (EVI) para el reconocimiento de prestaciones económicas del Régimen de Mutualismo Administrativo, como licencias por enfermedad, incapacidad temporal o jubilación por incapacidad permanente.
La AEPD analiza si este tratamiento y cesión de datos de salud cumple con la Ley Orgánica 15/1999 (LOPD) y su reglamento de desarrollo (RD 1720/2007), dado que los datos sanitarios son una categoría especial protegida según el artículo 7.3 LOPD, que exige una base legal específica o el consentimiento del afectado para su tratamiento. La AEPD concluye que no existe habilitación legal suficiente en este caso, ya que:
La LOPD exige una base legal explícita para el tratamiento de datos de salud (art. 7.3 LOPD), y ni la LOPD ni su normativa de desarrollo contemplan expresamente el acceso directo a informes médicos detallados por parte de los órganos administrativos para la gestión de licencias por enfermedad.
La normativa específica aplicable (Texto Refundido de la Ley sobre Seguridad Social de los Funcionarios Civiles del Estado, aprobado por RD Legislativo 4/2000) regula en sus artículos 19.3 y 19.4 el control y concesión de licencias por incapacidad temporal, pero solo autoriza el tratamiento de datos sanitarios necesarios para tal fin, es decir, los resultados de los partes médicos oficiales o los informes de asesoramiento facultativo en poder del órgano de personal o de las unidades médicas de seguimiento de MUFACE (Mutualidad General de Funcionarios Civiles del Estado), pero no el acceso pleno a los sistemas informáticos del INSS ni a informes médicos de síntesis.
En concreto, el desarrollo reglamentario (RD 2/2010 y Orden PRE/1744/2010) establece que los órganos de personal únicamente pueden acceder a:
Los partes médicos de baja/iniciales y prórrogas, que deben ajustarse a modelos oficiales y contener información limitada a los datos esenciales sobre la incapacidad.
El asesoramiento médico proporcionado por las unidades propias o de MUFACE, pero no a los informes detallados generados por los EVI del INSS.
Datos codificados para su tratamiento en el fichero automatizado de MUFACE, siempre que sean datos adecuados, pertinentes y no excesivos.
La AEPD recuerda que el Consid. 47 del Reglamento UE 2016/679 (RGPD) subraya que las autoridades públicas deben actuar en el estricto marco legal establecido, y que no cabe alegar un «interés legítimo» genérico para justificar este tipo de accesos. Además, reitera que la Sentencia del Tribunal Supremo de 21 de julio de 2016 avala que la normativa vigente debe interpretarse conforme al RGPD, incluso antes de su plena entrada en vigor (que sería en 2018).
Por tanto, la AEPD determina que el acceso pretendido por los órganos de personal supera el ámbito legalmente habilitado, ya que no se limita a los datos estrictamente necesarios para la concesión de licencias, sino que buscaría acceder a información médica detallada (informes de síntesis de los EVI) fuera del control directo de MUFACE. En consecuencia:
No existe base legal suficiente para que los órganos de personal accedan a los sistemas informáticos del INSS o a informes médicos de síntesis sin el consentimiento del afectado.
El tratamiento de datos de salud debe ceñirse estrictamente a lo dispuesto en el Texto Refundido y la normativa de desarrollo, garantizando la proporcionalidad y la minimización de datos (solo los imprescindibles para gestionar la incapacidad temporal).
En síntesis, el informe concluye que la consulta carece de fundamento legal y supondría una violación del principio de limitación de la finalidad (art. 5.1.c RGPD) y del derecho a la intimidad y protección de datos sanitarios, por lo que no se podrá realizar el tratamiento y cesión pretendidos sin contar con el consentimiento del interesado o una habilitación legal específica que lo autorice.