| Informe | 2018-0025 |
| Enlace | 📋 |
El informe jurídico de la Agencia Española de Protección de Datos (AEPD) aborda diversas cuestiones relacionadas con el uso de la firma electrónica por parte de los trabajadores de una mutua colaboradora con la Seguridad Social. A partir del 25 de mayo de 2018, el Reglamento General de Protección de Datos (RGPD) es aplicable, desplazando la Ley Orgánica 15/1999 de Protección de Datos.
El informe analiza dos tipos de tratamientos de datos personales: el realizado por la Administración de los datos de los empleados de la mutua cuando entregan documentación en nombre de dicha mutua, y el tratamiento que los empleados de la mutua realizan de datos de terceros, incluidos datos relativos a la salud, y su comunicación a la Administración.
En cuanto al primer tratamiento, la AEPD señala que el tratamiento de datos por la Administración de los datos identificativos de los empleados de las entidades en cuyo nombre actúan está amparado en el artículo 6.e) del RGPD, ya que es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento. La Ley 39/2015 del Procedimiento Administrativo Común de las Administraciones Públicas establece la obligación de las personas jurídicas de relacionarse electrónicamente con las Administraciones públicas, y determina los sistemas de identificación y firma admitidos.
En cuanto al segundo tratamiento, la AEPD señala que los datos de salud constituyen categorías especiales de datos, cuyo tratamiento está prohibido salvo en supuestos específicos. En este caso, el tratamiento es necesario para el cumplimiento de obligaciones y el ejercicio de derechos específicos del responsable del tratamiento en el ámbito del Derecho laboral y de la seguridad y protección social, conforme a lo establecido en el artículo 9.2.b) del RGPD. La Ley General de la Seguridad Social legitima a las mutuas colaboradoras para tratar datos de salud en el ejercicio de las funciones que dicha norma les atribuye.
La AEPD también señala que los empleados de la entidad pueden actuar ante la Administración conforme a las facultades que su empleador les atribuya, sin que sea preciso que todas las actuaciones se lleven a cabo por quien ostente un poder general de representación. La responsabilidad de la entidad empleadora respecto al cumplimiento de sus obligaciones en materia de protección de datos no se modifica por el hecho de que los datos se transmitan a la Administración por un empleado con un poder general, especial o sin poder. La entidad debe determinar qué funciones atribuye a cada uno de sus empleados, siendo responsable por los actos de sus empleados con independencia del tipo de poder que ostenten.