| Informe | 2026-0019 |
| Enlace | 📋 |
Resumen del informe jurídico de la AEPD sobre el Proyecto de Real Decreto de transposición de la Directiva (UE) 2023/2668 sobre amianto
El informe jurídico de la Agencia Española de Protección de Datos (AEPD) analiza el Proyecto de Real Decreto que transpone la Directiva (UE) 2023/2668, que modifica la Directiva 2009/148/CE sobre la protección de los trabajadores contra los riesgos del amianto. El objetivo principal del RD es establecer disposiciones mínimas de seguridad y salud para prevenir los riesgos derivados de la exposición al amianto, incorporando obligaciones para empresas y administraciones en materia de protección de datos personales, especialmente datos relativos a la salud de los trabajadores.
Aspectos clave del informe
Tratamiento de datos de salud
El proyecto regula el manejo de datos especialmente protegidos (certificados médicos, historiales de salud, evaluaciones de exposición, etc.), que deben tratarse conforme al RGPD y la LOPDGDD.
Se identifican varios artículos del RD que implican el tratamiento de estos datos:
Art. 11.2.e): Inclusión de certificados médicos en los planes de trabajo.
Art. 11.6: Remisión de planes de trabajo (con datos de salud) entre empresas contratistas y principales.
Art. 16: Vigilancia de la salud de los trabajadores.
Art. 18.2 y 18.3: Remisión a autoridades laborales y sanitarias de fichas con datos de evaluación de exposición y vigilancia sanitaria.
Art. 18.4: Conservación de datos durante 40 años y su remisión a autoridades en caso de cese de la empresa.
Art. 20: Intercambio de información entre autoridades públicas.
Cumplimiento del RGPD y jurisprudencia constitucional
El RGPD prohíbe el tratamiento de datos de salud (Art. 9.1), pero permite excepciones si están amparadas en una norma con rango de ley (Art. 9.2 LOPDGDD).
El Tribunal Constitucional (STC 76/2019) exige que las normas que regulen tratamientos de datos sensibles establezcan medidas específicas de protección, no limitándose a remitir al RGPD.
El proyecto no cumple este requisito, ya que se limita a referirse genéricamente al RGPD y la LOPDGDD sin detallar las garantías concretas para los tratamientos de datos de salud.
Falta de Evaluación de Impacto en Protección de Datos (EIPD)
La Memoria de Análisis de Impacto Normativo (MAIN) reconoce que el RD implica tratamiento de datos personales, pero no incluye una EIPD (obligatoria según el Art. 35 RGPD para tratamientos de alto riesgo).
La AEPD recomienda realizar una EIPD para identificar riesgos y establecer medidas técnicas y organizativas adecuadas.
Deficiencias en la redacción del Art. 19 (Tratamiento de datos)
El proyecto remite al RGPD sin especificar:
Medidas técnicas y organizativas concretas para proteger los datos.
Responsables y encargados del tratamiento (el Art. 19.2 es redundante).
Principios de limitación de finalidad y minimización de datos (el Art. 19.3 no añade nada nuevo al RGPD).
La AEPD sugiere eliminar párrafos redundantes y reforzar las garantías en el tratamiento de datos sensibles.
Problemas en la remisión de datos entre empresas (Art. 11.6)
La Comunidad Autónoma de Canarias señala que la remisión de planes de trabajo con datos de salud entre empresas contratistas y principales no garantiza la confidencialidad.
La AEPD recuerda que no basta con remitirse al RGPD, sino que debe justificarse la idoneidad, necesidad y proporcionalidad de esta medida.
Conservación y remisión de datos (Art. 18.4)
El proyecto establece que, en caso de cese de la empresa, los datos de exposición y vigilancia sanitaria se remitirán a la autoridad laboral, mientras que los historiales médicos irán a la autoridad sanitaria.
La AEPD considera discriminatorio este tratamiento diferenciado y exige igual protección para todos los datos de salud, o al menos una justificación clara de la diferencia.
Conclusiones y recomendaciones de la AEPD
Realizar una EIPD para evaluar riesgos y establecer medidas de protección adecuadas.
Incluir en el RD medidas específicas para el tratamiento de datos de salud, no limitándose a remitir al RGPD.
Clarificar la remisión de datos entre empresas y autoridades, garantizando la confidencialidad.
Alinear el Art. 18.4 con la Directiva europea, asegurando que todos los datos de salud reciban el mismo nivel de protección.
Evitar remisiones genéricas al RGPD en un RD que afecta a derechos fundamentales, siguiendo la jurisprudencia del TC.
En resumen, el informe de la AEPD critica la falta de concreción y garantías en el tratamiento de datos de salud en el proyecto de RD, exigiendo un enfoque más riguroso para cumplir con el RGPD y la jurisprudencia constitucional.