Sentencia Contencioso-Administrativo Audiencia Nacional. Sala de lo Contencioso-Administrativo. Sección Primera, Rec. 1538/2021 de 24 de mayo del 2024

PRIMERO : El Abogado del Estado en la representación que ostenta de la Administración General del Estado (Ministerio del Interior) interpone recurso contencioso administrativo contra la resolución de la Agencia Española de Protección de Datos de 25 marzo 2021 que desestima el recurso de reposición formulado por la Secretaria General de Instituciones Penitenciarias contra la resolución de 12 febrero 2021 en la que se le impone una sanción de apercibimiento por infracción del art. 5.1.c RGPD, de conformidad con el art. 93.5 del mismo texto legal, exp. NUM000.

La resolución impugnada resolutoria del recurso de reposición destaca que el reclamante, Jose Ignacio, el 24 septiembre 2019 interpuso reclamación ante la Agencia Española de Protección de Datos contra la Secretaria General de Instituciones penitenciarias en la que manifestaba que había sido sancionado con la reducción de sus retribuciones salariales hasta en dos ocasiones por no haber atendido las exigencias de la Directora del Centro Penitenciario de Lanzarote, lugar de su trabajo, de ceder datos e información médica referida a su estado de salud. La Directora de la Agencia Española de Protección de Datos en resolución de fecha 24 octubre 2019 acuerda el archivo de la reclamación por no apreciarse elementos que permitieran investigar una vulneración de derechos reconocidos en el ámbito de la Agencia Española de Protección de Datos. El funcionario Jose Ignacio interpuso recurso de reposición que fue estimado con el escueto fundamento de que el reclamante había aportado nuevas alegaciones relevantes.

El orden cronológico de los hechos consiste en: Los días 7 a 9 abril 2019 el reclamante no asistió al trabajo por encontrarse enfermo, presentando justificante médico. El 9 mayo 2019 la Directora del Centro Penitenciario emite resolución donde requiere el diagnóstico y tratamiento médico del reclamante. El 17 mayo se presentan alegaciones alegando que el tratamiento médico y diagnóstico pertenecen a su intimidad y el 2 junio 2019 emite una resolución en la que se le comunica la deducción en su nómina de los días de ausencia por no haber atendido a la petición de información requerida. El 10 mayo 2019 asistió a consulta médica durante la jornada de trabajo y presentó justificante de asistencia a la consulta. Y el 17 mayo se le notifica resolución en l que se le indica que en ese justificante no consta ni el diagnóstico ni el tratamiento médico y se le advierte que de no justificarlo o de aportar esa información se procederá a descontar las horas no trabajadas. El 23 mayo presenta alegaciones volviendo a insistir en que dicha información entra en el ámbito de su intimidad y protegida por protección de datos.

El 9 junio 2020 la Agencia Española de Protección de Datos acuerda iniciar procedimiento sancionador por presunta infracción del art. 5.1.c RGPD arts. 83.5.a. y 58.2.b. RGPD. La Secretaría General de Instituciones Penitenciarias formula alegaciones el 1-7-20 y señala que la Ley General Penitenciaria tiene como función asignada garantizar los servicios penitenciarios que permitan la ejecución de la pena privativa de libertad y control de los servicios que prestan los funcionarios. Los hechos guardan relación con el contexto de una actividad donde la ausencia no planificada de efectivos puede suponer un riesgo adicional para el mantenimiento de la seguridad y el orden de régimen interno del centro. Que, en las ausencias del 7 al 9 abril, durante el ciclo que debía de llevar a cabo fue llamado reiteradamente por teléfono sin que atendiera las llamadas. Y en cuanto al 10 mayo no se presentó al inicio de su jornada a las 8 de la mañana, entró a las 12h presentando un parte de consulta médica. Ante la sospecha de que se tratase de incapacidades ficticias se le solicitó que concretase el diagnóstico y el tratamiento médico, y entiende que existen consideraciones jurídicas específicas para tener en cuenta para evitar que la normativa de protección de datos sirva como fraude de ley y el riesgo de convertir en no fiscalizables y opacas esas ausencias de servicio. Se alude al RD 956/2018 de 27 julio que aprueba y publica el acuerdo adoptado por la Mesa General de Negociación de la Administración General del estado de 23 julio 2018 en relación al régimen retributivo de la situación de incapacidad temporal del personal al servicio de la Administración General del Estado y Organismos o Entidades públicas dependientes. Alude a la resolución de 28 febrero 2019 de la Secretaría de Estado de Función Pública arts. 11.3 y 4. Esta Resolución de 28 de febrero de 2019, de la Secretaría de Estado de Función Pública, por la que se dictan instrucciones sobre jornada y horarios de trabajo del personal al servicio de la Administración General del Estado y sus organismos públicos, en su texto original, en el art.11 dispone:

11.3En los supuestos de ausencia parcial al puesto de trabajo como consecuencia de la asistencia a consulta, prueba o tratamiento médicos, dicho periodo de tiempo se considerará como de trabajo efectivo siempre que la ausencia se limite al tiempo necesario y se justifique documentalmente su asistencia y la hora de la cita.

11.4En los casos de ausencia durante la totalidad de la jornada diaria por causa de enfermedad o accidente sin que se haya expedido parte médico de baja, deberá darse aviso de esta circunstancia al superior jerárquico de manera inmediata y comportará, en su caso, la reducción de retribuciones prevista en la regulación aplicable a las ausencias al trabajo por causa de enfermedad o accidente que no dé lugar a una situación de incapacidad temporal.

En todo caso, una vez reincorporado el empleado o empleada a su puesto, deberá justificar de manera inmediata la concurrencia de la causa de enfermedad.

En fecha 18 enero 2021 se formula propuesta de resolución por infracción del art. 5.1.c RGPD en relación al art. 83.5.a RGPD apercibimiento. Y tras las alegaciones de la reclamada se impone la sanción de apercibimiento. En la resolución sancionadora se hace referencia al art. 4 RGPD que establece: 15) «datos relativos a la salud»: datos personales relativos a la salud física o mental de una persona física, incluida la prestación de servicios de atención sanitaria, que revelen información sobre su estado de salud; y el considerando 35 dispone: Entre los datos personales relativos a la salud se deben incluir todos los datos relativos al estado de salud del interesado que dan información sobre su estado de salud física o mental pasado, presente o futuro. Se incluye la información sobre la persona física recogida con ocasión de su inscripción a efectos de asistencia sanitaria, o con ocasión de la prestación de tal asistencia, de conformidad con la Directiva 2011/24/UE del Parlamento Europeo y del Consejo ( 1 ); todo número, símbolo o dato asignado a una persona física que la identifique de manera unívoca a efectos sanitarios; la información obtenida de pruebas o exámenes de una parte del cuerpo o de una sustancia corporal, incluida la procedente de datos genéticos y muestras biológicas, y cualquier información relativa, a título de ejemplo, a una enfermedad, una discapacidad, el riesgo de padecer enfermedades, el historial médico, el tratamiento clínico o el estado fisiológico o biomédico del interesado, independientemente de su fuente, por ejemplo un médico u otro profesional sanitario, un hospital, un dispositivo médico, o una prueba diagnóstica in vitro.

Estamos ante datos de categoría especial y el art. 9 dice que: " Tratamiento de categorías especiales de datos personales"

1. Quedan prohibidos el tratamiento de datos personales que revelen el origen étnico o racial, las opiniones políticas, las convicciones religiosas o filosóficas, o la afiliación sindical, y el tratamiento de datos genéticos, datos biométricos dirigidos a identificar de manera unívoca a una persona física, datos relativos a la salud o datos relativos a la vida sexual o las orientaciones sexuales de una persona física.

2. El apartado 1 no será de aplicación cuando concurra una de las circunstancias siguientes: a) el interesado dio su consentimiento explícito para el tratamiento de dichos datos personales con uno o más de los fines especificados, excepto cuando el Derecho de la Unión o de los Estados miembros establezca que la prohibición mencionada en el apartado 1 no puede ser levantada por el interesado; b) el tratamiento es necesario para el cumplimiento de obligaciones y el ejercicio de derechos específicos del responsable del tratamiento o del interesado en el ámbito del Derecho laboral y de la seguridad y protección social, en la medida en que así lo autorice el Derecho de la Unión de los Estados miembros o un convenio colectivo con arreglo al Derecho de los Estados miembros que establezca garantías adecuadas del respeto de los derechos fundamentales y de los intereses del interesado; c) el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física, en el supuesto de que el interesado no esté capacitado, física o jurídicamente, para dar su consentimiento; d) el tratamiento es efectuado, en el ámbito de sus actividades legítimas y con las debidas garantías, por una fundación, una asociación o cualquier otro organismo sin ánimo de lucro, cuya finalidad sea política, filosófica, religiosa o sindical, siempre que el tratamiento se refiera exclusivamente a los miembros actuales o antiguos de tales organismos o a personas que mantengan contactos regulares con ellos en relación con sus fines y siempre que los datos personales no se comuniquen fuera de ellos sin el consentimiento de los interesados; e) el tratamiento se refiere a datos personales que el interesado ha hecho manifiestamente públicos; f) el tratamiento es necesario para la formulación, el ejercicio o la defensa de reclamaciones o cuando los tribunales actúen en ejercicio de su función judicial; g) el tratamiento es necesario por razones de un interés público esencial, sobre la base del Derecho de la Unión o de los Estados miembros, que debe ser proporcional al objetivo perseguido, respetar en lo esencial el derecho a la protección de datos y establecer medidas adecuadas y específicas para proteger los intereses y derechos fundamentales del interesado; h) el tratamiento es necesario para fines de medicina preventiva o laboral, evaluación de la capacidad laboral del trabajador, diagnóstico médico, prestación de asistencia o tratamiento de tipo sanitario o social, o gestión de los sistemas y servicios de asistencia sanitaria y social, sobre la base del Derecho de la Unión o de los Estados miembros o en virtud de un contrato con un profesional sanitario y sin perjuicio de las condiciones y garantías contempladas en el apartado 3; i) el tratamiento es necesario por razones de interés público en el ámbito de la salud pública, como la protección frente a amenazas transfronterizas graves para la salud, o para garantizar elevados niveles de calidad y de seguridad de la asistencia sanitaria y de los medicamentos o productos sanitarios, sobre la base del Derecho de la Unión o de los Estados miembros que establezca medidas adecuadas y específicas para proteger los derechos y libertades del interesado, en particular el secreto profesional, L 119/38 ES Diario Oficial de la Unión Europea 4.5.2016 j) el tratamiento es necesario con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos, de conformidad con el artículo 89, apartado 1, sobre la base del Derecho de la Unión o de los Estados miembros, que debe ser proporcional al objetivo perseguido, respetar en lo esencial el derecho a la protección de datos y establecer medidas adecuadas y específicas para proteger los intereses y derechos fundamentales del interesado.

3. Los datos personales a que se refiere el apartado 1 podrán tratarse a los fines citados en el apartado 2, letra h), cuando su tratamiento sea realizado por un profesional sujeto a la obligación de secreto profesional, o bajo su responsabilidad, de acuerdo con el Derecho de la Unión o de los Estados miembros o con las normas establecidas por los organismos nacionales competentes, o por cualquier otra persona sujeta también a la obligación de secreto de acuerdo con el Derecho de la Unión o de los Estados miembros o de las normas establecidas por los organismos nacionales competentes.

4. Los Estados miembros podrán mantener o introducir condiciones adicionales, inclusive limitaciones, con respecto al tratamiento de datos genéticos, datos biométricos o datos relativos a la salud.

Y la LO 3/2018 añade que: 1. A los efectos del artículo 9.2.a) del Reglamento (UE) 2016/679 , a fin de evitar situaciones discriminatorias, el solo consentimiento del afectado no bastará para levantar la prohibición del tratamiento de datos cuya finalidad principal sea identificar su ideología, afiliación sindical, religión, orientación sexual, creencias u origen racial o étnico.

Lo dispuesto en el párrafo anterior no impedirá el tratamiento de dichos datos al amparo de los restantes supuestos contemplados en el artículo 9.2 del Reglamento (UE) 2016/679 , cuando así proceda.

2. Los tratamientos de datos contemplados en las letras g ), h ) e i) del artículo 9.2 del Reglamento (UE) 2016/679 fundados en el Derecho español deberán estar amparados en una norma con rango de ley, que podrá establecer requisitos adicionales relativos a su seguridad y confidencialidad.

En particular, dicha norma podrá amparar el tratamiento de datos en el ámbito de la salud cuando así lo exija la gestión de los sistemas y servicios de asistencia sanitaria y social, pública y privada, o la ejecución de un contrato de seguro del que el afectado sea parte.

La DA 17ª: Tr atamientos de datos de salud.

1. Se encuentran amparados en las letras g ), h ), i) y j) del artículo 9.2 del Reglamento (UE) 2016/679 los tratamientos de datos relacionados con la salud y de datos genéticos que estén regulados en las siguientes leyes y sus disposiciones de desarrollo:

a) La Ley 14/1986, de 25 de abril, General de Sanidad.

b) La Ley 31/1995, de 8 de noviembre, de Prevención de Riesgos Laborales.

c) La Ley 41/2002, de 14 de noviembre, básica reguladora de la autonomía del paciente y de derechos y obligaciones en materia de información y documentación clínica.

d) La Ley 16/2003, de 28 de mayo, de cohesión y calidad del Sistema Nacional de Salud.

e) La Ley 44/2003, de 21 de noviembre, de ordenación de las profesiones sanitarias.

f) La Ley 14/2007, de 3 de julio, de Investigación biomédica.

g) La Ley 33/2011, de 4 de octubre, General de Salud Pública.

En definitiva, se trata de excepciones que deben ser interpretadas con carácter restrictivo salvo que se cuente con el consentimiento y en el presente caso, no concurre causa que justifique que el Centro Penitenciario pueda recoger diagnósticos de la salud del reclamante que ha presentado justificante médico de sus ausencias que no implican una baja médica. El reclamante justificó de manera inmediata su ausencia con un justificante médico y no parece que en la resolución de 28 febrero 2019 se exija que contenga un diagnóstico o la posibilidad de que sea el diagnóstico.

El art. 6.1 RGPD señala que el tratamiento solo será lícito si se cumple al menos alguna de las siguientes condiciones y no concurren como tampoco concurre ninguna de las causas del art. 9 pues no hay ni consentimiento del afectado ni norma con rango de ley que permita para justificar las ausencias del trabajo que haya que aportar un diagnóstico médico. Insiste la resolución en que los datos médicos constituyen una categoría especial de datos y se generan por y para el paciente y no se justifica la reducción salarial por el tiempo de las ausencias cuando la norma no exige no establece que se debe de acreditar el diagnóstico médico. Se infringe el art. 5.1.c RGPD y conforme al art.83.5.a, art. 83.7 se impone a la Secretaría General de Instituciones Penitenciarias una sanción de apercibimiento.

SEGUNDO : El Abogado del Estado en el escrito de demanda parte de la Resolución de 28 febrero 2019 de la Secretaría de Estado de Función Pública, por la que se dictan instrucciones sobre jornada y horarios de trabajo del personal al servicio de la Administración General del Estado y sus organismos públicos. El reclamante aportó justificante médico en el que no se señalaba la enfermedad padecida, solamente se mencionaba "indisposición" de la persona, de ahí que el Centro Penitenciario le reclamase la aportación de documento con diagnóstico médico y tratamiento. La Secretaría General de Instituciones Penitenciarias no procedió al tratamiento de dato alguno, y los actos administrativos de reducción de salario se realizaron por la ausencia al lugar de trabajo sin causa justificada. Dice la demanda que no se discute el carácter de datos personales del diagnóstico y tratamiento médico como datos personales de salud, pero la Administración sancionada no ha incurrido en infracción tipificada en el RGPD no ha realizado tratamiento alguno. Y, además, el reclamante puede impugnar, y lo ha hecho, el acto administrativo que acuerda la reducción de haberes. Subsidiariamente, en el caso de que se entienda que ha existido tratamiento de datos de carácter personal no hay infracción del art. 5.1.c RGPD los datos personales serán adecuados, pertinentes y limitados a lo necesario en relación con los fines con los que son tratados (minimización de datos). Y solo será lícito conforme al art. 6.1.c): "el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento" y e):" el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento". Y refiere la DA 54ª de la Ley 6/2018. Las resoluciones impugnadas no son conforme a derecho porque la Administración no ha incurrido en infracción tipificada, pues no ha realizado tratamiento alguno. La actuación realizada por la administración ha sido en base a la interpretación que mantiene sobre las normas que regulan la función pública, en particular las instrucciones sobre ausencias justificadas. Considera que, en el caso de autos no existe justificación suficiente y es por lo que acuerda la reducción de determinados haberes que ha impugnado el interesado.

En cuanto a las circunstancias generales de la Secretaría General de Instituciones Penitenciarias ha de considerarse que la condición psicofísica de los funcionarios de Instituciones Penitenciarias es de capital importancia para desempeñar su cometido y que debe ser tenida en cuenta para realizar determinadas tareas, especialmente cuando están referidas a la vigilancia interior. Ello determina que la indisposición que pueda tener un funcionario por razones médicas pueda determinar su falta de capacidad para esa función, lo que hace necesario que la Dirección de los Centros para la asignación de la realización de los diferentes servicios deba conocer la dolencia padecida por el funcionario. Solo conociendo la dolencia o enfermedad padecida por el trabajador podrá instarse un reconocimiento médico obligatorio previsto en el art. 22.1 párrafo 2º Ley 31/1995 de Prevención de Riesgos Laborales. En el caso concreto, existe una necesidad por parte de la Administración de poder adoptar un plus de garantías en puestos de trabajo en el Centro Penitenciario de Arrecife de pues se trata de un establecimiento en el que se da una llamativa frecuencia estadística de bajas laborales que no llegan a convertirse en IT. Además, los partes de ausencia presentados por don Jose Ignacio están en blanco resultando del todo inmotivados. Si se examina el parte se comprueba que la fecha de indisposición abarca del "7/04 al 9/04," "total 3 días", constando firmado el 9/04/2019 y con el sello del médico. De este modo, como señalaba el recurso de reposición, el médico está dando validez, como baja por enfermedad, a tres jornadas laborales, siendo el tercer día de baja cuando ve al funcionario y haciendo extensiva la baja a los dos días anteriores. Por tanto, como se infiere de la secuencia descrita, es el propio funcionario quien está gestionando el tiempo de baja, otorgando el médico carácter invalidante para la prestación del servicio a la mera manifestación del funcionario ausente. A su vez, como también reconoce el Sr. Jose Ignacio, este no avisó de su ausencia al Centro Penitenciario como era su obligación, generando una perturbación en el servicio fijado para el normal desarrollo de las actividades de seguridad y de tratamiento del Centro Penitenciario en razón a la población reclusa que en él se encuentra. Cuando se presenta a trabajar es cuando pretende justificar la ausencia de tres días pues el médico, como se ha dicho, se ha limitado a dar validez a dicho periodo desde el último de los días reseñados por el interesado. Por cierto, que el facultativo que emite los "justificantes" de ausencia es el mismo que los ha emitido reiteradamente, hasta el punto de que la Directora del Centro Penitenciario de Arrecife se vio obligada a remitir comunicación al Colegio de Médicos de Las Palmas (sede de Lanzarote) ante lo llamativo del caso. Copia de tal comunicación aparece en el expediente, adjunto al recurso de reposición.

Existe una norma con rango de ley para los datos de especial protección, como la salud, que autoriza mediante las correspondientes Instrucciones no impugnadas y que son firmes, que se regulen las formas específicas de justificación de ausencias por motivos de enfermedad. Y considerando el específico contexto del caso recabar los datos de salud referidos al diagnóstico y tratamiento resulta adecuado pertinente, y limitado a los fines que le son propios. La Administración Penitenciaria cumple un servicio esencial que exige atender y garantizar la seguridad de los centros, su buen orden, la ordenada convivencia y ,de manera muy especial, la vida, la salud, y las necesidades básicas, incluidas las actividades de tratamiento, a la población reclusa durante las 24 horas de todos los días del año. En definitiva, los datos de salud recabados tienen el exclusivo objetivo del ejercicio de las funciones que le son propias y exigibles en aras del interés general que la Administración debe salvaguardar. Y suplica que se tenga por formulada demanda en el presente recurso contencioso administrativo y se dicte sentencia estimándolo y anulando la resolución de 25 de marzo de 2021 de la Agencia Española de Protección de Datos que desestima el recurso de reposición interpuesto por la Secretaría General de Instituciones Penitenciarias contra la resolución de 12 de febrero de 2021 por la que se impone a dicha Secretaría General una sanción de a apercibimiento en el expediente sancionador NUM000 por infracción del art. 5.1.c RGPD.

TERCERO : La Agencia Española de Protección de Datos en su escrito de contestación a la demanda se opuso a la misma. El funcionario que interpuso ante la Agencia Española de Protección de Datos la denuncia que dio lugar al expediente sancionador no se presentó en su puesto de trabajo entre los días 7 a 9 de abril del 2019 presentando un parte médico de 9 de abril por un facultativo en ejercicio. Posteriormente, el mismo funcionario el día 10 de mayo del 2019 se presentó tarde en el trabajo cuando su hora de entrada era de las 8:00 h de la mañana aportando como justificante de la demora un parte de atención médica de ese mismo día. La administración empleadora requirió al funcionario para que aportase información adicional que justificasen la ausencia y la demora exigiendo expresamente que tal documentación incluyera información sobre el diagnóstico y el tratamiento médico. Ante la negativa del funcionario a aportar la información adicional requerida la administración le sancionó con la deducción de los ingresos correspondientes a los días de ausencia y a las horas de retraso. El funcionario formuló denuncia ante la Agencia Española de Protección de Datos por estos hechos. Los argumentos de la administración sancionada consisten en la inexistencia de tratamiento de datos y por tanto inexistencia de infracción tipificada. E inexistencia de infracción del principio de Minimización. Lugar el requerimiento de datos que se realiza en el marco de un proceso ordenado y organizado para tratar datos personales es ya un tratamiento de datos y el principio de minimización cuya vulneración es objeto de la sanción impuesta por la Agencia Española de Protección de Datos consiste en obligaciones que son previas a la recepción de cualquier dato por parte del responsable del tratamiento. La sentencia del Tribunal Constitucional 292/2000 de 30 de noviembre viene a establecer que el derecho fundamental a la Protección de Datos persigue garantizar a esa persona un poder de control sobre sus datos personales, sobre su uso y sobre su destino con el propósito de impedir su tráfico ilícito y lesivo para la dignidad y derecho del afectado... faculta a la persona para decidir cuáles de esos datos proporcionar a 1/3 sea el estado o un particular... un régimen un régimen normativo que autorizase la recogida de datos personales incluso con fines legítimos vulneraría el derecho a la intimidad si no se incluyesen garantías adecuadas....

El artículo 25 del Reglamento General de Protección de Datos referido a la Protección de Datos sobre el diseño y por defecto establece en el apartado 1: Teniendo en cuenta el estado de la técnica, el coste de la aplicación, y la naturaleza ámbito contexto y fines del tratamiento, así como los riesgos de diversa probabilidad y gravedad que entraña el tratamiento para los derechos y libertades de las personas físicas, el responsable del tratamiento aplicará tanto en el momento de determinar los medios de tratamiento como en el momento del propio tratamiento medidas técnicas y organizativas apropiadas, como la pseudonimización, concebidas para aplicar de forma efectiva los principios de Protección de Datos como la minimización de datos e integrar las garantías necesarias en el tratamiento a fin de cumplir los requisitos del reglamento....2: El responsable del tratamiento aplicará las medidas técnicas y organizativas apropiadas con miras a garantizar que por defecto solo sean objeto de tratamiento los datos personales que sean necesarios para cada uno de los fines específicos del tratamiento. La mera solicitud de datos personales para llevar a cabo un determinado tratamiento como ha ocurrido en el asunto de autos, aunque estos datos no fueran proporcionados, sigue siendo un tratamiento de datos en el sentido del artículo 4.2 del Reglamento. Refiere la sentencia del Tribunal de Justicia de la Unión Europea de 24 de febrero de 2022 C-175/20 en apoyo de sus pretensiones, y dice que se pronuncia sobre el alcance amplio que el legislador europeo ha querido dar al concepto de tratamiento del Reglamento General de Protección de Datos y en concreto afirma que de acuerdo con ese carácter amplio del término debe considerarse que la solicitud de datos personales se integra como parte de la operación de recogida del tratamiento y, por lo tanto, es constitutiva de un tratamiento de datos personales en los términos del artículo 4.2 del Reglamento. Añade, Directrices del Comité Europeo de Protección de Datos (CEPD) 4/2019 relativas al artículo 25 del RGPD- Protección de datos desde el diseño y por defecto. Su relación con el principio de minimización de datos.

En el mismo sentido que ha venido reconociendo nuestro Tribunal Constitucional y se establece en el RGPD, según el Comité Europeo de Protección de Datos, (en adelante, las "Directrices") sobre el principio de privacidad desde el diseño y por defecto (publicadas el 13 de noviembre de 2019 y adoptadas el 20 de octubre de 2020), también puede ser apreciada la mencionada interpretación amplia del concepto de "tratamiento" de datos personales.

La sanción es por reclamar datos que no son necesarios para la finalidad para la que se recaban, principio de minimización. El principio de minimización de datos se ha incumplido en este caso porque se ha solicitado información que no es necesaria para la función prevista, a saber el control y asistencia o inasistencia al trabajo en ausencias de corta duración o demoras. El Centro Penitenciario de Arrecife ha requerido información personal al funcionario denunciante consistente en categorías especiales de datos en un trámite que tiene por finalidad justificar una inasistencia al trabajo por un periodo de 3 días y una demora de 3 horas. La forma de presentar esta justificación está perfectamente reglada en el ordenamiento jurídico y no permite solicitar más información que la establecida de forma positiva y expresa. El Centro Penitenciario requirió más información no prevista expresamente en el ordenamiento, excediéndose con ello en sus funciones de mero control de la ausencia con el fin de atajar una situación que considera injusta y ante la sospecha de fraude de la documentación facilitada. En relación a la licitud, como explica el Tribunal Constitucional en la sentencia 76/2019 de 22 de mayo en relación con las disposiciones del artículo 9 del Reglamento, para la concurrencia de cualquiera de estas excepciones es necesario que el legislador, ya sea europeo o nacional, haya previsto una norma con rango de ley que incluya la finalidad del tratamiento, sus limitaciones, la causa de excepción aplicable, y las garantías adecuadas para llevarlo a cabo protegiendo los intereses y derechos fundamentales del interesado.

La única Ley que se cita, ( Disposición Adicional quincuagésimo cuarta de la Ley 6/2018), viene desarrollada por la Instrucción 7/2019 de Instituciones Penitenciarias de 9 de abril de 2019 y por la Resolución de 28 de febrero de 2019, de la Secretaría de Estado de Función Pública, por la que se dictan instrucciones sobre jornada y horarios de trabajo del personal al servicio de la Administración General del Estado y sus organismos públicos. Aunque estas dos últimas Resoluciones ni siquiera tienen rango de Ley, cabe destacar que:

a) La Ley 6/2018, únicamente establece la habilitación/deber para que las Administraciones Públicas regulen sus propias formas de justificación de las ausencias por causa de enfermedad o incapacidad temporal.

b) Las Disposiciones y la Ley no habilitan de forma expresa para que se puedan recabar datos de diagnóstico y tratamiento de salud con el fin de justificar una demora en la asistencia al puesto de trabajo o una ausencia por tiempo inferior a 4 días y, por tanto, tales disposiciones no incluyen los requisitos exigidos para poder hacerlo, a saber: Una expresa habilitación para tratar que los datos personales relativos al contenido de los informes médicos o partes de baja acreditativos. La especificación del interés público alegado o en su caso la circunstancia habilitante del artículo 9.2 del reglamento para tal tratamiento. El establecimiento de límites para el tratamiento de los datos. Y el establecimiento de garantías adecuadas para proteger los derechos fundamentales de los afectados.

La propia sentencia del TJUE C-175/2020, de 24 febrero 2022 establece que: "... es necesario que los fines de estos tratamientos estén claramente declarados en dicha solicitud... es necesario que dicha solicitud precise cuáles son los fines concretos de la recogida de los datos a la luz de la misión que se realiza en interés público o del ejercicio de poderes públicos con el fin de permitir al destinatario de esa solicitud garantizar que la transmisión de los datos personales es una cuestión lícita".

CUARTO : El art. 4 RGPD define "2) «tratamiento»: cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción;

Esto es, cualquier acción, operación o actuación que permita identificar a una persona y que permita la recogida, el almacenamiento o la modificación de dichos datos, siempre que sean parte de un sistema de archivo o fichero estructurado. De lo que se trata es de dar una protección efectiva de los datos personales dentro del ámbito de la UE y por ello se exige que se refuercen y especifiquen los derechos de los interesados y las obligaciones de quienes tratan y determinan el tratamiento de los datos de carácter personal, y que en los Estados miembros se reconozcan poderes equivalentes para supervisar y garantizar el cumplimiento de las normas relativas a la protección de los datos de carácter personal y las infracciones se castiguen con sanciones equivalentes.

En el presente caso, es relevante examinar si se ha producido la infracción por la que se ha sancionado a la Secretaría General de Instituciones Penitenciarias. La infracción, conforme a la resolución recurrida, se trata de un supuesto del art. 5.1.c RGPD, datos personales serán: c) adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados («minimización de datos»); y art. 6. 1 c) el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;

d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;

e) el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento.

La aplicación de los derechos fundamentales a los funcionarios debe estar conciliada o relacionada con el servicio público que desempeñan, por eso el legislador establece un régimen de conductas sancionables, en su caso. La Administración debe conocer los recursos humanos de los que dispone para efectuar la correspondiente planificación para la prestación del servicio, y en este caso se trata de una jornada de trabajo en un establecimiento penitenciario cuya jornada es calificada de especial dedicación en el que se establece la forma de justificación de ausencias en resolución de 2019 de la Secretaria de Administraciones Públicas y si es posible que se solicite o reclame la justificación oportuna de ausencias en la jornada laboral.

En el presente caso, el Centro Penitenciario de Arrecife reclamó al funcionario reclamante certificados médicos en los que constase el diagnóstico y el tratamiento de la enfermedad que fueron requeridos por no asistir a su trabajo durante un periodo de tres días y aportando un escueto certificado médico a modo de justificante, y cuando se produce un retraso o demora en la entrada de su trabajo y vuelve a presentar un certificado de haber asistido a una consulta. Ante todo, señalar que las sospechas que el CP pueda tener sobre la veracidad o no de tales documentos o certificados no es una cuestión que deba dilucidarse en este proceso, sin desconocer que, en este caso, este proceso se está empleando como medio en aquellas reclamaciones formuladas contra la reducción de haberes llevadas a cabo.

La ausencia al trabajo debida a una enfermedad común de duración de tres días, como en este caso, debe ser justificada con un parte médico de baja por incapacidad temporal que acredite la imposibilidad de acudir al trabajo. Durante los días 7 a 9 abril 2019, el reclamante no asistió al trabajo aportando en el momento de su incorporación un documento médico. Y su asistencia a una consulta médica el 9 mayo que produjo un retraso para comenzar la jornada laboral, igualmente llevaba consigo un parte de asistencia a consulta. La Agencia Española de Protección de Datos viene a manifestar en la resolución que se impugna que no está previsto legalmente o convencionalmente que esos días de ausencia del trabajo por enfermedad común o esa demora en el comienzo de la jornada de trabajo por asistir al médico, lleve consigo una justificación del diagnóstico médico y tratamiento del mismo, que son los datos que fueron requeridos por el CP el cual en su descargo tan solo aporta Instrucciones relativas a las jornadas de trabajo y permisos y ausencias, etc...,y, por tanto, el CP no puede imponer que se faciliten esos datos de salud ni con el argumento de que son necesarios para llevar a cabo el buen desempeño del servicio público afectado.

En el expediente administrativo figuran los "justificantes" aportados por el funcionario relativos a sus ausencias y retrasos y dado el contenido de los mismos, o mejor dicho, dada la ausencia de contenido en los mismos, provocó la pretensión del CP de aportación de un justificante de ausencia y retraso en debida forma.

QUINTO : Para el Abogado del Estado no estamos ante un supuesto de tratamiento de datos, esto es, manifiesta que el CP solo ha requerido la aportación de esa documentación por lo que al no disponer de ella no puede ser tratada o ser objeto de tratamiento, y, por consiguiente, el CP no ha realizado tratamiento alguno. Y en su caso, serían datos pertinentes, adecuados y limitados (principio de minimización).

En el caso que nos ocupa el requerimiento efectuado por el CP referido a la justificación de una baja de tres días por enfermedad común o por acudir al médico y retrasar la jornada laboral exige la aportación de los correspondientes justificantes médicos. El reclamante aportó un escueto certificado referido a los 3 días de baja por enfermedad en el que tan solo se especificaba: indisposición, y un certificado de asistencia a consulta médica. La Administración penitenciaria consideraba necesaria la aportación de otros datos o de justificantes que vinieran a acreditar de manera más precisa esas ausencias recabando certificados médicos de diagnóstico y tratamiento ante la escasez, insuficiencia y poca fiabilidad de los certificados presentados, razón por la que el CP inició ciertas actuaciones que son ajenas al presente proceso.

El TJUE en sentencia de fecha 24 febrero 202, C-175/20 sentencia referenciada por la Agencia Española de Protección de Datos, recoge el concepto de tratamiento " cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjunto de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización estructuración, conservación, adaptación o modificación, extracción ,consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de acceso, cotejo o interconexión, limitación, supresión o destrucción", y está refiriéndose a cuando se recaba cierta información de la Administración tributaria. En el presente caso, no es la Administración tributaria y no estamos ante idéntico supuesto. Es cierto que es una Administración la que requiere datos determinados, pero es la Administración penitenciaria y con otros objetivos, que no llegaron ni tan siquiera a ser recogidos al no ofrecerlos o presentarlos el funcionario reclamante.

El art. 4 RGPD referido al tratamiento está concebido para aquellos supuestos en que el interesado comunica sus datos personales (recogida) y por tanto tales datos se insertan en el ámbito del tratamiento. La Agencia Española de Protección de Datos viene a entender que el requerimiento realizado constituye tratamiento de datos del reclamante, pero este Tribunal coincide con el Abogado del Estado en el sentido de que para que pueda hablarse de tratamiento de datos es preciso la recogida de los mismos, que la persona concernida mediante el requerimiento facilite tales datos, produciéndose, entonces, la recogida de datos en los términos del art. 4 del Reglamento. Ante la ausencia de aportación de tales datos no pudo haber recogida de datos para ser tratados, por lo que no estamos ante un supuesto objeto de infracción. En consecuencia, se ha sancionado un supuesto tratamiento de datos personales cuando no ha existido el objeto típico de la infracción, esa inexistencia objetiva es determinante de la ausencia de infracción, por lo que procede estimar el recurso contencioso administrativo anulando las resoluciones recurridas y con arreglo al art. 139 LJCA se imponen las costas a la parte demandada en cuantía de 1500 euros.

Vistos los preceptos legales citados y demás de general y pertinente aplicación;