TRIBUNAL SUPREMO
Sala de lo Contencioso-Administrativo
Sentencia de 20 de octubre de 2009
RECURSO DE CASACIÓN Núm: 4946/2007
Ponente Excmo. Sr. LUIS MARIA DIEZ-PICAZO GIMENEZ
En la Villa de Madrid, a veinte de Octubre de dos mil nueve
Visto por la Sala Tercera, Sección Sexta del Tribunal Supremo constituida por los señores al margen anotados el presente recurso de casación con el número 4946/07 que ante la misma pende de resolución, interpuesto EL ABOGADO DEL ESTADO, en la representación que ostenta, contra sentencia de fecha 24 de mayo de 2007 dictada en el recurso 380/2005 por la Sección Primera de la Sala de lo Contencioso-Administrativo de la Audiencia Nacional. Siendo parte recurrida FREMAP, MUTUA DE ACCIDENTES DE TRABAJO Y ENFERMEDADES PROFESIONALES DE LA SEGURIDAD SOCIAL N.º 61
ANTECEDENTES DE HECHO
PRIMERO.- La sentencia recurrida contiene parte dispositiva del siguiente tenor: "FALLAMOS.- Que estimando el recurso contencioso administrativo interpuesto por la representación procesal de Fremap, Mutua de Accidentes de Trabajo y Enfermedades Profesionales de la Seguridad Social, contra la resolución de la Agencia de Protección de Datos de 22 de noviembre de 2005 que desestima el recurso de reposición frente a la anterior resolución de 6 de octubre que acuerda imponer a dicha entidad actora dos sanciones, una por importe de 60.101,21 euros y otra por importe de 300.506,05 euros, anulamos dichas resoluciones y sanciones, dada su disconformidad a Derecho, sin imposición de costas a ninguna de las partes".
SEGUNDO.- Notificada la anterior sentencia, El Abogado del Estado, en la representación que ostenta, presentó escrito ante la Sección Primera de la Sala de lo Contencioso-Administrativo de la Audiencia Nacional preparando el recurso de casación contra la misma. Por Providencia la Sala tuvo por preparado en tiempo y forma el recurso de casación, emplazando a las partes para que comparecieran ante el Tribunal Supremo.
TERCERO.- Recibidas las actuaciones ante este Tribunal, la parte recurrente, se personó ante esta Sala e interpuso el anunciado recurso de casación, expresando los motivos en que se funda y suplicando a la Sala: "... acuerde casar la misma resolviendo de conformidad con lo solicitado en el presente recurso".
CUARTO.- Con fecha 11 de febrero de 2008 la Sección Primera de la Sala de lo Contencioso-Administrativo del Tribunal Supremo dictó providencia por la que se pone de manifiesto a las partes, para alegaciones por el plazo de diez días, la posible causa de inadmisión en relación con el recurso de casación interpuesto por El Abogado del Estado, en la representación que ostenta.
Evacuado dicho trámite la Sala dictó Auto de fecha 22 de julio de 2008, en el que se acuerda: "Declarar la admisión del recurso de casación interpuesto por la Abogacía del Estado contra la Sentencia de 24 de mayo de 2007, dictada por la Sala de lo Contencioso-Administrativo de la Audiencia Nacional (Sección Primera), en el recurso n.º 380/2005".
QUINTO.- Teniendo por interpuesto y admitido el recurso de casación por esta Sala, se emplazó a la parte recurrida para que en el plazo de treinta días, formalizara escrito de oposición, lo que realizó, oponiéndose al recurso de casación y suplicando a la Sala: "... en su día, se dicte sentencia por la que se desestime el Recurso de Casación interpuesto por el Abogado del Estado y confirme en todos sus extremos la sentencia recurrida, dictada por la Audiencia Nacional con fecha 24 de mayo de 2007, con expresa imposición de costas a la parte recurrente".
SEXTO.- Evacuado dicho trámite, se dieron por conclusas las actuaciones, señalándose para votación y fallo la audiencia el día 13 de octubre de 2009, en cuyo acto tuvo lugar, habiéndose observado las formalidades legales referentes al procedimiento.
Siendo Ponente el Excmo. Sr. D. Luis Maria Diez-Picazo Gimenez, Magistrado de la Sala.
FUNDAMENTOS DE DERECHO
PRIMERO.- El presente recurso de casación es interpuesto por el Abogado del Estado contra la sentencia de la Sala de lo Contencioso-Administrativo (Sección 1.ª) de la Audiencia Nacional de 24 de mayo de 2007.
SEGUNDO.- La sentencia ahora impugnada tiene por probados los siguientes hechos, que ya habían sido establecidos en su día por la Agencia Española de Protección de Datos (en adelante, AEPD):
Primero. En el mes de mayo de 2003 D. Samuel trabajaba para la empresa Tecnyconta en la que tuvo una baja laboral a causa de una lesión, diagnosticada como hernia discal C6-C7. Baja laboral que duró hasta julio 2003. La Mutua con la que trabajaba la empresa Tecnyconta era Fremap.
Segundo. En el mes de diciembre de 2003 D. Samuel comenzó a trabajar en la empresa Vitrometal. Durante el período de prueba en esta empresa le hicieron un reconocimiento médico, consistente en pruebas de audiometría, control de visión, electrocardiograma y espirometría. La Mutua encargada de hacer esos reconocimientos era también FREMAP.
Tercero. El 12 de enero de 2004, último día del período de prueba en la entidad Vitrometal, D. Samuel es despedido. La carta que le entregaron llevaba el logotipo de FREMAP y en ella se indicaba que "a la vista de los resultados, así como de las exploraciones complementarias realizadas se objetivan datos patológicos en relación con su puesto de trabajo en el momento actual, siendo considerado APTO CON LIMITACIONES".
Cuarto. Fremap tiene contratos firmados con las entidades Tecnyconta y Vitrometal con fecha 15 de octubre de 1998 y 1 de marzo de 2003, respectivamente, para la prestación del Servicio de Prevención Ajeno. Asimismo Fremap tiene suscrito con fecha 16 de mayo de 2002, contrato para la prestación del Servicio de Prevención Ajeno con la empresa Vitrometal SA, en su modalidad 6, especialidad Medicina del Trabajo.
Quinto. D. Samuel denuncia a la entidad Fremap por haber incluido datos que habían sido recabados durante la revisión de su incapacidad temporal, con fecha 25 de agosto de 2003, cuando trabajaba para la entidad Tecnyconta, en un informe realizado el 12 de enero de 2004, como reconocimiento médico previo a su incorporación definitiva como trabajador a la entidad Vitrometal. En el fichero "reconocimientos médicos" de Fremap constan dos reconocimientos efectuados a D. Samuel. El primero de ellos de fecha 25 de agosto de 2003, para la empresa Tecnyconta cuyo resultado es "APTO". El Segundo de fecha 12 de enero de 2004, para la empresa Vitrometal, cuyo resultado es "APTO CON LIMITACIONES".
En el informe de reconocimiento médico entregado al trabajador, de fecha 25 de agosto de 2003, consta de forma literal: "Hernia cervical C6-C7. Hipercolesterolemia. Intervenido de fémur derecho (acc. de tráfico en la infancia). Rinoplastia. Quemadura pie izquierdo por aluminio a los 28 años. ¿Liberación nervio cubital derecho en 1998?. Fístula anal iq".
En el informe de reconocimiento médico entregado al trabajador, de fecha 12 de enero de 2004, consta de forma literal: "Hernia cervical C6-C7. Hipercolesterolemia. Intervenido de fémur derecho (acc. de tráfico en la infancia). Rinoplastia. Quemadura pie izquierdo por aluminio a los 28 años. ¿Liberación nervio cubital derecho en 1998? Fístula anal iq".
Sexto. El reconocimiento médico que le fue realizado al denunciante en la empresa Vitrometal con fecha 12 de enero de 2004, consistió en la realización de pruebas de audiometría, control de la visión, electrocardiograma y espirometría.
Sin embargo en la historia clínica, como diagnóstico general, consta de forma literal la siguiente información que ya constaba en el informe al reconocimiento sobre la incapacidad temporal realizado a D. Samuel cuando era trabajador de Tecnyconta:
"Hernia cervical C6-C7. Hipercolesterolemia. Intervenido del fémur derecho (acc.de tráfico en la infancia). Rinoplastia. Quemadura pie izquierdo por aluminio a los 28 años. ¿Liberación nervio cubital derecho en 1998?. Fístula anal iq".
A ello hay que añadir que, según la sentencia impugnada, en el propio informe de reconocimiento médico de 12 de enero de 2004, que figura en los folios 9 a 12 del expediente administrativo, consta igualmente que "Debido a la existencia de informes médicos de Fremap que confirman la existencia de Hernia Discal C6-C7 se solicita aporte informes actualizados de la Seguridad Social al Servicio Médico de Empresa", de donde se desprende la importancia que para el puesto de trabajo en cuestión revestía la indicada dolencia.
TERCERO.- Denunciados los referidos hechos ante la AEPD, ésta dictó resolución de 22 de noviembre de 2005, por la que impuso a Fremap, Mutua de Accidentes de Trabajo y Enfermedad Profesional, dos multas de 60.101,21 euros y 300.506,05 euros por infracción respectivamente de los arts. 4.1 y 11.1 de la Ley Orgánica de Protección de datos de Carácter Personal de 13 de diciembre de 1999 (en adelante, LOPD).
Esta resolución fue recurrida por Fremap en vía contencioso-administrativa, dando lugar a la sentencia que es objeto del presente recurso de casación. Esta estima el recurso contencioso-administrativo y anula ambas multas.
Por un lado, considera que no hay vulneración del art. 4.1 LOPD: Efectivamente los datos de salud del trabajador que recabó Fremap cuando aquel prestaba sus servicios para Tecnyconta, fueron utilizados por dicha Mutua recurrente en un momento posterior y para otra empresa distinta, Vitrometal, más dicha utilización posterior, a juicio de esta Sala, se produjo con una finalidad compatible con aquella para la que los repetidos datos de salud habían sido inicialmente recabados. Ello puesto que tales datos médicos del Sr. Samuel fueron recogidos para conocer el estado de salud del mismo, a efectos de su aptitud laboral, y su utilización o tratamiento posterior, para la segunda empresa se llevó a cabo también para conocer el estado de salud de dicho trabajador a fin de valorar su aptitud para el puesto de trabajo para el que había sido contratado en período de prueba.
Por otro lado, considera que tampoco hay vulneración del art. 11.1 LOPD; y ello porque, si bien reconoce que hubo una comunicación de datos no consentida por el interesado, ésta se hallaba autorizada por ley y, en consecuencia, entraba dentro de la excepción prevista en el art. 11.2.a) LOPD. Las normas legales que ampararían dicha comunicación no consentida de datos sanitarios serían, siempre a juicio del tribunal a quo, el art. 22.4 de la Ley de Prevención de Riesgos Laborales de 8 de noviembre de 1995 y los arts. 15 y siguientes de la Ley de Autonomía del Paciente de 14 de noviembre de 2002. Vale la pena reproducir textualmente el razonamiento de la sentencia impugnada a este respecto:
Los datos médicos comunicados, tal y como indica la demanda, se obtuvieron de un reconocimiento médico efectuado en la empresa Tecnyconta, pero en virtud de un proceso de baja laboral (incapacidad temporal) de la que fue tratado el trabajador por Mapfre, entre mayo y julio de 2003.
Como consecuencia de ello, los repetidos datos médicos del Sr. Samuel pasaron a formar parte del historial médico o historia clínica en posesión de tal aseguradora actora.
Historia clínica que tiene su razón de ser en la adecuada y eficaz gestión racional de la sanidad y prestación de la asistencia sanitaria (artículo 23 de la Ley General de Sanidad ), que exige la creación y utilización de registros, en los que se recoja la información para dicha gestión y asistencia.
En la actualidad es la Ley 41/2002, de 14 de noviembre, reguladora de la Autonomía del Paciente y Derechos y Obligaciones en materia de información y documentación clínica la que define en el articulo 3 de dicha historia clínica como "el conjunto de documentos que contienen los datos, valoraciones e información de cualquier índole sobre la situación y la evolución clínica del paciente a lo largo del proceso asistencial". Ley que indica, en el Art. 15.1 que la "historia clínica incorporará la información que se considere trascendental para el conocimiento veraz y actualizado del estado de salud del paciente", y en el Art. 15.4 que "la historia clínica se llevará con criterios de unidad y de integración en cada institución asistencial".
Además el artículo 16 tal Ley 41/2002 permite el acceso a la historia clínica de los profesionales que realizan el diagnóstico o tratamiento del paciente y el Art. 17.4 añade que la misma debe estar integrada unitariamente por todos los datos que los facultativos entiendan que son trascendentes para garantizar una labor asistencial adecuada al paciente y además, en el caso de las Mutuas, tienen el derecho y obligación de conocer los resultados de los reconocimientos médicos que se efectúen a los trabajadores.
Esta Sala, conforme a dichos principios de racionalidad y de unidad de historial clínicas que derivan de los preceptos que se acaban de reseñar, y conforme lo que a continuación se pasa a exponer, considera que no se ha producido, en su supuesto, una cesión ilegítima de datos por parte de Fremap, encuadrable en el artículo 44.4 b) de la LOPD.
Entendemos que la interpretación del término "conclusiones" del artículo 22.4 de la LPRL que se efectúa en la resolución impugnada, tan ceñida a su tenor literal, es contraria al correcto desarrollo de las funciones que, en materia preventiva, la Ley encomienda a las Mutuas de Trabajo y Enfermedades Profesionales (artículos 68 y siguientes de la Ley General de la Seguridad Social, y artículos 69 y siguientes del RD 1993/1995, de 7 de diciembre ).
De otra parte, tal imposible comunicación de datos postulada por la AEPD en el presente caso, podría dificultar la adecuada y eficaz gestión racional de la sanidad y de la prestación de la asistencia sanitaria, a las que ya se ha hecho mención, máxime en un supuesto como el presente, en que la información médica comunicada por Fremap a la empresa Vitrometal revestía esencial importancia a efectos de la aptitud laboral del trabajador para el desempeño de su puesto de trabajo en esta última.
Consideramos, por todo ello, y dadas las especiales circunstancias concurrentes, que en el presente supuesto la cesión de datos producida se encuentra amparada en el art. 11.2. a) LOPD, y que tiene una finalidad legítima, cual es la de que hace referencia a la correcta aplicación de la normativa sobre Seguridad Social y Prevención de Riesgos Laborales mencionada e, indirectamente, a la prevención del fraude, por lo que no es exigible el consentimiento del trabajador denunciante.
CUARTO.- Se basa este recurso de casación en un único motivo, formulado al amparo del art. 88.1.d) LJCA, por infracción del art. 11.1 LOPD en relación con el art. 22 de la Ley de Prevención de Riesgos Laborales. Sostiene el Abogado del Estado que ninguna de las normas legales citadas por la sentencia impugnada permiten expresamente la comunicación no consentida de datos sanitarios, sin que haya razón para pensar que ésa fuese la voluntad del legislador; y sostiene, asimismo, que la finalidad perseguida por la Ley de Prevención de Riesgos Laborales, consistente precisamente en establecer un eficaz sistema preventivo de dichos riesgos, descansa sobre la disposición de los trabajadores a someterse a controles preventivos, lo que sería difícil de lograr sin asegurar la absoluta confidencialidad de la información obtenida.
QUINTO.- La anulación de la multa impuesta por vulneración del art. 4.1 LOPD no es objeto de este recurso de casación, por lo que no procede indagar si hubo utilización de datos para una finalidad incompatible con aquélla para la que fueron recabados. Sólo lo relativo a la comunicación de datos no consentida debe ahora ser examinado.
Como se ha visto, el tribunal a quo da por sentado que hubo comunicación de datos no consentida: la mutua puso en conocimiento de una empresa información sobre la salud de un trabajador que había obtenido de un examen médico realizado cuando dicho trabajador estaba al servicio de otra empresa. Este hecho no es discutido. El problema es sólo si está autorizado por la ley, en el sentido del art. 11.2.a) LOPD. Para dar una respuesta afirmativa, el tribunal a quo emplea dos argumentos: que la expresión "conclusiones" del art. 22.4 de la Ley de Prevención de Riesgos Laborales no debe ser interpretada de manera restrictiva; y que existe un principio de unidad de la historia clínica, justificado por la necesidad de una gestión eficaz de la asistencia sanitaria.
La verdad es que ninguno de esos dos argumentos resulta convincente. El art. 22.4 de la Ley de Prevención de Riesgos Laborales dispone: "No obstante lo anterior, el empresario y las personas u órganos con responsabilidades en materia de prevención serán informados de las conclusiones que se deriven de los reconocimientos efectuados en relación con la aptitud del trabajador para el desempeño del puesto de trabajo o con la necesidad de introducir o mejorar las medidas de protección y prevención a fin de que puedan desarrollar correctamente sus funciones en materia preventiva." Pues bien, hay que tener en cuenta que el "no obstante lo anterior" con que se abre el precepto transcrito se refiere, como es obvio, a lo dispuesto en los apartados previos del propio precepto legal; apartados previos en los que se establece, entre otras cosas, que "las medidas de vigilancia y control de la salud de los trabajadores se llevarán a cabo respetando siempre el derecho a la intimidad y a la dignidad del trabajador y la confidencialidad de toda la información relacionada con su estado de salud" y que "los datos relativos a la vigilancia de la salud de los trabajadores no podrán ser usados con fines discriminatorios ni en perjuicio del trabajador". De aquí se desprende que la regla general es la confidencialidad de toda la información obtenida por las mutuas en aplicación de la Ley de Prevención de Riesgos Laborales y, por consiguiente, que la posibilidad de comunicar al empresario "las conclusiones que se deriven de los reconocimientos efectuados en relación con la aptitud del trabajador para el desempeño del puesto de trabajo" constituye una excepción. Y las excepciones, como es bien sabido, han de ser interpretadas restrictivamente. En este supuesto, además, ello resulta reforzado por una consideración teleológica innegable: si lo que debe protegerse ante todo es la confidencialidad de la información sanitaria relativa a los trabajadores, no tiene sentido afirmar que cabe comunicar a los empresarios cualquier dato que exceda de la mera "conclusión" sobre la idoneidad del trabajador para el puesto de trabajo; es decir, la mutua sólo puede decir al empresario si reputa apto al trabajador, sin proporcionarle ninguna otra información adicional.
En cuanto a la historia clínica, es cierto que los arts. 14 y siguientes de la Ley de Autonomía del Paciente favorecen "la máxima integración posible de la documentación clínica de cada paciente" a fin de lograr una adecuada asistencia sanitaria. Tal vez ello justifique hablar, como hace la sentencia impugnada, de un principio de unidad de la historia clínica. Dicho esto, es preciso inmediatamente señalar que esa integración de la historia clínica, tendente a evitar la dispersión de la información sanitaria sobre cada paciente, tiene como beneficiario al propio paciente. El inciso inicial del art. 16 de la Ley de Autonomía del Paciente es paladinamente claro a este respecto: "La historia clínica es un instrumento destinado fundamentalmente a garantizar una asistencia adecuada al paciente." Las historias clínicas no deben tener carácter unitario, como pretende la sentencia impugnada, para facilitar su misión a las mutuas de prevención de riesgos laborales, ni menos aún a los empresarios. Ciertamente, permiten prestar una asistencia sanitaria mejor; pero esta mejora no se justifica por el ahorro de esfuerzo para terceros (personal sanitario, Administración, empresarios, etc.), sino por el bienestar del paciente. Este punto es de crucial importancia, porque la información sobre la salud de las personas forma parte del objeto protegido por el derecho fundamental a la intimidad, tal como ha aclarado, entre otras, la sentencia del Tribunal Constitucional 196/2004. De aquí que toda excepción a la confidencialidad que pesa sobre dicha información sólo pueda justificarse por el beneficio que reporte al propio paciente o, en su caso, por ineludibles y superiores exigencias de interés general debidamente ponderadas, que de ningún modo pueden consistir en un funcionamiento más ágil de las mutuas de prevención de riesgos laborales. Tan es así que el art. 18 de la Ley de Autonomía del Paciente sólo confiere el derecho de acceso a la historia clínica al paciente, no a terceros; y el sucesivo art. 19 de ese mismo texto legal obliga a establecer "un mecanismo de custodia activa y diligente de las historias clínicas".
En resumen, en esta materia rige incuestionablemente la máxima confidencialidad posible, sin que haya elemento alguno en la Ley de Prevención de Riesgos Laborales o en la Ley de Autonomía del Paciente que permitan afirmar que la comunicación de datos no consentida llevada a cabo por Fremap estaba autorizada por una ley. Ello conduce a estimar el motivo en que el Abogado del Estado funda su recurso de casación, debiéndose anular la sentencia impugnada.
SEXTO.- Es preciso, llegados a este punto, resolver el fondo del litigio en los términos en que quedó planteado en la instancia, tal como dispone el art. 95.2.d) LJCA. A la vista de cuanto se ha expuesto más arriba, es claro que la resolución de la AEPD de 22 de noviembre de 2005 es ajustada a derecho en lo relativo a la multa impuesta por infracción del art. 11.1 LOPD. Por lo que hace a la multa impuesta por infracción del art. 4.1 LOPD, que fue anulada por la sentencia impugnada, no ha sido objeto de este recurso de casación. Ello significa que dicha anulación debe ser mantenida, lo que implica una estimación parcial del recurso contencioso-administrativo en dicho aspecto.
SÉPTIMO.- Con arreglo al art. 139 LJCA, no procede hacer imposición de las costas de este recurso de casación y, con respecto a las costas de la instancia, no se aprecia temeridad o mala fe que justifique una condena al pago de las mismas.
FALLAMOS
PRIMERO.- Ha lugar al recurso de casación interpuesto por el Abogado del Estado contra la sentencia de la Sala de lo Contencioso-Administrativo (Sección 1.ª) de la Audiencia Nacional de 24 de mayo de 2007, que anulamos.
SEGUNDO.- En su lugar, estimando parcialmente el recurso contencioso-administrativo interpuesto por Fremap, Mutua de Accidentes de Trabajo y Enfermedad Profesional, contra la resolución de la Agencia Española de Protección de Datos de 22 de noviembre de 2005, declaramos nulo dicho acto en cuanto impone una multa de 60.101,21 euros por infracción del art. 4.1 de la Ley Orgánica de Protección de Datos de Carácter Personal, confirmándolo en todo lo demás.
TERCERO.- No hacemos imposición de costas.
Así por esta nuestra sentencia, lo pronunciamos, mandamos y firmamos
