Acceso usuarios
Sonia Isabel Pedrosa Alquézar
En un contexto tecnológico y de competitividad sin precedentes en el que las diversas aplicaciones informáticas pueden convertirnos, como ciudadanos y como trabajadores, en seres totalmente controlados y vulnerables, y a punto de aplicarse el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas física en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE el Reglamento de Protección de Datos de la Unión Europea, se hace preciso revisar y concretar los contornos del principio de confidencialidad en relación con los datos derivados de la puesta en marcha de la obligación preventiva de vigilancia de la salud. Una confidencialidad especialmente importante para que cualquier sistema de tratamiento de datos en relación con esa vigilancia no vulnere los derechos fundamentales del trabajador y que, precisamente, el Reglamento Europeo considera principio esencial del tratamiento de datos en su artículo 5.1.f). Puede afirmarse así, que un sistema adecuado de tratamiento de datos será aquél que se rija por un escrupuloso respeto a la confidencialidad de esos datos y cumpla, con el objetivo puesto en ese respeto, con la normativa de protección de los mismos que sea de aplicación. Cómo se configura actualmente el sistema de protección de los datos relacionados con la salud de los trabajadores y las adaptaciones que habrá que acometer con la aplicación del Reglamento de Protección de Datos de la Unión Europea es el objeto de este estudio.
El estudio se realiza así, con una metodología de comparación normativa, analizando la regulación sobre la materia objeto de estudio que realiza la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal y su Reglamento de desarrollo, el RD 1720/2007, de 21 de diciembre, en relación con las disposiciones establecidas por la Ley 31/1995, de 8 de noviembre de Prevención de riesgos laborales en cuanto a la forma de realizar la obligación preventiva de vigilancia de la salud; y, por otro lado, cómo afectará a esta regulación lo dispuesto en el Reglamento Europeo.
Como Introducción se citan algunas cuestiones problemáticas que plantea la vigilancia de la salud tras más de veinte años de aplicación de la Ley de Prevención de Riesgos Laborales. Entre ellas, cómo dar una protección adecuada a los datos que derivan de esa vigilancia para evitar atentados a la confidencialidad y al derecho fundamental a la protección de datos, reconocido en nuestro ordenamiento jurídico como un derecho fundamental, diferente al derecho a la intimidad, aunque su objeto sea parcialmente coincidente.
Se continúa explicando cuál es la definición de datos de carácter personal relacionados con la salud establecida tanto por la legislación española de protección de datos, como por el Reglamento Europeo y el carácter que estas normas les confieren a efectos de su tratamiento. Esta última norma concreta con mayor detalle esa definición y concluye que los datos de salud son los referidos al estado de salud física o mental en distintos momentos temporales, la información sobre la persona física recogida con ocasión de su inscripción a efectos de asistencia sanitaria, o con ocasión de la prestación de tal asistencia; todo número, símbolo o dato asignado a una persona física que la identifique de manera unívoca a efectos sanitarios; la información obtenida de pruebas o exámenes de una parte del cuerpo o de una sustancia corporal, incluida la procedente de datos genéticos y muestras biológicas, y cualquier información relativa, a título de ejemplo, a una enfermedad, una discapacidad, el riesgo de padecer enfermedades, el historial médico, el tratamiento clínico o el estado fisiológico o biomédico del interesado, independientemente de su fuente, por ejemplo un médico u otro profesional sanitario, un hospital, un dispositivo médico, o una prueba diagnóstica in vitro. Además, aunque, con pequeños matices entre ambas legislaciones, las dos establecen que los datos relacionados con la salud son datos que deben ser especialmente protegidos cuya obtención, tratamiento y cesión sólo podrá realizarse cuando así lo disponga una ley o el afectado consienta expresamente.
Antes de estudiar las características que debe reunir ese tratamiento se analiza la confidencialidad como principio guía de la protección de datos y su proyección en los resultados y conclusiones de los exámenes de salud laborales. Se concreta que tipo de datos relacionados con la salud pueden reflejar aquéllos y éstas, así como los sujetos destinatarios de los mismos. Para los resultados, que incorporan el diagnóstico médico detallado y tratamiento a seguir, en su caso, la confidencialidad es máxima –sólo modulable por el consentimiento expreso del trabajador o un interés legítimo como el perjuicio para terceros–; mientras que para las conclusiones, en las que sólo se debe reflejar la aptitud, inaptitud o, en su caso, aptitud condicionada para el concreto puesto de trabajo, la confidencialidad es mínima por el tipo de datos que incorporan y la mayor cantidad de sujetos a los que se comunican.
En el concreto estudio del tratamiento de esos datos, cuyo principio guía es la confidencialidad, se analizan quiénes son los sujetos intervinientes en el tratamiento, las medidas de seguridad a adoptar en el caso de datos relacionados con la salud, así como los principios y derechos relacionados con ese tratamiento, haciendo hincapié en los cambios producidos con el Reglamento Europeo.
El trabajo acaba con una breve conclusión, a modo de reflexión, poniendo de manifiesto el refuerzo que el Reglamento Europeo viene a dar a nuestro sistema jurídico de protección de datos. Desde la responsabilidad proactiva, la protección desde el diseño y por defecto y la transparencia, los sujetos intervinientes en el tratamiento no deben adoptar medidas sin más sino que deben garantizar y poder demostrar que el tratamiento cumple con los principios regulados en el Reglamento. Esto es, que los datos personales son tratados de forma lícita, leal y transparente; que son adecuados, pertinentes y limitados a lo necesario en relación con la finalidad para la que fueron recogidos; que son exactos; que su conservación es limitada; que se rigen por la integridad y la confidencialidad y que todo esto pueden demostrarlo.
In a technological and competitive context without precedents fully controlled, as citizens and workers, and with the close implementation of Regulation (EU) 2016/679 of the European Parliament and of the Council, of 27 April 2016, on the protection of natural persons with regard to the processing of personal data and on the free movement of such data, and repealing Directive 95/46/EC (General Data Protection Regulation), it is necessary to review and specify the contours of the principle of confidentiality in relation to the data derived from the implementation of the preventive obligation of health surveillance. A confidentiality that is particularly important so that any data processing system in relation to this surveillance does not violate the fundamental rights of the worker and that, precisely, the European Regulation considers the essential principle of data processing in article 5.1.f). A suitable system of data processing is ruled by a scrupulous respect to the confidentiality and Data Protection Regulations. This paper analysed how is currently configured this system in relation to health surveillance in work and the adaptations to be undertaken with the implementation of Regulation (EU) 2016/679 of the European Parliament and of the Council of 27 April 2016 on the protection of natural persons with regard to the processing of personal data and on the free movement of such data, and repealing Directive 95/46/EC (General Data Protection Regulation).
The study is carried out with a normative comparison methodology, analyzing the regulation on the subject matter of study carried out by the Spanish Organic Law 15/1999, of December 13, on Personal Data Protection and its development Regulation, RD 1720/2007, of December 21, in relation to the provisions established by Spanish Law 31/1995, of November 8, on Prevention of Occupational Risks in terms of how to perform the preventive obligation of health surveillance; and, on the other hand, how the provisions of the European Regulation will affect this regulation.
As an introduction, some problematic issues raised by health surveillance are mentioned after more than twenty years of application of the Law on the Prevention of Occupational Risks. Among them, how to give adequate protection to the data that derive from that surveillance to avoid attacks on confidentiality and the fundamental right to data protection, recognized in our legal system as a fundamental right, different from the right to privacy, although with an object partially coincident.
It continues explaining what is the definition of personal data related to health established by Spanish data protection legislation, and by the European Regulation and the nature that these standards confer upon them for the purposes of their treatment. This last rule specifies that definition in more detail and concludes that health data refer to the state of physical or mental health at different times, information about the individual collected on the occasion of registration for health care purposes, or on the occasion of the provision of such assistance; any number, symbol or data assigned to a natural person that identifies it unequivocally for health purposes; information obtained from tests or examinations of a part of the body or of a body substance, including that derived from genetic data and biological samples, and any information relating, by way of example, to an illness, a disability, the risk of suffering from diseases, the medical history, the clinical treatment or the physiological or biomedical status of the person concerned, regardless of their source, for example a doctor or other health professional, a hospital, a medical device, or an in vitro diagnostic test. In addition, although, with small nuances between both legislations, both establish that the data related to health are data that must be specially protected whose obtaining, treatment and cession can only be done when a law so provides or the affected expressly consents.
Before studying the characteristics that this treatment must meet, confidentiality is analyzed as a guiding principle of data protection and its projection in the results and conclusions of occupational health examinations. It is specified that the type of data related to health may reflect those and these, as well as the recipients of the same. For the results, which include the detailed medical diagnosis and treatment to be followed, where appropriate, confidentiality is maximum –only modulable by the express consent of the worker or a legitimate interest such as prejudice to third parties–; while for the conclusions, in which only fitness, inadequacy or, as the case may be, conditioned aptitude for the concrete job, should be reflected, confidentiality is minimal due to the type of data that they incorporate and the greater number of subjects those who communicate.
In the concrete study of the treatment of these data, whose guiding principle is confidentiality, I analyze who are the subjects involved in the treatment (controller, processor, data protection officer), the security measures to adopt in the case of data related to health (pseudonymisation; encriptyon; the ability to ensure the ongoing confidentiality, integrity, availabity and resilience of proccesing systems and services;
a process for regularly testing, assesing and evaluating the effectiveness of technical and organisational measures for ensuring the security of the processing; or the ability to restore the availability an access to personal data in a timely manner in the event of a physical or technical incident) as well as the principles and rights related to this treatment, emphasizing the changes produced with the European Regulation.
The work ends with a brief conclusion, by way of reflection, highlighting the reinforcement that the European Regulation is giving to our legal system of data protection. From the proactive responsibility, the protection from the design and by default and transparency, the subjects involved in the treatment should not adopt measures without further but must guarantee and be able to demonstrate that the treatment complies with the principles regulated in the Regulation. That is, that personal data are treated in a lawful, loyal and transparent manner; that are adequate, pertinent and limited to what is necessary in relation to the purpose for which they were collected; that are exact; that its conservation is limited; that are governed by integrity and confidentiality and that all this can prove it.
