CN10-024
DICTAMEN QUE SE EMITE EN RELACIÓN A LA CONSULTA PLANTEADA POR
OSAKIDETZA – SERVICIO VASCO DE SALUD, EN RELACION CON LAS
PETICIONES DE DATOS REALIZADAS POR DISTINTOS COLEGIOS
PROFESIONALES.
ANTECEDENTES
PRIMERO: Con fecha 13 de septiembre de 2010 tiene entrada en esta Agencia
Vasca de Protección de Datos escrito de Osakidetza – Servicio Vasco de Salud por
el que se eleva consulta en relación con el asunto arriba referenciado.
SEGUNDO: En dicho escrito se expresa lo siguiente:
“Esta Organización está interesada en conocer el parecer de la Agencia a la que se dirige, en materia de protección de datos, en el siguiente supuesto, relacionado con las peticiones de datos de carácter personal recibidas en Osakidetza por parte de Colegios Oficiales del sector sanitario en relación a sus colegiados que en la actualidad desarrollan su labor profesional en Osakidetza-Servicio Vasco de Salud.
Segundo. – Cuestiones
Osakidetza, para la correcta prestación de servicios sanitarios, cuenta entre su personal con especialistas en numerosas ramas del conocimiento, estando algunas de las mismas respaldadas por Colegios Profesionales que velan por los intereses de sus colectivos. Son destacables los Colegios profesionales de médicos, enfermeras y farmacéuticos que prestan un servicio propio e independiente de los profesionales que aglutinan.
Dado que uno de los intereses comunes a todos los Colegios profesionales es la defensa de la leal competencia y dado que disponen de facultades de ordenación y potestad disciplinaria, requieren en numerosas ocasiones información con datos personales a Osakidetza sobre personas que prestan sus servicios en esta organización y cuyas actuaciones pudieran vulnerar los intereses Colegiales.
¿Resulta adecuada, pertinente y obligada la comunicación de los datos de carácter personal referidos a empleados de Osakidetza a los Colegios Profesionales que requieren dicha información?
Es de destacar la casuística que se plantea. El personal de Osakidetza sobre el que se requiere la información puede ser colegiado del Colegio solicitante o puede no serlo, puede estar prestando servicios en Osakidetza vinculados con el Colegio solicitante o puede estar prestando otros servicios. Es de subrayar que la mera contestación al Colegio confirmando la relación laboral, del tipo que sea, pudiera suponer una cesión de datos.
Por otra parte, la propia dualidad de la naturaleza jurídica de los ficheros (públicos y privados) de los Colegios hace más compleja la reflexión sobre la legalidad de las cesiones, dado que algunas de anteriores cesiones indicadas se solicitan en base a las funciones que los Colegios pueden tener encomendados como administración pública (incompatibilidade,s actuación sancionadores…)
2.- ¿Resulta suficiente la Ley 2/1974, de 13 de febrero, sobre Colegios Profesionales, como norma habilitante de dichas comunicaciones?”
TERCERO: El artículo 17.1 de la Ley 2/2004, de 25 de febrero, de Ficheros de
Datos de Carácter Personal de Titularidad Pública y de Creación de la Agencia
Vasca de Protección de Datos, en su apartado n) atribuye a la Agencia Vasca de
Protección de Datos la siguiente función:
“Atender a las consultas que en materia de protección de datos de carácter personal le formulen las administraciones públicas, instituciones y corporaciones a que se refiere el artículo 2.1 de esta Ley, así como otras personas físicas o jurídicas, en relación con los tratamientos de datos de carácter personal incluidos en el ámbito de aplicación de esta Ley.”
Corresponde a esta Agencia Vasca de Protección de Datos, en virtud de la
normativa más arriba citada, la emisión del informe en respuesta a la consulta
formulada.
CONSIDERACIONES
I
Las cuestiones planteadas por la consultante se refieren a uno de los tratamientos
regulados en la Ley Orgánica 15/1999, de Protección de Datos de Carácter
Personal, (en adelante LOPD), la cesión de datos.
La cesión o comunicación de datos se define en el artículo 3 i) de la Ley Orgánica
15/1999 de 13 de diciembre, de Protección de Datos de Carácter Personal (en
adelante LOPD) como
Este tratamiento se regula con carácter general en el artículo 11 de la LOPD que
establece en su apartado 1 el requisito del consentimiento previo:
“Los datos de carácter personal objeto del tratamiento sólo podrán ser comunicados a un tercero para el cumplimiento de fines directamente relacionados con las funciones legítimas del cedente y del cesionario con el previo consentimiento del interesado.”
Las excepciones a la regla general de la necesidad del consentimiento se
encuentran recogidas en el punto 2 del artículo 11, siendo en este punto relevante
fijarnos en el apartado a):
“Cuando la cesión está autorizada en una ley.”
La cesión de datos solicitada a Osakidetza por los Colegios Profesionales del sector
sanitario a que se refiere la consulta es la relativa a las “
personas que prestan sus servicios en esta organización y cuyas actuaciones pudieran vulnerar los intereses Colegiales.”
En primer lugar, en lo que respecta a la cuestión de si esa cesión resulta obligada
debemos señalar que no es competencia de la Agencia Vasca de Protección de
Datos el determinar si es obligatoria o no la cesión, debiendo limitarse a examinar su
adecuación a la normativa en materia de protección de datos. La AVPD no puede
dictaminar sobre la obligación o no de proceder a dicha cesión de información
porque dicha obligación, de existir, se encontrará en otra normativa.
Efectivamente, la LOPD contiene, entre otras cosas y por lo que ahora interesa, el
régimen jurídico regulador de las cesiones de datos de carácter personal,
estableciendo cuáles son los supuestos en los que dichas cesiones son posibles y
los principios y reglas a los que se someten, pero no será posible encontrar en dicha
normativa un régimen obligatorio de cesiones de datos.
Al respecto no cabe sino fijarse en el artículo 11.1 de dicha Ley, que conteniendo el
principio general en dichas cesiones, lo articula como posibilidad, no como
obligación,
“Los datos de carácter personal solo podrán ser comunicados a un
tercero…”.
No puede en definitiva esta Agencia pronunciarse sobre la existencia o no de una
obligación por parte de los entes requeridos para ceder la información solicitada, ello
supondría en definitiva una intromisión en las facultades de decisión que al respecto
ostentan dichos entes, y cuya decisión a ellos en exclusiva corresponde en
aplicación de una normativa que no es precisamente la de protección de datos de
carácter personal, sino otra sobre cuya interpretación en absoluto es experta esta
Agencia.
II
En cuanto al contenido sustancial de la consulta, ya hemos señalado la necesidad
de encontrar una norma de rango legal que ampare dicha cesión, supuesto previsto
en el artículo 11.2.a) de la LOPD.
examinar la Ley 2/1974 de 13 de febrero, sobre colegios profesionales. Sobre esta
Ley se cuestiona la consultante si contiene suficiente habilitación legal para la cesión
de datos a los Colegios.
El concreto artículo que debemos examinar a fin de intentar basar en él una
habilitación para la comunicación de datos es el artículo 5 b:
“Corresponde a los Colegios Profesionales el ejercicio de las siguientes funciones, en su ámbito territorial:
…
b. Ejercer cuantas funciones les sean encomendadas por la Administración y colaborar con ésta mediante la realización de estudios, emisión de informes, elaboración de estadísticas y otras actividades relacionadas con sus fines que puedan serles solicitadas o acuerden formular por propia iniciativa.”
Esta norma ha sido considerada ley habilitadora por la Agencia Vasca de Protección
de Datos (dictamen CN08-038 emitido a instancias del Colegio de Enfermería de
Gipuzkoa) por la Agencia Española de Protección de Datos y también por la
Audiencia Nacional, pudiendo citarse la St. de 20 de Julio de 2001. rec. 995/1999, en
cuyo Fundamento Jurídico Segundo se establece lo siguiente:
“En esencia, por lo tanto, la cuestión litigios se ciñe a determinar, si conforme a lo establecido en el art 11.2.a) de la LO 5/1992, la cesión estaba autorizada por una Ley. La Agencia ha entendido que sí, al establecer el art 5.b) de la Ley 2/1974, un deber de colaboración de los Colegios Profesionales con la Administración; concretada por la normativa que regula la actividad de la Inspección General de la Junta de Andalucía. Por el contrario, el recurrente sostiene que la Ley 2/1974 no dispone expresamente obligación de ceder los datos. El precepto clave, es por lo tanto el art 5.b) de la Ley 2/1974, de Colegios Profesiones, norma que dispone como función del Colegio: " Ejercer cuantas funciones le sean encomendadas por la Administración y colaborar con esta mediante la realización de estudios, emisión de informes, elaboración de estadísticas y otras actividades realizadas con sus fines que puedan serle solicitadas o acuerden formular por propia iniciativa». Por su parte, y con ánimo de precisar la normativa aplicable, el art 11.2.b) de la LO 5/1992, permitía la cesión de datos, cuando «una Ley prevea otra cosa» --la actual redacción de la LO 15/1999, reza «cuando la cesión esta autorizada por la Ley».
Centrado el debate en estos términos, el recurrente pone de manifiesto dos cuestiones. En primer lugar, razona que un fichero destinado a la gestión administrativa de la actividad profesional de los arquitectos ha sido utilizado para una finalidad distinta. Y en segundo lugar, se razona que la cesión no está autorizada por una Ley.
Comenzando por el primero de los argumentos, que en nuestro ordenamiento jurídico y como se infiere de la lectura del art 11.1 de la LO 5/1992, la cesión debe hacerse para «fines directamente relacionados con las funciones legítimas del cedente y del cesionario». Basta por lo tanto, con el cumplimiento de este requisito para que sea legítima la cesión. Esta postura no es la adoptada por otros países de nuestro entorno jurídico, que consagran el principio de que los datos registrados para una finalidad o finalidades
determinadas no podrá ser cedidos (disclosed) de manera incompatible con tales finalidades --Reino Unido e Irlanda-- Frente a esta posición, nuestro sistema opta porque es lícito ceder los datos siempre que se trate de fines directamente relacionados con las funciones legítimas del cedente y
cesionario; legitimándose de este modo en nuestro sistema las llamadas
all-finance concept. Por lo tanto, el argumento no es válido.
Pero y en segundo lugar, como bien sostiene la Agencia de Protección de Datos, existe habilitación legal suficiente --piénsese que la Ley de Colegios
Profesionales es de 1974-- Pues dicha norma impone al Colegio un deber de
colaboración con las Administraciones Públicas, teniendo la cesión una finalidad legítima como es la investigación de las posibles incompatibilidades en las que han incurrido los arquitectos que prestan sus servicios como funcionarios en la Junta de Andalucía. No debiéndose olvidar la doble naturaleza de estas corporaciones, las cuales teniendo un núcleo privado que explica su existencia, adoptan formas de personificación pública, son creadas por Ley y desarrollan funciones de colaboración obligatoria con las Administraciones Públicas --STC 5 Jul. 1987 y 18 Feb. 1988-- Procede, por lo tanto, la desestimación del recurso.”
En el caso que nos ocupa, entendemos que para la resolución de la consulta es
determinante además de lo preceptuado en la Ley 2/1974, conocer si existe
obligación de colegiación o no en lo que se refiere a las profesiones del ámbito
sanitario. Del examen de la Ley 2/1974 no podemos concluir que en ella se recoja
esta obligación. Por ello, para obtener algo más de claridad sobre el asunto hemos
de acudir a la Ley del Parlamento Vasco 18/1997, de 21 de noviembre, de ejercicio
de profesiones tituladas y de colegios y consejos profesionales.
En esta Ley debemos reparar en el artículo 30 que al regular la colegiación
establece:
“1.-Es requisito indispensable para el ejercicio de las profesiones colegiadas la incorporación al colegio correspondiente, cuando así lo establezca la ley de creación del colegio, otra norma posterior del mismo rango o, en su caso, la disposición reglamentaria prevista en el supuesto contemplado en el artículo 29.3 y los estatutos así lo dispongan.
2. Tal requisito no podrá ser exigido a los profesionales vinculados con la Administración pública mediante relación de servicios regulada por el Derecho administrativo o laboral. No obstante, precisarán de la colegiación, si así fuere exigible de acuerdo con lo previsto en el apartado anterior, para el ejercicio privado de su profesión.
3. Lo dispuesto en este artículo se entenderá sin perjuicio de lo establecido en las disposiciones transitorias primera y segunda.”
Si bien en el punto 2 parece que se exime del requisito de la colegiación a aquellos
profesionales vinculados con la Administración pública, la efectividad de la
colegiación voluntaria de los profesionales médicos y de enfermería hay que
buscarla en la Disposición transitoria segunda de la Ley cuando señala:
“La efectividad en la aplicación de lo dispuesto en el artículo 30.2 de esta ley para los profesionales médicos y de enfermería al servicio de la Administración
pública y cuyas funciones comprendan la realización de actos profesionales que tienen como destinatarios inmediatos a los ciudadanos requerirá su previa declaración por el Gobierno mediante decreto, a propuesta de los Departamentos competentes.
El Gobierno dictará el citado decreto previo el oportuno estudio, que tendrá por finalidad analizar la incidencia que la efectividad de la medida prevista en el artículo 30.2 pudiera suponer para el interés público y el funcionamiento armónico del sistema nacional de salud.”
El carácter voluntario de la colegiación de estos colectivos queda supeditado por
tanto, a la previa declaración gubernamental mediante un Decreto, norma que hasta
la fecha no se ha aprobado; por tanto, a sensu contrario, de la interpretación
conjunta de las normas citadas parece que la colegiación tiene carácter obligatorio
para estos profesionales.
Así fue establecido por la Sentencia del Tribunal Superior de Justicia del País Vasco
de 26 de marzo de 2002, dictada en recurso de suplicación número 1/02, en virtud
de demanda formulada por la Confederación Sindical ELA, en el que demandaba el
pago de los gastos de colegiación a Osakidetza-Servicio Vasco de Salud, parte de
cuyo Fundamento Jurídico Segundo reproducimos
“De todo lo indicado, debe extraerse que la obligatoriedad de la colegiación está sancionada constitucionalmente como también lo está su posible excepción para los que trabajen con exclusividad para las Administraciones Públicas y que las concretas profesiones debatidas en este pleito (profesionales sanitarios médicos y de enfermería) tienen previsto un régimen de exclusión de tal colegiación que requiere expreso Decreto del Gobierno. Partimos de la inexistencia hasta el momento de la norma requerida para exceptuar o eximir de colegiación con respecto de las profesiones indicadas, de lo que deviene en principio la obligatoriedad de la colegiación de los colectivos demandantes, obligatoriedad que se regula en el RD 19-5-1980 (RCL 1980, 1175; ApNDL 8820) (Estatutos Generales de la Organización Médica Colegial) en relación a los médicos, y en el RD 8-11-2001 ( RCL 2001, 2709) en relación a los ATS/DUE.”
Refiriéndose ya a la indemnización por los gastos de colegiación en el Fundamento
Jurídico Tercero se establece:
“El art. 2.4 de la Ley 3/1987, de 11 de septiembre, de retribuciones del personal estatutario del Instituto Nacional de la Salud, establece que dicho personal, percibirá, en su caso, las indemnizaciones, correspondientes por razón del servicio (art. 2.4) un precepto idéntico se recoge en la Ley 8/1997, de 26 de junio ( RCL 1997, 2162 y LPV 1997, 351) , de ordenación sanitaria de Euskadi (art. 6.3) y en los diferentes acuerdos de regulaciones de las condiciones de trabajo del personal de Osakidetza.
Que tales indemnizaciones incluyan los gastos de colegiación no parece una tesis que pueda mantenerse por varias razones:
En primer lugar por cuanto que la necesidad a) de colegiación para los
colectivos por cuyas pretensiones se demandan (ATS de enfermería y médicos) es un requisito previo a la constitución de la relación laboral,
estatutaria o funcionarial con la Administración. Prueba de ello es que las diferentes convocatorias de pruebas selectivas para el acceso a plazas previstas para estos colectivos, si bien no especifican expresamente entre los requisitos de los aspirantes, encontrarse en alta en el correspondiente colegio profesional, si señalan que «no deberán encontrarse inhabilitados para el ejercicio profesional». Así figura a título de ejemplo en la Resolución 3213/1997, de 23 de diciembre, del Director General de Osakidetza por la que se convocan pruebas selectivas para cubrir plazas de Médicos facultativos de atención primaria Resolución 32/1996, de 17 de enero (para ATS/DUE), 3136/1997, de 15 de diciembre (para diplomados sanitarios), 3218/1997, de 23 de diciembre (para médicos especialistas).
No cabe duda de que la colegiación es un requisito habilitante para el ejercicio de la profesión, y en tal sentido puede entenderse incluido en tal condición de las convocatorias, convocatorias que no requieren la acreditación de los requisitos que en ella figuran hasta el momento del nombramiento y tomas de posesión, en que ya se requiere la aportación de documentación específica acreditativa de aquéllos, tales como el DNI, fotocopia compulsada del título, certificado de colegiación, reconocimiento médico, etc., documentos todos que traen causa en lo previamente establecido en las convocatorias (así a título de ejemplo pueden citarse la resolución 3133/1997, de 15 de diciembre (para matronas) 2753/1997 (para ATS/DUE), 3136/1997, de 15 de diciembre (para diplomados sanitarios), 3218/1997, de 23 de septiembre (para médicos especialistas).”
Es preciso destacar asimismo que el recurso de casación contra esta Sentencia fue
desestimado mediante Sentencia del Tribunal Supremo de 4 de marzo de 2003.
Esta aproximación al régimen jurídico de la colegiación de los profesionales
sanitarios se realiza desde la cautela propia de quien no es experto en dicha
legislación sectorial, pero necesita adentrarse en la misma en busca de algunas
conclusiones. Una de estas conclusiones es que parece existir una obligación de
colegiación en determinadas profesiones del ámbito de la salud. Por ello, en
aquellas profesiones que la exijan como requisito obligatorio a la actividad laboral,
aun cuando esta se realice en un ámbito público, la cesión de datos realizada por
Osakidetza a los Colegios demandantes gozaría de amparo legal. Recordemos que
el artículo 5 b) de la Ley 2/1974 impone la obligación de colaborar esto es, de
trabajar conjuntamente con la Administración en actividades relacionadas con los
fines colegiales, actividades que los colegios según el texto legal pueden
formular
por propia iniciativa.”
En este punto es preciso recordar la naturaleza mixta de los destinatarios de los
datos, esto es, de los Colegios Profesionales. Esta cuestión la explica la Sentencia
de la Audiencia Nacional de 12 de junio de 2007 de la siguiente manera:
“Los Colegios Profesionales forman parte de la denominada Administración Corporativa, que agrupa a aquellos entes cuya naturaleza es mixta con componentes de claro perfil público pero con una base de intereses privados. De ahí que la Administración Corporativa pueda calificarse de fronteriza entre los entes públicos y los entes privados. Esta especial naturaleza de la Administración Corporativa también conlleva un específico régimen jurídico
mixto, con normas reguladoras de Derecho Público y otras que necesariamente han de ser calificadas de privadas.
Sobre la especial naturaleza de estos entes se ha pronunciado el Tribunal Constitucional en diversas ocasiones. Así, la STC de 18 de febrero de 1988 señaló:
«Como ha declarado este Tribunal en anteriores ocasiones ( STC 76/1983, de 5 de agosto, 23/1984, de 20 de febrero, y 123/1987, de 15 de julio ), los Colegios profesionales son Corporaciones sectoriales que se constituyen para defender primordialmente los intereses privados de sus miembros, pero también atienden finalidades de interés público, en razón de las cuales se configuran legalmente como personas jurídico-públicas o Corporaciones de Derecho público, cuyo origen, organización y funciones no dependen sólo de la voluntad de los asociados, sino también, y en primer término, de las denominaciones obligatorias del propio legislador, el cual, por lo general, les atribuye asimismo el ejercicio de funciones propias de las Administraciones territoriales o permite a estas últimas recabar colaboración de aquéllas mediante delegaciones de competencias administrativas, lo que sitúa a tales Corporaciones bajo la dependencia o tutela de las citadas Administraciones territoriales titulares de las funciones o competencias ejercidas por aquéllas». Es indudable que la defensa de los intereses privados de los miembros de la Corporación constituye la principal finalidad de un Colegio Profesional, pero tienen un componente público que deriva, de un lado, de su propia creación a través de un acto de poder del Estado que regula el funcionamiento de su estructura orgánica, y, de otro, de la asignación de fines o funciones públicas, que pueden consistir, como señala el propio Tribunal Constitucional, en el ejercicio de funciones propias de las Administraciones territoriales o bien de la colaboración con éstas en el ejercicio de sus funciones propias.”
Tal y como se establece en el escrito de consulta, la finalidad de los datos
requeridos por los Colegios es la defensa de la competencia y el ejercicio de sus
facultades de ordenación y disciplinaria, cuestiones todas ellas que se insertan en la
faceta pública de estas entidades. En la medida en que la finalidad de la petición de
datos se incardine en la naturaleza pública de los Colegios Profesionales, y en
aquellos supuestos en que la colegiación tuviera carácter obligatorio, la cesión sería
lícita al amparo de lo establecido en el artículo 11.2 a) de la LOPD en relación con
los artículos 5 b) de la Ley 2/1974 y 30.2 y Disposición Transitoria Segunda de la
Ley del Parlamento Vasco 18/1997, de 21 de noviembre, de ejercicio de profesiones
tituladas y de colegios y consejos profesionales.
Citaremos también como argumento que refuerza el ajuste de la cesión a la
normativa en materia de protección de datos el artículo 10.2.a del Real Decreto
1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo
de la LOPD, cuando señala:
“No obstante, será posible el tratamiento o la cesión de los datos de carácter personal sin necesidad del consentimiento del interesado cuando:
a) Lo autorice una norma con rango de ley o una norma de derecho comunitario y, en particular, cuando concurra uno de los supuestos siguientes:
El tratamiento o la cesión tengan por objeto la satisfacción de un interés legítimo del responsable del tratamiento o del cesionario amparado por dichas normas, siempre que no prevalezca el interés o los derechos y libertades fundamentales de los interesados previstos en el artículo 1 de la Ley Orgánica 15/1999, de 13 de diciembre.
El tratamiento o la cesión de los datos sean necesarios para que el responsable del tratamiento cumpla un deber que le imponga una de dichas normas.”
En relación con este último inciso del artículo 10.2.a) citado, hay que ponerlo en
relación con otra de las normas sectoriales que atañen al caso es la Ley 44/2003, de
21 de noviembre, de Ordenación de Profesiones Sanitarias, cuyo artículo 5 apartado
2 establece una obligación a los Colegios profesionales:
“Para garantizar de forma efectiva y facilitar el ejercicio de los derechos a que se refiere el apartado anterior, los colegios profesionales, consejos autonómicos y consejos generales, en sus respectivos ámbitos territoriales, establecerán los registros públicos de profesionales que, de acuerdo con los requerimientos de esta Ley, serán accesibles a la población y estarán a disposición de las Administraciones sanitarias. Los indicados registros, respetando los principios de confidencialidad de los datos personales contenidos en la normativa de aplicación, deberán permitir conocer el nombre, titulación, especialidad, lugar de ejercicio y los otros datos que en esta Ley se determinan como públicos.”
Este mandato refuerza también la conclusión anterior de que existe cobertura
jurídica para la cesión de los datos.
Téngase en cuenta por último, que en los supuestos citados la recogida de datos de
carácter personal por el Colegio Profesional para su inclusión en un hipotético
fichero de colegiados no exigiría el consentimiento de los titulares de dichos datos, al
amparo de lo preceptuado en el artículo 6.2 de la LOPD, de acuerdo con el cual,
“no
será necesario el consentimiento cuando los datos de carácter personal se recojan
para el ejercicio de las funciones propias de las Administraciones Públicas en el
ámbito de sus competencias.”
En cualquier caso, debe advertirse que aun en los supuestos en que el tratamiento
de datos cuenta con habilitación legal habrá de aplicarse el principio de calidad de
datos recogido en el artículo 4 de la LOPD de acuerdo con el cual
“Los datos de carácter personal sólo se podrán recoger para su tratamiento, así como someterlos a dicho tratamiento, cuando sean adecuados, pertinentes y no excesivos en relación con el ámbito y las finalidades determinadas, explícitas y legítimas para las que se hayan obtenido.”
