El Tribunal Supremo ha confirmado la sanción impuesta por la Agencia Española de Protección de Datos a Instituciones Penitenciarias. Se anula la sentencia de la Audiencia Nacional que previamente había dado la razón al organismo penitenciario en este litigio.
La controversia jurídica nació de una indisposición médica sufrida por Carlos Caraduje. Este funcionario del Centro Penitenciario de Lanzarote se ausentó de su puesto de trabajo en abril de 2019.
La dirección del centro exigió al empleado que aportara el diagnóstico concreto y el tratamiento médico aplicado durante sus bajas. El trabajador se negó rotundamente a facilitar esa información clínica detallada.
"Estos datos pertenecen a su intimidad personal" - Carlos Caraduje, funcionario penitenciario
Ante la negativa del funcionario a revelar su historial clínico, la administración dedujo los días de ausencia directamente de su nómina. Esta medida disciplinaria desencadenó la intervención de las autoridades de protección de datos.
La solicitud constituye tratamiento de datos
La Agencia Española de Protección de Datos sancionó en junio de 2020 a la Secretaría General de Instituciones Penitenciarias. Consideró que existía una infracción clara de los principios relativos al tratamiento de información sensible.
El Abogado del Estado defendió ante los tribunales que cualquier gestión administrativa requiere ineludiblemente la obtención previa del dato personal. Esta tesis fue aceptada inicialmente por la sala de lo Contencioso-Administrativo de la Audiencia Nacional en mayo de 2024.
La AEPD recurrió esta decisión alegando que el fallo era contrario a la doctrina fija del Tribunal de Justicia de la Unión Europea. El alto tribunal español ha terminado dando la razón a la agencia reguladora.
"Contraria a la doctrina fijada por el TJUE" - Agencia Española de Protección de Datos
Los magistrados del Supremo han establecido que existe tratamiento de datos desde el mismo instante en que la Administración solicita la entrega de los mismos. No es necesario llegar a almacenarlos o analizarlos para que se configure la vulneración.
La sentencia destaca que la petición afecta a datos de carácter personal porque revelan información esencial sobre el estado de salud. Vulnera el principio de minimización del RGPD exigir más detalles de los estrictamente necesarios.
El tribunal argumenta que el centro de trabajo podía controlar el absentismo laboral mediante los justificantes médicos estándar. Estos documentos acreditan la baja sin necesidad de conocer el tratamiento concreto ni el diagnóstico específico.
Siete magistrados firman el fallo
La resolución cuenta con la firma unánime de los siete miembros de la sala. José Manuel Bandrés Sánchez-Cruzat, Eduardo Calvo Rojas, Diego Córdoba Castroverde, José Luis Gil Ibáñez, Berta María Santillán Pedrosa, Juan Pedro Quintana Carretero y Margarita Beladiez Rojo componen el panel judicial.
El fallo confirma el apercibimiento impuesto originalmente por la AEPD a la Secretaría General de Instituciones Penitenciarias. La victoria legal de la agencia refuerza los límites al acceso empresarial a la historia clínica de los empleados.
La justicia ha resuelto el conflicto sin imposición de costas a ninguna de las partes enfrentadas. El funcionario logró proteger su privacidad frente a la injerencia administrativa en sus asuntos médicos más sensibles.