MUTUAS Y EMPRESAS DE PREVENCIÓN DE RIESGOS

El Gabinete Jurídico de la Agencia Española de Protección de Datos (AEPD) ha emitido varios informes jurídicos esclareciendo la controversia existente a la hora de determinar la condición de las Mutuas de Accidentes de trabajo y Enfermedades Profesionales y de las Empresas de Prevención de Riesgos Laborales como ENCARGADOS o RESPONSABLES del tratamiento de datos. (Véanse los informes 2008/0189, 2009/299 y 2009/0350).

Aunque estos informes jurídicos por sí solos no tienen carácter vinculante, en la práctica se convierten en la doctrina aplicable a los procesos sancionadores instruidos por la AEPD. En este sentido, procede contemplar las resoluciones emitidas por la AEPD como directrices en materia de Protección de Datos.

Tras varios informes, la AEPD sostiene de forma clara que tanto las Mutuas como las Empresas de Prevención de Riesgos Laborales cuando proceden al tratamiento de los datos de los trabajadores de sus empresas clientes, lo hacen en calidad de RESPONSABLES del tratamiento, por cuanto el acceso a los datos de los trabajadores se produce por imperativo legal. Esta obligación legal deriva de los preceptos 68 y 99 de la Ley General de la Seguridad Social (Real Decreto Legislativo 1/1994) y 30.1 de la Ley de Prevención de Riesgos (Ley 31/1995).

De modo que, y a raíz de los informes emitidos sobre el tema, en adelante no resultará exigible la firma entre las partes de un contrato de acceso a datos por terceros encargados del tratamiento. Todas las Mutuas y Empresas de Prevención de Riesgos, con las que una empresa contrate, actuarán como únicas Responsables del tratamiento de los datos a los que accedan como objeto de la prestación del servicio (datos de los trabajadores de la empresa cliente) y no tendrán, por lo tanto, la obligación legal de firmar un contrato que limite tal acceso como apunta el artículo 12 de la Ley Orgánica 15/1999 de Protección de Datos de Carácter Personal.