En algunas ocasiones cuando se envía un contrato de encargo de tratamiento a un servicio de prevención de riesgos laborales ajeno (SPA) que tiene contratado alguno de nuestros clientes, se niegan a firmarlo argumentando que no son encargados del tratamiento, que son responsables, y que así lo determina la AEPD en distintos informes emitidos por su Gabinete Jurídico.
Para poder determinar que responsabilidad asumen los SPA respecto al tratamiento de datos personales de las personas trabajadoras de sus clientes, en primer lugar, debemos definir las cuatro especialidades técnicas preventivas que puede prestar un SPA a sus clientes, según la normativa de PRL, y estas son:
- Seguridad en el trabajo: identificación, evaluación y propuesta de las medidas correctivas necesarias respecto a los riesgos de máquinas, equipos e instalaciones.
- Higiene industrial: evaluación, análisis y mejora de las condiciones ambientales de los puestos de trabajo.
- Ergonomía y Psicosociología Aplicada: adecuación del puesto de trabajo y el entorno físico, mental y social tanto a las características, como a las capacidades de la persona trabajadora.
- Medicina del trabajo: se trata de una especialidad médica
Cuando asume el SPA la condición de responsable del tratamiento:
Efectivamente, como argumentan algunos SPA, existen informes de la AEPD (112/2008 y 0608/2009) en los que la Agencia determina que exclusivamente para los servicios de medicina del trabajo y vigilancia de la salud que prestan los SPA actuarán siempre como responsables del tratamiento, ya que el acceso a la información médica se limitará al personal médico y a las autoridades sanitarias que lleven a cabo la vigilancia de la salud de las personas trabajadoras.
La empresa cliente será informada de las conclusiones que se deriven de los RM llevados a cabo, pero única y exclusivamente de la aptitud de la persona trabajadora para el desempeño de su puesto de trabajo, de conformidad con lo establecido, en el artículo 22 de la Ley 31/1995, de PRL.
En estos casos los datos personales objeto de tratamiento serán los relativos a la salud de las personas trabajadoras.
Cuando asume el SPA la condición de encargado del tratamiento:
En los mismos informes, en el último párrafo de la página 1 de cada uno de ellos, también determina la Agencia que, de cara a la aplicación de la normativa sobre protección de datos personales, existirán supuestos en que es posible considerar que ese SPA accede a los datos en calidad de encargado del tratamiento. Estos supuestos son cuando el SPA preste los servicios para el resto de las técnicas preventivas, es decir seguridad en el trabajo, higiene industrial y ergonomía y psicosociología aplicada, en los que tratará los datos personales necesarios por cuenta de su cliente y bajo sus instrucciones, por tanto, asumiendo la condición de Encargado del tratamiento.
En estos casos los datos personales objeto de tratamiento de las personas trabajadoras serán: identificativos, relativos al detalle de las características del empleo de la persona trabajadora, información sobre el tipo de puesto de trabajo, etc.
.png)
Último párrafo de la página 1 de los informes de la AEPD