Sentencia de la Audiencia Nacional (Sala de lo Contencioso-Administrativo, Sección 1ª), de de 24 mayo 2007

Madrid, a veinticuatro de mayo de dos mil siete.

La Sala constituida por los Sres. Magistrados relacionados al margen ha visto recurso Contencioso-Administrativo núm. 380/2005, interpuesto por la entidad FREMAP, MUTUA DE ACCIDENTES DE TRABAJO Y ENFERMEDADES PROFESIONALES. SEG. SOCIAL NÚM. 61, representada por el Procurador D. Adofo Morales Hernández-Sanjuan, contra la Resolución de la Agencia de Protección de Datos de 22 de noviembre de 2005 que desestima el recurso de reposición interpuesto por tal aseguradora, contra la anterior resolución de 6 de octubre de 2005 que impone a tal recurrente una multa de 60.101,21 euros. Ha sido parte demandada en las presentes actuaciones la Administración General del Estado, representada por la Abogacía del Estado.

ANTECEDENTES DE HECHO

PRIMERO Por la entidad recurrente se interpuso recurso Contencioso-Administrativo mediante escrito presentado el 16 de diciembre de 2005, acordándose por providencia de 20 de diciembre siguiente su tramitación de conformidad con las normas establecidas en la Ley 29/1998(RCL 19981741), y la reclamación del expediente administrativo.

SEGUNDO En el momento procesal oportuno Fremap, Mutuas de Accidentes de Trabajo y Enfermedades Profesionales de la Seguridad Social núm. 61 formalizó la demanda mediante escrito presentado el 20 de febrero de 2006, en el que, tras alegar los hechos y fundamentos de derecho que estimó procedentes, solicitó se dictara sentencia en la que, estimándose el recurso "se revoque la resolución combatida, acordando la devolución de los 360.607,26 euros ingresados por mi mandante en la Agencia de Protección de Datos con el interés legal correspondiente, con expresa condena en costas procesales".

TERCERO El Sr. Abogado del Estado contestó la demanda mediante escrito presentado el 19 de abril de 2006, en el que, tras alegar los hechos y los fundamentos jurídicos que estimó aplicables, terminó suplicando se dictara sentencia en la que se desestimara el recurso y se confirmara la resolución impugnada por ser conforme a Derecho, con imposición de costas a la parte recurrente.

CUARTO No habiéndose solicitado el recibimiento del recurso a prueba, y no considerándose necesaria la celebración de vista pública, se dio trámite de conclusiones a las partes, trámite que evacuaron por su orden, primero la defensa de la entidad actora y después el Abogado del Estado, mediante escritos en los que concretaron y reiteraron sus respectivas pretensiones.

QUINTO Conclusas las actuaciones, se señaló para votación y fallo de este recurso el día 8 de mayo de 2007, fecha en que tuvo lugar la deliberación y votación, habiendo sido ponente la Ilma. Magistrada doña Nieves Buisán García, quien expresa el parecer de la Sala.

FUNDAMENTOS DE DERECHO

PRIMERO Se impugna en el presente recurso Contencioso-Administrativo por Fremap, Mutua de Accidentes de Trabajo y Enfermedad Profesional, la Resolución de la Agencia de Protección de Datos de 22 de noviembre de 2005 que desestima el recurso de reposición interpuesto contra la anterior resolución de 6 de octubre de 2005 que impone a tal recurrente:

1. Una multa de 60.101,21 euros, por la comisión de una infracción del artículo 4.1 de la Ley Orgánica 15/1999, de 13 de diciembre(RCL 19993058), de Protección de Datos de Carácter Personal, tipificada como grave en el artículo 44.3.d), de conformidad con lo establecido en el artículo 45.2 y 5 de la citada Ley Orgánica.

2. Una multa de 300.506,05 euros, por la comisión de una infracción del artículo 11.1 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, tipificada como muy grave en el artículo 44.4.b), de conformidad con lo establecido en el artículo 45.3 y 4 de la citada Ley Orgánica.

Como hechos probados en las resoluciones combatidas, se declaran los siguientes:

PRIMERO En el mes de mayo de 2003 D. Sergio trabajaba parta la empresa Tecnyconta en la que tuvo una baja laborar a causa de una lesión, diagnosticada como hernia discal C6-C7. Baja laboral que duró hasta julio 2003. La Mutua con la que trabajaba la empresa Tecnyconta era Fremap.

SEGUNDO. En el mes de diciembre de 2003 D. Sergio comenzó a trabajar en la empresa Vitrometal. Durante el período de prueba en esta empresa le hicieron un reconocimiento médico, consistente en pruebas de audiometría, control de visión, electrocardiograma y espirometría. La Mutua encargada de hacer esos reconocimientos era también FREMAP.

TERCERO. El 12 de enero de 2004, último día del período de prueba en la entidad Vitrometal, D. Sergio es despedido. La carta que le entregaron llevaba el logotipo de FREMAP y en ella se indicaba que "a la vista de los resultados, así como de las exploraciones complementarias realizadas se objetivan datos patológicos en relación con su puesto de trabajo en el momento actual, siendo considerado APTO CON LIMITACIONES".

CUARTO. Fremap tiene contratos firmados con las entidades Tecnyconta y Vitrometal con fecha 15 de octubre de 1998 y 1 de marzo de 2003, respectivamente, para la prestación del Servicio de Prevención Ajeno. Asimismo Fremap tiene suscrito con fecha 16 de mayo de 2002, contrato para la prestación del Servicio de Prevención Ajeno con la empresa Vitrometal SA, en su modalidad 6, especialidad Medicina del Trabajo.

QUINTO. D. Sergio denuncia a la entidad Fremap por haber incluido datos que habían sido recabados durante la revisión de su incapacidad temporal, con fecha 25 de agosto de 2003, cuando trabajaba para al entidad Tecnyconta, en un informe realizado el 12 de enero de 2004, como reconocimiento médico previo a su incorporación definitiva como trabajador a la entidad Vitrometal. En el fichero "reconocimientos médicos" de Fremap constan dos reconocimientos efectuados a D. Sergio. El primero de ellos, de fecha 25 de agosto de 2003, para la empresa Tecnyconta, cuyo resultado es "APTO". El segundo de fecha 12 de enero de 2004, para la empresa Vitrometal, cuyo resultado es "APTO CON LIMITACIONES".

En el Informe de reconocimiento medico entregado al trabajador, de fecha 25 de agosto de 2003, consta de forma literal: "Hernia cervical c6-C7. Hipercolesterolemia. Intervenido de femur derecho (acc de tráfico en la infancia). Rinoplastia. Quemadura pie izquierdo por aluminio a los 28 años. ¿ Liberación nervio cubital derecho en 1998?. Fístula anal iq".

En el Informe de reconocimiento medico entregado al trabajador, de fecha 12 de enero de 2004, consta de forma literal "Hernia cervical c6-C7. Hipercolesterolemia. Intervenido de femur derecho (acc de tráfico en la infancia). Rinoplastia. Quemadura pie izquierdo por aluminio a los 28 años. ¿ Liberación nervio cubital derecho en 1998?. Fístula anal iq".

SEXTO. El reconocimiento médico que le fue realizado al denunciante en la empresa Vitrometal con fecha 12 de enero de 2004, consistió en la realización de pruebas de audiometría, control de la visión, electrocardiograma y espirometría.

Sin embargo en la historia clínica, como diagnóstico general, consta de forma literal la siguiente información que ya constaba en el informe al reconocimiento sobre la incapacidad temporal realizado a D Sergio cuando era trabajador de Tecnyconta:

"Hernia cervical c6-C7. Hipercolesterolemia. Intervenido de femur derecho (acc de tráfico en la infancia). Rinoplastia. Quemadura pie izquierdo por aluminio a los 28 años. ¿ Liberación nervio cubital derecho en 1998?. Fístula anal iq".

SEGUNDO La parte actora sustenta su pretensión impugnatoria de la demanda, en síntesis, en las siguientes consideraciones:

La actuación médico sanitaria de las Mutuas, ya sea en el accidente del trabajo, la enfermedad profesional, la incapacidad temporal o las actividades preventivas, conlleva un tratamiento integral, por lo que su actuación debe estar necesariamente interrelacionada para garantizar el cumplimiento de los fines previstos en los textos legislativos aplicables, a fin de la correcta gestión de los fondos públicos que perciben y las prestaciones sanitarias, preventivas o económicas de las que son acreedores los trabajadores en las situaciones legalmente previstas, lo que conlleva indefectiblemente la existencia de una única historia clínica para cada paciente.

Por otra parte, la actuación de las Mutuas como Servicio de Prevención Ajen es ejercida por éstas como una única persona jurídica (art. 197.1 LGSS.[RCL 19941825]) precepto del que se desprende que la actuación de los servicios de prevención en materia de vigilancia de salud (reconocimientos médicos), prescindiendo de que éstos sean Mutuas o Entidades Mercantiles, deben ser comunicados a las Mutuas por disposición legal.

La existencia, de una hernia cervical C6-C7 no se obtuvo de ningún reconocimiento medico efectuado por la empresa Tecnyconta, sino de un proceso de baja laboral por contingencias comunes de la que fue tratado el trabajador por Mafre, desde mayo de 2003 hasta el 18 de julio de 2003, en cumplimiento de las atribuciones legalmente conferida en los art. 69 y sig. del RD 1993/95(RCL 19953321).

De conformidad con lo dispuesto en el art. 7.6 en relación con el 8 de la LOPD(RCL 19993058), los profesionales médicos de Fremap están legitimados, para el cumplimiento de fines propios de la sanidad, para tratar antecedentes, anamnesis e historias clínicas correspondientes a cualquier paciente que haya precisado labor asistencial de cualquier índole de la actora.

Lejos de existir cualquier desconocimiento del interesado, el mismo fue expresamente advertido y requerido de la necesidad de aportar informes médicos actualizados de la Seguridad Social, en relación con dicha patología, tal y como se desprende del apartado recomendaciones/limitaciones del informe que se le entregó.

Tal es así que el trabajador intentó obtener una rectificación de dicho juicio clínico sin aportar los informes clínicos requeridos.

TERCERO Se imputa en primer término a la Mutua Fremap la infracción del art. 4.2 de la LOPD(RCL 19993058)que determina que: "Los datos de carácter personal objeto de tratamiento automatizado no podrán usarse para finalidades incompatibles con aquellas para las que los datos hubieran sido recogidos".

De relacionar el repetido artículo 4.2 de la LOPD con el ordinal 1 del mismo artículo 4, que exige para que los datos puedan recabarse para su tratamiento que sean "adecuados, pertinentes y no excesivos en relación con el ámbito y las finalidades determinadas, explícitas y legítimas para las que se hayan obtenido", resulta que establece tal artículo 4 una sutil distinción entre finalidad de la recogida y finalidad del tratamiento, pues la recogida sólo puede hacerse con fines determinados, explícitos y legítimos, y el tratamiento posterior no puede hacerse de manera incompatible con dichos fines. Así, y de acuerdo con la Directiva 95/46 / CE de 24 de octubre de 1995(LCEur 19952977), si la recogida se hizo con fines determinados, cualquier uso o tratamiento posterior con finalidad distinta es incompatible con la primera finalidad que determinó la captura por lo que, en este contexto, diferente o incompatible significan lo mismo.

Concepto de "finalidades incompatibles" que ha sido interpretado por múltiples sentencias de esta Sala de la Audiencia Nacional (SAN de 11-2-2004 (Rec.119/2002)[RJCA 2004421]entre otras muchas), que establece que "aunque el artículo 4.2 de la Ley 5/1992(RCL 19922347), ya no se refiere a "finalidades distintas", sino a "finalidades incompatibles", revelando una ampliación de la posibilidad de utilización de los datos, sin embargo la interpretación sistemática del precepto y la ambigüedad del término finalidades incompatibles avalan la interpretación realizada en el acto administrativo impugnado. En efecto, según el diccionario de la Real Academia "incompatibilidad" significa "repugnancia que tiene una cosa para unirse con otra, o de dos o más personas entre si", por tanto una interpretación literal ampararía el uso de los datos para cualquier fin abriendo una gama indefinida e ilimitada de finalidades, pues es muy difícil imaginar usos que produzcan la repugnancia que evoca la incompatibilidad, por lo que semejante interpretación conduce al absurdo y como tal ha de rechazarse, teniendo en cuenta, además, que dicho término se introduce en la Ley de 1999, como ha declarado la doctrina, por una traducción poco precisa del artículo 6 de la Directiva 46/1995, de 24 de octubre".

Aplicando dicha doctrina al supuesto debatido tenemos que la resolución impugnada (fundamento de derecho II de la misma) sustenta dicha infracción del artículo 4.2 LOPD(RCL 19993058)en base a lo siguiente: los datos del reconocimiento médico efectuados por Fremap para evaluar la incapacidad laboral del trabajador en la empresa Tecnyconta, fueron utilizados por Fremap para la elaboración del informe de otro reconocimiento médico, con otra extensión y contenido, relativo a la misma persona, pero para otra empresa diferente y en un momento posterior, sin consentimiento del denunciante. El tratamiento de los citados datos de salud, especialmente protegidos, debe considerarse incompatible, a los efectos aquí imputados de desvío de finalidad.

Esta Sala considera, sin embargo, que una cosa es que finalidad incompatible, conforme a lo que se acaba de exponer, no pueda interpretarse conforme a su dicción literal, y otra distinta que en el presente caso haya de concluirse que los datos personales fueron recabados con una finalidad, y en cambio se trataron con otra finalidad incompatible con aquélla.

Efectivamente los datos de salud del trabajado que recabó Fremap cuando aquél prestaba sus servicios para Tecnyconta, fueron utilizados por dicha Mutua recurrente en un momento posterior y para otra empresa distinta, Vitrometal, más dicha utilización posterior, a juicio de esta Sala, se produjo con una finalidad compatible con aquella para la que los repetidos datos de salud habían sido inicialmente recabados. Ello puesto que tales datos médicos del Sr. Sergio fueron recogidos para conocer el estado de salud del mismo, a efectos de su aptitud laboral, y su utilización o tratamiento posterior, para la segunda empresa, se llevó a cabo también para conocer el estado de salud de dicho trabajador a fin de valorar su aptitud para el puesto de trabajo para el que había sido contratado en período de prueba.

Y si bien tanto el Tribunal Constitucional (STC 202/1998, de 8 de noviembre[RTC 1998202]) como esta Sala (SAN 12-4-2002, Rec. 1271/2000)[PROV 2002143466]) han rechazado los tratamientos de datos de salud de los empleados que no persiguen ni la mejora ni la prevención de la salud, sino únicamente controlar el absentismo laboral, distinguiéndose, con claridad, entre ambas finalidades, en el caso ahora enjuiciado Fremap sí trató los datos, en la segunda ocasión, con una finalidad que se encuentra en consonancia con aquella para la que los mismos habían sido facilitados. Se llevó a cabo un posterior tratamiento de los datos que ha de entenderse compatible con la finalidad que determinó la entrega, por lo que la infracción del artículo 4.2 de la LOPD imputada por la AEPD emplea a la Mutua recurrente ha de ser revocada por la Sala.

CUARTO Se impone también a Fremap la sanción de 300.506,06 euros, por la comisión de la infracción muy grave del artículo 44.4.b) de la Ley Orgánica 15/1999, de 13 de diciembre(RCL 19993058), que sanciona como tal "La comunicación o cesión de los datos de carácter personal, fuera de los casos en los que estén permitidas".

Es el artículo 11.1 de tal LOPD el que determina que "Los datos de carácter personal objeto de tratamiento sólo podrán ser comunicados a un tercero para el cumplimiento de fines directamente relacionados con las funciones legítimas del cedente y cesionario con el previo consentimiento del interesado".

Precepto ha de ser completado con el artículo 1.2 del RD 1332/1994, de 20 de junio(RCL 19941707), que referido a ficheros automatizados, define la cesión como toda obtención de datos resultante de la consulta a un fichero, la publicación de los datos contenidos en un fichero, su interconexión con otros ficheros y la comunicación de datos realizada por una persona distinta de la afectada.

Y también con la Directiva 95/46 /CE(LCEur 19952977), que se refiere a la cesión dentro de la definición referida al tratamiento y la define como comunicación por transmisión, difusión o cualquier otra forma que facilite el acceso de los datos, cotejo o interconexión.

Es tal cesión de datos personales, conforme a reiterada doctrina de esta Sala, un concepto jurídico de gran amplitud y así, cualquier revelación o manifestación de datos a un tercero, distinto del interesado, constituye cesión o comunicación de los mismos a efectos de la LOPD. Las SSAN, Secc. 1ª, 21-6-2002 (Rec. 990/2000)(PROV 200349798), 19-5-2004 (Rec. 259/2003)y 18-5-2006 (Rec. 429/2004)(PROV 2006169094), entre otras, razonan que dicho concepto de cesión no puede ser más amplio, pues se entiende por tal toda revelación de datos realizada a una persona distinta del interesado. Suponiendo que determinados datos se encuentren en poder del titular o responsable del fichero, cualquier comunicación de los mismos a una persona distinta del interesado o afectado, constituye cesión en sentido técnico.

Otra de las notas definitorias de la cesión de datos es la trascendencia que el consentimiento del interesado, válidamente otorgado, posee en todo el marco regulador de la figura, lo cual enlaza, directamente, con la previsión que del "consentimiento inequívoco del afectado" contiene el artículo 6 LOPD(RCL 19993058), esencial en materia de protección de datos. Ha señalado igualmente la Sala (SAN 30-6-2004, Rec. 625/2002[RJCA 2004669]) que inequívoco es lo que no admite duda o equivocación, y, por contraposición a equívoco, lo que no puede entenderse o interpretarse en varios sentidos, o que no puede dar ocasión a juicios diversos.

La resolución de la AEPD combatida imputa a Fremap la cesión ilegal de datos personales del trabajador afectado, en base, fundamentalmente, a los siguientes razonamientos:

De conformidad con los artículos 32, 31.2 y 23 de la Ley de Prevención de Riesgos Laborales(RCL 19953053)(LPRL), existe una habilitación legal en tal normativa, para la cesión de datos de los trabajadores sin su consentimiento, sólo en el supuesto del cumplimiento de las obligaciones establecidas en el párrafo a) del apartado 1 del art. 23.

En este régimen legal especifico del tratamiento de salud en el ámbito laboral se establece, expresamente, el carácter voluntario de las actividades de control periódico de la salud de los trabajadores (con la única excepción contemplada en el art. 22.1 párrafo segundo de la LPRL), estableciendo también, de forma expresa, la obligación de respeto a la intimidad de los trabajadores y la confidencialidad de sus datos.

En consecuencia el tratamiento por parte de los servicios de prevención de riesgos laborales del historial médico como consecuencia de los reconocimientos médicos realizados a los trabajadores, deberá limitarse a las previsiones del art. 22.4 de la LPRL.

En este sentido se prohíbe la transmisión de información médica obtenida al amparo de lo dispuesto en la LPRL a cualquier tercero distinto del personal medico y autoridades sanitarias, con la única excepción de las conclusiones derivadas de dicho seguimiento en cuanto a la aptitud de los trabajadores.

Concluye la AEPD que Fremap ha incurrido en la infracción del artículo 11.1 LOPD(RCL 19993058)al haber comunicado datos de salud que habían sido recabados durante la revisión de la incapacidad temporal del denunciante cuando trabajaba con la entidad Tecnyconta: "Hernia cervical c6-C7. Hipercolesterolemia. Intervenido de femur derecho (acc de tráfico en la infancia). Rinoplastia. Quemadura pie izquierdo por aluminio a los 28 años. ¿ Liberación nervio cubital derecho en 1998?. Fístula anal iq", al informe realizado como reconocimiento medico (consistente en pruebas de audiometría, control de visión, electrocardiograma y espirometría), con caracter previo a su incorporación definitiva a la entidad Vitrometal.

QUINTO Ha de tomarse en consideración que la información facilitada por Fremap a la segunda empresa, relativa al estado de salud del Sr. Sergio, aunque faltan datos fehacientes en estas actuaciones, no parece que provocara exactamente el "despido" de dicho trabajador, sino la no superación del período de prueba (artículos 14 y 52.a) del Estatuto de los Trabajadores[RCL 1995997]) por carecer de las aptitudes necesarias para el puesto de trabajo de "Molinos" que el mismo iba a desempeñar en Vitrometal.

Obsérvese que en la comunicación en tal sentido entregada a dicho Sr. Sergio (folio 7 del expediente) se indica al mismo que había sido sometido ese mismo día (12 de enero de 2004) a "un reconocimiento médico tipo inicial para valorar su capacidad laboral, para el puesto de trabajo Molinos" y que "a la vista de los resultados, así como de las exploraciones complementarias realizadas se objetivan datos patológicos en relación con su puesto de trabajo en el momento actual".

Y obsérvese también que en el propio Informe de reconocimiento medico de 12 de enero de 2004 que figura en los folios 9 a 12 del expediente administrativo, consta igualmente que "Debido a la existencia de informes médicos de Fremap que confirman la existencia de Hernia Discal C6-C7 se solicita aporte informes actualizados de la Seguridad Social al Servicio Medico de Empresa", de donde se desprende la importancia que para el puesto de trabajo en cuestión revestía la indicada dolencia.

Es necesario también aludir a las Cláusulas tercera y séptima de las Condiciones Generales de los contratos para prestación del Servicio de Prevención Ajena suscritos entre FREMAP y Tecnyconta y Fremap y Vitrometal. En la tercera de la cuales se señala que:

" Sin conocimiento previo y por escrito de ésta, la Mutua no utilizará la información facilitada por la empresa contratante ni desvelará a terceros dicha información, salvo por razón del cumplimiento de las obligaciones derivadas de este contrato, de la normativa legal aplicable, o que sea requerida por la autoridad labora, sanitaria o judicial".

Y la cláusula séptima cuyo párrafo tercero indica que:

"El contenido de los reconocimientos médicos y demás declaraciones relativas a la salud de los trabajadores tendrá carácter confidencial, estando sujetos quienes los consulten al deber de secreto profesional de conformidad con lo previsto en el artículo 22 de la Ley de Prevención de Riesgos Laborales(RCL 19953053)y en Ley Orgánica 15/1999, de 13 de diciembre(RCL 19993058)".

Art. 22 de la Ley 31/1995, de 8 de noviembre, de Prevención de Riesgos Laborales que indica, en su apartado 4, que los datos relativos a la vigilancia de la salud de los trabajadores no podrán ser usados en perjuicio del trabajador, y que el acceso a la información médica de carácter personal se limitará al personal médico y a las autoridades sanitarias que lleven a cabo la vigilancia de la salud de los trabajadores, sin que pueda facilitarse al empresario, o a otras personas sin consentimiento expreso del trabajador, pero añadiendo que:

No obstante lo anterior, el empresario y las personas u órganos con responsabilidades en materia de prevención serán informados de las conclusiones que se deriven de los reconocimiento efectuados en relación con la aptitud del trabajador para el desempeño del puesto de trabajo o con al necesidad de introducir o mejorar las medidas de protección y prevención a fin de que puedan desarrollar correctamente sus funciones en materia preventiva".

SEXTO La AEPD considera cometida la cesión inconsentida de datos personales por parte de Fremap, como ya se ha indicado, por haber comunicado los datos de salud recabados durante la incapacidad temporal del denunciante, cuando trabajaba para Tecnyconta: "Hernia cervical c6-C7. Hipercolesterolemia. Intervenido de femur derecho (acc de tráfico en la infancia). Rinoplastia. Quemadura pie izquierdo por aluminio a los 28 años. ¿ Liberación nervio cubital derecho en 1998?. Fístula anal iq", al informe realizado con posterioridad, y derivado del reconocimiento médico previo a su incorporación definitiva como trabajador a Vitrometal, dado que este último reconocimiento se limitó, exclusivamente, a pruebas de audiometría, control de visión, electrocardiograma y espirometría.

Entiende la AEPD que tampoco el referido artículo 22.4 de la LPRL(RCL 19953053)autorizaba dicha comunicación puesto que la misma, en su caso, debería haberse limitado, exclusivamente, a las conclusiones de dicha revisión efectuada en Tecnyconta (Apto o No apto).

Los datos médicos comunicados, tal y como indica la demanda, se obtuvieron de un reconocimiento médico efectuado en la empresa Tenyconta, pero en virtud de un proceso de baja laboral (incapacidad temporal) de la que fue tratado el trabajador por Mapfre, entre mayo y julio de 2003.

Como consecuencia de ello, los repetidos datos médicos del Sr. Sergio pasaron a formar parte del historial médico o historia clínica en posesión de tal aseguradora actora.

Historia clínica que tiene su razón de ser en la adecuada y eficaz gestión racional de la sanidad y prestación de la asistencia sanitaria (artículo 23 de la Ley General de Sanidad[RCL 19861316]), que exige la creación y utilización de registros, en los que se recoja la información para dicha gestión y asistencia.

En la actualidad es la Ley 41/2002, de 14 de noviembre(RCL 20022650), reguladora de la Autonomía del Paciente y Derechos y Obligaciones en materia de información y documentación clínica la que define en el artículo 3 dicha historia clínica como "el conjunto de documentos que contienen los datos, valoraciones e información de cualquier índole sobre la situación y la evolución clínica del paciente a lo largo del proceso asistencial". Ley que indica, en el art. 15.1 que "la historia clínica incorporará la información que se considere trascendental para el conocimiento veraz y actualizado del estado de salud del paciente", y en el art. 15.4 que "la historia clínica se llevará con criterios de unidad y de integración en cada institución asistencial".

Además el artículo 16 tal Ley 41/2002 permite el acceso a la historia clínica de los profesionales que realizan el diagnóstico o tratamiento del paciente, y el art. 17.4 añade que la misma debe estar integrada unitariamente por todos los datos que los facultativos entiendan que son trascendentes para garantizar una labor asistencial adecuada al paciente y además, en el caso de las Mutuas, tienen el derecho y obligación de conocer los resultados de los reconocimientos médicos que se efectúen a los trabajadores.

Esta Sala, conforme a dichos principios de racionalidad y de unidad de historias clínicas que derivan de los preceptos que se acaban de reseñar, y conforme lo que a continuación se pasa a exponer, considera que no se ha producido, en el supuesto, una cesión ilegítima de datos, por parte de Fremap, encuadrable en el artículo 44.4.b) de la LOPD.

Entendemos que la interpretación del término "conclusiones" del artículo 22.4 de la LPRL(RCL 19953053)que se efectúa en la resolución impugnada, tan ceñida a su tenor literal, es contraria al correcto desarrollo de las funciones que, en materia preventiva, la Ley encomienda a las Mutuas de Trabajo y Enfermedades Profesionales (artículos 68 y siguientes de la Ley General de la Seguridad Social, y artículos 69 y siguientes del RD 1993/1995, de 7 de diciembre[RCL 19953321]).

De otra parte, tal imposible comunicación de datos postulada por la AEPD en el presente caso, podría dificultar la adecuada y eficaz gestión racional de la sanidad y de la prestación de la asistencia sanitaria, a las que ya se ha hecho mención, máxime en un supuesto como el presente, en que la información médica comunicada por Fremap a la empresa Vitrometal revestía esencial importancia a efectos de la aptitud laboral del trabajador para el desempeño de su puesto de trabajo en esta última.

Consideramos, por todo ello, y dadas las especiales circunstancias concurrentes, que en el presente supuesto la cesión de datos producida se encuentra amparada en el artículo 11.2.a) LOPD, y que tiene una finalidad legítima, cual es la que hace referencia a la correcta aplicación de la normativa sobre Seguridad Social y Prevención de Riesgos Laborales mencionada e, indirectamente, a la prevención del fraude, por lo que no es exigible el consentimiento del trabajador denunciante.

Procede, por todo ello, la estimación de la pretensión de la demanda con revocación de la sanción de 300.506,05 euros impuesta a la entidad aseguradora en la resolución impugnada.

SÉPTIMO No concurren las causas expresadas en el art. 139 de la LJCA(RCL 19981741)para la imposición de las costas a ninguna de las partes.

FALLAMOS

Que estimando el recurso Contencioso-Administrativo interpuesto por la representación procesal de Fremap, Mutua de Accidentes de Trabajo y Enfermedades Profesionales de la Seguridad Social, contra la resolución de la Agencia de Protección de Datos de 22 de noviembre de 2005 que desestima el recurso de reposición frente a la anterior resolución de 6 de octubre que acuerda imponer a dicha entidad actora dos sanciones, una por importe de 60.101,21 euros y otra por importe de 300.506,05 euros, anulamos dichas resoluciones y sanciones, dada su disconformidad a Derecho,

Así por esta nuestra sentencia, lo pronunciamos, mandamos y firmamos.

PUBLICACIÓN.- Dada, leída y publicada fue la anterior sentencia en audiencia pública. Doy fe. Madrid a

EL SECRETARIO

Dª María Elena Cornejo Pérez