Informe N° 54/019, de 25 de febrero de 2019
Se resuelve una denuncia por publicación en Internet de certificados médicos de una trabajadora luego de culminada su relación laboral.
Montevideo, 25 de febrero de 2019
Exp. 2019-008
Denuncia AA con Control Kilos
Informe N° 54
I.- Antecedentes
Con fecha 28 de diciembre de 2018, se presenta ante esta Unidad la Sra. AA a formular denuncia contra el Sr. Daniel Kliman (dueño de la empresa Control Kilos). En su denuncia expresa que se desempeñaba como Nutricionista para el Sr. Kliman en el Centro de Educación para la Salud Control Kilos. Su relación se basaba en un contrato de arrendamiento de servicios profesionales pero que expresa que en los hechos se trataba de un régimen de subordinación, recibiendo órdenes de diverso tipo por parte del Sr. Kliman.
Expresa que la relación se tornó intolerable y eventualmente se consideró indirectamente despedida llevando el trámite a la vía judicial. Indica que cuando el denunciado tomó conocimiento de esta situación la amenazó, le envío mensajes a su celular, y le indicó que “ya están subidas tus referencias personales, googlea licenciada AA o licenciada en nutrición AA”. Cuando ingresó al sitio web descubrió que se habían publicado los certificados médicos donde se la podía identificar y donde surgía la enfermedad que había padecido. Ante tal situación la denunciante mediante telegrama colacionado lo intimó a que diera de bajas las citadas publicaciones.
Posteriormente, recibió un telegrama del denunciante en el que se le expresaba que podía publicar esa información en base a la libertad de expresión. Después, tuvieron una audiencia de conciliación en la vía judicial, la que fue infructuosa y en la que se solicitó la baja de esos certificados. Con fecha posterior se cambió el contenido de la página web, dándose de baja los certificados médicos y sustituyendo la información por un aviso general de que la denunciante no se desempeña más en la empresa. Se expresa que en la vía judicial se presentó copia simple de los mensajes de whatsapp y acta de comprobación. Adjunta copia simple de impresiones de pantalla (fs. 2 a 28).
De la denuncia se procedió a dar traslado al denunciado, quien tomó vista el 1° de febrero de 2019, y la evacuó el 15 de febrero. En sus descargos expresan que es cierto que la empresa publica en su sitio web que la denunciante no se desempeña más para ellos y aclaran que no se publica ningún otro dato más relativo a la denunciante. Refieren a que la comunicación de datos personales está permitida por el artículo 17 literal b) de la Ley N° 18.331, de 11 de agosto de 2008, que establece que no es necesario el previo consentimiento para la comunicación de datos en los supuestos previstos en el artículo 9° de la misma norma referida en el literal c) a los listados cuyos datos se limitan en el caso de personas físicas a nombres y apellidos, documentos de identidad, nacionalidad, domicilio y fecha de nacimiento. Agregan que “En el mes de julio del año 2018 y tan sólo durante algunos días fueron publicados certificados médicos en base a los cuales la denunciante lleva adelante una campaña de desprestigio y difamación contra la empresa y la persona del Sr. Daniel Kliman” (subrayado de la informante).
Indican que dicha campaña tendría por objetivo presentar al Sr. Kliman como responsable de una enfermedad frente a clientes, colegas y público en general desarrollando este argumento. Agrega que existen conductas contrarias por parte de la denunciante, que se debe tener en cuenta que ella era la figura que representaba a la empresa. En definitiva, considera que era una persona de confianza de la empresa y conocida públicamente. Adjunta mensajes de whatsapp, partes de la demanda laboral, copia de contrato laboral, captura de pantalla, copia de poder.
Con fecha posterior, el expediente volvió para informe jurídico.
II.- Análisis
El presente caso versa sobre una posible comunicación de datos personales sin consentimiento del titular, entre ellos datos de salud contenidos en certificados médicos, por parte de la denunciada.
a. Cuestión previa
Cabe puntualizar que en el presente informe no se analizará ninguna cuestión que haga relación con la demanda laboral en virtud de que se trata de un tema que se encuentra fuera de la competencia de esta Unidad. A esos efectos, se tramita ya en la vía judicial el proceso laboral correspondiente siendo las resultancias de este caso totalmente autónomas respecto a lo que se resuelva en la vía judicial.
b. Comunicación de datos personales
Corresponde analizar si la denunciada procedió a publicar sin consentimiento de la titular datos personales, incluyendo datos de salud. Según el escrito de la denunciante surge la publicidad en el sitio web de certificados médicos de fecha 2 de abril de 2018, 30 de abril de 2018, 7 de mayo de 2018, 30 de mayo de 2018 y 7 de mayo de 2018. En ellos, se distingue además de la cédula de la denunciante y el tipo de enfermedad diagnosticada en cada ocasión.
A los efectos de analizar jurídicamente la situación cabe precisar que la denunciada realizó dos tipos distintos de publicaciones. El primero en el cual publicó los certificados médicos de la denunciante con el detalle ut supra y la segunda donde se informa sobre las personas que se encuentran desvinculadas de la empresa indicando solamente sus nombres.
En este marco, corresponde indicar que en términos generales para comunicar datos personales se requiere el previo consentimiento del titular y la existencia de interés legítimo del emisor y del destinatario (art. 17 de la Ley N° 18.331, de 11 de agosto de 2008). Es así que en el segundo caso, donde se listan las personas que no forman parte más de la institución, se estaría cumpliendo con la ley en tanto existe un interés de la institución en informar que determinadas personas no se encuentran más vinculadas a ésta, y no se requeriría su consentimiento por ser aplicable la excepción detallada anteriormente.
En el segundo caso por el contrario, donde se comunican los datos de salud de la denunciante, no surge probado la existencia de ninguno de estos elementos. Tampoco son de aplicación al caso concreto ninguna de las excepciones allí dispuestas. En este sentido, no se comparte la posición del denunciado de ser aplicable el literal c) del art. 9° por remisión del art. 17 por no estar en presencia de un listado sino de un conjunto de certificados médicos referentes a una única persona.
En estos certificados médicos surgen datos de salud, como el tipo de enfermedad padecida así como el lapso de inhabilitación. Por tanto, resulta de plena aplicación lo dispuesto en el artículo 18 de la Ley N° 18.331, de 11 de agosto de 2008, por el cual “Ninguna persona puede ser obligada a proporcionar datos sensibles. Éstos sólo podrán ser objeto de tratamiento con el consentimiento expreso y escrito de sus titulares” (subrayado de la informante). Cabe indicar que el artículo 4° literal e) define a los datos sensibles como “datos personales que revelen el origen racial y étnico, preferencias políticas, convicciones religiosas o morales afiliación sindical e informaciones referentes a la saluda o a la vida sexual”.
La publicación de datos sensibles es reconocida por la parte demandada en su escrito, la cual la acota en el tiempo, no siendo éste un elemento suficiente para no considerar lesionados los datos personales de la denunciante. Está nítidamente comprobado que la denunciante de ninguna forma consintió la publicación de esta información, a tal grado que llegó a solicitar en la audiencia de conciliación que se eliminara esa información, cuestión que fue realizada por la denunciada posteriormente. Por tanto, en este aspecto esta informante considera que hay una infracción a la normativa de protección de datos personales.
A ello cabe agregar que la denunciada alega que la denunciante quiere lesionar la reputación de la empresa pero qué cabe decir respecto a la empresa que publica los datos de salud de la denunciada. Es claro que publicar datos sensibles como ser los datos de salud puede causar una afectación a su trabajo como profesional por lo que no se considera tampoco este argumento de recibo.
En definitiva, debe considerarse que la recolección y el tratamiento de datos sensibles como el que sucede en el caso concreto, el que se realiza sin el consentimiento expreso y escrito del titular, es un caso grave de infracción a la normativa de protección de datos personales.
c. Antecedente
La empresa Control Kilos tiene una denuncia ante esta Unidad por Expediente 2016-2-10-000271 por comunicación de datos sin consentimiento siendo intimida por el Consejo a la inscripción de sus bases de datos, habiendo iniciado el trámite por 3 bases de datos, las cuales sólo una de ella fue culminada y registrada.
III.- Conclusiones
De conformidad con lo analizado en el presente informa, se considera que la denunciada ha realizado un tratamiento de datos personales, incluido sensibles, en infracción a lo dispuesto en el artículo 18 de la Ley N° 18.331, de 11 de agosto de 2008, por lo que se sugiere la imposición de la sanción que el Consejo Ejecutivo entienda corresponder.
Previo a elevar al Consejo, se solicita dar vista previa a la denunciada a los efectos de lo dispuesto en el artículo 75 del Decreto 500/991.
Es todo cuanto tengo que informar.
Dra. Flavia Baladán