El Tribunal Supremo fija doctrina sobre el tratamiento de datos de carácter personal | Aplicación del RGPD

El Tribunal Supremo ha fijado doctrina sobre el tratamiento de datos de carácter personal en el ámbito del Reglamento General de Protección de Datos. La resolución se dicta al estimar el recurso de casación interpuesto por la Agencia Española de Protección de Datos frente a la sentencia de la Audiencia Nacional.

El Alto Tribunal concluye que el tratamiento de datos de carácter personal comienza con la propia solicitud de la información, y no únicamente cuando los datos son recogidos o utilizados.

Hechos probados | Solicitud de información médica

El caso se inicia con el requerimiento de un centro penitenciario a un funcionario. Se le solicitó el diagnóstico y tratamiento médico para justificar varias ausencias laborales de corta duración.

El trabajador ya había aportado justificantes médicos, pero rechazó facilitar más información al considerar que afectaba a su intimidad.

La Agencia Española de Protección de Datos apreció una vulneración del principio de minimización en el tratamiento de datos de carácter personal e impuso una sanción de apercibimiento.

La Audiencia Nacional | Ausencia de tratamiento

La Audiencia Nacional anuló la sanción. Entendió que no existía tratamiento de datos de carácter personal, ya que el funcionario no llegó a aportar el diagnóstico ni el tratamiento solicitado.

Este criterio vinculaba el tratamiento exclusivamente a la recepción efectiva de los datos.

Doctrina del Tribunal Supremo | Interpretación amplia del tratamiento

El Tribunal Supremo rechaza esta interpretación. Afirma que el concepto de tratamiento de datos de carácter personal debe entenderse de forma amplia.

En consecuencia, los principios del RGPD son exigibles desde el momento en que se solicitan los datos, con independencia de que lleguen a facilitarse.

Una interpretación restrictiva reduciría la protección de derechos fundamentales, especialmente cuando se trata de datos de salud.

Principio de minimización | Exigencias en el tratamiento de datos de carácter personal

El Tribunal recuerda que todo responsable debe analizar previamente el tratamiento de datos de carácter personal que pretende realizar.

En este caso, el control del absentismo laboral era legítimo. Sin embargo, ya quedaba satisfecho con los justificantes aportados.

Por ello, la solicitud de información adicional se consideró innecesaria y desproporcionada, al implicar datos especialmente protegidos.

Fallo del Tribunal Supremo | Confirmación de la sanción

El Tribunal Supremo estima el recurso de la AEPD, anula la sentencia de la Audiencia Nacional y confirma la sanción.

La doctrina fijada establece que el tratamiento de datos de carácter personal queda sometido al RGPD desde su fase inicial de solicitud.