La presente Política y las medidas implementadas de seguridad de protección de datos y privacidad tiene por objeto garantizar los derechos y libertades fundamentales de las personas interesadas titulares de los datos, dando así cumplimiento al Reglamento UE 2016/679, General de Protección de Datos, de 27 de abril de 2016 (en adelante, RGPD), la Ley Orgánica 3/2018, de 5 de diciembre de Protección de Datos Personales y Garantía de Derechos Digitales (en adelante, LOPDGDD); y demás normativa que sea de aplicación.
RESPONSABLE DEL TRATAMIENTO. IDENTIDAD, DATOS DE CONTACTO Y NATURALEZA JURÍDICA.
“MUTUALIA”, Mutua Colaboradora con la Seguridad Social Nº 2 (en adelante, “MUTUALIA”, “esta Mutua” o “esta entidad”) con CIF G95471165 y domicilio social en 20004 Donostia – San Sebastián (Gipuzkoa) c/ Paseo Miraconcha 7, tiene su domicilio operativo en 48009 Bilbao (Bizkaia), c/ Henao nº 26 y teléfono 944252500. Para cualquier cuestión relacionada con protección de datos, privacidad y/o seguridad de la información, podrá contactar con el Comité de Seguridad de la Información y Protección de Datos (comitedeseguridad@mutualia.eus) y/o ante el Delegado de Protección de Datos (dpd@mutualia.eus) de MUTUALIA.
Conforme al art. 80 y siguientes del Texto Refundido de Ley General de la Seguridad Social (RD Legislativo 8/2015 de 30 de octubre), MUTUALIA, es una asociación privada de empresarios constituida mediante autorización del Ministerio de Seguridad Social competente e inscripción en el registro especial dependiente de este, que tienen por finalidad colaborar en la gestión de la Seguridad Social, bajo la dirección y tutela del mismo, sin ánimo de lucro y asumiendo sus asociados responsabilidad mancomunada en los supuestos y con el alcance establecidos en esta ley. MUTUALIA forma parte del sector público estatal de carácter administrativo, de conformidad con la naturaleza pública de sus funciones y de los recursos económicos que gestionan, sin perjuicio de su la naturaleza privada.
DELEGADO DE PROTECCIÓN DE DATOS
MUTUALIA tiene designado a su Delegado de Protección de Datos, registrado ante la Agencia Española de Protección de Datos. Las personas interesadas, por lo que respecta a todas las cuestiones relativas al tratamiento de sus datos personales y al ejercicio de sus derechos al amparo del RGPD y la LOPDGDD, podrán ponerse en contacto con el delegado de protección de datos de MUTUALIA en la siguiente dirección electrónica: dpd@mutualia.eus. También pueden contactar mediante escrito dirigido al Delegado de Protección de Datos de MUTUALIA en c/ Henao 26, 48009 Bilbao.
FINALIDAD
MUTUALIA trata datos personales de personas físicas, recabados directamente de las propias personas interesadas y/o de otras fuentes legítimas previstas en el Derecho de aplicación, con la finalidad del ejercicio y cumplimiento de las funciones y atribuciones legalmente encomendadas a esta entidad, así como en su caso con otras bases de legitimación que se detallarán en el apartado siguiente.
En concreto, MUTUALIA, como Mutua Colaboradora con la Seguridad Social, conforme a la ley, trata datos personales para el desempeño de sus funciones legal y reglamentariamente atribuidas, las cuales son el desarrollo, mediante la colaboración con el Ministerio competente de Seguridad Social, de las siguientes actividades:
Así mismo, como actividades de apoyo al desarrollo de su objeto legal descrito, MUTUALIA trata datos personales con las siguientes finalidades:
Los datos son utilizados exclusivamente para las finalidades legítimas para las que se recaban.
LEGITIMACION – BASE JURIDICA
Conforme al art. 6.1 RGPD, según el tipo y finalidad del tratamiento: Cumplimiento de las obligaciones legales; o protección de intereses vitales del interesado o de otra persona física; o cumplimiento de una misión realizada en interés público o en ejercicio de poderes públicos; satisfacción de intereses legítimos; o ejecución de un contrato o medidas contractuales; o en defecto de cualquiera de los anteriores, el consentimiento de la persona interesada.
Conforme al art. 9 RGPD, según el tipo y finalidad del tratamiento: Consentimiento explícito del interesado; cumplimiento de obligaciones y ejercicio de derechos en el ámbito del Derecho laboral y de seguridad y protección social; protección de intereses vitales del interesado o de otra persona física en el supuesto que el interesado no esté capacitado para dar su consentimiento; formulación, el ejercicio o la defensa de reclamaciones; defensa de un interés público esencial; medicina laboral, evaluación de la capacidad laboral de personas trabajadoras, diagnóstico médico, prestación de asistencia o tratamiento sanitario o gestión de los sistemas de asistencia sanitaria; o archivo de interés público, investigación científica o fines estadísticos.
La normativa básica que ampara el tratamiento de datos personales por MUTUALIA es:
ESPECIAL REFERENCIA AL CONSENTIMIENTO DE LA PERSONA INTERESADA AL TRATAMIENTO DE SUS DATOS: Si la base de legitimación del tratamiento de datos esté basada en el consentimiento, este habrá de ser prestado mediante una clara acción afirmativa. En ese caso, las personas interesadas tienen derecho a retirar el consentimiento en cualquier momento (siempre y cuando el tratamiento no sea necesario para el cumplimiento de una obligación legal o el tratamiento sea necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento -base de la licitud del tratamiento en los artículos 6.1.c o 6.1.e del RGPD), sin que ello afecte a la licitud del tratamiento basada en el consentimiento antes de su retirada
DATOS PERSONALES RECOGIDOS EN FORMULARIOS: Se informa que las respuestas a las preguntas planteadas en los formularios de recogida de datos contenidos en los sitios electrónicos de los que sea titular MUTUALIA tienen carácter VOLUNTARIO, si bien la negativa a facilitar los datos solicitados podrá traer como consecuencia la imposibilidad de poderle dar respuesta a las solicitudes/consultas/sugerencias/peticiones/quejas planteadas, o poder prestarle las asistencias, prestaciones y/ o servicios que MUTUALIA tiene legalmente encomendados. Mediante la cumplimentación de los formularios incluidos en los diferentes sitios electrónicos de MUTUALIA, las personas usuarias aceptan la inclusión y tratamiento de los datos que proporcionen, pudiéndose ejercer los derechos descritos en esta Política.
FUENTE DE PROCEDENCIA DE LOS DATOS
Según el caso, los datos tratados podrán proceder directamente de las personas interesadas, de sus beneficiarios/as, de empresas/entidades empleadoras de personas trabajadoras por cuenta ajena y/o de sus representantes autorizados, y/o de las Administraciones Públicas competentes; y/o de Juzgados y Tribunales; así como de profesionales y centros sanitarios o empresas y entidades proveedoras y/o concertadas; siempre al amparo de la legislación de aplicación a las mutuas colaboradoras con la Seguridad Social.
TRATAMIENTOS BASADOS EN EL INTERÉS LEGÍTIMO
En los casos en los que realizamos el tratamiento en base al interés legítimo de MUTUALIA como responsable del tratamiento o de un tercero, nos hemos asegurado que, sobre dichos intereses, no prevalezcan los intereses o los derechos y libertades fundamentales del interesado. Para ello hemos llevado a cabo en cada caso la correspondiente ponderación de intereses, teniendo en cuenta los riesgos del tratamiento para el interesado frente a los beneficios para el responsable y para terceros, resultando en todos ellos un equilibrio favorable a MUTUALIA como responsable y posibilitando, en consecuencia, que el tratamiento se base en el interés legítimo. En caso de que la persona interesada necesite tener más información acerca de esta valoración en relación con algún tratamiento en concreto de los que se basan en el interés legítimo, podrá dirigir su solicitud al Delegado de Protección de Datos de MUTUALIA (dpd@mutualia.eus)
DECISIONES AUTOMATIZADAS Y ELABORACION DE PERFILES
NO se prevé la toma de decisiones por MUTUALIA basadas únicamente en tratamientos automatizados, incluida la elaboración de perfiles, que produzca efectos jurídicos en la persona interesada o le afecte significativamente de modo similar.
Todo ello SALVO cuando: esté autorizado por el Derecho de aplicación; o sea necesario para la celebración/ejecución de un contrato; o conste el consentimiento explícito del/la interesado/a; pero siempre en estos casos:
DESTINATARIOS
Con carácter general no se comunicarán los datos personales a terceros, salvo obligación/amparo legal previsto en el Derecho, entre las que pueden estar las comunicaciones a Administraciones Públicas y/o Juzgados y Tribunales competentes, u otras Mutuas Colaboradoras con la Seguridad Social en el caso de ejecución de convenios de colaboración en materia de servicios sanitarios u otros previstos legalmente; y/o encargados de tratamiento, en relación con los expedientes y procedimientos relacionados con la actividad de MUTUALIA.
Si se utilizaran los servicios de esta Mutua por un proceso asistencial de cuya cobertura (sanitaria o económica) deba ser total o parcialmente responsable un tercero (entidad gestora de la Seguridad Social, mutua colaboradora, entidad mancomunada de mutuas colaboradoras, empresa colaboradora, servicio público de salud o aseguradora tercera responsable), MUTUALIA comunicará a dicho tercero los datos personales y de salud relativos a la asistencia sanitaria prestada que resulten necesarios para facturar o reclamar su coste a dicho tercero, o acreditar el cumplimiento de las tareas encomendadas en el convenio, concierto o contrato del que nazca la obligación de actuación para MUTUALIA, con el fin de prestar la asistencia sanitaria o gestión de prestación correspondiente
En defecto de otras bases jurídicas de legitimación, los datos también podrán ser objeto de cesión a terceros pero siempre y cuando conste por escrito previa declaración de consentimiento libre, explícita, informada e inequívoca de la persona interesada, con alguna finalidad legítima de MUTUALIA.
TRANSFERENCIAS INTERNACIONALES
Los responsables y encargados del tratamiento podrán realizar transferencias internacionales de datos sin necesidad de autorización de la autoridad de control competente siempre que el tratamiento de datos observe lo dispuesto en el RGPD y en los supuestos en los que se trate de Transferencias basadas en una decisión de adecuación. (Art. 45 RGPD) como nos lo recuerda en su página web la Agencia Española de Protección de Datos https://www.aepd.es/derechos-y-deberes/cumple-tus-deberes/medidas-de-cumplimiento/transferencias-internacionales)
MUTUALIA, con carácter ordinario NO efectúa trasferencias internacionales de datos en su gestión
No obstante, con carácter excepcional, para el envío de contenidos de interés (jornadas y eventos, actualidad sobre salud, prevención y acción social, novedades legislativas, información corporativa, etc.) mediante comunicaciones electrónicas de MUTUALIA a las personas que, mediante suscripción gratuita, se hayan suscrito a dicho servicio gratuito de envíos, será necesario recabar y tratar los datos de contacto profesionales de tales suscriptores, siendo necesario comunicar los datos de las personas suscriptoras facilitados a un tercero proveedor que nos presta servicios informáticos. Tales datos serán tratados, únicamente, por este tercero proveedor (actualmente MAILCHIMP), para la administración de listas de correo electrónico a los únicos efectos de la prestación del servicio suscrito, dando lugar a una transferencia internacional de datos a The Rocket Science Group LLC d/b/a MailChimp, 675 Ponce de Leon Ave NE, Suite 5000 Atlanta, GA 30308 USA. En este enlace https://www.intuit.com/privacy/statement/es/ puedes consultar la política de privacidad de Intuit, y puedes encontrar información adicional al respecto en el siguiente enlace:
En el presente caso la entidad receptora de los datos (MAILCHIMP) se encuentra en Estados Unidos de América, que es uno de los países que han sido declarados de nivel de protección adecuado por la Comisión Europea, en concreto en virtud del Data Privacy Framework, Decisión de 10 de julio de 2023 (https://ec.europa.eu/commission/presscorner/detail/en/ip_23_3721). Así, la Comisión, tal y como se explica en la Nota informativa del Comité Europeo de Protección de Datos sobre transferencias internacionales a los Estados Unidos de América tras la adopción de la Decisión de adecuación del 10 de julio de 2023, https://edpb.europa.eu/system/files/2023-07/edpb_informationnoteadequacydecisionus_en.pdf decidió que Estados Unidos, a los efectos del artículo 45 del Reglamento (UE) 2016/679, garantiza un nivel adecuado de protección de los datos personales transferidos desde la UE a organizaciones en los EE. UU. que están incluidas en la Lista del Data Privacy Framework. En concreto, la empresa Intuit (Mailchimp) está incluida en dicho listado https://www.dataprivacyframework.gov/s/participant-search/participant-detail?id=a2zt0000000TXVKAA4&status=Active
CONFIDENCIALIDAD Y MEDIDAS DE SEGURIDAD
Los datos son tratados por personas profesionales sujetas al deber de confidencialidad y, en su caso, incluso secreto profesional; con las medidas de seguridad implantadas por defecto y desde el diseño, con el fin de garantizar la accesibilidad, integridad, disponibilidad, autenticidad, confidencialidad, trazabilidad y conservación de sus Sistemas de Información y los datos personales.
MUTUALIA tiene implantado un sistema de Gestión de Riesgos entre los cuales está el de Seguridad de la Información y el de Protección de Datos. Conforme al principio de responsabilidad proactiva del RGPD, MUTUALIA tiene estableciendo un sistema de gestión de Seguridad de la Información (SGSI) conforme al estándar internacional ISO27001, en el que se encuentra certificada. Así mismo, Los sistemas de información de Mutualia han sido así mismo certificados, por entidad acreditada externa, conforme al Esquema Nacional de Seguridad.
Las medidas de seguridad de MUTUALIA destinadas a la protección de datos personales mantienen los estándares necesarios en el sector, en relación con el alcance, naturaleza, contexto y fines de los tratamientos de los datos.
Cuando se encomiende a terceros actividades de tratamiento de datos personales por cuenta de MUTUALIA se recurrirá a proveedores encargados que ofrezcan suficientes garantías, en particular en lo que respecta a conocimientos especializados, fiabilidad y recursos, de cara a la aplicación de medidas técnicas y organizativas que cumplan los requisitos del RGPD y la LOPDGDD, incluida la seguridad del tratamiento.
PLAZO DE CONSERVACIÓN
Los datos serán conservados durante el tiempo necesario para cumplir con la finalidad para la que se recaban.
(Salvo en lo relativo a los datos relacionados con videovigilancia en relación con los cuales la LOPDGDD establece expresamente un plazo máximo de conservación de un mes desde su captación), los datos se conservarán como mínimo durante cinco (5) años conforme ordena a las Mutuas el art. 16.1 del Real Decreto 1993/1992 de 7 de diciembre o durante los plazos, en su caso superiores, establecidos en la normativa general o sectorial de aplicación según el tipo de dato;
En defecto de todo lo anterior, los datos se conservarán hasta que se solicite la supresión de los mismos o se ejercite el derecho de oposición por las personas interesadas, siempre en todo caso que haya finalizado su relación con esta Mutua responsable y no sea necesaria la información para determinar posibles responsabilidades que se pudieran derivar de la finalidad para los que se recabaron los datos.
En todo caso deberán siempre tenerse en cuenta los plazos y criterios que se deducen de la legislación de Archivos y Patrimonio Documental español, así como por la normativa de Gestión Documental Integral y Patrimonio Documental de la Comunidad Autónoma del País Vasco.
DERECHOS
Cualquier persona tiene derecho a obtener confirmación sobre los tratamientos que de sus datos se llevan a cabo por MUTUALIA. Puede ejercitar sus derechos de acceso, rectificación, supresión, oposición, limitación y portabilidad ante MUTUALIA (Protección de Datos) 49009 Bilbao c/ Henao 26; o en las siguientes direcciones electrónicas:
Ante tal ejercicio de derechos, Mutualia precisará verificar la identidad de la persona solicitante, en especial en aquellos casos en los que haya motivos razonables de duda al respecto, para asegurarse de la identidad de tales personas que solicitan el acceso a sus datos y garantizar la seguridad del tratamiento durante todo el proceso de tramitación de las solicitudes de acceso. El método utilizado para ello respetará el principio de minimización de datos. A tal fin, se llevará a cabo una previa evaluación de proporcionalidad que tenga en cuenta que debe evitarse una recopilación excesiva de datos pero que tenga así mismo en cuenta que ha de garantizarse a la vez un adecuado nivel de seguridad del tratamiento, por lo que en determinados supuestos puede ser precisa, y requerida por Mutualia a la persona solicitante, la aportación de copia de un documento acreditativo de su identidad.
MUTUALIA responderá al ejercicio de derechos con arreglo a los arts. 15 a 22 del RGPD en el plazo de un (1) mes a partir de la recepción de la solicitud. Dicho plazo podrá prorrogarse otros dos (2) meses en caso necesario, teniendo en cuenta la complejidad y el número de solicitudes. MUTUALIA informará al interesado de cualquiera de dichas prórrogas en el plazo de un mes a partir de la recepción de la solicitud, indicando los motivos de la dilación.
AUTORIDAD DE CONTROL COMPETENTE
Si considera que MUTUALIA no ha tratado sus datos conforme a la normativa de aplicación, puede contactar previamente con el Delegado de Protección de Datos de a través del correo electrónico dpd@mutualia.eus
No obstante, la Agencia Española de Protección de Datos, con domicilio en c/ Jorge Juan, 6, 28001 Madrid (www.aepd.es), es la autoridad de control competente ante la cual puede interponer en su caso una reclamación.
GARANTÍA DE LOS DERECHOS DIGITALES
MUTUALIA reconoce e implementa las obligaciones derivadas de la normativa de garantía de los derechos digitales de forma especial, se atienden los derechos reconocidos sobre los datos personales de personas fallecidas, al testamento digital y el derecho al olvido.
Fecha de última actualización de este documento: Noviembre de 2023
MUTUALIA, Mutua Colaboradora con la Seguridad Social n.º 2