AAPP-00060-2018

(24h)se presta mediante un equipo instalado en el domicilio de los usuarios conectado a una línea telefónica y un pulsador remoto para contactar con el servicio. Los usuarios firman un documento contractual y se recogen entre otros sus datos, así como datos de las personas que conviven en su domicilio sin el consentimiento de estos. En el documento denominado “estatutos del servicio” se produce la autorización para el tratamiento a través de una cláusula genérica, que no especifica ni el tipo de datos a almacenar, ni el uso o cesiones previstos. En ocasiones se recoge información de diversa índole del usuario o algún familiar derivada del apoyo psicológico y emocional que se les presta y que forma parte de las “fichas de usuarios” que existen en los sistemas de información, utilizada para para proporcionar una atención de calidad y rápida respuesta en casos de emergencia, y que se comparten con el servicio (no describe cual). Así mismo, se ha detectado un fallo en el pulsador instalado en los domicilios, y para su subsanación, la empresa encargada del mantenimiento, PROAZIMUT, acude a los domicilios y hace comprobaciones, para lo cual, se le ha facilitado un acceso remoto al software de gestión de usuario de la ASSDA, pudiendo consultar todos los datos almacenados. Se anexa, entre otra, la siguiente documentación:  Copia de los Estatutos del servicio que ha de suscribir el usuario, llamado “documento de adhesión al servicio Andaluz de teleasistencia” que refleja las condiciones generales del servicio, derechos, obligaciones e información. El documento contiene datos básicos de identificación y bancarios. Se trata de un documento de 6 folios en el que se contiene:

1. a)En el apartado “funcionamiento del servicio” se indica que el alta en el SAT se comunicará al titular desde la central de teleasistencia una vez acabadas las actuaciones para dar comienzo al servicio. El servicio se presta desde el centro de atención de llamadas del SAT, que accede a los datos cuando la persona llama para ser atendida, pudiendo llamar si es una emergencia a teléfonos de atención C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/15 personalizada en función de la eventualidad presentada. Se indica también que “el personal especializado accederá de forma automática a los datos proporcionados por la persona titular, para una mejor calidad del servicio”.
2. b)Pueden ser beneficiarios las personas mayores de 65 años titulares de la tarjeta andaluciasesentaycinco, las personas con discapacidad de más del 65% entre 16 y 65 años, y las personas declaradas en situación de dependencia que tengan prescrito en su programa individual de atención (PIA) el SAT.
3. c)Ofrece atención directa todo el año 24/7, respuesta en situaciones de emergencia, garantizándose reconocimiento inmediato de la persona titular y el acceso de forma automática a los datos proporcionados para una mejor calidad del servicio.
4. d)Seguimiento personal y periódico al titular del servicio, transmitiendo confianza y seguridad mediante avisos a familiares o a quien indique el titular en caso de necesidad.
5. e)Se contiene el literal: “titular autoriza a la Consejería de Igualdad y Políticas Sociales a incorporar los datos para el tratamiento y la comunicación a terceros para el cumplimiento de los fines directamente relacionados con los servicios prestados.” También se indica que “se autoriza a la Consejería a grabar y tratar las comunicaciones telefónicas que sean mantenidas con las centrales de teleasistencia con objeto de optimizar el servicio, tanto aquellas que se realicen en las propias centrales como también aquellas realizadas por la Agencia”.  Bajo el nombre “datos almacenados que han sido cedidos” se aporta impresiones de pantallas de una aplicación informatica, contándose entre algunos de los datos almacenados, datos de salud, como operaciones o alergias, estado civil: separada, o anotaciones como ejemplo: “Su marido la maltrataba, no quería denunciarlo”. En otra sección, figura una impresión con según manifiestan “datos del hijo como persona de contacto” conteniéndose anotaciones de enfermedades, no figurando el nombre y apellidos de este, añadiendo que “no firman el consentimiento ni ningún otro documento”.  pliego de prescripciones técnicas (PPT) para la contratación del servicio técnico de instalaciones, mantenimiento y otras actuaciones sobre los dispositivos domiciliarios del servicio Andaluz de teleasistencia mediante procedimiento abierto, (PPT) con tres ANEXOS, en el I se contiene un completo cuestionario de información datos a cumplimentar marcando casillas por el titular del servicio: mayores de 65 años o discapacitado, conteniendo aspectos como tipo de enfermedades, alergias, hipertensión, con quien vive. En alguna casilla “enfermedad que padece” o capacidades auditivas o de comprensión se dejan espacios abiertos para cumplimentar manualmente, si necesita ayuda para las actividades básicas de la vida diaria, desglosándolas, hábitos o aficiones. Además de las instalaciones de los dispositivos en los domicilios de los usuarios, el adjudicatario, según la cláusula 2 ha de “recoger datos de las personas beneficiarias necesarias para la prestación” ”en el momento de hacer la instalación” . El cuestionario no lleva referencia alguna a información de la recogida de datos, tratamiento o derechos a ejercer C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/15  pliego de cláusulas administrativas particulares (PCA) para la prestación del servicio técnico de instalación, mantenimiento y otras actuaciones sobre los dispositivos domiciliarios del SAT. El anexo I A del PCA alude a las distintas actuaciones en instalación, mantenimiento y otras actuaciones de los dispositivos domiciliarios. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información a la AGENCIA DE SERVICIOS SOCIALES Y DEPENDENCIA DE ANDALUCÍA, (en lo sucesivo ASSDA) teniendo conocimiento el 22/06/2018, de: 1. Las personas usuarias del SAT instan, bien por escrito o por teléfono, las solicitudes de alta en el servicio. -Aporta copia del impreso de solicitud en formato papel en la que se han de cumplimentar datos como nombre y apellidos, DNI y domicilio del titular del servicio. Además, en datos de persona solicitante figura una casilla para marcar “menores de 65 años con discapacidad” “grado de discapacidad” a cumplimentar a mano y casilla para marcar de movilidad reducida: si/no”. -un apartado “declaración” con los datos de la persona cuidadora en el caso de enfermos de alzhéimer o demencia, firmando ese cuidador mismo la declaración como parte de la solicitud, y el solicitante o su representante la firma al final. - un apartado con los datos de nombre y apellidos y DNI de “otras personas que conviven en el mismo domicilio” “cumplimentar solo si la persona es titular de la tarjeta Andalucía Junta sesentaycinco oro” en la que no se contempla la firma de dichas personas, figurando además el DNI y edad. -en el pie del impreso contiene una cláusula de protección de datos en la que informa por la Consejería de la incorporación de sus datos a un fichero y la sede de ejercicio de derechos. 2. Según ASSDA, una vez registrada la solicitud, las personas usuarias firman un documento de adhesión al Servicio de Teleasistencia, (el mismo que aportaron los denunciantes) en el que el titular del servicio, representante o cuidadora, en forma de declaración reconoce que “ha recibido información sobre el servicio y haber leído y aceptado en todos sus términos las condiciones generales.” 3. De acuerdo con el pliego de prescripciones técnicas (PPT) para la contratación del servicio técnico de instalaciones, mantenimiento y otras actuaciones sobre los dispositivos domiciliarios del SAT de la ASSDA, señala: 3.1- para prestar correctamente el servicio, en el momento de la instalación de los dispositivos por parte del adjudicatario, (que resultó ser la entidad PROAZIMUT) se recaba de las personas usuarias un cuestionario con datos, que se adjunta al Pliego como ANEXO I, (epígrafe II punto 2) como grado de discapacidad, número de la seguridad social, diferentes tipos de enfermedades (cardiacas, respiratorias, diabetes, hipertensión, etc.…), datos de la Unidad de convivencia, con apartado de Interlocutor principal, persona con el que se establecerá la relación telefónica desde el SAT, su relación con la persona usuaria, nombre y apellidos y NIF y número de teléfono móvil. En otro apartado denominado “Contactos” consta “vinculados a la vivienda” con espacio para rellenar los datos de dichas personas, sea servicio doméstico, o C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/15 cuidado no profesional que convive con el usuario, y otros espacios para rellenar los datos personales de otros contactos personales con sus datos. En el encabezamiento del documento, figura que se registrarán los datos de todas las personas de contacto facilitadas por el usuario del servicio, así como los datos de cada una de las personas residentes en el domicilio. En dicho ANEXO, no consta ningún referente a que se proporcione información de recogida, tratamiento o finalidad de datos que así se recogen, ni para el usuario titular ni para terceros de los que se recogen (familiares o contactos). Según las cláusulas del PPT, una vez cumplimentado dicho cuestionario, la empresa (PROAZIMUT) lo remite a ASSDA, que incorpora el contenido de este a su fichero de usuarios, siendo eliminados automáticamente en el software de PROAZIMUT. Dichos datos son imprescindibles para la correcta prestación del servicio de teleasistencia. 3.2 Además, en las cláusulas del PPT figura que el adjudicatario contactara telefónicamente con los titulares para concertar fecha y hora de la instalación y que todas las llamadas desde la empresa adjudicataria a los titulares serán almacenadas pudiendo pedir en cualquier momento ASSDA copia de estas (epígrafe II, punto 1. 3.3 También se indica que ASSDA podrá requerir semanalmente y en formato electrónico las actuaciones relativas a las instalaciones efectuadas en la semana inmediatamente anterior. 3.4 En el epígrafe II, punto 3 se indica “Cuando se realice un mantenimiento, la empresa adjudicataria revisará los datos de los apartados del anexo I que ASSDA estime conveniente y trasladará a la empresa adjudicataria en la comisión de seguimiento. Esto se llevará a cabo siempre que los mismos no hayan sido revisados en los dos años anteriores” 3.5 En el epígrafe IV, punto 1 se indica que la adjudicataria tendrá que realizar la gestión de trabajo mediante el acceso al software de gestión implementado por ASSDA, siendo un aplicativo de control de actuaciones, garantizándose las comunicaciones 24 horas al día, disponiendo los técnicos de terminales portátiles, añadiéndose que la adjudicataria entregará en el más breve plazo posible un informe relativo a las medidas de seguridad que adoptará para asegurar la disponibilidad, confidencialidad e integridad de los datos manejados y la documentación facilitada, y que “La entidad contratista queda expresamente obligada a mantener absoluta confidencialidad y reserva sobre cualquier dato que pudiera conocer con ocasión del cumplimiento del contrato, especialmente los de carácter personal, que no podrá copiar o utilizar con fin diferente al que figura en el contrato, ni tampoco ceder a otros ni siquiera a efectos de conservación. 3.6 En el ANEXO II del PPT titulado “Datos mínimos del protocolo de actuaciones de la empresa adjudicataria” tampoco se contiene referencia alguna a la información a los titulares sobre la recogida de datos de salud que se realiza por el adjudicatario en el ANEXO 1 4. En el contrato de servicio de 11/10/2015 suscrito con PROAZIMUT, para la prestación del Servicio de Teleasistencia con la empresa PROAZIMUT, S.L., entidad adjudicataria del servicio figura un apartado 15, titulado, protección de datos y C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/15 confidencialidad” se reitera el deber de confidencialidad y que no podrá copiar o utilizar los datos que pudiera conocer con ocasión del cumplimiento del contrato y que “la entidad contratista queda obligada al cumplimiento de los dispuesto en la LOPD, especialmente lo indicado en su artículo 12.” Se indica también que la “entidad contratista se compromete a destruir los datos proporcionados por la Agencia o en su caso a devolver a ésta los soportes donde se halle recogida la información”. “Los datos no podrán ser objeto de ningún tratamiento distinto al previsto en el contrato. La entidad contratista únicamente tratará los datos conforme a las instrucciones de la Agencia, y no aplicará o utilizará con un fin diferente al que figure en el contrato. Cualquier tratamiento de los datos que no se ajuste a los dispuesto en el presente acuerdo, será responsabilidad exclusiva de la entidad contratista frente a terceros y frente a la Agencia, ante la que responderá por los daños y perjuicios que le hubiere podido causar, constituyendo causa de resolución del contrato. “ Manifiesta la denunciada que “Hay que resaltar, que, durante las labores de mantenimiento o sustitución de dispositivos, puede darse la circunstancia que hagan imprescindible la comunicación de datos de naturaleza personal a las entidades adjudicatarias, dentro de los límites previstos en la estipulación anterior.” 5. Con relación a los datos a los que tiene acceso la empresa PROAZIMUT, S.L., como consecuencia de la prestación del servicio, hay que manifestar que: a. Para las instalaciones de los dispositivos: la entidad adjudicataria tras recibir orden de servicio por parte de la ASSDA, accede al software de gestión implementado por la Agencia, obteniendo los siguientes datos: Nombre y apellidos, sexo, fecha de nacimiento, domicilio, colectivo y bonificación. b. Para el resto de las actuaciones: los datos indicados son tratados por la empresa instaladora incluyendo un software específico, cuyo fin es la gestión de las actuaciones. En este sentido, la ASSDA, comunica a través de la web a la empresa adjudicataria las órdenes a realizar, haciendo uso del código de tipología de aviso que procede en cada actuación. 6. Tras la detección por parte de la ASSDA de una incidencia en algunas unidades de control remoto (UCR), se decide poner en funcionamiento el Plan de comprobación de UCR, tal como quedó reflejado en el Acta de comisión de seguimiento del 12/04/2018 y cuyos anexos se citan a continuación: a. Protocolo específico para el Plan de comprobación de Unidades de control Remoto (UCR) que tiene como finalidad efectuar llamadas a los titulares del servicio que no han contactado con la central desde el pulsador remoto desde hace al menos 6 meses. Los datos se proporcionan por ASSDA a PROAZIMUT que pasa a tener permiso en la opción “localización de la vivienda” y que cuando acaba la actuación “retorna a quitar el permiso de PROAZIMUT y poner el de ASSDA” Se expone un esquema del procedimiento. En la llamada saliente se le informa al usuario que se graba la conversación. b. Se aporta copia de contrato de 2/04/2018 de “encargado de tratamiento de datos personales” que se firmó entre ASSDA y PROAZIMUT en el que se indica que TUNSTALL IBERICA SAU y PROAZIMUT han firmado un contrato de prestación de servicios el 30/03/2018 autorizado por ASSDA por el cual C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/15 PROAZIMUT presta servicios técnicos de comprobación del funcionamiento de dispositivos UCR suministrados por TUNSTALL a ASSDA mediante la realización de una llamada de seguimiento a los usuarios que no hayan utilizado la unidad de control remoto durante un tiempo determinado a fin de proceder a su chequeo desde sus instalaciones, debiendo acceder a datos de ASSDA. Los datos a los que accederá serán nombre, apellidos, identificador, teléfono, dirección y código postal. 7. Con fecha 26/07/2018, se recibe escrito de ASSDA, continuación al remitido anteriormente, en el que se pone de manifiesto: a. La única y exclusiva finalidad de la recogida de todos los datos que figuran en el ANEXO I del PPT por parte de la empresa adjudicataria, “en el que además de datos personales y clínicos del titular del servicio o de los beneficiarios, se recaban también datos de cada una de las personas residentes en el domicilio, es la de prestar los servicios objeto del contrato, ajustándose en todo momento a las instrucciones del responsable del tratamiento.” b. Los datos se recogen con el fin de prestar un adecuado y eficaz servicio, siendo a su juicio, adecuados, pertinentes y no excesivos, con relación al ámbito y finalidades determinadas; tal y como establece la Orden de la Consejería de Asuntos sociales de 10/01/2002, por la que se regula el SAT. Para ello es necesario conocer las dolencias de los usuarios y el resto de los datos recabados. c. En cuanto a los datos de las personas residentes en el domicilio, únicamente se pide la persona usuaria que proporciona el nombre, apellidos y relación de aquellos que conviven con él en el domicilio. Su recogida viene determinada por las circunstancias de estas personas en situación de dependencia, y en caso de emergencia vital resulta imprescindible conocer quienes conviven con el usuario y pueden ser susceptibles de prestarle asistencia de manera inmediata. No se pide a las personas residentes en el domicilio información alguna con relación a la normativa de protección de datos, únicamente se recaba a través del usuario el nombre y apellidos de las personas que conviven a los efectos de prestarle asistencia de manera inmediata. TERCERO: Con fecha 5/10/2018, la directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento de declaración de infracción de las Administraciones Públicas a la AGENCIA DE SERVICIOS SOCIALES Y DEPENDENCIA DE ANDALUCÍA(CONSEJERÍA DE IGUALDAD Y POLITICAS SOCIALES DE LA JUNTA DE ANDALUCÍA) por una infracción del artículo 5 de la LOPD, tipificada como leve en el artículo 44.2.
6. c)de la LOPD. CUARTO: Notificado el acuerdo de inicio, mediante escrito de entrada de 16/11/2018 manifiesta: -No precisa el consentimiento para la recogida de datos por realizarse para el ejercicio de funciones propias de los servicios sociales, como administración pública en el ámbito de sus competencias. Sin embargo, la infracción no es por no contar con el consentimiento de los afectados sino por infracción del principio de información en la recogida de los datos en cuanto. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/15 - PROAZIMUT no hace un tratamiento diferenciado del que hace la ASSDA, indica que de la recogida de datos que hace PROAZIMUT a través del dispositivo tablet que envía telemáticamente a ASSDA el usuario está informado a través del documento de adhesión al servicio de teleasistencia. Finalizan indicando que para el caso de que la interpretación de las normas de protección de datos que se hace desde esta Agencia no fuera la adecuada, se está trabajando en la actualización de los formularios de adhesión al SAT “de manera que se recaben los consentimientos cuya carencia ha dado lugar a la apertura del expediente”. QUINTO: Con fecha 28/01/2019 se emite la propuesta de resolución del literal: “PRIMERO: Declarar que AGENCIA DE SERVICIOS SOCIALES Y DEPENDENCIA DE ANDALUCÍA- (CONSEJERÍA DE IGUALDAD Y POLITICAS SOCIALES), ha infringido lo dispuesto en el artículo 5 de la LOPD, tipificada como leve en el artículo 44.2.
7. c)de dicha norma. SEGUNDO: Requerir a la AGENCIA DE SERVICIOS SOCIALES Y DEPENDENCIA DE ANDALUCÍA- (CONSEJERÍA DE IGUALDAD Y POLITICAS SOCIALES), para que adopte las medidas de orden interno que impidan que en el futuro pueda producirse una nueva infracción del artículo 5 de la LOPD.” Frente a la propuesta, la denunciada alega el 26/02/2019: - No es correcta la afirmación de que ASSDA tiene suscrito un contrato de servicio de 11/10/2015 para la prestación del servicio de teleasistencia con PROAZIMUT, por cuanto el servicio se realiza directamente por ASSDA, sino que lo que hace PROAZIMUT es instalar y mantener los dispositivos necesarios para la prestación del servicio. “Este es el hecho que motiva la denuncia, al considerar los denunciantes que PROAZIMUT efectúa un tratamiento de datos diferenciado del que hace la Agencia”, afirmación con la que no están de acuerdo. PROAZIMUT instala y mantiene los dispositivos, recabando de los usuarios unos cuestionarios en los que constan una serie de datos. Los cuestionarios son rellenados en soporte digital por el adjudicatario en el momento de la instalación, a través de una Tablet, no existiendo esos datos en formato papel. Completado el cuestionario es enviado telemáticamente a la Agencia, “borrándose automáticamente el fichero en los archivos digitales de la entidad”. PROAZIMUT no efectúa tratamiento de los datos. Manifiesta que de la recogida de esos datos el interesado está informado a través del documento de adhesión al servicio, considerando además que la adhesión al servicio trae como consecuencia la instalación del dispositivo, “siendo que los datos se recaban para la misma finalidad y para el mismo destino”. - Reitera que la prestación de servicios de teleasistencia entra dentro del ámbito competencial de su Administración, y siguiendo la redacción del artículo 6.2 de la LOPD, no es precisa la prestación del consentimiento. HECHOS PROBADOS 1) El Servicio Andaluz de Teleasistencia (SAT) presta el servicio de teleasistencia que es una prestación de la Junta de Andalucía de atención personalizada que permite a sus usuarios mantener contacto verbal a través de línea telefónica disponible las 24 horas del día todos los días, atendido por un centro receptor, siendo su fin entre otros, conseguir y mantener el grado de autonomía e independencia de las personas mayores en su domicilio, proporcionar a las personas mayores seguridad y una atención rápida en casos de emergencia y atención directa con seguimiento personal de cada usuario. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/15 El procedimiento instaurado para la prestación del servicio parte de unas cláusulas de contratación que contienen un pliego de cláusulas administrativas particulares y generales que regulan el servicio, instalación, mantenimiento y otras actuaciones de los dispositivos domiciliarios, y las relaciones con el adjudicatario del servicio. Se indica que el adjudicatario instalará en 2) La persona que solicite el servicio de teleasistencia, en primer lugar rellena un impreso de solicitud en el que entre otros extremos se recogen datos de carácter personal de si el peticionario es menor de 65 años con discapacidad” “grado de discapacidad”, a cumplimentar a mano, y casilla para marcar de movilidad reducida: si/no” o si precisa de un cuidador por padecer Alzheimer u otra demencia. Este impreso lleva la firma del titular peticionario o representante legal. También se pueden contener datos que el peticionario da, sobre DNI, y nombres y apellidos de “otras personas que conviven en el mismo domicilio” sin que se contemple la firma de dichas personas. En la recogida de datos se indica en el pie del impreso una cláusula de protección de datos, que la Consejería es la responsable de la incorporación de sus datos a un fichero y la sede de ejercicio de derechos. El impreso se firma por el peticionario. No se advierta de una futura y más amplia recogida de datos cuestionario alguno. 3) Junto con el impreso de solicitud también se entregan al peticionario las condiciones generales del servicio en el documento de adhesión al Servicio de Teleasistencia, en el que el titular del servicio, representante o cuidadora declara que “ha recibido información sobre el servicio y haber leído y aceptado en todos sus términos las condiciones generales”, En ese impreso se recogen datos básicos y bancarios para el abono del servicio. Se indica en dicho documento de adhesión: “La Agencia garantiza, la respuesta inmediata ante situaciones de emergencia” “reconocimiento inmediato de la persona titular y el acceso de forma automática a los datos proporcionados para una mejor calidad del servicio”. Entre las obligaciones figura las de facilitar correctamente a la Agencia los datos necesarios para la concesión y prestación del servicio, y “permitir la entrada en el domicilio a los servicios de emergencia en caso de ser necesario”. “una vez de alta, desde el centro de atención de llamadas del SAT se accede a los datos cuando la persona llama para ser atendida”, y “el personal especializado accederá de forma automática a los datos proporcionados por la persona titular, para una mejor calidad del servicio”. En el apartado autorizaciones se indica que el titular “autoriza conforme a la LOPD para incorporar sus datos personales facilitados por la persona titular para su tratamiento así como comunicarlos a terceros exclusivamente para el cumplimiento de fines directamente relacionado con los servicios prestados, y se le informa de que la persona titular autoriza a la Consejería a grabar y tratar las comunicaciones telefónicas que sean mantenidas con las centrales de teleasistencia, con objeto de optimizar el funcionamiento del servicio, tanto aquellas que se realicen en las propias centrales como también aquellas realizadas por la Agencia”. 4) Además, en el pliego de prescripciones técnicas (PPT) para la contratación del servicio técnico de instalaciones, mantenimiento y otras actuaciones sobre los dispositivos domiciliarios del SAT de la ASSDA, se contiene que para prestar correctamente el servicio, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/15 en el momento de la instalación de los dispositivos en los domicilios de los peticionarios, por parte del adjudicatario, (que resultó ser la entidad PROAZIMUT) va a recabar de las personas usuarias un cuestionario con datos contenidos en el ANEXO I del PPT, como grado de discapacidad, número de la seguridad social, diferentes tipos de enfermedades (cardiacas, respiratorias, diabetes, hipertensión, etc.…), datos de la Unidad de convivencia, con apartado de Interlocutor principal, persona con el que se establecerá la relación telefónica desde el SAT, su relación con la persona usuaria, nombre y apellidos y NIF y número de teléfono móvil. En otro apartado denominado “Contactos” consta “vinculados a la vivienda” con espacio para rellenar los datos de dichas personas, sea servicio doméstico, o cuidado no profesional que convive con el usuario, y otros espacios para rellenar los datos personales de otros contactos personales con sus datos. En dicho ANEXO I del PPT, que recoge el adjudicatario del usuario, no consta ningún referente a que se proporcione información de recogida, tratamiento o finalidad de datos que así se recogen y figuran también datos de terceras personas que conviven en el domicilio sin que se informe a estos. Según las cláusulas del PPT, una vez cumplimentado dicho cuestionario, la empresa (PROAZIMUT) lo remite telemáticamente a ASSDA, que incorpora el contenido de este a su fichero de usuarios, siendo eliminados automáticamente en el software de la empresa adjudicataria. 5) ASSDA tiene suscrito un contrato de servicio de 11/10/2015 para la prestación del Servicio de Teleasistencia con la empresa PROAZIMUT, S.L., entidad adjudicataria del servicio figura un apartado 15, titulado, protección de datos y confidencialidad” se reitera el deber de confidencialidad y que no podrá copiar o utilizar los datos que pudiera conocer con ocasión del cumplimiento del contrato y que “la entidad contratista queda obligada al cumplimiento de los dispuesto en la LOPD, especialmente lo indicado en su artículo 12.” Se indica también que la “entidad contratista se compromete a destruir los datos proporcionados por la Agencia o en su caso a devolver a ésta los soportes donde se halle recogida la información”. “Los datos no podrán ser objeto de ningún tratamiento distinto al previsto en el contrato. La entidad contratista únicamente tratará los datos conforme a las instrucciones de la Agencia, y no aplicará o utilizará con un fin diferente al que figure en el contrato. Cualquier tratamiento de los datos que no se ajuste a los dispuesto en el presente acuerdo, será responsabilidad exclusiva de la entidad contratista frente a terceros y frente a la Agencia, ante la que responderá por los daños y perjuicios que le hubiere podido causar, constituyendo causa de resolución del contrato. “ FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
8. g)en relación con el artículo 36 de la LOPD. II C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/15 Sobre la base jurídica del tratamiento llevada a cabo a través del servicio de teleasistencia. Considerando que la prestación del servicio puede recaer sobre cualquier persona que cumpla los requisitos, pero incidiendo además que se pueden contener en el impreso de solicitud datos de salud, aquellos que revelen información acerca del estado de salud física o mental de una persona, o los que contengan información sobre la atención sanitaria recibida y que permitan saber cuál es su estado de salud. De esta manera, todo lo relativo al padecimiento de enfermedades o riesgo de padecerlas y discapacidades, historial médico o tratamiento se consideran datos de salud. En el impreso de solicitud del servicio ya se puede recoger algún dato de salud. Por tanto, debido a la importancia y al perjuicio que pueden tener estos datos de cara a la privacidad de la persona a quien aluden, son considerados como una especie dentro de los datos especialmente protegidos. Así pues, para poder almacenarlos y tratarlos, se ha de cumplir con una serie de requisitos añadidos, requisitos que serán algo más exigentes y rigurosos que los del tratamiento de otro tipo de datos. La base jurídica del tratamiento de los datos de los usuarios del servicio de teleasistencia no es el cumplimiento de una obligación legal, pues no es imperativa la solicitud, sino que los usuarios pueden, solicitar o no el servicio, y en caso de solicitarlo, han de someterse a las normas que les vinculan, luego el servicio se presta bajo la premisa de relación jurídica con la Administración prestadora del servicio. En segunda instancia, existe competencia legal para la prestación u oferta del servicio como entidad pública que asegura un derecho de servicio social. Por tanto, el elemento del consentimiento está en segundo plano, por la base jurídica que sustenta el tratamiento, que es la relación jurídica entre las partes. Al respecto señala el artículo 6.2 de la LOPD: “No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento” Esta relación jurídica parte de las condiciones de acceso fijadas por la entidad competente de la prestación que se atiene a la ley reguladora y su desarrollo, y el sometimiento a las condiciones previstas por la misma. Sin embargo, es evidente que si se van a tratar o se pueden tratar datos de salud o datos denominados especialmente protegidos (art 7 LOPD), se precisara que el tratamiento venga establecido de modo expreso por una ley, o a través del consentimiento expreso del afectado. En el presente caso existe todo un cumulo de datos que se recogen de los C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/15 peticionarios, no solo básicos, sino también de salud entre otros, y la norma reguladora del servicio social no especifica en detalle todos y cada uno de los datos precisos para la prestación del servicio. Así pues, en principio, no existe una norma legal que establezca la obligación de que las personas deban solicitar el servicio de teleasistencia, que es algo voluntario, por lo tanto la tesis de que se ejerce una competencia legal por parte de la denunciada no es del todo ajustada al supuesto. La atribución de una potestad legal comienza a ejercitarse si se entra en los supuestos que permiten el ejercicio de las mismas, en este caso sería la solicitud del peticionario/usuario la que va a permitir el tratamiento de los mismos, esto es, tras la solicitud y en base a las condiciones establecidas, que ha de tener como fondo circunstancias sociales y de salud de los usuarios. El hecho de que exista una relación jurídica entre las partes no exime del deber de informar sobre los datos recogidos y tratados. En este caso además, al tratarse en algunos casos de datos de salud, se ha de obtener también en la recogida de datos el consentimiento expreso sobre los mismos. Se entiende que con la firma de la solicitud del servicio y la información que en el mismo se contenía se cumple dicho requisito para dichos datos. Sin embargo, no solo se han recogido datos en ese impreso de solicitud sino que hay una recogida más extensa y detallada de datos de salud en el momento posterior de instalación de los dispositivos en los domicilios de los afectados. De esta segunda recogida en un momento posterior, que lleva a cabo el adjudicatario del servicio a través de un cuestionario, cabe destacar no solo que en el impreso de solicitud originario no informa ni detalla sobre dicho tipo de recogida, sino que se hace por un tercero-encargado de tratamiento- que el usuario no conoce, y no queda informado a nivel de protección de datosen modo alguno de dicha recogida. Esta recogida exhaustiva llevada a cabo junto con el proceso técnico de instalación del dispositivo en el domicilio es lo que supone la infracción del artículo 5 de la LOPD que se imputa a la denunciada. De este modo, con carácter previo al correspondiente tratamiento, los interesados deben conocer qué datos son necesarios para el servicio que se le va a prestar, y tener un perfecto conocimiento de cuáles son las finalidades para las que se tratan los datos y, en su caso, para qué y a quien son cedidos. Sólo así, podrá ejercer el poder de disposición y control sobre sus datos personales, que constituye parte esencial del contenido del derecho fundamental a la protección de datos. Considerando la incidencia que estas premisas tienen en el consentimiento, cabe concluir que en cada documento, llamada telefónica, cuestionario o modalidad de recogida de datos donde se recojan datos, será necesario informar y definir o delimitar de alguna manera la finalidad a la que se destinarán los datos de la recogida. Igual que el deber de informar, se debe recordar la obligación del cumplimiento de otro principio esencial del derecho fundamental a la protección y tratamiento de datos, como es el principio de (proporcionalidad) que consagra el artículo 4.1 de la LOPD, al disponer: ”Los datos de carácter personal sólo se podrán recoger para su tratamiento, así como someterlos a dicho tratamiento, cuando sean adecuados, pertinentes y no excesivos en relación con el ámbito y las finalidades determinadas, explícitas y legítimas para las que se hayan obtenido" Es decir, se ha de correlacionar que datos son precisos para el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/15 desenvolvimiento del servicio y cuales se deben recoger. Si los datos que se recogen exceden de lo necesario para llevar a cabo según la finalidad, podría vulnerarse la normativa de protección de datos. En el presente supuesto se trata de la prestación pública ofertada por los servicios sociales de la Junta de Andalucía, para lo cual, y dentro de las competencias que se otorgan a la misma, se formaliza una petición de servicio, por lo que el esquema de la prestación del consentimiento queda en el plano de la petición de datos de salud dentro de ese contrato que gravita en el marco de referencia normativa en la materia. Los datos que se recogen y los que origina la apertura del procedimiento se refieren a la recogida de, entre otro tipo de datos, de salud, que se produce de los usuarios por el instalador de los dispositivos en los domicilios en forma de cuestionario. Esta recogida es posterior a la petición del servicio a través de la cumplimentación de su formulario, y de la cumplimentación del impreso adhesión al servicio. En este caso se produce una primera recogida de datos en el impreso de petición del servicio, pero hay una recogida de datos más amplia posterior, en el momento de la instalación por la persona que instalan los dispositivos en los domicilios. De nada sirve una información previa de que se van a recoger o se pueden recoger datos, sino que esta ha de ser en el momento en que ser recojan los datos. Estos datos que se contemplan en el PPT y se recogen in situ por el adjudicatario no aparecen cubiertos por la recogida que se produce en el impreso de solicitud o en el documento de adhesión, son datos nuevos y cubren una amplia gama de información, no solo de salud sino de hábitos de vida. Se recogen en una circunstancia distinta y además se proporcionan al encargado de tratamiento a diferencia de la solicitud y el documento de adhesión que usualmente se efectúa ante la ASSDA. En el momento de la firma de la solicitud y en el del documento de adhesión se explicitan que los datos que ahí se contienen pasan a formar parte de un fichero, pero cuando se recogen posteriormente durante la instalación nada se indica sobre los mismos, ni siquiera hay referencia en aquellos documentos de que se van a recoger dichos datos. El artículo 5 de la LOPD trata sobre la información en la recogida de los datos personales, que constituye un derecho del afectado que es objeto de protección en sí mismo cuya relevancia ha sido destacada por la STC 292/2000, fija el momento en que se ha de informar al interesado y el contenido de dicha información. Dispone en concreto el citado artículo 5 LOPD: " 1. Los interesados a los que se soliciten datos personales deberán ser previamente informados, de modo expreso, preciso e inequívoco: a De la existencia de un fichero o tratamiento de datos de carácter personal, de la finalidad de la recogida de dichos datos y de los destinatarios de la información. b Del carácter obligatorio o facultativo de su respuesta a las preguntas que le sean planteadas. c De las consecuencias de la obtención de los datos o de la negativa a suministrarlos. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/15 d De la posibilidad de ejercitar los derechos de acceso, rectificación, cancelación y oposición. e De la identidad y dirección del responsable del tratamiento o, en su caso, de su representante. Cuando el responsable del tratamiento no esté establecido en el territorio de la Unión Europea... 2 cuando se utilicen cuestionarios u otros impresos para la recogida, figurarán en los mismos en forma claramente legible, las advertencias a que se refiere el apartado anterior) 3. No será necesaria la información a que se refieren las letras b),
9. c)y
10. d)del apartado 1 si el contenido de ella se deduce claramente de la naturaleza de los datos personales que se solicitan o de las circunstancias que se recaban." Por su parte, el artículo 15 del Reglamento de desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21/12, (RLOPD), dispone: " Artículo 15. Solicitud del consentimiento en el marco de una relación contractual para fines no relacionados directamente con la misma. Si el responsable del tratamiento solicitase el consentimiento del afectado durante el proceso de formación de un contrato para finalidades que no guarden relación directa con el mantenimiento, desarrollo o control de la relación contractual, deberá permitir al afectado que manifieste expresamente su negativa al tratamiento o comunicación de datos. En particular, se entenderá cumplido tal deber cuando se permita al afectado la marcación de una casilla claramente visible y que no se encuentre ya marcada en el documento que se entregue para la celebración del contrato o se establezca un procedimiento equivalente que le permita manifestar su negativa al tratamiento". Por otro lado, los datos recabados incluyen datos de salud del titular sobre los el RLOPD, art 5.1.g indica: “Datos de carácter personal relacionados con la salud: las informaciones concernientes a la salud pasada, presente y futura, física o mental, de un individuo. En particular, se consideran datos relacionados con la salud de las personas los referidos a su porcentaje de discapacidad y a su información genética.” Además, el artículo 7.3 de la LOPD indica: “Los datos de carácter personal que hagan referencia al origen racial, a la salud y a la vida sexual sólo podrán ser recabados, tratados y cedidos cuando, por razones de interés general, así lo disponga una ley o el afectado consienta expresamente” Por tanto, con independencia de que se suscriba un contrato, el consentimiento sobre el tratamiento de estos datos ha de ser expreso, sirviendo en el presente caso la firma que en la solicitud y en el documento de adhesión constan, aunque deberán ampliar la información en la información de la recogida de datos que se produce a través de dicho cuestionario. Asimismo, deberá reforzarse el contenido de la cláusula informativa de la solicitud del servicio en la que exclusivamente se indica la incorporación de los datos a un fichero y la sede de ejercicio de los derechos, así como en el documento de adhesión, o C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/15 unificar la información en el primer documento haciendo una referencia más extensa de los datos a recoger en cuanto a su finalidad y contemplando exclusivamente los datos necesarios. Además, debería darse la información de la recogida de los datos que se producen de terceros que residen en la vivienda. III La infracción en que incurre la denunciada se tipifica como leve en el artículo 44.2.
11. c)de la LOPD que indica: “El incumplimiento del deber de información al afectado acerca del tratamiento de sus datos de carácter personal cuando los datos sean recabados del propio interesado” La denunciada IV La LOPD indica en su artículo 46: “Cuando las infracciones a que se refiere el artículo 44 fuesen cometidas en ficheros de titularidad pública o en relación con tratamientos cuyos responsables lo serían de ficheros de dicha naturaleza, el órgano sancionador dictará una resolución estableciendo las medidas que procede adoptar para que cesen o se corrijan los efectos de la infracción. Esta resolución se notificará al responsable del fichero, al órgano del que dependa jerárquicamente y a los afectados si los hubiera.” La denunciada deberá informar de los medios que está adoptando para actualizar y completar la información en la recogida de datos del SAT, indicando el sentido en el que van a completar la misma. No obstante, estos requerimientos habrán de acomodarse al nuevo Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27/04/2016 relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (en lo sucesivo, RGPD). Por lo tanto, de acuerdo con lo señalado Por la directora de la Agencia Española de Protección de Dato Vistos los preceptos citados y demás de general aplicación, la directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR que la CONSEJERÍA DE IGUALDAD Y POLITICAS SOCIALES DE LA JUNTA DE ANDALUCÍA, ha infringido lo dispuesto en el artículo 5 de la LOPD, tipificada como grave en el artículo 44.2.
12. c)de la citada Ley Orgánica. SEGUNDO: De acuerdo con lo establecido en el apartado 3 del artículo 46 de la LOPD, se requiere a la denunciada para que acredite en el plazo de un mes desde este acto de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/15 notificación las medidas de orden interno que impidan que en el futuro pueda producirse una nueva infracción del artículo 5 de la LOPD, ahora con los requerimientos del artículo 13 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27/04/2016 relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (norma vigente en la actualidad), para lo que se abre expediente de actuaciones previas E/02457/2019. TERCERO: NOTIFICAR la presente resolución a la CONSEJERÍA DE IGUALDAD Y POLITICAS SOCIALES DE LA JUNTA DE ANDALUCÍA. CUARTO: COMUNICAR la presente resolución al DEFENSOR DEL PUEBLO, de conformidad con lo establecido en el artículo 46.4 de la LOPD. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30712, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22/12, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21/12. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 114.1
13. c)de la Ley 39/2015, de 1/10, del Procedimiento Administrativo Común de las Administraciones Públicas, y de acuerdo con lo establecido en su artículo 123, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13/07, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es