← España

AI-00024-2022

1/16  Expediente N.º: EXP202102521 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes: HECHOS PRIMERO: Se recibe reclamación con fecha 15 de septiembre de 2021, ante la Agencia Española de Protección de Datos. La reclamación se dirige contra ARAMARK SERVICIOS DE CÁTERING, S.L.U., con NIF B60359726 (en adelante, la parte reclamada o ARAMAK). Los motivos en que basa la reclamación son los siguientes: Se reclama que la entidad ARAMARK, que presta servicio de catering en el CEIP Joaquín Turina de Sevilla, ha comunicado a los padres de los alumnos las "Condiciones Generales del Servicio de Comedor" en las que se informa de que para notificar ausencias en la utilización del servicio de comedor hay que darse de alta como usuario en la web www.elgustodecrecer.es, así como aportar datos de salud de los menores, en el caso en el que se alegue una situación de enfermedad, e incluso para comunicar intolerancias. Señala la parte reclamante que la entidad reclamada es adjudicataria del contrato de servicio de comedor ofertado por la JUNTA DE ANDALUCÍA, siendo esta Administración la responsable del tratamiento de datos de alumnos usuarios del servicio de comedor y la entidad reclamada encargada de tratamiento. Sin embargo, en la web www.elgustodecrecer.es la entidad reclamada se erige como responsable del tratamiento de datos, obteniendo los mismos a partir del registro como usuario. Manifiesta que nos encontramos ante un registro de datos que solicita datos adicionales a aquellos previstos en el pliego de contratación, afectando con ello al principio de minimización de datos, y que se prolonga más allá de la vinculación directa con el servicio de comedor, dado que el tratamiento perdura hasta que se insta la baja como usuario. Señala que se solicitan datos excesivos de menores, se obliga a un registro no previsto en el contrato público celebrado y, a partir del mismo, se prevé en la citada web la posibilidad del uso de datos con finalidades distintas de la mera gestión del sistema de ausencias, sino las propias de la condición de usuario en dicha web. Expone la parte reclamante que la mercantil ARAMARK está llevando a cabo tratamientos de categorías de datos que exceden lo previsto en los pliegos que rigen la contratación y están destinando esos datos a fines distintos a los contemplados en ellos, de tal modo que está actuando como Responsable de Tratamiento y no como Encargado de Tratamiento con respecto a la Agencia Andaluza de Educación. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/16 Manifiesta, asimismo, que entiende que la entidad reclamada no lleva a cabo una adecuada información en torno a la recogida y finalidades del uso de datos de usuarios y que no aplica las debidas medidas de seguridad en la gestión de los mismos, dado que la solicitud de datos de salud para la justificación de ausencias implica el tratamiento de categorías especiales de datos de menores, sin que se informe en la web de la adopción de medidas de seguridad adecuadas para la protección de dichos datos, señalando, por último, que, pese a que se gestionan datos de salud de menores, no se prevé la designación de un DPD por dicha entidad. Documentación relevante aportada por la parte reclamante: - Escrito de denuncia en el que se relatan los hechos y los fundamentos jurídicos en los que se sustenta la misma. (Doc. Denuncia_contra_ARAMARK_ante_AEPD_signed) - Acreditación de la condición de interesado - Condiciones Generales de uso del Servicio de Comedor dispuestas por la mercantil denunciada de septiembre 2021 (Doc. Circular_a_Padres_Curso_2021_2022) - Política de privacidad del sitio web www.elgustodecrecer.es a fecha 22/9/21 (Doc. O00007128e2100038386-PRIVACIDAD WEB) - Resolución de Corrección de Errores. Contratación de la concesión del Servicio Público de comedor escolar en los centros docentes públicos dependientes de la Consejería de Educación y Deporte mediante procedimiento restringido. Expte. Nº 0065/ISE/2019/SC. (Doc.PLIEGO_CLUSULAS_ADMINISTRATIVASDILIGENCIA_DOCUMENTO_ 607583) (en adelante PCAP) - Pliego de prescripciones técnicas de la Agencia Pública Andaluza de Educación para la contratación de la concesión del servicio público de comedor escolar en los centros docentes públicos dependientes de la Consejería de Educación y Deporte, sujeto a regulación armonizada mediante procedimiento restringido. Expte. Nº 0065/ISE/2019/ SC. (Doc. PLIEGOS_PRESCRIPCIONES_TCNICAS_601443) (en adelante PPT) SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada/ALIAS, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 1 de octubre de 2021. como consta en el acuse de recibo que obra en el expediente. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/16 Con fecha 29 de octubre de 2021 se recibe en esta Agencia escrito de respuesta indicando, en síntesis, lo siguiente: Es radicalmente falso que la web del "gusto de crecer" solicite datos de salud de menores (como una enfermedad) o datos de intolerancias...Que el trámite para la notificación de alergias e intolerancias de los beneficiarios del servicio es otro que nada tiene que ver con la web de "El gusto de crecer". Aramark quiere enfatizar que en la citada web no se tratan dichos datos de salud y que no se les pide a los tutores ninguna justificación en relación al motivo de la ausencia del usuario del comedor. Se acompaña como Documento 2 adjunto las capturas de pantalla explicativas del proceso de comunicación, donde se detalla la información que los padres o tutores deben facilitar en la página web. Este documento enumera paso a paso la información que debe proporcionarse para que el niño sea considerado "ausente" de la comida con una antelación de menos de tres días. En este caso, los usuarios podrán avisar de su ausencia en el comedor sin coste económico alguno para el usuario. Sobre la información legal proporcionada por Aramark en la web, señala que, en algunas de dichas finalidades, Aramark tiene el rol de Responsable de tratamiento y de esta manera se refleja en la política de privacidad y las condiciones generales de uso. Dado que la responsabilidad no se deriva de la naturaleza del responsable del tratamiento, sino de sus actividades específicas en un contexto determinado, Aramark actúa, para determinadas finalidades concretas, como Responsable del tratamiento del sitio web En todo caso, esta posición de responsable del tratamiento no debe ser confundida con la posición de encargado del tratamiento que ostenta Aramark en relación con las comunicaciones a efectos de asistencia al comedor. Sobre el principio de minimización y la solicitud de datos adicionales expone que, en ningún caso se piden datos adicionales de menores y tampoco se vulnera el principio de minimización de datos. Por otro lado, los datos a los que posteriormente se tendrán acceso son los proporcionados por el Responsable del tratamiento a Aramark (es decir, por la Consejería De Educación y Deporte de la Junta de Andalucía a Aramark), que a su vez, ha obtenido del Colegio proporcionados por el tutor o tutora legal del menor y, reiteramos que en ningún caso se piden datos adicionales de conformidad con lo probado con las capturas de pantalla mostradas en el Documento 2. Sobre el periodo de conservación de los datos personales indica que, dado que el registro para la notificación de las ausencias se hace en una página web titularidad de Aramark, será el propio usuario el que debe darse de baja de la página web, a través de los mecanismos habilitados en la misma. En relación con los datos relativos al servicio de comedor, al ser obtenidos mediante el Responsable del Tratamiento (Junta Andalucía), Aramark no tiene la facultad de gestionar las altas y bajas del servicio, sino que será el responsable del tratamiento el que realice tal gestión. Sobre los datos de menores, reitera Aramark ha tratado los Datos Personales conforme a las instrucciones mencionadas en el Pliego y demás documentos contractuales aplicables a la ejecución del contrato. Los pliegos de la licitación prevén expresamente que el adjudicatario proporcione un canal, plataforma, web, app o C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/16 similar con el fin que los beneficiarios de la prestación puedan gestionar las ausencias de comedor sin especificar ninguna característica del mismo ni que deba ser exclusivo para dicha tarea. Consideran que el sitio web proporcionado por Aramark simplemente como una herramienta con la que se recogen los datos en nombre y por cuenta del CEIP Joaquín Turina de Sevilla por el PLIEGO DE PRESCRIPCIONES TÉCNICAS DE LA AGENCIA PÚBLICA ANDALUZA. En este sentido, Aramark actúa como Encargado del tratamiento para algunas finalidades, entre la que se encuentra la gestión de las ausencias de los interesados referentes al CEIP Joaquín Turina de Sevilla. Por lo tanto, en su condición de Encargado del tratamiento, Aramark trata los datos personales de los interesados, tales como: el Nombre y Apellidos, DNI, domicilio y número de cuenta corriente del alumnado beneficiario de la prestación y de sus tutores legales. Asimismo, en su condición de Responsable del Tratamiento, trata los datos personales para otros servicios que se prestan a través de la web. Aramark no trata datos personales de salud de los interesados a través de la web el gusto de crecer. Teniendo en cuenta que no se produce este tratamiento, esta parte aplica las medidas de seguridad necesarias para proteger los datos que gestiona según la normativa vigente y los pliegos de referencia. A raíz de las revisiones realizadas de nuestro programa de cumplimiento, se ha decidido implementar las siguientes medidas para mejorar la protección de datos: • La política de privacidad de Aramark que rigen la web "El gusto de crecer" se modificarán inmediatamente con el fin de exponer de una manera más clara y transparente para los usuarios que sobre Aramark recae el doble rol de Responsable de Tratamiento, para unas finalidades concretas, y de Encargado de Tratamiento, para otras, como en el caso presente relacionado con la gestión de las ausencias por cuenta del CEIP Joaquín Turina de Sevilla/Agencia Pública Andaluza. TERCERO: Con fecha 15 de diciembre de 2021, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/16 Realizado requerimiento de información a la parte reclamada se recibe en esta Agencia escrito de respuesta, con fecha de 22 de febrero de 2022, informando de lo siguiente: 1- La parte reclamada resultó adjudicataria de la contratación Servicio público de comedor escolar y programa de refuerzo en alimentación infantil (PRAI) en los centros docentes públicos dependientes de la Consejería de Educación y Deporte mediante procedimiento abierto (expte. nº 0164/ISE/2020/SC). 2- Que, de conformidad con el Pliego de cláusulas administrativas particulares de la Agencia Pública Andaluza de Educación, Aramark actúa como encargado de tratamiento en relación con los datos tratados en el ejercicio de la prestación del servicio. Como objetos asociados se han incorporado a este expediente los pliegos PCAP y PPT del expediente citado por la parte reclamada, expte. nº 0164/ISE/2020/SC. La parte reclamada aporta extracto de los citados Pliegos donde se resalta el siguiente texto en la pg. 34 del PCAP - Pliego de Cláusulas Administrativas Particulares del citado expte: “La persona contratista, deberá cumplir el RGPD, la Ley Orgánica 3/2018, de 5 de diciembre, de protección de datos personales y garantía de los derechos digitales y demás normativa de aplicación en vigor en materia de protección de datos. El sometimiento de la persona contratista a la normativa sobre protección de datos constituye una obligación esencial a los efectos de lo previsto en la letra

  1. f)del apartado 1 del artículo 211 de la LCSP. Para ello, y en aplicación de la disposición adicional vigésima quinta de la Ley 9/2017, la persona contratista tendrá la consideración de encargado del tratamiento en el caso en que la contratación implique el acceso del contratista a datos de carácter personal de cuyo tratamiento sea responsable la entidad contratante. En este supuesto, el acceso a esos datos no se considerará comunicación de datos, cuando se cumpla lo previsto en el artículo 28 del RGPD. En todo caso, las previsiones de este deberán de constar por escrito”. 3- Que, de conformidad con los deberes que ostenta Aramark como adjudicatario del contrato, al inicio del curso escolar y, con el fin de poder prestar el servicio encomendado por el órgano de contratación, Aramark envió nota informativa a los usuarios de comedor escolar. En un extracto de dicha carta, de fecha 21 de septiembre de 2021, se informaba a los padres o tutores de los usuarios del servicio de comedor que tuvieran alguna alergia o intolerancia de la adecuada forma de proceder y del necesario e imprescindible envío de certificado médico al centro escolar: “Dietas adaptadas: Para solicitar el menú con alergias y/o intolerancias alimenticias, se entregará el informe médico (especialista) al Centro Escolar y se le informará de la fecha de comienzo de la dieta a través de la persona que coordina el Servicio de Comedor. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/16 Si Aramark Servicios de Catering, S.L.U, NO tiene en su poder el informe médico de la alergia y/o intolerancia, no se realizará el servicio.” Las indicaciones anteriores se basan en las instrucciones contempladas en los Pliegos Técnicos, (la petición de envío de certificado médico) que Aramark no ha hecho más que cumplir escrupulosamente (ver páginas 10 y 11 del PPT): Aporta extracto de los citados Pliegos de Prescripciones Técnicas de donde se marca lo siguiente en las pgs. 10-11 del citado expte nº 0164/ISE/2020/SC: 5.1 Elaboración de dietas y/o menús. Así como las necesidades derivadas de la interacción de las dietas especiales descritas para alergias/intolerancias. […] Asimismo, en el caso de que el alumnado necesitará algún otro tipo de dieta especial diferente a las anteriormente descritas, y una vez recibido el informe médico completo, se facilitará de conformidad con lo establecido en el artículo 40.5 de la Ley 17/2011, de 5 de julio, de seguridad alimentaria y nutrición. A su vez, los mencionados Pliegos, basan la forma de proceder fijada en el apartado 5.1. Elaboración de dietas y/o menús, y la necesidad de contar con un informe médico en el artículo 40.5 de la Ley 17/2011, de 5 de julio, de seguridad alimentaria y nutrición la dieta especial. Como recordatorio, se establece en el artículo 40.5 de la Ley 17/2011, de 5 de julio, de seguridad alimentaria y nutrición que “los centros educativos en los que estén matriculados alumnos con alergias o intolerancias alimentarias diagnosticadas por profesionales y que acrediten, mediante certificado médico, que no pueden consumir determinados alimentos no saludables, elaborarán menús especiales adaptados a dichas alergias o intolerancias.” 4- Aramark ha solicitado un certificado médico en cumplimiento de los requisitos contractuales y legales. El fundamento de la solicitud de envío del certificado médico se encuentra en el apartado 5.1 del Pliego EXPTE. Nº 0164/ISE/2020/SC, Elaboración de dietas y/o menús y en el artículo 40.5 de la Ley 17/2011, de 5 de julio, de seguridad alimentaria y nutrición la dieta especial. Se requiere de un informe médico completo previo con el fin de que la empresa de comedor escolar pueda adaptar la dieta al alumno afectado. En el Preámbulo de la Ley 17/2011, de 5 de julio, de seguridad alimentaria y nutrición la dieta especial se explica que la idea que la sustenta es que la protección efectiva del derecho a la seguridad alimentaria requiere un enfoque que tenga en cuenta los riesgos para el consumidor asociados a los alimentos y que incluya todas las perspectivas posibles. Según el apartado 5 del artículo 40, cuando las condiciones organizativas y las instalaciones lo permitan, los centros escolares que escolaricen alumnos con alergias o intolerancias alimentarias diagnosticadas por profesionales y que acrediten, mediante el correspondiente certificado médico, que no pueden consumir determinados alimentos perjudiciales para su salud, elaborarán menús especiales adaptados a dichas alergias o intolerancias. De esto deducimos que tiene C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/16 que haber un diagnóstico previo y un certificado médico que lo acredite y que se tiene que presentar en el centro escolar para poder solicitar las alternativas. […] Por lo tanto, la protección de la salud del alumno es una gran prioridad, ya que en última instancia sirve para proteger su integridad física. Esto está garantizado por la exigencia de un certificado médico. Es importante señalar que Aramark solicitó específicamente – en su rol de Encargado de tratamiento – que se enviara el certificado médico al Centro Escolar: “Para solicitar el menú con alergias y/o intolerancias alimenticias, se entregará el informe médico (especialista) al Centro Escolar y se le informará de la fecha de comienzo de la dieta a través de la persona que coordina el Servicio de Comedor.” En ningún momento Aramark solicitó que el certificado se enviara a la propia empresa, sino que pidió que se enviara al Centro Escolar, como corresponde desde el punto de vista del RGPD y su rol de Encargado de tratamiento. De conformidad con lo expuesto en el presente escrito, Aramark presta el servicio público en los comedores escolares bajo la responsabilidad de la autoridad educativa y, de conformidad con los Pliegos, “La dirección del centro facilitará y mantendrá actualizada a la empresa las informaciones sobre los alumnos autorizados al servicio del comedor”. Según el Pliego EXPTE. Nº 0164/ISE/2020/SC, apartado 14, página 35, “Aramark como persona adjudicataria, en tanto Encargado de tratamiento, deberá tratar los datos personales que el centro escolar le ha facilitado”. Protocolo de recepción y entrega de los usuarios del servicio […]  DATOS DE USUARIOS Al inicio y durante la ejecución del contrato, la dirección del centro facilitará y mantendrá actualizada a la empresa la siguiente información: - Relación de alumnos autorizados al servicio de comedor. - Relación de alumnos autorizados a las actividades extraescolares en el centro, tras el servicio de comedor. - Relación de tutores o personas autorizadas expresamente por aquellos (nombre, apellidos, DNI y teléfono de contacto) para recoger a cada alumno usuario del servicio de comedor. Se ha comprobado que esta información figura en la pg. 35, aptdo. 14 del PPT del expediente citado: Actas de seguimiento y control del comedor, dentro del subapartado: Protocolo de recepción y entrega de los usuarios del servicio. En relación a ello, Aramark ha tratado los Datos Personales conforme a las instrucciones mencionadas en el Pliego y demás documentos contractuales aplicables a la ejecución del contrato (Página 162 de 163). Se ha comprobado que las medidas de seguridad figuran en la pg. 162 del PCAP del expediente citado. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/16 Aramark ha tratado los Datos Personales de conformidad con los criterios de seguridad y el contenido previsto en el artículo 32 del RGPD, observando y adoptando las medidas técnicas y organizativas de seguridad necesarias o convenientes para asegurar la confidencialidad, integridad, disponibilidad y resiliencia de los sistemas y servicios de tratamiento. Igualmente, Aramark ha mantenido la más absoluta confidencialidad sobre los Datos Personales a los que tiene acceso para la ejecución del contrato, así como sobre los que resulten de su tratamiento, cualquiera que sea el soporte en el que se hubieren obtenido. 5- De acuerdo con los requisitos legales, Aramark ha creado un registro en el que aparecen los datos personales tratados por nuestra entidad como Encargado de tratamiento. Adjuntamos este registro a esta carta como Documento número 1. A este respecto, somos conscientes de que la inspección del certificado médico implica datos de salud que manejamos con el debido cuidado en nuestra empresa. Entendemos que la protección de datos es especialmente importante en el sector de la salud, ya que los datos de salud son sensibles y, por tanto, deben protegerse de forma exhaustiva. El término "datos de salud" se entiende de forma muy amplia en Aramark con el fin de proporcionar la mejor protección posible a dichos datos sensibles. En el Documento número 1 adjunto encontrará más información respecto a esta actividad. Además, tenemos que destacar expresamente que todos los empleados de Aramark que tienen acceso a estos datos de salud (este número de empleados de Aramark con acceso a esos datos es absolutamente restringido) están formados y son conscientes de la importancia y trascendencia de estos datos. La formación de los empleados en el manejo de datos personales y, en particular, de datos de salud, se repite periódicamente. Obviamente, estos empleados están sujetos a un estricto deber de confidencialidad. 6- Esta parte quiere poner de manifiesto que Aramark no ha recibido queja alguna ni otra disconformidad respecto a la manera de proceder en este asunto ni por parte de los padres o tutores, ni por parte de los centros escolares ni del órgano de contratación y considera firmemente que ha cumplido la normativa de protección de datos. En este sentido, nuestra entidad se esfuerza por aclarar cualquier ambigüedad en el Tratamiento de datos personales. El tratamiento de los datos personales ya sea en los contratos, las condiciones legales y/o en la política de protección de datos es tomado muy serio, ya que la protección de datos es un elemento importante de nuestro programa de Compliance en toda la empresa. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con las funciones que el artículo 57.1 a),
  2. f)y
  3. h)del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) confiere a C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/16 cada autoridad de control y según lo dispuesto en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Licitud del tratamiento y Encargado de tratamiento La reclamación se concreta en que la entidad reclamada actúa como responsable del tratamiento, de acuerdo con lo señalado en su web, cuando está actuando como encargado el tratamiento de la Agencia Andaluza de Educación; trata datos de salud (intolerancias alimentarias y alergias y no tiene DPD ni medidas de seguridad adecuadas. El artículo 6 del RGPD, que regula la licitud del tratamiento, establece lo siguiente: "1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
  4. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
  5. b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
  6. c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
  7. d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
  8. e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
  9. f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
  10. f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones. 2. Los Estados miembros podrán mantener o introducir disposiciones más específicas a fin de adaptar la aplicación de las normas del presente Reglamento con respecto al tratamiento en cumplimiento del apartado 1, letras
  11. c)y e), fijando de manera más precisa requisitos específicos de tratamiento y otras medidas que garanticen un tratamiento lícito y equitativo, con inclusión de otras situaciones específicas de tratamiento a tenor del capítulo IX. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/16 3. La base del tratamiento indicado en el apartado 1, letras
  12. c)y e), deberá ser establecida por:
  13. a)el Derecho de la Unión, o
  14. b)el Derecho de los Estados miembros que se aplique al responsable del tratamiento. La finalidad del tratamiento deberá quedar determinada en dicha base jurídica o, en lo relativo al tratamiento a que se refiere el apartado 1, letra e), será necesaria para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento. Dicha base jurídica podrá contener disposiciones específicas para adaptar la aplicación de normas del presente Reglamento, entre otras: las condiciones generales que rigen la licitud del tratamiento por parte del responsable; los tipos de datos objeto de tratamiento; los interesados afectados; las entidades a las que se pueden comunicar datos personales y los fines de tal comunicación; la limitación de la finalidad; los plazos de conservación de los datos, así como las operaciones y los procedimientos del tratamiento, incluidas las medidas para garantizar un tratamiento lícito y equitativo, como las relativas a otras situaciones específicas de tratamiento a tenor del capítulo IX. El Derecho de la Unión o de los Estados miembros cumplirá un objetivo de interés público y será proporcional al fin legítimo perseguido. 4. Cuando el tratamiento para otro fin distinto de aquel para el que se recogieron los datos personales no esté basado en el consentimiento del interesado o en el Derecho de la Unión o de los Estados miembros que constituya una medida necesaria y proporcional en una sociedad democrática para salvaguardar los objetivos indicados en el artículo 23, apartado 1, el responsable del tratamiento, con objeto de determinar si el tratamiento con otro fin es compatible con el fin para el cual se recogieron inicialmente los datos personales, tendrá en cuenta, entre otras cosas:
  15. a)cualquier relación entre los fines para los cuales se hayan recogido los datos personales y los fines del tratamiento ulterior previsto;
  16. b)el contexto en que se hayan recogido los datos personales, en particular por lo que respecta a la relación entre los interesados y el responsable del tratamiento;
  17. c)la naturaleza de los datos personales, en concreto cuando se traten categorías especiales de datos personales, de conformidad con el artículo 9, o datos personales relativos a condenas e infracciones penales, de conformidad con el artículo 10;
  18. d)las posibles consecuencias para los interesados del tratamiento ulterior previsto;
  19. e)la existencia de garantías adecuadas, que podrán incluir el cifrado o la seudonimización." El RGPD define «encargado del tratamiento» o «encargado» como: “la persona física o jurídica, autoridad pública, servicio u otro organismo que trate datos personales por cuenta del responsable del tratamiento; El artículo 28 del RGPD dedicado al encargado de tratamiento establece lo siguiente: “1. Cuando se vaya a realizar un tratamiento por cuenta de un responsable del tratamiento, este elegirá únicamente un encargado que ofrezca garantías suficientes para aplicar medidas técnicas y organizativas apropiados, de manera que el tratamiento sea conforme con los requisitos del presente Reglamento y garantice la protección de los derechos del interesado. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/16 2. El encargado del tratamiento no recurrirá a otro encargado sin la autorización previa por escrito, específica o general, del responsable. En este último caso, el encargado informará al responsable de cualquier cambio previsto en la incorporación o sustitución de otros encargados, dando así al responsable la oportunidad de oponerse a dichos cambios. 3. El tratamiento por el encargado se regirá por un contrato u otro acto jurídico con arreglo al Derecho de la Unión o de los Estados miembros, que vincule al encargado respecto del responsable y establezca el objeto, la duración, la naturaleza y la finalidad del tratamiento, el tipo de datos personales y categorías de interesados, y las obligaciones y derechos del responsable. Dicho contrato o acto jurídico estipulará, en particular, que el encargado:
  20. a)tratará los datos personales únicamente siguiendo instrucciones documentadas del responsable, inclusive con respecto a las transferencias de datos personales a un tercer país o una organización internacional, salvo que esté obligado a ello en virtud del Derecho de la Unión o de los Estados miembros que se aplique al encargado; en tal caso, el encargado informará al responsable de esa exigencia legal previa al tratamiento, salvo que tal Derecho lo prohíba por razones importantes de interés público;
  21. b)garantizará que las personas autorizadas para tratar datos personales se hayan comprometido a respetar la confidencialidad o estén sujetas a una obligación de confidencialidad de naturaleza estatutaria;
  22. c)tomará todas las medidas necesarias de conformidad con el artículo 32;
  23. d)respetará las condiciones indicadas en los apartados 2 y 4 para recurrir a otro encargado del tratamiento;
  24. e)asistirá al responsable, teniendo cuenta la naturaleza del tratamiento, a través de medidas técnicas y organizativas apropiadas, siempre que sea posible, para que este pueda cumplir con su obligación de responder a las solicitudes que tengan por objeto el ejercicio de los derechos de los interesados establecidos en el capítulo III;
  25. f)ayudará al responsable a garantizar el cumplimiento de las obligaciones establecidas en los artículos 32 a 36, teniendo en cuenta la naturaleza del tratamiento y la información a disposición del encargado;
  26. g)a elección del responsable, suprimirá o devolverá todos los datos personales una vez finalice la prestación de los servicios de tratamiento, y suprimirá las copias existentes a menos que se requiera la conservación de los datos personales en virtud del Derecho de la Unión o de los Estados miembros;
  27. h)pondrá a disposición del responsable toda la información necesaria para demostrar el cumplimiento de las obligaciones establecidas en el presente artículo, así como para permitir y contribuir a la realización de auditorías, incluidas inspecciones, por parte del responsable o de otro auditor autorizado por dicho responsable. En relación con lo dispuesto en la letra
  28. h)del párrafo primero, el encargado informará inmediatamente al responsable si, en su opinión, una instrucción infringe el presente Reglamento u otras disposiciones en materia de protección de datos de la Unión o de los Estados miembros.” La entidad reclamada actúa como encargado de tratamiento en la prestación del servicio de comedor del CEIP Joaquín Turina de Sevilla, tal y como establecen el Pliego de Cláusulas Administrativas y el Pliego de Cláusulas Técnicas. Los datos de los menores los trata por cuenta y en nombre de la Agencia Pública Andaluza de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/16 Educación; menores que cursan estudios en centros escolares dependientes de la Consejería de Educación y Deporte de la Junta de Andalucía. En los Pliegos se recogen cuestiones de protección de datos que han de constar en el contrato o acto jurídico que estipula las cuestiones reseñadas en los Hechos de esta resolución. Los datos de intolerancias o alergias que se recogen son los que establecen el PPT, de conformidad con la cláusula 5.1 Elaboración de dietas y/o menús. Así como las necesidades derivadas de la interacción de las dietas especiales descritas para alergias/intolerancias. […] Asimismo, en el caso de que el alumnado necesitara algún otro tipo de dieta especial diferente a las anteriormente descritas, y una vez recibido el informe médico completo, se facilitará de conformidad con lo establecido en el artículo 40.5 de la Ley 17/2011, de 5 de julio, de seguridad alimentaria y nutrición. III Información que deberá facilitarse cuando los datos personales se obtengan del interesado El artículo 13 del RGPD establece la información que deberá facilitarse cuando los datos personales se obtengan del interesado, en virtud del cual: "1. Cuando se obtengan de un interesado datos personales relativos a él, el responsable del tratamiento, en el momento en que estos se obtengan, le facilitará toda la información indicada a continuación:
  29. a)la identidad y los datos de contacto del responsable y, en su caso, de su representante;
  30. b)los datos de contacto del delegado de protección de datos, en su caso;
  31. c)los fines del tratamiento a que se destinan los datos personales y la base jurídica del tratamiento;
  32. d)cuando el tratamiento se base en el artículo 6, apartado 1, letra f), los intereses legítimos del responsable o de un tercero;
  33. e)los destinatarios o las categorías de destinatarios de los datos personales, en su caso;
  34. f)en su caso, la intención del responsable de transferir datos personales a un tercer país u organización internacional y la existencia o ausencia de una decisión de adecuación de la Comisión, o, en el caso de las transferencias indicadas en los artículos 46 o 47 o el artículo 49, apartado 1, párrafo segundo, referencia a las garantías adecuadas o apropiadas y a los medios para obtener una copia de estas o al lugar en que se hayan puesto a disposición. 2. Además de la información mencionada en el apartado 1, el responsable del tratamiento facilitará al interesado, en el momento en que se obtengan los datos personales, la siguiente información necesaria para garantizar un tratamiento de datos leal y transparente:
  35. a)el plazo durante el cual se conservarán los datos personales o, cuando no sea posible, los criterios utilizados para determinar este plazo; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/16
  36. b)la existencia del derecho a solicitar al responsable del tratamiento el acceso a los datos personales relativos al interesado, y su rectificación o supresión, o la limitación de su tratamiento, o a oponerse al tratamiento, así como el derecho a la portabilidad de los datos;
  37. c)cuando el tratamiento esté basado en el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), la existencia del derecho a retirar el consentimiento en cualquier momento, sin que ello afecte a la licitud del tratamiento basado en el consentimiento previo a su retirada;
  38. d)el derecho a presentar una reclamación ante una autoridad de control;
  39. e)si la comunicación de datos personales es un requisito legal o contractual, o un requisito necesario para suscribir un contrato, y si el interesado está obligado a facilitar los datos personales y está informado de las posibles consecuencias de no facilitar tales datos;
  40. f)la existencia de decisiones automatizadas, incluida la elaboración de perfiles, a que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado. 3. Cuando el responsable del tratamiento proyecte el tratamiento ulterior de datos personales para un fin que no sea aquel para el que se recogieron, proporcionará al interesado, con anterioridad a dicho tratamiento ulterior, información sobre ese otro fin y cualquier información adicional pertinente a tenor del apartado 2. Las disposiciones de los apartados 1, 2 y 3 no serán aplicables cuando y en la medida en que el interesado ya disponga de la información." La obligación de informar sobre el tratamiento de los datos es del responsable de dicho tratamiento. En el caso objeto de reclamación, el responsable del tratamiento es la Agencia Pública Andaluza de Educación y el encargado del tratamiento es Aramark. La política de privacidad de Aramark que aparece en la web "El gusto de crecer" es la referida a sus propios clientes/usuarios; de los que es responsable del tratamiento y, por tanto, informa de la finalidad del tratamiento, el tiempo de conservación de datos, posibles cesiones… IV Designación del delegado de protección de datos El artículo 37 del RGPD regula la designación del delegado de protección de datos con el siguiente tenor literal: "1. El responsable y el encargado del tratamiento designarán un delegado de protección de datos siempre que:
  41. a)el tratamiento lo lleve a cabo una autoridad u organismo público, excepto los tribunales que actúen en ejercicio de su función judicial;
  42. b)las actividades principales del responsable o del encargado consistan en operaciones de tratamiento que, en razón de su naturaleza, alcance y/o fines, requieran una observación habitual y sistemática de interesados a gran escala, o C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/16
  43. c)las actividades principales del responsable o del encargado consistan en el tratamiento a gran escala de categorías especiales de datos con arreglo al artículo 9 o de datos personales relativos a condenas e infracciones penales a que se refiere el artículo 10. 2. Un grupo empresarial podrá nombrar un único delegado de protección de datos siempre que sea fácilmente accesible desde cada establecimiento. 3. Cuando el responsable o el encargado del tratamiento sea una autoridad u organismo público, se podrá designar un único delegado de protección de datos para varias de estas autoridades u organismos, teniendo en cuenta su estructura organizativa y tamaño. 4. En casos distintos de los contemplados en el apartado 1, el responsable o el encargado del tratamiento o las asociaciones y otros organismos que representen a categorías de responsables o encargados podrán designar un delegado de protección de datos o deberán designarlo si así lo exige el Derecho de la Unión o de los Estados miembros. El delegado de protección de datos podrá actuar por cuenta de estas asociaciones y otros organismos que representen a responsables o encargados. 5. El delegado de protección de datos será designado atendiendo a sus cualidades profesionales y, en particular, a sus conocimientos especializados del Derecho y la práctica en materia de protección de datos y a su capacidad para desempeñar las funciones indicadas en el artículo 39. 6. El delegado de protección de datos podrá formar parte de la plantilla del responsable o del encargado del tratamiento o desempeñar sus funciones en el marco de un contrato de servicios. 7. El responsable o el encargado del tratamiento publicarán los datos de contacto del delegado de protección de datos y los comunicarán a la autoridad de control." En la reclamación se indica que la parte reclamada no tiene Delegado de Protección de Datos. Como indica Aramark, no se encuentra en ninguna de las tres situaciones que obligan a nombrar un DPD, si bien el responsable del tratamiento, al ser un organismo público si está obligada a designar un DPD. V Principios relativos al tratamiento La letra
  44. c)del artículo 5.1 del RGPD propugna: "1. Los datos personales serán: (…)
  45. c)adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados («minimización de datos»);" Como se ha indicado de forma detallada en los Hechos, Aramark trata los datos personales mínimos para la prestación del servicio encomendado. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/16 VI Conclusión La parte reclamada es adjudicataria del contrato de servicio de comedor ofertado por la Junta de Andalucía, siendo esta Administración la responsable del tratamiento de datos de alumnos usuarios del servicio de comedor y la entidad reclamada encargada de tratamiento. Para ello, sigue las indicaciones del contratista según PPT y PCAP en su rol de encargado del tratamiento tanto para el expediente de 2019 como de 2020. Para la comunicación de las ausencias de los menores al comedor esta entidad indica que se recoge en los pliegos que el adjudicatario proporcione un canal, plataforma, web, app o similar con el fin que los beneficiarios de la prestación puedan gestionar las ausencias de comedor, y facilita a los tutores legales de los menores, un acceso mediante usuario y clave, donde además se incluye la información de la Política de Privacidad. Por lo tanto, en base a lo indicado en los párrafos anteriores, no se han encontrado evidencias que acrediten la existencia de infracción en el ámbito competencial de la Agencia Española de Protección de Datos. Así pues, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a ARAMARK SERVICIOS DE CÁTERING, S.L.U. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
  46. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 940-110422 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/16 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.