1/12 Expediente N.º: EXP202102792 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes: HECHOS PRIMERO: Doña A.A.A. (en adelante, la parte reclamante), con fecha 16 de septiembre de 2021, interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra la CONSEJERÍA DE EDUCACIÓN, UNIVERSIDADES, CIENCIA Y PORTAVOCÍA, de la Comunidad de Madrid, con NIF S7800001E (en adelante, la parte reclamada). Los motivos en que basa la reclamación son los siguientes: “Su hija se encuentra matriculada en el I.E.S. SEVERO OCHOA de Alcobendas y en el transcurso de una de las clases, la tutora de su clase ha preguntado a los alumnos quién se ha vacunado contra la COVID-19, lo que supone una petición de datos de salud a alumnos que entiende no es adecuada, es desproporcionada. Junto a la notificación se aporta un escrito del Delegado de Protección de Datos de la Consejería de Educación en el que informa a la parte reclamante en el sentido siguiente: “La vacunación es voluntaria y es un dato de salud que las familias no están obligadas a proporcionar. Además, en ninguna norma sobre COVID para el curso 2122 se recoge la necesidad o la obligación de proporcionar este dato. Desde el punto de vista de protección de datos, el artículo 5.1) del RGPD señala que los datos serán adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados («minimización de datos»);". Por ello, no parece proporcionado recabar la información de todos los alumnos vacunados como medida preventiva, puesto que es innecesaria mientras no se produzca ningún caso de contagio. Sin embargo, cuando se produzca un caso positivo, solo los alumnos vacunados del grupo de convivencia o que hayan estado en contacto con aquel (actualmente los mayores de 12 años) pueden asistir sin guardar cuarentena y, entonces, únicamente estos son los que deben acreditar que lo están. Es indiferente que la información sobre los alumnos vacunados la proporcione al centro la propia familia o Sanidad, porque si algún alumno no lo acredita, el centro está legitimado para impedirle la entrada por no poder garantizar el cumplimiento de este requisito del protocolo Covid. Desde la Delegación de protección de datos estamos elaborando un informe sobre esta cuestión que próximamente publicaremos en nuestra página web para que la comunidad educativa pueda conocer qué datos están obligados o no a recoger los C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/12 centros educativos y a proporcionar las familias sobre datos de salud.” SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 8 de octubre de 2021, como consta en el acuse de recibo que obra en el expediente. Con fecha 8 de noviembre de 2021, se recibe en esta Agencia escrito de respuesta indicando lo siguiente: “Consideran que el responsable del tratamiento es la Consejería de Sanidad de la Comunidad de Madrid, concretamente a la Dirección General de Salud Pública a la que corresponde la determinación de los fines y los medios del tratamiento de los datos sanitarios. De esta manera, el artículo 11 del Decreto 307/2019, de 26 de noviembre, del Consejo de Gobierno, por el que se establece la estructura orgánica de la Consejería de Sanidad, atribuye la competencia a dicha Dirección General de:
- g)La vigilancia, análisis y control epidemiológico de la salud y sus determinantes, así como de la incidencia de las enfermedades transmisibles y no transmisibles y su distribución en los distintos grupos de población y la vigilancia epidemiológica y control de microorganismos multirresistentes o de especial relevancia clínicoepidemiológica.
- h)El control de las enfermedades y riesgos para la salud en situaciones de emergencia sanitaria, la organización de la respuesta ante situaciones de alertas y crisis sanitarias, así como la gestión del Sistema de Alerta Rápida en Salud Pública de la Comunidad de Madrid y su coordinación con el Servicio Madrileño de Salud otras redes nacionales o de Comunidades Autónomas. El Anexo III es una ficha que el centro educativo debe remitir a Salud Pública sobre datos personales del caso confirmado, así como el listado de compañeros del grupo de convivencia estable o de la misma clase y de las actividades extraescolares, así como de profesores. El Protocolo de actuación ante la aparición de casos de COVID-19 en centros educativos de la Comunidad de Madrid publicado también el 7 de septiembre de 2021 y redactado por la Dirección General de Salud Pública, sigue exactamente los mismos criterios que la Guía del ministerio. Asimismo en el Registro de Actividades de Tratamiento de datos de la Consejería de Sanidad (concretamente en la DG de Salud Pública) figura la actividad de tratamiento 559 denominada Certificado Verde Digital cuya finalidad es la “emisión de certificados interoperables de vacunación, de test y de recuperación para facilitar la liC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/12 bre circulación durante la pandemia de COVID-19 a aquellos ciudadanos que lo soliciten, con el fin de agilizar los controles transfronterizos realizados dentro de los Estados miembros de la Unión Europea.” Y cuyos datos a tratar son los siguientes: “Vacunación: nombre: apellido (
- s)y nombre (s), en ese orden; fecha de nacimiento; nº de teléfono; enfermedad o agente que se previene; tipo de vacuna/ profilaxis, vacuna administrada; fabricante o titular de la autorización de comercialización de la vacuna; número en una serie de vacunaciones / número de dosis; fecha de vacunación, indicando la fecha de la última dosis recibida; Estado miembro de vacunación; emisor del certificado; identificador” Por tanto, en cumplimiento de dicha competencia y como responsable de tratamiento del dato, la Consejería de Sanidad ha elaborado un “Protocolo de actuación ante la aparición de casos Covid-19 en centros educativos de la Comunidad de Madrid” en la que se definen los datos de salud que serán tratados en los centros educativos de la Comunidad de Madrid, además dicho protocolo es de aplicación no sólo a los centros educativos públicos de la Comunidad de Madrid sino también a centros privados (entre los que se encuentran los centros concertados).” TERCERO: Con fecha 16 de diciembre de 2021, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: El protocolo de Actuación seguía las pautas indicadas en la Estrategia de detección precoz aplicable: 1. Protocolo de Actuación ante la aparición de casos de Covid-19 en Centros Educativos de la Comunidad de Madrid, Consejería de Sanidad, Dirección General de Salud Pública, de 7 de septiembre de 2021. 2. Protocolo de Actuación ante la aparición de casos de Covid-19 en Centros Educativos de la Comunidad de Madrid, Consejería de Sanidad, Dirección General de Salud Pública, de 5 de enero de 2022. 3. Estrategia de detección precoz, vigilancia y control de Covid-19 de la Comunidad de Madrid, Consejería de Sanidad, Dirección General de Salud Pública, de 22 de diciembre de 2021. 4. Estrategia de vigilancia y control frente a Covid-19 tras la fase aguda de la pandemia de la Comunidad de Madrid, Consejería de Sanidad, Dirección General de Salud Pública, de 23 de marzo de 2022 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/12 Según consulta, de fecha 10 de mayo de 2022, a la página https://www.comunidad.madrid/servicios/salud/coordinadores-covid-19-centroseducativos en la citada web se indica lo siguiente: web El manejo de casos y contactos en los centros escolares del “Protocolo de actuación ante la aparición de casos de COVID-19 en centros educativos de la Comunidad de Madrid” de 5 de enero de 2022, ha sido sustituido por el contenido en la Estrategia de vigilancia y control frente a COVID-19 tras la fase aguda de la pandemia de la Comunidad de Madrid (de 23 de marzo de 2022). … Los coordinadores actúan como instrumento esencial en la comunicación entre los Servicios de Salud Pública y los centros escolares para garantizar la prevención -y en su caso actuación- ante sospecha o confirmación de casos de COVID-19 en el centro educativo. La Orden 572/2021, de 7 de mayo, de la Consejería de Sanidad, por la que se establecen medidas preventivas para hacer frente a la crisis sanitaria ocasionada por el COVID-19 una vez finalizada la prórroga del estado de alarma declarado por el Real Decreto 926/2020, de 25 de octubre. indica que todos los centros educativos designarán un coordinador para los aspectos relacionados con COVID-19 que debe estar familiarizado con todos los documentos relacionados con centros educativos y COVID19 vigentes. Esta persona actuará como interlocutor con los servicios sanitarios a requerimiento de la Dirección General de Salud Pública o por propia iniciativa cuando deba consultar algún asunto y deberá conocer los mecanismos de comunicación eficaz que se hayan establecido con los responsables sanitarios de la Dirección General de Salud Pública. En ambos protocolos arriba citados, docs. n.º 1 y 2 el Anexo III es una ficha que el centro educativo debe remitir a Salud Pública sobre datos personales del caso confirmado, así como el listado de compañeros del grupo de convivencia estable o de la misma clase y de las actividades extraescolares, así como de profesores. Entre otros datos recoge la siguiente información con datos personales: INFORMACIÓN DE LA PERSONA RESPONSABLE DE COVID EN EL CENTRO Nombre y apellidos: _______________________________________ DNI: ___________________________________________________ Teléfono de contacto: _____________________________________ Email del coordinador: _____________________________________ INFORMACIÓN DEL CASO CONFIRMADO Tipo de caso positivo: __________________________________ Nombre y apellidos del alumno/a_______ _____________________ DNI/NIF:_______________________________________________ CIPA:________________________________________________ Fecha de nacimiento______________________________________ Teléfono/s de la familia: ___________________________________ Etc. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/12 También recoge un Listado de compañeros del grupo de convivencia estable o de la misma clase, incluidos los profesores, indicando si han asistido al centro en los dos días previos a la detección del caso, así como algún otro contacto del que se tenga constancia fuera del aula, especificando el tipo de contacto que ha podido tener. Se enviará mediante la plataforma digital habilitada para tal fin. (...) En el protocolo doc. Nº.1 pg. 6 apartado Notificación del Caso se indica lo siguiente: Los casos atendidos en un centro sanitario (centro de salud, hospital) tanto público como privado, así como en los servicios de prevención de riesgos laborales, cuando se confirman se incluyen en un Registro de Casos de SARS-CoV-2 de la Subdirección General de Epidemiología de la Dirección General de Salud Pública de la Comunidad de Madrid. Para la comunicación de los casos, el coordinador COVID-19 del centro educativo informará a la Subdirección General de Epidemiología a través de la plataforma digital habilitada para tal fin, para que se pueda iniciar cuanto antes la investigación epidemiológica, valorar la situación e indicar las principales medidas para el control, entre las que siempre estarán el aislamiento de los casos, la identificación de contactos estrechos y la cuarentena de éstos si procede, así como evaluar, conjuntamente, las medidas adoptadas por el centro educativo. La web citada https://www.comunidad.madrid/servicios/salud/coordinadores-covid-19centros-educativos indica que: En el ámbito educativo no se establecerá ninguna actuación ni medidas específicas dirigidas a casos o contactos diferentes a las definidas en esta estrategia. Durante el actual curso escolar se mantendrá la notificación de brotes en la plataforma informática, a efectos de su monitorización para detectar situaciones de especial riesgo: NOTIFICACIÓN DE CASOS Y CONTACTOS COVID-19 A SALUD PÚBLICA >> Al acceder al documento de notificación se informa de que: Para la notificación de casos/contactos COVID-19 a la Dirección General de Salud Pública los coordinadores COVID de los centros educativos deben acceder a: https://gesco.sanidadmadrid.org/ohcontactos Se comprueba que al acceder a este enlace se solicita usuario y contraseña. El/la coordinador/a COVID que no disponga de usuario para acceder, debe contactar con la Dirección Territorial de Educación correspondiente al centro educativo. Los datos de casos/contactos que se deben registrar en la anterior plataforma son los que constan en el “Modelo de ficha de información para salud pública”. Este modelo puede ser de utilidad si se desea cargar de forma automática en la plataforma los datos de los contactos, en lugar de manualmente registro a registro (para más detalles consultar el Manual de usuario disponible en la aplicación). Se comprueba que al acceder a este enlace se indica que la página no está accesible. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/12 Realizado requerimiento de información a la parte reclamada con fecha de 19 de julio de 2022 se recibe en esta Agencia escrito de respuesta de 29 de julio de 2022 manifestando que el indicado para responder es la consejería competente como responsable del tratamiento: Consejería de Sanidad, Dirección General de Salud Pública (en adelante, DGSP). Realizado requerimiento de información a la DGSP, con fecha de 1 de agosto de 2022, se recibe en esta Agencia escrito de respuesta de 8 de agosto de 2022 de la DGSP y del Comité Delegado de Protección de Datos del Servicio Madrileño de Salud (SERMAS) manifestando que: “Como consta en el calendario escolar de la Comunidad de Madrid, la fecha del inicio del periodo lectivo para el alumnado de los centros de educación secundaria, bachillerato y formación profesional fue el pasado día 8 de septiembre de 2021. Teniendo en consideración la citada fecha y que por “positivos” entendemos que se corresponden con aquellos casos de infección por coronavirus, una vez revisada la información en relación con la vigilancia y control de infección por Covid-19 que consta en el sistema de información de salud pública, indicamos que a través del sistema de comunicación establecido con los coordinadores Covid-19 de los centros educativos para la notificación de casos/contactos Covid-19 a Salud Pública, no consta notificación de casos por parte del IES Severo Ochoa de Alcobendas el primer día de clase. El primer caso notificado fue el día 18 de noviembre de 2021. En relación con casos Covid-19 relacionados en otros Institutos de Educación Secundaria (IES) de la Comunidad de Madrid, para el primer día de clase consta la notificación de un caso, no asociado a brote epidémico.” QUINTO: Solicitada información al I.E.S. SEVERO OCHOA de Alcobendas acerca de los hechos objeto de reclamación, el Director del mencionado Instituto presentó escrito, en fecha 3 de septiembre de 2022, en el que indica lo siguiente: “Al comienzo del curso 2021-2022, atendiendo a lo previsto en la siguiente normativa estatal y autonómica: - Medidas de prevención, higiene y promoción de la salud frente a COVID-19 para centros educativos en el curso 2021-2022, del Ministerio de Educación. - Resolución conjunta de las Viceconsejerías de Política Educativa y de Organización Educativa, de 23 de junio de 2021, por la que se dictan instrucciones sobre medidas organizativas y de prevención, higiene y promoción de la salud frente a COVID19 para centros educativos en el curso 2021-2022, de la Consejería de Educación, Universidades, Ciencia y Portavocía. - ORDEN 2572/2021, de 27 de agosto, de la Consejería de Educación, Universidades, Ciencia y Portavocía, por la que se establecen medidas que han de adoptar los centros docentes de la Comunidad de Madrid para la organización del curso 20212022 en relación con la crisis sanitaria provocada por la COVID-19, se elaboró el preceptivo Plan de Contingencia, que contenía las medidas organizativas de prevención, higiene y promoción de la salud frente a la Covid-19. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/12 En dicho plan, remitido junto con la Programación General Anual, al Servicio de Inspección de Educación, se recogen exclusivamente las distintas actuaciones y protocolos que los miembros de la comunidad educativa debían seguir para garantizar la seguridad de todos y con ello propiciar en la medida de lo posible el desarrollo de las actividades lectivas con la máxima normalidad. Como puede comprobarse en el citado documento, en ningún caso se establece ningún procedimiento para que los profesores informaran a los alumnos acerca de la recogida de datos de vacunación y, por consiguiente, ningún profesor del centro ha recogido dichos datos, ni preguntado por ellos, ni ha podido hacer mención en sus clases a ninguna consecuencia derivada de que los alumnos estuvieran o no vacunados. Por tanto: 1.- El centro no ha establecido nunca ningún procedimiento para la recogida de datos de vacunación. 2.- En ningún caso se han recogido datos de vacunación de los alumnos. 3.- Solamente en el caso de casos positivos de COVID-19 y cuando las autoridades sanitarias así lo exigían, se ha informado a las familias de que sus hijos no podían asistir a clase, independientemente de que estuvieran o no vacunados. Durante el curso 2021-2022, el Servicio de Inspección de Educación, en respuesta a la queja de una familia, ya realizó una investigación sobre este tema, de la que concluyó que en ningún caso se había vulnerado el derecho a la privacidad de los alumnos acerca de los datos de vacunación, aunque, obviamente, es probable que se hablara genéricamente de esta circunstancia, dada la importancia del tema y la omnipresencia en los medios de comunicación. No obstante, el día 1 de septiembre, primer día de actividades para los docentes, me reuní con la citada profesora para volver a preguntarle sobre si de alguna manera, directa o indirecta, pudiera haber recabado datos de vacunación a los alumnos. Doña B.B.B. me reiteró, del mismo modo que ya había hecho ante las preguntas del Servicio de Inspección de Educación, que en ningún caso y de ninguna manera había preguntado a los alumnos acerca de si estaban o no vacunados ni ese día 8 de septiembre ni ningún otro a lo largo del curso. El día 14 de septiembre de 2021 el profesor de la clase de música del curso 2ºA PMAR ESO, C.C.C., recabó los datos de vacunación de los alumnos. El mismo día 1 de septiembre me he reunido con el profesor D. C.C.C. para preguntarle acerca de los hechos por los que se nos requiere esta información. El profesor afirma categóricamente que ni en ese día 14 de septiembre ni ningún otro a lo largo del curso, en ningún caso y de ninguna manera, ha preguntado a sus alumnos acerca de los datos de su vacunación. De acuerdo con los datos de nuestro registro de incidencia de la enfermedad recogidos por la Coordinadora COVID, que preceptivamente debíamos comunicar a las autoridades sanitarias, ni el primer día de clase ni durante el mes de septiembre se nos notificó ningún caso positivo de COVID, ni hubo ningún alumno en cuarentena por contacto estrecho. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/12 La primera cuarentena de un alumno durante ese curso se produjo el día 15 de octubre y la notificación del primer caso positivo se produjo el día 18 de noviembre. En el mes de diciembre se produjo un aumento notable de casos y el pico de la incidencia en nuestro centro se produjo durante los meses de enero y febrero de 2022. En conclusión, respecto al manejo de los datos acerca de la vacunación o cualquier otro referido a la salud privada de los alumnos, este director transmitió en diversas ocasiones y por diversos canales, en las distintas sesiones de los órganos colegiados (Claustro de Profesores) y de coordinación didáctica (Comisión de Coordinación Pedagógica, en la que participan todos los Jefes de los Departamentos Didácticos), la instrucción de que, en ningún caso y bajo ninguna circunstancia, se preguntara a los alumnos acerca de si estaban o no vacunados, haciendo hincapié en que los datos de salud personal están amparado por la Ley. Por otra parte, una vez que se recibió en el mes de diciembre de 2021 el documento de la Delegación de Protección de Datos de la Consejería de Educación, Universidades, Ciencia y Portavocía titulado “Los alumnos o sus tutores legales no están obligados a comunicar que están vacunados contra el covid-19” elaborado precisamente para dar respuesta a las consultas de algunos centros educativos sobre la posibilidad de recoger datos de vacunación de los alumnos y donde se dice literalmente que “no se puede solicitar esta información directamente a los alumnos en clase, menos aún si son menores de 14 años y nunca, por ejemplo, mediante la recogida de datos por una empresa que presta un servicio en una actividad extraescolar”, se volvió a reiterar en los diferentes órganos del centro la prohibición de recoger estos datos; y tengo constancia del escrupuloso cumplimiento de esta norma por parte de los profesores, lo que no es óbice para que en algunos momentos se tratara en las aulas de un tema de tanta trascendencia en ese momento como la incidencia de la epidemia de COVID, cuyas consecuencias hemos padecido de manera muy notable en los centros educativos, aunque, como he manifestado antes, sin requerir en ningún momento datos individuales de salud.” FUNDAMENTOS DE DERECHO I Competencia De acuerdo con las funciones que el artículo 57.1 a),
- f)y
- h)del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) confiere a cada autoridad de control y según lo dispuesto en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/12 II Tratamiento de categorías especiales de datos personales El artículo 9 del RGPD, que regula el tratamiento de categorías especiales de datos personales, establece lo siguiente: "1. Quedan prohibidos el tratamiento de datos personales que revelen el origen étnico o racial, las opiniones políticas, las convicciones religiosas o filosóficas, o la afiliación sindical, y el tratamiento de datos genéticos, datos biométricos dirigidos a identificar de manera unívoca a una persona física, datos relativos a la salud o datos relativos a la vida sexual o la orientación sexual de una persona física. 2. El apartado 1 no será de aplicación cuando concurra una de las circunstancias siguientes:
- a)el interesado dio su consentimiento explícito para el tratamiento de dichos datos personales con uno o más de los fines especificados, excepto cuando el Derecho de la Unión o de los Estados miembros establezca que la prohibición mencionada en el apartado 1 no puede ser levantada por el interesado;
- b)el tratamiento es necesario para el cumplimiento de obligaciones y el ejercicio de derechos específicos del responsable del tratamiento o del interesado en el ámbito del Derecho laboral y de la seguridad y protección social, en la medida en que así lo autorice el Derecho de la Unión o de los Estados miembros o un convenio colectivo con arreglo al Derecho de los Estados miembros que establezca garantías adecuadas del respeto de los derechos fundamentales y de los intereses del interesado;
- c)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física, en el supuesto de que el interesado no esté capacitado, física o jurídicamente, para dar su consentimiento;
- d)el tratamiento es efectuado, en el ámbito de sus actividades legítimas y con las debidas garantías, por una fundación, una asociación o cualquier otro organismo sin ánimo de lucro, cuya finalidad sea política, filosófica, religiosa o sindical, siempre que el tratamiento se refiera exclusivamente a los miembros actuales o antiguos de tales organismos o a personas que mantengan contactos regulares con ellos en relación con sus fines y siempre que los datos personales no se comuniquen fuera de ellos sin el consentimiento de los interesados;
- e)el tratamiento se refiere a datos personales que el interesado ha hecho manifiestamente públicos;
- f)el tratamiento es necesario para la formulación, el ejercicio o la defensa de reclamaciones o cuando los tribunales actúen en ejercicio de su función judicial;
- g)el tratamiento es necesario por razones de un interés público esencial, sobre la base del Derecho de la Unión o de los Estados miembros, que debe ser proporcional C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/12 al objetivo perseguido, respetar en lo esencial el derecho a la protección de datos y establecer medidas adecuadas y específicas para proteger los intereses y derechos fundamentales del interesado;
- h)el tratamiento es necesario para fines de medicina preventiva o laboral, evaluación de la capacidad laboral del trabajador, diagnóstico médico, prestación de asistencia o tratamiento de tipo sanitario o social, o gestión de los sistemas y servicios de asistencia sanitaria y social, sobre la base del Derecho de la Unión o de los Estados miembros o en virtud de un contrato con un profesional sanitario y sin perjuicio de las condiciones y garantías contempladas en el apartado 3;
- i)el tratamiento es necesario por razones de interés público en el ámbito de la salud pública, como la protección frente a amenazas transfronterizas graves para la salud, o para garantizar elevados niveles de calidad y de seguridad de la asistencia sanitaria y de los medicamentos o productos sanitarios, sobre la base del Derecho de la Unión o de los Estados miembros que establezca medidas adecuadas y específicas para proteger los derechos y libertades del interesado, en particular el secreto profesional;
- j)el tratamiento es necesario con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos, de conformidad con el artículo 89, apartado 1, sobre la base del Derecho de la Unión o de los Estados miembros, que debe ser proporcional al objetivo perseguido, respetar en lo esencial el derecho a la protección de datos y establecer medidas adecuadas y específicas para proteger los intereses y derechos fundamentales del interesado. 3. Los datos personales a que se refiere el apartado 1 podrán tratarse a los fines citados en el apartado 2, letra h), cuando su tratamiento sea realizado por un profesional sujeto a la obligación de secreto profesional, o bajo su responsabilidad, de acuerdo con el Derecho de la Unión o de los Estados miembros o con las normas establecidas por los organismos nacionales competentes, o por cualquier otra persona sujeta también a la obligación de secreto de acuerdo con el Derecho de la Unión o de los Estados miembros o de las normas establecidas por los organismos nacionales competentes. 4. Los Estados miembros podrán mantener o introducir condiciones adicionales, inclusive limitaciones, con respecto al tratamiento de datos genéticos, datos biométricos o datos relativos a la salud." III Principios relativos al tratamiento La letra
- c)del artículo 5.1 del RGPD propugna: "1. Los datos personales serán: (…)
- c)adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados («minimización de datos»);" IV C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/12 Conclusión El conocimiento de la vacunación de una persona, se considera un dato de salud. Por lo que, en el contexto reclamado, debe comprobarse, en primer lugar, si existe causa que levante la prohibición de tratamiento de esta categoría especial de datos. En este sentido, el apartado
- g)del artículo 9.2 del RGPD establece que se podrán tratar categorías especiales de datos si el tratamiento es necesario por razones de un interés público esencial, sobre la base del Derecho de la Unión o de los Estados miembros, que debe ser proporcional al objetivo perseguido, respetar en lo esencial el derecho a la protección de datos y establecer medidas adecuadas y específicas para proteger los intereses y derechos fundamentales del interesado; circunstancia que se producía en el año 2021 debido a la pandemia producida por el COVID-19. Asimismo, existía un Protocolo de Actuación ante la aparición de casos de Covid-19 en Centros Educativos de la Comunidad de Madrid, Consejería de Sanidad, Dirección General de Salud Pública, de 7 de septiembre de 2021, que habilitaba a los centros educativos a que cuando se produjese un caso positivo, solo los alumnos vacunados del grupo de convivencia o que hayan estado en contacto con aquel (los mayores de 12 años) pueden asistir sin guardar cuarentena y, entonces, únicamente estos son los que deben acreditar que lo están. Es indiferente que la información sobre los alumnos vacunados la proporcione al centro la propia familia o Sanidad, porque si algún alumno no lo acredita, el centro está legitimado para impedirle la entrada por no poder garantizar el cumplimiento de este requisito del protocolo Covid. En la reclamación no se indica si se preguntó a los alumnos al haberse producido la situación reflejada en el párrafo anterior; tampoco se han aportado evidencias de que la tutora o el profesor de música recogiera los datos de vacunación de la menor, hija de la reclamante, o de otros compañeros. Durante las actuaciones de investigación se ha informado que una reclamación similar fue archivada por los Servicios de Inspección de Educación; que se dieron instrucciones explícitas a todos los integrantes de la comunidad educativa del centro sobre no preguntar acerca de la vacunación ni otros datos de salud. Ante la situación tan excepcional vivida con la pandemia de Covid 19, es posible que se tratara el tema en las aulas y se hablase de la vacunación como tema de debate. Por lo tanto, en base a lo indicado en los párrafos anteriores, no se han encontrado evidencias que acrediten la existencia de infracción en el ámbito competencial de la Agencia Española de Protección de Datos, en concreto, sobre el tratamiento de datos de vacunación de los menores, ya que no se ha acreditado que los mismos se recabasen antes de darse positivos en cada aula. Así pues, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/12 SEGUNDO: NOTIFICAR la presente resolución a Doña A.A.A. y a la CONSEJERÍA DE EDUCACIÓN, UNIVERSIDADES, CIENCIA Y PORTAVOCÍA, de la Comunidad de Madrid. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
- c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 940-110422 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es