← España

AI-00163-2024

1/18  Expediente N.º: EXP202405302 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: La Agencia Española de Protección de Datos ha tenido conocimiento de ciertos hechos que podrían vulnerar la legislación en materia de protección de datos. Como consecuencia de una denuncia efectuada, con fecha de entrada 15 de marzo de 2024 se pone en conocimiento de esta Agencia: PASIÓN DE EVENTOS MANAGEMENT, SL. (en adelante, PASIÓN), promotora y organizadora del evento Festival Conexión Valladolid 2024, que se celebró en esta localidad los días 28 y 29 de junio, incluyó en la página web del evento, a través de un enlace a las condiciones generales de venta, la siguiente cláusula: "16. En el recinto no se puede acceder con comida ni bebida. En caso de necesidad médica (celíacos, etc.) deberá presentarse un justificante médico que lo acredite.” Además, en la política de privacidad de datos de la denunciada no se hacía alusión al tratamiento de los datos de salud, categoría especial de datos personales que gozan de una mayor protección, aunque si se especificaba que los datos de los asistentes serían incluidos en un fichero del que es titular PASIÓN. Asimismo, se establecía la obligación para el público del evento de ceder los datos de su imagen, voz y nombre, para su posterior difusión y explotación comercial, bien por la propia organización o por terceros, y a través de cualquier medio. Se ha denunciado que la empresa organizadora del festival Conexión Valladolid 2024 incluía en sus condiciones de acceso una cláusula que obligaba a los asistentes con condiciones médicas especiales a presentar un certificado médico para poder acceder al recinto con comida o bebida. Esta exigencia implicaría el tratamiento de datos personales relativos a la salud, considerados especialmente protegidos por el Reglamento General de Protección de Datos (RGPD) y por la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), sin que existiera una base legal que justificara dicho tratamiento. Junto a la denuncia se aporta: -Cartel anunciando que la edición 2024 del Festival Conexión Valladolid tendría lugar el 28 y 29 de junio -Condiciones de venta de entradas Conexión Valladolid 2024. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/18 -Aviso legal disponible en https://www.conexionvalladolid.es/aviso-legal. SEGUNDO: Con fecha 8 de abril de 2024 la Directora de la Agencia Española de Protección de Datos instó a la Subdirección General de Inspección de Datos (SGID) a iniciar las actuaciones previas de investigación a las que se refiere el artículo 67 de la LOPDGDD para investigar a PASIÓN. TERCERO: La SGID procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: .-1-. Respecto a las evidencias aportadas Con fecha 11 de abril de 2024 se navega en la página web oficial del evento y se confirma que las Condiciones de venta de entradas incluían la necesidad de presentar un justificante médico (https://www.conexionvalladolid.es/condiciones-de-venta-deentradas/): “16. En el recinto del Evento no se puede acceder con comida ni bebida. En caso de necesidad médica (celíacos, etc.) deberá presentarse un justificante médico que lo acredite.” .-2-. Respecto a la información aportada en la respuesta al requerimiento de información PASIÓN responde a requerimiento de información con fecha de registro 21 de junio de 2024, proporcionando la siguiente documentación junto con su escrito de respuesta: Documento 1- Evaluación de Impacto relativa a la protección de datos en relación con el tratamiento de datos de salud. Documento 2- Copia del Registro de las Actividades de Tratamiento en lo relativo a las actividades que involucran el tratamiento de datos de salud realizadas en el contexto del acceso a la edición 2024 del referido festival. Documento 3 - Análisis o Evaluación de Riesgos del Tratamiento de datos de salud. Documento 4 – Política de Privacidad del Tratamiento de datos de salud relacionados con el acceso al recinto. Documento 5 - Contrato de encargo de tratamiento suscrito con la entidad ***EMPRESA.1. Documento 6 - Copia de la comunicación de las condiciones particulares de admisión en establecimientos públicos, espectáculos públicos o actividades recreativas en la Comunidad de Castilla y León a la Consejería de Fomento y Medio Ambiente. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/18 .-2.1-. Respecto al análisis realizado sobre la necesidad de requerir la presentación de un justificante médico para introducir alimentos en el festival celebrado el año 2024 / EIPD PASIÓN refiere que dicho análisis está realizado en la Evaluación de Impacto de Protección de Datos en el que se manifiesta, entre otros puntos: “El responsable del tratamiento es PASIÓN EVENTOS MANAGEMENT, SL” “El tratamiento objeto de esta Evaluación de Impacto de Protección de Datos se denomina “Tratamiento de asistentes a los espectáculos organizados por PASIÓN EVENTOS”. Si bien el tratamiento de los datos de los asistentes a los espectáculos organizados por PASIÓN EVENTOS no comprenden los datos de salud, no es situación puntual en la que alguno de ellos pudiera exhibir un documento que acredite alguna circunstancia médica o sanitaria con el fin de ser permitido el acceso de alimentos y/o bebidas en el recinto donde tiene lugar dicho espectáculo.” o Fecha en que se inició y, en su caso, fecha de finalización. “El presente tratamiento está concebido para iniciarse durante la celebración del espectáculo del que se trate, comenzando en el evento “Conexión Valladolid 2023” y, salvo que se modifique la legislación vigente aplicable, se prevé que se realice en las siguientes ediciones de Conexión Valladolid. La finalización de dicho tratamiento vendrá determinada por el acceso del asistente al espectáculo, dándose por finalizado una vez acceda al mismo, quedando dicho documento debidamente bloqueado hasta cumplirse los plazos legales de aplicación El tratamiento se dará por finalizado en caso de que el resultado de la presente EIPD así lo indicara o, en el caso de resultar favorable, por circunstancias posteriores a esta EIPD que requiera de su actualización y conlleve un cambio en las conclusiones extraídas.” o Análisis de las finalidades y bases de legitimación de las actividades de tratamiento (art.6 RGPD) PASIÓN alega la aplicación de la Ley 7/2006, de 2 de octubre, de espectáculos públicos y actividades recreativas de la Comunidad de Castilla y León, que en su artículo 21 especifica el Derecho de admisión, e indica la necesidad de presentar una comunicación ante la Delegación Territorial de la Junta de Castilla y León sobre las condiciones de admisión, con carácter previo a su implantación. También alude al artículo 4.2

  1. c)del Decreto 50/2010, de 18 de noviembre, por el que se aprueba el Reglamento regulador del derecho de admisión en espectáculos públicos y actividades recreativas de la Comunidad de Castilla y León: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/18 “
  2. c)Prohibición de entrada y consumo de alimentos o bebidas. En su caso, se podrá restringir la venta y consumo de estos bienes a los expedidos por el propio establecimiento siempre que se publicite en las entradas expedidas y en los accesos al recinto.” PASIÓN especifica en su EIPD el consentimiento por parte de los interesados como motivación para el levantamiento de la prohibición de tratamiento de categorías especiales de datos personales (art. 9 RGPD): “para que PASIÓN EVENTOS entienda que existe una circunstancia personal que permita la admisión de un asistente aun cuando éste trajera consigo alimentos o bebidas del exterior, debe concurrir alguna cuestión de índole sanitaria o médica que así lo requiera. Se trata de una medida excepcional en aras de velar por la mayor satisfacción de los asistentes sin que ello suponga un perjuicio a la viabilidad económica de la actividad desarrollada por PASIÓN EVENTOS, ni la asunción de responsabilidades sanitarias por las posibles consecuencias que pudiera conllevar su consumo, evitando posibles situaciones de discriminación en el acceso por motivos sanitarios. En ningún caso es intención de PASIÓN EVENTOS conocer las circunstancias concretas que legitimen la introducción de bebidas y alimentos en los eventos, respetando la intimidad de los asistentes y confiando en la buena fe de cada uno de ellos que haga alusión a cuestiones médicas que permitan su introducción. Si bien en las Condiciones Generales de Venta se hace referencia a dicha prohibición salvo necesidad médica, no se exige la aportación de ningún documento que así lo acredite. Ello no impide que, de manera libre y voluntaria, determinados asistentes decidan llevarlo consigo en el momento del acceso al recinto habilitado. Teniendo en cuenta que el tratamiento de los datos de salud que pretende llevar a cabo PASIÓN EVENTOS debe superar la prohibición de tratamiento establecida en el apartado primero del artículo 9 RGPD, de las circunstancias que levantan dicha prohibición contenidas en el apartado segundo, se considera que la única que permite el tratamiento de los datos de salud de los asistentes será mediante la otorgación expresa y libre del consentimiento por parte de los interesados” o Motivos que justifican la necesidad y la proporcionalidad del uso de los datos de salud para la finalidad perseguida PASIÓN aporta en el capítulo VI de su EIPD el Análisis de la necesidad y proporcionalidad del tratamiento. Respecto al juicio de idoneidad, PASION manifiesta: “en busca de un equilibrio entre la legitimidad de los establecimientos instalados en los recintos para ejercer su actividad comercial con plena competitividad y el derecho de ciertas personas que requieran necesariamente de alimentos y/o bebidas que no pudieran encontrar en C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/18 dichos establecimientos, establecer un filtro de tales características a la hora de permitir la entrada al recinto con alimentos y/o bebidas resulta idónea para alcanzar la finalidad pretendida con la consiguiente satisfacción de ambas partes en la relación. En todo caso, PASIÓN EVENTOS no requiere de ninguna documentación que acredite lo alegado por el asistente en cuestión, confiando en la buena fe del interesado ante circunstancias tan sensibles y serias como lo son las médicas.” Con relación al Juicio de necesidad: “Puesto que no es intención de PASIÓN EVENTOS la de tratar los datos de salud de los asistentes a sus espectáculos, si bien pudiera hacerlo por ser exhibido un documento de tales características ante el personal del control de acceso, el tratamiento que realiza PASIÓN EVENTOS resulta necesario en tanto queda limitado a visualizar y/o consultar dicho documento”. Respecto al Juicio de proporcionalidad en sentido estricto: “Con respecto a la proporcionalidad, el tratamiento de dichos datos por parte de PASIÓN EVENTOS impide que puedan ser tratados con posterioridad al momento del acceso al recinto donde el espectáculo en cuestión tiene lugar. Mediante la mera consulta puntual, teniendo en cuenta el ritmo de acceso una vez abiertas las puertas del recinto, resulta prácticamente imposible la retención de dicha información por parte del personal encargado de dichas tareas.” o Descripción del tratamiento. “Finalidad del tratamiento: Control del acceso a los eventos organizados por PASION EVENTOS […] Ciclo de vida de los datos: El único tratamiento sobre los datos de salud de los asistentes es el de la consulta de estos mediante la visualización del documento aportado por parte del personal encargado de la admisión de los asistentes. No se coteja la información contenida en dicho documento ni se realiza acción alguna encaminada a determinar la veracidad de la misma. Del mismo modo, no se almacena información alguna sobre dicho tratamiento, sólo documento firmado por el interesado/cliente consintiendo de forma expresa el tratamiento verbal/visual. […] Volumen de sujetos Aproximadamente 9.000 personas por evento (incluyendo todos los días de duración del mismo) […] Intervinientes externos y sus roles ***EMPRESA.1.: Rol contratado: Vigilantes de seguridad sin arma […] Debilidades C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/18 Características/limitaciones y factores de riesgo relevantes de las tecnologías intervinientes No se emplea ninguna tecnología ni se almacena información alguna de datos de salud. Se almacena exclusivamente la Política de Privacidad a efectos de probar el consentimiento del interesado Vulnerabilidades Podría considerarse que el documento aportado por el asistente no es suficiente para permitirle el acceso con alimentos y bebidas del exterior, suponiendo un perjuicio para el asistente por no poder consumir alimentos o bebidas de los establecimientos autorizados.” o Descripción del ciclo de vida de los datos y conservación. “Descripción del ciclo de vida de los datos y conservación Únicamente se realiza una inspección ocular o visualización del documento o declaración verbal, sin que se retenga dicha documentación o se solicite información adicional que permita acreditar la veracidad de dicho documento. No obstante, terminado el evento se conserva, debidamente bloqueado, la Política de Privacidad y consentimiento del interesado hasta cumplimiento de los siguientes plazos legales.” o Medidas de protección de datos desde el Diseño. En este apartado, PASIÓN refiere un listado con las medidas de protección de datos desde el Diseño, entre ellas: “ Separar: Los datos que obran en poder de PASIÓN EVENTOS, recogidos en el momento de la compra de la entrada que se trate, no contienen datos de salud alguno ni será posible cruzarlos con los datos de salud que pudieran tratarse en el momento del acceso al recinto. Abstraer: Ninguna persona diferente del encargado de comprobar la existencia de una entrada para permitir el acceso al recinto conocerá de los datos de salud que el asistente pudiera facilitar. Informar: Puesto que no se contempla el tratamiento de datos de salud en un principio, resulta del todo inoperativo, teniendo en cuenta la logística y aglomeraciones resultantes del proceso de entrada en el recinto, informarle sobre el tratamiento de sus datos de salud que no es más que la exhibición voluntaria por parte del asistente en el momento de recordarle la prohibición de entrar con bebidas y/o alimentos. En cualquier caso, en la política de privacidad se especifica que la exhibición de dicho documento será en todo caso de carácter voluntario y sin que sea requerido por parte de PASIÓN EVENTOS. Controlar: El interesado tiene el control en todo momento sobre los datos personales que decide aportar en el momento del acceso al recinto. En caso de aportar un documento únicamente se exhibirá para que pueda ser visualizado por el personal encargado, procediendo a su devolución inmediata una vez visualizado. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/18 Cumplir: Para el cumplimiento de este tratamiento, además de la presente EIPD, se limita el acceso a estos datos por parte del personal únicamente a aquellos que estrictamente deban conocerlos por ser los encargados de la prestación del servicio. En cualquier caso, todos los empleados y proveedores tienen firmado unos compromisos de confidencialidad con PASIÓN EVENTOS” o Conclusiones y recomendaciones. “- Reiterar, en el momento de la exhibición de un documento de tales características, la voluntariedad del mismo, permitiéndole acceder con alimentos y/o bebidas por el simple hecho de alegar circunstancias médicas. - Incluir en la política de privacidad el carácter voluntario de la exhibición de documentos acreditativos de lo alegado en el momento del control de acceso y, en el caso de que lo exhiban, dar la posibilidad de acceder a la Política de Privacidad elaborada al efecto - Para evitar la comisión de un incidente de seguridad, resulta crítico y fundamental el compromiso por parte del personal que deba conocer de dichos datos no recogerlos y/o almacenarlos en ningún tipo de soporte en papel o digital. Al ser un tratamiento que se realiza íntegramente de manera física, un incidente en la confidencialidad, disponibilidad e integridad de los datos podrá surgir únicamente a raíz de una actuación negligente por parte de dicho personal. - Debería revisarse el impacto que supone el no tratar dichos datos que, en caso de no existir con una entidad suficiente, supondría la necesidad de terminar con dicho tratamiento.” .-2.2-. Respecto al Registro de las Actividades de Tratamiento. PASIÓN proporciona el documento 2 en el que se detalla el Tratamiento en lo relativo a las actividades que involucran el tratamiento de datos de salud realizadas en el contexto del acceso a la edición 2024 del referido festival. “Denominación del tratamiento Tratamiento de datos de salud para clientes/ asistentes el acceso al evento Responsable de Tratamiento PASION EVENTOS MANAGEMENT […] Finalidades del tratamiento - Gestionar las condiciones de admisión al espectáculo o evento. - Garantizar la seguridad y bienestar de los clientes que accedan al evento y riesgos de seguridad alimentaria. […] Base jurídica legitimadora RGPD 6.1
  3. a)Consentimiento del interesado […] Descripción general de medidas técnicas y organizativas de seguridad C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/18 Conforme al tratamiento realizado no se conservarán datos de salud de los clientes/asistentes, sólo se facilitará una declaración verbal o consulta/visualización de certificados Finalizado el evento, se guardará en formato papel la Política de Privacidad y el consentimiento de los clientes/asistentes por los plazos de conservación legal. Dicho documento, se guardará en un armario con llaves en la Dirección. La supresión se realizará en destructora de papel.” .-2.3-. Respecto al Análisis De Riesgos. PASIÓN aporta como Análisis De Riesgos el documento 3,en el que se define su alcance y se realiza el análisis de riesgo del tratamiento de datos de salud, evaluando su nivel de riesgo para cada finalidad. El Análisis de Riesgos (AR) incluye un apartado con el listado de cumplimiento normativo respecto al RGPD. Tras cada categoría, el informe incluye comentarios respecto de ese bloque. Destacan los siguientes: “CONDICIONES PARA EL CONSENTIMIENTO […] COMENTARIO: Se deberá recabar el consentimiento expreso del interesado. El hecho de aportar el documento que acredite su exención médica se realiza de manera voluntaria y no se solicita desde PASIÓN EVENTOS. Para una mayor seguridad jurídica se debería recabar expresamente facilitando a tal efecto la Política de Privacidad. TRATAMIENTO DE CATEGORIAS ESPECIALES DE DATOS Se tratan los datos sólo cuando existen normas que lo exceptúen Se tratan los datos con consentimiento explícito y no existen normas de derecho que prohíba expresamente su tratamiento […] COMENTARIO: PASIÓN EVENTOS tratará los datos de salud de los asistentes a sus eventos únicamente con la finalidad de permitir el acceso de alimentos del exterior del recinto. No se almacenarán ni conservarán de ninguna manera. Únicamente tendrá acceso cuando el interesado se los facilite. ENCARGADO DEL TRATAMIENTO […] COMENTARIO: PASIÓN EVENTOS cuenta con un modelo de encargo de tratamiento que es incluido tanto en los pliegos administrativos como aquellos expedientes de adjudicación y que contiene, además de lo requerido por el art. 28 RGPD, dos apéndices cuyo fin es el de garantizar el cumplimiento del proveedor en materia de protección de datos (subencargados, transferencias internacionales y declaración responsable de grado de cumplimiento en protección de datos). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/18 DELEGADO DE PROTECCIÓN DE DATOS […] COMENTARIO: PASIÓN EVENTOS no ha designado Delegado de Protección de Datos.” Como resultado del AR, se especifica: “El tratamiento realizado por PASIÓN EVENTOS en su actividad puede ser de nivel alto por el tipo de datos tratados, ya que los datos de salud de los asistentes a sus eventos son encuadrados en la categoría de datos especialmente protegidos en el RGPD. Asimismo, el hecho de que el acceso a los datos tratados se realice por el personal de un tercero contratado como encargado del tratamiento, incrementa el riesgo en el tratamiento, si bien se indica expresamente que no deben almacenar en ningún tipo de formato digital o papel ningún documento que contenga datos de salud de los interesados. No obstante, los datos de salud de los asistentes son proporcionados para su tratamiento de forma voluntaria por el asistente, no obligando PASIÓN EVENTOS, en ningún caso, al asistente a mostrarle sus datos de salud para acceder al recinto con comidas y/o bebidas externas. A pesar de ello, en todo caso y, con independencia del tipo de tratamiento, PASIÓN EVENTOS debe cumplir las normas que legitiman determinadas operaciones sobre los datos personales de los interesados para no incurrir en riesgos evitables tal y como se determina en el análisis de cada uno de los tratamientos, que incluye la documentación jurídica necesaria para el cumplimiento regulatorio. En este sentido, sería necesario recopilar el consentimiento del interesado de manera expresa. Desde el punto de vista legal, PASIÓN EVENTOS ha elaborado documentación jurídica y procesos para dar cumplimiento a la normativa vigente en protección de datos RGPD-LOPDGDD […] A tales efectos, se han establecido procedimientos para: (
  4. i)informar y solicitar, en su caso, el consentimiento de los interesados, […]” PASIÓN aporta como documento 4 la Política de privacidad para el tratamiento de los datos de salud de los clientes asistentes a los espectáculos. En ésta se manifiesta: “En el caso excepcional de que el Cliente, de forma voluntaria, decida proporcionar estos datos por cualquier medio, incluyendo declaración verbal o exhibición de certificado, PASIÓN EVENTOS le informa que no almacenará dicha información en ningún soporte en papel o digital, quedando a total discreción del Cliente trasladar esta información a PASIÓN EVENTOS. En cualquier caso, deberá mediar el consentimiento expreso del Cliente, aceptando la política de privacidad sobre el tratamiento de datos de salud. La base legal para el tratamiento de sus datos para la finalidad detallada anteriormente es el consentimiento del interesado (art. 6.1
  5. a)RGPD). El consentimiento que se te solicita podrá ser revocado en cualquier momento, sin que en ningún caso la retirada de este consentimiento condicione la ejecución del Contrato suscrito tras la compra de las entradas y el acceso al espectáculo organizado por PASIÓN EVENTOS.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 10/18 Incluye formulario para recabar el consentimiento: “☐ He leído la Política de Privacidad ☐ Consiento el tratamiento (verbal o mediante exhibición de certificado) de mis datos de salud por parte de PASIÓN EVENTOS con el fin de acceder al recinto del vento con alimentos y/o bebidas externas. Nombre y apellidos Firma” .-2.4-. Respecto a la información aportada a los asistentes al festival celebrado el año 2024 y 2025. La página web oficial del evento tiene un enlace a las Condiciones de venta de entradas, en el que se indicaba a 7/02/2024: “LA ADQUISICIÓN DE LA ENTRADA REPRESENTA LA ACEPTACIÓN DE LAS SIGUIENTES CONDICIONES:” Entre otras, las Condiciones de venta de entradas para el festival celebrado en 2024 incluían la necesidad de presentar un justificante: “16. En el recinto del Evento no se puede acceder con comida ni bebida. En caso de necesidad médica (celíacos, etc.) deberá presentarse un justificante médico que lo acredite.” Mientras que en las Condiciones de venta de entradas para el festival de la edición 2025 a 20 de junio de 2025 se ha modificado la redacción de ese párrafo: “16. En el recinto del Evento no se puede acceder con comida ni bebida, salvo necesidad médica.” Respecto a la autorización de la captación y fijación de la imagen, voz y nombre del asistente, las Condiciones de venta de entradas para los festivales celebrados tanto en 2024 como en 2025 especifican la autorización expresa y a título gratuito: “8. El público asistente podrá aparecer en imágenes tomadas por diferentes medios para su posterior difusión a través de cualquier medio. El público asistente al evento autoriza expresamente y a título gratuito la captación y fijación de su imagen, voz y nombre con la finalidad de permitir la máxima explotación de las grabaciones que puedan realizarse durante la celebración del evento y su posterior difusión por la Organización o terceros autorizados por ésta a través de cualquier medio de comunicación, consintiendo expresamente un uso promocional y/o comercial de las imágenes captadas. Así mismo, el Público asistente cede al Organizador, a título gratuito, el contenido patrimonial del derecho a la propia imagen, sin limitación temporal y espacial, para su explotación en cualquier medio o mediante cualquier forma de comunicación, incluido su nombre en cualquier tipo de publicidad, promoción, publicación (incluido Internet), o cualquier otro medio, incluso con C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 11/18 fines promocionales o informativos, así como su exhibición en cualquier medio y/o soporte. En ningún caso podrá reclamarse por el Público asistente cantidad económica alguna a la Organización derivada de la explotación que de dichas imágenes pudiera llevar a cabo.” Por otra parte, se observa que para la edición del festival 2025, a 25 de junio de 2025 se ha modificado la información. La Política de Privacidad publicada en la web de Conexión para la edición del festival de 2025, https://www.conexionvalladolid.es/politica-de-privacidad/, incluye la siguiente información: “PASIÓN EVENTOS tratará sus datos con la finalidad de asegurar la correcta gestión de las entradas comercializadas por los puntos de venta oficiales y el acceso a los espectáculos organizados y, en concreto, para: […] 5. Control de la entrada y consumo de alimentos o bebidas en el espectáculo. Para la admisión al recinto con alimentos o bebidas externas, se podrá solicitar información sobre la necesidad de introducirlas en el recinto del espectáculo, pudiendo declarar el cliente cualquier circunstancia, incluyendo datos de salud. Si bien no será necesario acreditar ni exhibir en ningún caso certificados o documentos acreditativos de dicha declaración de salud para acceder al recinto. En el caso excepcional de que el Cliente, de forma voluntaria, decida proporcionar estos datos por cualquier medio, incluyendo declaración verbal o exhibición de certificado, PASIÓN EVENTOS le informa que no almacenará dicha información en ningún soporte en papel o digital, quedando a total discreción del Cliente trasladar esta información a PASIÓN EVENTOS. En cualquier caso, deberá mediar el consentimiento expreso del Cliente, aceptando la política de privacidad sobre el tratamiento de datos de salud. La base legal para el tratamiento de sus datos para las finalidades detalladas en el apartado anterior son las siguientes: 6.1
  6. b)RGPD: ejecución un contrato o para la aplicación de medidas precontractuales; si bien la atención de reclamaciones ante determinados organismos u órganos jurisdiccionales se realizará en cumplimiento de una obligación legal, para los apartados
  7. a)y
  8. b)anteriores. 6.1
  9. f)RGPD: interés legítimo. Será de aplicación para el apartado
  10. d)anterior. Asimismo, en interés legítimo también trataremos datos de las personas físicas y/o empresarios individuales que sean necesarias al objeto del contrato, tratando únicamente los datos mínimos para su localización profesional y sólo con la finalidad de mantener la relación con respecto al contrato suscrito con la persona jurídica en la que el afectado trabaje y/o preste tus servicios. El tratamiento de sus datos basados en intereses legítimos se realizará, en todo caso, con el máximo rigor y respeto a su privacidad, derechos y libertades; sin que en ningún caso se utilicen con finalidades que menoscaben sus derechos en este sentido. 6.1
  11. a)RGPD: consentimiento del interesado para la finalidad prevista en el apartado
  12. c)y
  13. e)anterior, que podrá ser revocado en cualquier momento. El tratamiento de sus datos para finalidades establecidas en el aparatado anterior y que estén basados en el consentimiento que se te solicita podrá ser revocado en cualquier momento, sin que en ningún caso la retirada de este C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 12/18 consentimiento condicione la ejecución del Contrato suscrito tras la compra de las entradas y el acceso al espectáculo organizado por PASIÓN EVENTOS.” .-2.5-. Respecto al contrato de encargado del tratamiento. PASIÓN aporta en Documento 5 sendos Acuerdos para el tratamiento de datos entre PASIÓN EVENTOS MANAGEMENT y el Proveedor ***EMPRESA.1, firmados y con fechas 1 de Junio de 2023 y 1 de Junio de 2024, en los que PASIÓN contrata la prestación de servicios de Vigilancia y Contrato del Evento Conexión Valladolid al Proveedor. Dentro de las Categorías de datos que tratará el PROVEEDOR, se incluye: “Categorías especiales de datos Datos que acrediten alguna patología que requiera la introducción de comidas/bebidas en espectáculos del Responsable” Este contrato contiene un apartado que refleja el listado de obligaciones a cumplir por parte del encargado, entre las que destacan: “f. Mantener el deber de secreto respecto a los datos de carácter personal a los que haya tenido acceso en virtud del presente encargo, incluso después de que finalice su objeto. g. Garantizar, en su caso, que las personas autorizadas para tratar datos personales se comprometan, de forma expresa y por escrito, a respetar la confidencialidad y a cumplir las medidas de seguridad correspondientes, de las que hay que informarles convenientemente. h. Garantizar la formación necesaria en materia de protección de datos personales de las personas autorizadas para tratar datos personales, en su caso.” .-2.6-. Respecto a la comunicación de las condiciones particulares de admisión. PASIÓN acredita en el documento “Copia de la comunicación de las condiciones particulares de admisión en establecimientos públicos, espectáculos públicos o actividades recreativas en la Comunidad de Castilla y León a la Consejería de Fomento y Medio Ambiente” haber comunicado a la Junta de Castilla y León las condiciones particulares de admisión al festival “COMUNICACIÓN DE LAS CONDICIONES PARTICULARES DE ADMISIÓN EN ESTABLECIMIENTOS PÚBLICOS, ESPECTÁCULOS PÚBLICOS O ACTIVIDADES RECREATIVAS EN LA COMUNIDAD DE CASTILLA Y LEÓN” Este documento, idéntico al Anexo aportado junto a la EIPD y con fecha 22 de mayo de 2024, indica: “Prohibición de entrada y consumo de alimentos y bebidas. -No se podrá entrar al recinto con comida ni bebida. -Puntos de agua gratuita.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 13/18 FUNDAMENTOS DE DERECHO I Competencia De acuerdo con las funciones que el artículo 57.1 a),
  14. f)y
  15. h)del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) confiere a cada autoridad de control y según lo dispuesto en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Condiciones para el consentimiento En relación con las condiciones para el consentimiento, el artículo 7 del RGPD dispone: "1. Cuando el tratamiento se base en el consentimiento del interesado, el responsable deberá ser capaz de demostrar que aquel consintió el tratamiento de sus datos personales. 2. Si el consentimiento del interesado se da en el contexto de una declaración escrita que también se refiera a otros asuntos, la solicitud de consentimiento se presentará de tal forma que se distinga claramente de los demás asuntos, de forma inteligible y de fácil acceso y utilizando un lenguaje claro y sencillo. No será vinculante ninguna parte de la declaración que constituya infracción del presente Reglamento. 3. El interesado tendrá derecho a retirar su consentimiento en cualquier momento. La retirada del consentimiento no afectará a la licitud del tratamiento basada en el consentimiento previo a su retirada. Antes de dar su consentimiento, el interesado será informado de ello. Será tan fácil retirar el consentimiento como darlo. 4. Al evaluar si el consentimiento se ha dado libremente, se tendrá en cuenta en la mayor medida posible el hecho de si, entre otras cosas, la ejecución de un contrato, incluida la prestación de un servicio, se supedita al consentimiento al tratamiento de datos personales que no son necesarios para la ejecución de dicho contrato." III Tratamiento de categorías especiales de datos personales C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 14/18 El artículo 9 del RGPD, que regula el tratamiento de categorías especiales de datos personales, establece lo siguiente: "1. Quedan prohibidos el tratamiento de datos personales que revelen el origen étnico o racial, las opiniones políticas, las convicciones religiosas o filosóficas, o la afiliación sindical, y el tratamiento de datos genéticos, datos biométricos dirigidos a identificar de manera unívoca a una persona física, datos relativos a la salud o datos relativos a la vida sexual o la orientación sexual de una persona física. 2. El apartado 1 no será de aplicación cuando concurra una de las circunstancias siguientes:
  16. a)el interesado dio su consentimiento explícito para el tratamiento de dichos datos personales con uno o más de los fines especificados, excepto cuando el Derecho de la Unión o de los Estados miembros establezca que la prohibición mencionada en el apartado 1 no puede ser levantada por el interesado;
  17. b)el tratamiento es necesario para el cumplimiento de obligaciones y el ejercicio de derechos específicos del responsable del tratamiento o del interesado en el ámbito del Derecho laboral y de la seguridad y protección social, en la medida en que así lo autorice el Derecho de la Unión o de los Estados miembros o un convenio colectivo con arreglo al Derecho de los Estados miembros que establezca garantías adecuadas del respeto de los derechos fundamentales y de los intereses del interesado;
  18. c)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física, en el supuesto de que el interesado no esté capacitado, física o jurídicamente, para dar su consentimiento;
  19. d)el tratamiento es efectuado, en el ámbito de sus actividades legítimas y con las debidas garantías, por una fundación, una asociación o cualquier otro organismo sin ánimo de lucro, cuya finalidad sea política, filosófica, religiosa o sindical, siempre que el tratamiento se refiera exclusivamente a los miembros actuales o antiguos de tales organismos o a personas que mantengan contactos regulares con ellos en relación con sus fines y siempre que los datos personales no se comuniquen fuera de ellos sin el consentimiento de los interesados;
  20. e)el tratamiento se refiere a datos personales que el interesado ha hecho manifiestamente públicos;
  21. f)el tratamiento es necesario para la formulación, el ejercicio o la defensa de reclamaciones o cuando los tribunales actúen en ejercicio de su función judicial;
  22. g)el tratamiento es necesario por razones de un interés público esencial, sobre la base del Derecho de la Unión o de los Estados miembros, que debe ser proporcional al objetivo perseguido, respetar en lo esencial el derecho a la protección de datos y establecer medidas adecuadas y específicas para proteger los intereses y derechos fundamentales del interesado;
  23. h)el tratamiento es necesario para fines de medicina preventiva o laboral, evaluación de la capacidad laboral del trabajador, diagnóstico médico, prestación de asistencia o tratamiento de tipo sanitario o social, o gestión de los sistemas y servicios de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 15/18 asistencia sanitaria y social, sobre la base del Derecho de la Unión o de los Estados miembros o en virtud de un contrato con un profesional sanitario y sin perjuicio de las condiciones y garantías contempladas en el apartado 3;
  24. i)el tratamiento es necesario por razones de interés público en el ámbito de la salud pública, como la protección frente a amenazas transfronterizas graves para la salud, o para garantizar elevados niveles de calidad y de seguridad de la asistencia sanitaria y de los medicamentos o productos sanitarios, sobre la base del Derecho de la Unión o de los Estados miembros que establezca medidas adecuadas y específicas para proteger los derechos y libertades del interesado, en particular el secreto profesional;
  25. j)el tratamiento es necesario con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos, de conformidad con el artículo 89, apartado 1, sobre la base del Derecho de la Unión o de los Estados miembros, que debe ser proporcional al objetivo perseguido, respetar en lo esencial el derecho a la protección de datos y establecer medidas adecuadas y específicas para proteger los intereses y derechos fundamentales del interesado. 3. Los datos personales a que se refiere el apartado 1 podrán tratarse a los fines citados en el apartado 2, letra h), cuando su tratamiento sea realizado por un profesional sujeto a la obligación de secreto profesional, o bajo su responsabilidad, de acuerdo con el Derecho de la Unión o de los Estados miembros o con las normas establecidas por los organismos nacionales competentes, o por cualquier otra persona sujeta también a la obligación de secreto de acuerdo con el Derecho de la Unión o de los Estados miembros o de las normas establecidas por los organismos nacionales competentes. 4. Los Estados miembros podrán mantener o introducir condiciones adicionales, inclusive limitaciones, con respecto al tratamiento de datos genéticos, datos biométricos o datos relativos a la salud." IV Minimización de datos La letra
  26. c)del artículo 5.1 del RGPD propugna: "1. Los datos personales serán: (…)
  27. c)adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados («minimización de datos»);" V Conclusión Se han realizado actuaciones previas de investigación iniciadas a raíz de una denuncia presentada el día 15 de marzo de 2024 debido al presunto tratamiento de datos de salud para introducir alimentos al Festival Conexión Valladolid 2024, celebrado en esta localidad, por PASIÓN los días 28 y 29 de junio de 2024. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 16/18 La denuncia en materia de protección de datos se fundamentaba, por un lado, en la condición general de venta número 16, publicada en la página web oficial del evento, en la que figuraba la referencia a la aportación de justificante médico. (…) "16. En el recinto no se puede acceder con comida ni bebida. En caso de necesidad médica (celíacos, etc.) deberá presentarse un justificante médico que lo acredite.” Se ha evidenciado en las Condiciones de venta de entradas para el Festival Conexión Valladolid 2024, que PASIÓN informaba que solicitaba acreditación de condiciones médicas especiales para introducir alimentos a un festival. No obstante, ha quedado acreditado igualmente en las Condiciones de venta de entradas del citado Festival que la aportación de datos de salud no constituía una condición de acceso al festival, sino únicamente una condición vinculada a la introducción de alimentos en el recinto. Por otro lado, no se ha evidenciado la exigencia efectiva de justificante médico relativo a datos de salud como condición de acceso al recinto del festival. Es más, PASIÓN especifica, tanto en su RAT como en su EIPD que la base jurídica legitimadora para el tratamiento de datos de salud es el consentimiento por parte de los interesados como motivación para el levantamiento de la prohibición de tratamiento de categorías especiales de datos personales (art. 9 RGPD):“Si bien en las Condiciones Generales de Venta se hace referencia a dicha prohibición salvo necesidad médica, no se exige la aportación de ningún documento que así lo acredite. Ello no impide que, de manera libre y voluntaria, determinados asistentes decidan llevarlo consigo en el momento del acceso al recinto habilitado.(…) se considera que la única que permite el tratamiento de los datos de salud de los asistentes será mediante la otorgación expresa y libre del consentimiento por parte de los interesados” Adicionalmente, conforme a la política de privacidad que PASIÓN reflejaba en su web a 25 de junio de 2025 (URL: https://www.conexionvalladolid.es/politica-de-privacidad/), en los supuestos en los que el cliente decida de manera excepcional y voluntaria aportar datos de salud, dicho tratamiento tendría su base legal en el consentimiento expreso del artículo 6.1.
  28. a)del RGPD. (…) “Clientes: Control de la entrada y consumo de alimentos o bebidas en el espectáculo. Para la admisión al recinto con alimentos o bebidas externas, se podrá solicitar información sobre la necesidad de introducirlas en el recinto del espectáculo, pudiendo declarar el cliente cualquier circunstancia, incluyendo datos de salud. Si bien no será necesario acreditar ni exhibir en ningún caso certificados o documentos acreditativos de dicha declaración de salud para acceder al recinto. En el caso excepcional de que el Cliente, de forma voluntaria, decida proporcionar estos datos por cualquier medio, incluyendo declaración verbal o exhibición de certificado, PASIÓN EVENTOS le informa que no almacenará dicha información en ningún soporte en papel o digital, quedando a total discreción del Cliente trasladar esta información a PASIÓN EVENTOS. En cualquier caso, deberá mediar el consentimiento expreso del Cliente, aceptando la política de privacidad sobre el tratamiento de datos de salud.” (…) PASIÓN incluye, adicionalmente, formulario para recabar el consentimiento: “☐ He leído la Política de Privacidad C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 17/18 ☐ Consiento el tratamiento (verbal o mediante exhibición de certificado) de mis datos de salud por parte de PASIÓN EVENTOS con el fin de acceder al recinto del vento con alimentos y/o bebidas externas. Nombre y apellidos Firma” Asimismo, se ha evidenciado también que, a 20 de junio de 2025, PASIÓN había modificado sus condiciones generales de venta publicadas en la página web oficial, URL: https://www.conexionvalladolid.es/condiciones-de-venta-de-entradas/, eliminando la exigencia literal de presentación de justificante médico. (…) “16: En el recinto del evento no se puede acceder con comida ni bebida, salvo necesidad médica” (…) Por otro lado, respecto de la captación de la imagen, voz y nombre del asistente, se ha comprobado que en la actual política de privacidad, accesible desde URL: https://www.conexionvalladolid.es/politica-de-privacidad/, se indica al respecto lo siguiente: “Asistentes a eventos Le informamos que si asiste algún evento organizado por PASIÓN EVENTOS podrán tomarse imágenes del mismo con el fin de ilustrar la información sobre dicho acontecimiento y que dichas imágenes podrán ser divulgadas en nuestra web u redes sociales en las que está presente PASIÓN EVENTOS. Dicha divulgación, en su caso, se realizará con el único fin de dar visibilidad y divulgar nuestras actividades. En todo caso, su imagen aparecerá como meramente accesoria y con absoluto respeto a su honor y dignidad personal y sin que supongan un menoscabo o riesgo para su integridad; por lo que si considera que la divulgación de la misma no respeta estos fines puede solicitar su retirada en cualquier momento. En el supuesto de que PASIÓN EVENTOS utilice su imagen con el fin de divulgar la actividad en la que participe, requerirá su consentimiento expreso conforme a lo estableció en la Ley Orgánica 1/1982, de 5 de mayo, de protección civil del derecho al honor, a la intimidad personal y familiar y a la propia imagen. El tratamiento de datos para otras finalidades distintas a las detalladas anteriormente requerirá una base de legitimación o el consentimiento previo y explícito en cada caso.” Por lo tanto, en base a lo indicado en los párrafos anteriores y teniendo en cuenta la información de la que se dispone en este momento, no se han encontrado evidencias que acrediten la existencia de infracción al derecho fundamental a la protección de datos en el ámbito competencial de la Agencia Española de Protección de Datos. Todo ello sin perjuicio de las posibles actuaciones posteriores que esta Agencia pudiera llevar a cabo, aplicando los poderes de investigación y correctivos que ostenta. Así pues, al no haber evidencias de infracción alguna a la normativa de protección de datos, de acuerdo con lo señalado, por la Presidencia de la Agencia Española de Protección de Datos, SE ACUERDA: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 18/18 PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a PASIÓN EVENTOS MANAGEMENT, S.L. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública. La publicación se realizará una vez la resolución sea firme en vía administrativa. Contra esta resolución, que pone fin a la vía administrativa conforme al artículo 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP , los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 940-120525 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.