AI-00223-2022

1/7  Expediente N.º: EXP202203251 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes: HECHOS PRIMERO: Doña A.A.A. y Don B.B.B. (en adelante, la parte reclamante), con fechas 10 y 12 de febrero de 2022 interpusieron reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra YELMO FILMS, S.L., con NIF B82721473 (en adelante, la parte reclamada). Los motivos en que basa la reclamación son los siguientes: Los reclamantes exponen que el día 9 de febrero de 2022, como condición de acceso a las instalaciones de la entidad YELMO FILMS, S.L., se les ha solicitado aportación de certificado de vacunación contra la COVID19, lo que entienden que es una petición contraria a la normativa de protección de datos. Junto a la notificación se aporta: Hoja de reclamaciones presentada en la Dirección General de Comercio y Consumo del Gobierno de Canarias, indicando los mismos hechos objeto de reclamación ante la Agencia, en la cual se incluye la contestación de la parte reclamada, señalando que aplican la legislación vigente en la Comunidad autónoma, solicitando que se muestre el pasaporte Covid previo al pago de las entradas. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 24 de marzo de 2022, como consta en el acuse de recibo que obra en el expediente. No se ha recibido respuesta a este escrito de traslado. TERCERO: Con fecha 10 de mayo de 2022, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/7 FUNDAMENTOS DE DERECHO I Competencia De acuerdo con las funciones que el artículo 57.1 a),

1. f)y
2. h)del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) confiere a cada autoridad de control y según lo dispuesto en los artículos 47 y 48.1 de la LOPDGDD, es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Normativa aplicable Las dos órdenes principales que emite la Consejería de Sanidad Canaria referentes a la obligación de mostrar el pasaporte Covid o certificado de vacunación, durante el período que ocurrieron los hechos objeto de reclamación son: 1. ORDEN de 22 de diciembre de 2021, por la que se establecen medidas excepcionales de control de la situación sanitaria de las personas que accedan a determinados establecimientos, instalaciones o actividades considerados de riesgo para la transmisión de la COVID-19, para frenar su propagación. En esta norma se establece, esencialmente, la obligación de la exhibición del pasaporte COVID para la realización de determinadas actividades si se cumplen determinados presupuestos. Fue ratificada por el TSJC en varias ocasiones y prorrogada su aplicación también en otras dos, con una extensión máxima que finalizaba el día 24 de febrero de 2022. El 4 de febrero de 2022 se publica una nueva orden que revocaba esta y que, por lo tanto, eliminaba la obligación de exhibición del pasaporte COVID en las islas que estuvieran en niveles 3 y 4 de alerta (supuesto en el que estaba Gran Canaria en la fecha de los hechos objeto de reclamación). Esta revocación del certificado obligatorio activa el uso del certificado Covid voluntario en todas las islas independientemente del nivel en el que se encuentren. 2. Orden de 29 de noviembre de 2021, por la que se autoriza la ampliación de aforos, número de personas por grupo y horarios de cierre previstos para cada actividad y espacio en los distintos niveles de alerta sanitaria por COVID-19: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/7 En esta otra orden (también modificada en algunas ocasiones y con vigencia prorrogada por lo menos hasta el 9 de marzo de 2022), se establece que los establecimientos afectados pueden pedir que se les muestre de manera voluntaria el pasaporte COVID y entonces se les aplicarían unas restricciones de aforo y horario menos estrictas que si no hacen ese control previo. Así, la Orden de 29 de noviembre de 2021habilitaba a los cines a que voluntariamente pudieran “requerir a sus trabajadores y a sus usuarios mayores de 12 años y 3 meses la acreditación, también voluntaria, de ausencia de infección activa de COVID-19, serán de aplicación los aforos, número de personas por grupo y horarios de cierre vigentes en cada momento para cada actividad y espacio en el nivel de alerta inmediatamente inferior al existentes en la isla correspondiente. En el caso de que el nivel de alerta existente sea el 1, no serán de aplicación las limitaciones de aforo, número de personas por grupo y horarios de cierre vigentes en cada momento para dicho nivel. La acreditación voluntaria de la ausencia de infección activa se realizará mediante la exhibición del resultado negativo de una prueba diagnóstica de infección activa de COVID-19, realizada en laboratorio legalmente autorizado con una antelación máxima de 48 horas, no siendo admisibles las pruebas de autodiagnóstico. Dicha acreditación podrá ser sustituida, a opción del interesado, bien por la acreditación voluntaria de vacunación contra dicha enfermedad mediante la exhibición de un certificado oficial de haber recibido la pauta completa de vacunación conforme a lo establecido en la Estrategia de vacunación frente a COVID-19 en España, a partir de los 14 días posteriores a la fecha de administración de la última dosis de la pauta vacunal completa, o bien por la acreditación voluntaria de haber pasado la enfermedad entre los 11 y los 180 días previos, mediante la exhibición de un certificado oficial”. Se justifica en la Orden que “Así es, la medida de exhibición de determinada documentación (certificado de la pauta completa de vacunación, prueba diagnóstica negativa de infección activa (PDIA) o test de antígenos, y certificado de haberse recuperado de la enfermedad desde el día 11 al 180), para la entrada en el interior de determinados establecimientos en los que se produce una gran afluencia de personas, tales como los de ocio nocturno, resulta adecuada y acorde con las exigencias derivadas de protección de la salud, porque se refiere a locales donde la entrada es voluntaria y donde no se realizan actividades esenciales, a los que se tenga la obligación de acudir. Las personas pueden emplear su ocio de muy diversa forma, y naturalmente pueden acudir a dichos locales, o no, pueden preferir la terraza, o no, pero si se pretende ir al interior del establecimiento que es un espacio cerrado y normalmente poco ventilado, donde el riesgo de contagio se incrementa, ha de exhibirse la indicada documentación, que proporciona garantía, desde luego no absoluta, de no padecer en ese momento la infección SARS-CoV-2, según los informes que constan en las actuaciones y que más adelante veremos”. III Licitud del tratamiento El artículo 6 del RGPD, que regula la licitud del tratamiento, establece lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/7 "1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
3. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
4. b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
5. c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
6. d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
7. e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
8. f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
9. f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones. 2. Los Estados miembros podrán mantener o introducir disposiciones más específicas a fin de adaptar la aplicación de las normas del presente Reglamento con respecto al tratamiento en cumplimiento del apartado 1, letras
10. c)y e), fijando de manera más precisa requisitos específicos de tratamiento y otras medidas que garanticen un tratamiento lícito y equitativo, con inclusión de otras situaciones específicas de tratamiento a tenor del capítulo IX. 3. La base del tratamiento indicado en el apartado 1, letras
11. c)y e), deberá ser establecida por:
12. a)el Derecho de la Unión, o
13. b)el Derecho de los Estados miembros que se aplique al responsable del tratamiento. La finalidad del tratamiento deberá quedar determinada en dicha base jurídica o, en lo relativo al tratamiento a que se refiere el apartado 1, letra e), será necesaria para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento. Dicha base jurídica podrá contener disposiciones específicas para adaptar la aplicación de normas del presente Reglamento, entre otras: las condiciones generales que rigen la licitud del tratamiento por parte del responsable; los tipos de datos objeto de tratamiento; los interesados afectados; las entidades a las que se pueden comunicar datos personales y los fines de tal comunicación; la limitación de la finalidad; los plazos de conservación de los datos, así como las operaciones y los procedimientos del tratamiento, incluidas las medidas para garantizar un tratamiento lícito y equitativo, como las relativas a otras situaciones específicas de tratamiento a tenor del capítulo IX. El Derecho de la Unión o de los Estados miembros cumplirá un objetivo de interés público y será proporcional al fin legítimo perseguido. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/7 4. Cuando el tratamiento para otro fin distinto de aquel para el que se recogieron los datos personales no esté basado en el consentimiento del interesado o en el Derecho de la Unión o de los Estados miembros que constituya una medida necesaria y proporcional en una sociedad democrática para salvaguardar los objetivos indicados en el artículo 23, apartado 1, el responsable del tratamiento, con objeto de determinar si el tratamiento con otro fin es compatible con el fin para el cual se recogieron inicialmente los datos personales, tendrá en cuenta, entre otras cosas:
14. a)cualquier relación entre los fines para los cuales se hayan recogido los datos personales y los fines del tratamiento ulterior previsto;
15. b)el contexto en que se hayan recogido los datos personales, en particular por lo que respecta a la relación entre los interesados y el responsable del tratamiento;
16. c)la naturaleza de los datos personales, en concreto cuando se traten categorías especiales de datos personales, de conformidad con el artículo 9, o datos personales relativos a condenas e infracciones penales, de conformidad con el artículo 10;
17. d)las posibles consecuencias para los interesados del tratamiento ulterior previsto;
18. e)la existencia de garantías adecuadas, que podrán incluir el cifrado o la seudonimización." IV El artículo 4 del RGPD, bajo la rúbrica “Definiciones”, dispone lo siguiente: “1) «datos personales»: toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona; 2) «tratamiento»: cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción”. 7) «responsable del tratamiento» o «responsable»: la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros deter mina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros” Así, un primer aspecto a aclarar es el relativo a si hemos constatado el tratamiento de datos por parte de la parte reclamada. En las Órdenes mencionadas en el Fundamento segundo de esta Resolución se indica C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/7 que los establecimientos de ocio podrán exigir (hasta el 4 de febrero de 2022) la exhibición de un certificado acreditativo de la vacunación o el certificado COVID previamente a la entrada en el local. Posteriormente, y hasta el 9 de marzo de 2022, los establecimientos afectados pueden pedir que se les muestre de manera voluntaria el pasaporte COVID y entonces se les aplicarían unas restricciones de aforo y horario menos estrictas que si no hacen ese control previo. Por tanto, en las salas de cine podrían pedirlo para ampliar aforos. En las órdenes citadas, se establece que la exhibición de la información a que se refiere solamente podrá ser solicitada en el momento de acceso. No se conservarán estos datos ni se crearán ficheros con ellos, debiendo mantener la confidencialidad sobre esos datos. En conclusión, y conforme a lo hasta ahora expuesto, la orden vigente habilitaba a pedir a los cines, como en el caso examinado, la documentación referenciada para acceder a los mismos, resultando que la solicitud y la exhibición de la documentación estaban amparadas por la normativa de aplicación. V Conclusión Por lo tanto, en base a lo indicado en los párrafos anteriores, no se han encontrado evidencias que acrediten la existencia de infracción en el ámbito competencial de la Agencia Española de Protección de Datos. Así pues, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a Doña A.A.A., a Don B.B.B. y a YELMO FILMS, S.L. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
19. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/7 Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 940-110422 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es