AI-00362-2023

1/12 Expediente N.º: EXP202315504 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 11 de septiembre de 2023 se presentó reclamación con número de registro de entrada REGAGE23e00060608391, ante la Agencia Española de Protección de Datos contra SONORAMA PRODUCCIONES, S.L. con NIF B09602996 (en adelante, la parte reclamada). Los motivos en que basa la reclamación son que la entidad denunciada, promotora y organizadora del evento Sonorama Ribera 2023 que tuvo lugar en Aranda de Duero del 9 al 13 de agosto, incluí en las condiciones de acceso al recinto en el que se celebró el festival Sonorama Ribera 2023 la siguiente cláusula: "Si tienes condiciones médicas especiales y lo acreditas, podrás entrar con comida en el caso de que lo necesites." Entiende la parte denunciante que se solicitan datos de carácter personal relativos a la salud especialmente protegidos para acceder al recinto. Y que se vulnera el principio de minimización de datos. En la sección de preguntas frecuentes del festival, en el apartado de acceso al recinto se dice lo siguiente: "Dentro del recinto contarás con opción variada de comida y bebida, ya que las actividades principales del festival son la celebración de conciertos y la hostelería. Si tienes condiciones médicas especiales y lo acreditas, podrás entrar con comida en el caso de que lo necesites. Si vas acompañado/a de un menor de 3 años, acceder con la comida, bebida para él/ella, también está permitido. En cuanto a las bebidas, podrás llevar una botella sin tapón, que podrás rellenar en las fuentes de agua potable del recinto." FACUA ha denunciado que la empresa organizadora del festival Sonorama Ribera 2023 incluye en sus condiciones de acceso una cláusula que obliga a los asistentes con condiciones médicas especiales a presentar un certificado médico para poder acceder al recinto con comida o bebida. Según dicha entidad, esta exigencia implica el tratamiento de datos personales relativos a la salud, considerados especialmente protegidos por el Reglamento General de Protección de Datos (RGPD) y por la Ley Orgánica 3/2018, sin que exista una base legal que justifique dicho tratamiento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/12 FACUA argumenta que esta medida resulta desproporcionada, invasiva y contraria al principio de minimización de datos, ya que se impone una condición de acceso que obliga a revelar información sensible sin necesidad justificada ni amparo normativo específico. La denuncia sostiene que esta práctica vulnera los principios fundamentales del RGPD, en particular el artículo 5 sobre licitud, finalidad y minimización del tratamiento, y el artículo 9 que prohíbe el tratamiento de categorías especiales de datos salvo en situaciones excepcionales que no se dan en este caso. Además, señala que se trata de una infracción muy grave conforme al artículo 72 de la LOPDGDD, al implicar un tratamiento ilícito de datos especialmente protegidos sin consentimiento válido ni base legal suficiente. FACUA considera la cláusula abusiva y solicita que se investigue y sancione a la empresa conforme al régimen sancionador previsto en el RGPD. Se aporta enlace http://www.facua.org/es/documentos/sonorama.pdf, que dirige a un Certificado eGarante que contiene la información publicada en la página web de la parte denunciada: https://www.sonoramaribera.com/preguntas-frecuentes/ SEGUNDO: Con fecha 3 de noviembre de 2023 de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada. TERCERO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: .-1-. Respecto a las evidencias aportadas. La parte denunciante aporta un enlace a través del cual se accede al contenido certificado de la web con fecha 9 de agosto de 2023 (Certificado eGarante) que contiene la información publicada en la página web de la parte denunciada:  https://www.sonoramaribera.com/preguntas-frecuentes/ En esta sección de preguntas frecuentes del festival, en el apartado de Acceso al recinto se dice lo siguiente: "Dentro del recinto contarás con opción variada de comida y bebida, ya que las actividades principales del festival son la celebración de conciertos y la hostelería. Si tienes condiciones médicas especiales y lo acreditas, podrás entrar con comida en el caso de que lo necesites. Si vas acompañado/a de un menor de 3 años, acceder con la comida, bebida para él/ella, también está permitido. En cuanto a las bebidas, podrás llevar una botella sin tapón, que podrás rellenar en las fuentes de agua potable del recinto." C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/12 (Nota: el subrayado ha sido incorporado por la Agencia) En el apartado de Alérgenos y tipos de comida, se repite lo siguiente: "Si tienes condiciones médicas especiales, intolerancias o alergias y lo acreditas, podrás entrar con comida en el caso de que lo necesites.” No se aprecia que estemos ante una condición de acceso al festival, sino una condición para introducir alimentos, si un asistente no quiere introducir un alimento, no tiene que aportar nada. Consultada la política de privacidad disponible en ese momento en el enlace https://www.sonoramaribera.com/politica-privacidad/ , se observa que se especifican las categorías de datos personales tratados en función de las finalidades con las que los utilicen, pero no se mencionan los datos de salud. Las categorías de datos tratados aludidos son: datos identificativos y de contacto (nombre y apellidos, fecha de nacimiento, número de teléfono y dirección de correo electrónico y postal), datos financieros y de pago, la imagen para garantizar la seguridad y la protección de las instalaciones y puede incluir sistemas de videovigilancia. Respecto a las bases legales para el tratamiento de los datos personales, la política de privacidad especifica en su punto 4: “4. ¿Cuáles son las bases legales para el tratamiento de tus datos personales? Para las actividades de tratamiento indicadas en la Sección 3 (a), (c), (f), (

1. h)e (i): el cumplimiento y ejecución de la relación contractual contigo (y, en particular, de nuestros Términos y Condiciones) al comprar las entradas para asistir al Sonorama Producciones, S.L. o al crear una cuenta en nuestra página web, o, en su caso, la aplicación de las medidas precontractuales que pudieran corresponder. Para el envío de comunicaciones comerciales descrito en la Sección 3 (b), el consentimiento que nos has otorgado al marcar las correspondientes casillas disponibles en la página web, si bien en el caso de clientes actuales, algunas comunicaciones comerciales podrían ser asimismo enviadas al amparo del interés legítimo de Sonorama Producciones, S.L. Tu consentimiento expreso también será la base jurídica para el tratamiento de información sobre tu uso de plataformas sociales y preferencias de artistas descrito en la Sección 3 (e), así como para el uso de cookies no estrictamente necesarias de acuerdo con lo previsto en la Sección 3 (j). Para las actividades de tratamiento previstas en la Sección 3 (
2. d)y (g): el interés legítimo de Sonorama Producciones, S.L. en el tratamiento de tus datos personales para las finalidades indicadas en dichos apartados. En este sentido, consideramos que el mencionado interés legítimo, en el que Sonorama Producciones, .SL. basa el tratamiento de tus datos personales, respeta tus derechos y libertades fundamentales ya que tus datos personales se tratarán para mejorar los servicios que presta nuestra empresa y ofrecer a los asistentes al Sonorama Producciones, S.L. una mejor experiencia en sus festivales. Para más información sobre el tratamiento de tus datos, puedes dirigirte a info@sonorama-aranda.com. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/12 En los países ubicados fuera de la Unión Europea en los que el interés legítimo no sea una base legal válida para el tratamiento de datos personales, al aceptar esta Política de Privacidad estarás otorgando tu consentimiento expreso a todas las actividades de tratamiento enumeradas en el apartado 3 (c), (
3. d)y (e).” Se graba la Política de privacidad de https://www.sonoramaribera.com como objeto asociado en el sistema SIGRID, consulta realizada en la página web https://web.archive.org/web/20230922105631/https://www.sonoramaribera.com/politica -privacidad/, archivada en web.archive.org con fecha 22 de septiembre de 2023, a las 10:56. .-2-. Respecto a la información aportada en la respuesta al requerimiento de información Con fecha 21 de diciembre de 2023 se realiza un requerimiento de información a la parte denunciada solicitándole, entre otros puntos, la información facilitada a los interesados sobre el tratamiento de sus datos de salud y, en su caso, para la obtención de su consentimiento y los motivos que justifican la necesidad y la proporcionalidad del uso de los datos de salud para la finalidad perseguida. Una vez superado el plazo establecido sin que la notificación sea recogida por parte de SONORAMA, se reitera dicho requerimiento de información con fecha 5 de febrero de 2024. La parte denunciada responde a este requerimiento de información con fecha de registro 15 de febrero de 2024 y número REGAGE24e00012083268, proporcionando la siguiente información y manifestaciones: .-2.1-. Respecto a la obligatoriedad de presentar una acreditación de condiciones médicas especiales para introducir alimentos en el festival celebrado el año 2023. La parte denunciada indica que “no se encuentra facultada para determinar la obligatoriedad a sus asistentes a presentar una acreditación de condiciones médicas especiales, intolerancias o alergias, para introducir alimentos en el Festival celebrado el pasado año 2023 puesto que en ningún momento, ni de forma online ni de forma presencial se ha solicitado a ninguno de los compradores de entradas y asistentes a sus eventos tal documentación para su tratamiento y posterior almacenamiento. Sin perjuicio de lo establecido en el presente apartado, si Sonorama Producciones S.L. hubiera decidido solicitar tal información, la misma estaría avalada por lo establecido más adelante en las argumentaciones jurídicas correspondientes que esta parte esgrime. 2. En este sentido, Sonorama Producciones S.L. no se encuentra facultada a entregar. • Copia del Registro de las Actividades de Tratamiento de datos personales, en lo relativo a las actividades que involucran el tratamiento de datos de salud realizadas en el contexto del acceso al festival celebrado el pasado año 2023; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/12 • Copia del contenido incluido en el Análisis o Evaluación de Riesgos en relación con estos tratamientos; • Copia de la Evaluación de Impacto relativa a la protección de datos en relación con estos tratamientos; • Determinación, para cada una de las actividades que involucran el tratamiento de datos de salud, de diversos datos; • Justificación de que los datos personales tratados son adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados; • Contratos que se hayan suscrito con los encargados de tratamiento implicados en las actividades que involucran estos tratamientos de datos de salud. Sonorama Producciones S.L. no ostenta la capacidad para entregar dicha información y documentación, puesto que en ningún momento se lleva a cabo por la misma tratamiento alguno de datos relativos a la salud de los asistentes a sus eventos ni al Festival tal y como más adelante se expone.” .-2.2-. Respecto a la información aportada a los asistentes al festival celebrado el año 2023. La parte denunciada manifiesta que “se limitó a comunicar a la totalidad de los asistentes a sus eventos, concretamente al Festival celebrado en 2023, la posibilidad de acceder al mismo con comida y bebida en caso de tener condiciones médicas especiales que así lo requirieran, poniendo en sobre aviso de tal posibilidad a las personas destinadas al control de accesos.” SONORAMA aporta dos capturas de pantalla como evidencia de los comunicados realizados, en la que se muestra información similar a la recogida en las evidencias aportadas por la parte denunciante: “NEWSLETTER: DÓNDE COMER PUEBLO: Aranda de Duero posee gran cantidad de asadores donde se puede disfrutar del plato típico, el cordero asado en horno de leña, así como muchos restaurantes para comer de menú. Te recomendamos que consuman en los establecimientos que colaboran con el festival, los reconocerás por el distintivo en su puerta, estos establecimientos son los que ayudan. RECINTO: Dentro del recinto se presenta con una opción variada de comida y bebida, ya que las actividades principales del festival son la celebración de conciertos y la hostelería. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/12 Si tienes condiciones médicas especiales y lo acreditas, podrás entrar con comida en el caso de que lo necesites y si vas acompañado/a de un menor de 3 años, acceder con la comida, bebida para él/ella, también está permitido. En cuanto a las bebidas, podrás llevar una botella sin tapón, que podrás rellenar en las fuentes de agua potable del recinto." (Nota: el subrayado ha sido incorporado por la Agencia) “PREGUNTAS FRECUENTAS (sic) DE LA PÁGINA WEB: “ La parte denunciante facilita una captura de pantalla del apartado de Acceso al recinto de las preguntas frecuentes del festival idéntica a lo explicado en el apartado 1 del presente documento. SONORAMA continúa su exposición manifestando: “El resto de comunicados se limitaron a estipular la prohibición inicial de acceso al recinto con comida y bebida. 5. Finalmente, en línea con lo establecido en los párrafos precedentes y con la finalidad de cumplir con el Real Decreto Legislativo 1/2007, de 16 de noviembre, por el que se aprueba el texto refundido de la Ley General para la Defensa de los Consumidores y Usuarios y otras leyes complementarias y con los pronunciamientos de FACUA y OCU, desde Sonorama Producciones S.L. se optó por no negar a nadie, una vez dentro del recinto, la salida a por comida, bebida o cualquier otra necesidad, no quedando por tanto la gente obligada a consumir dentro del recinto ni a presentar documentación médica justificativa alguna, información que, menos aún, pudo almacenarse.” .-2.3-. Respecto a las argumentaciones jurídicas aportadas. SONORAMA sustenta las informaciones anteriores en las siguientes argumentaciones jurídicas: “• En línea con el Punto 1 de su Requerimiento, si bien es cierto que bajo ningún concepto se pretendía llevar ni se llevó a cabo tratamiento de datos relativos a la salud, ni finalmente se solicitó su mera muestra en los accesos al Festival, también lo es que aunque así hubiera sido, Sonorama Producciones S.L. se encontraba legitimada para ello en virtud del Artículo 9 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (Reglamento General de Protección de Datos, RGPD), que establece que los datos relativos a la salud son datos especialmente protegidos y su tratamiento está prohibido salvo que concurra una de las siguientes circunstancias, circunstancias que efectivamente concurren en dos de los casos que la mencionada normativa prevé: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/12 .Consentimiento explícito del interesado. Se cumple desde el momento en que el asistente al Festival decide mostrar su justificante médico para poder acceder con comida y bebida al recinto de Sonorama Producciones S.L. .Resulte necesario para proteger intereses vitales del interesado. Se cumple desde el momento en que el interesado cuenta con alguna patología o alergia que no le permite comer o beber productos ofertados dentro del Festival. • Del mismo modo, no se produce tratamiento de datos personales relativos a la salud en ningún caso, puesto que la definición prevista por el RGPD y demás normativa aplicable del Tratamiento es la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción; acciones todas ellas que en ningún caso Sonorama Producciones S.L. llevó ni pretendía llevar a cabo en virtud de las comunicaciones públicas efectuadas, según las cuales se podrían limitar a solicitar la muestra de un justificante médico a determinados asistentes al festival, siempre con la decisión última de cada uno de los mismos y legitimada en base al Artículo 9 RGPD; solicitud que, esta parte reitera, finalmente no se llevó a cabo.” FUNDAMENTOS DE DERECHO I Competencia De acuerdo con las funciones que el artículo 57.1 a),
4. f)y
5. h)del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) confiere a cada autoridad de control y según lo dispuesto en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Condiciones para el consentimiento En relación con las condiciones para el consentimiento, el artículo 7 del RGPD dispone: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/12 "1. Cuando el tratamiento se base en el consentimiento del interesado, el responsable deberá ser capaz de demostrar que aquel consintió el tratamiento de sus datos personales. 2. Si el consentimiento del interesado se da en el contexto de una declaración escrita que también se refiera a otros asuntos, la solicitud de consentimiento se presentará de tal forma que se distinga claramente de los demás asuntos, de forma inteligible y de fácil acceso y utilizando un lenguaje claro y sencillo. No será vinculante ninguna parte de la declaración que constituya infracción del presente Reglamento. 3. El interesado tendrá derecho a retirar su consentimiento en cualquier momento. La retirada del consentimiento no afectará a la licitud del tratamiento basada en el consentimiento previo a su retirada. Antes de dar su consentimiento, el interesado será informado de ello. Será tan fácil retirar el consentimiento como darlo. 4. Al evaluar si el consentimiento se ha dado libremente, se tendrá en cuenta en la mayor medida posible el hecho de si, entre otras cosas, la ejecución de un contrato, incluida la prestación de un servicio, se supedita al consentimiento al tratamiento de datos personales que no son necesarios para la ejecución de dicho contrato." III Tratamiento de categorías especiales de datos personales El artículo 9 del RGPD, que regula el tratamiento de categorías especiales de datos personales, establece lo siguiente: "1. Quedan prohibidos el tratamiento de datos personales que revelen el origen étnico o racial, las opiniones políticas, las convicciones religiosas o filosóficas, o la afiliación sindical, y el tratamiento de datos genéticos, datos biométricos dirigidos a identificar de manera unívoca a una persona física, datos relativos a la salud o datos relativos a la vida sexual o la orientación sexual de una persona física. 2. El apartado 1 no será de aplicación cuando concurra una de las circunstancias siguientes:
6. a)el interesado dio su consentimiento explícito para el tratamiento de dichos datos personales con uno o más de los fines especificados, excepto cuando el Derecho de la Unión o de los Estados miembros establezca que la prohibición mencionada en el apartado 1 no puede ser levantada por el interesado;
7. b)el tratamiento es necesario para el cumplimiento de obligaciones y el ejercicio de derechos específicos del responsable del tratamiento o del interesado en el ámbito del Derecho laboral y de la seguridad y protección social, en la medida en que así lo autorice el Derecho de la Unión o de los Estados miembros o un convenio colectivo con arreglo al Derecho de los Estados miembros que establezca garantías adecuadas del respeto de los derechos fundamentales y de los intereses del interesado;
8. c)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física, en el supuesto de que el interesado no esté capacitado, física o jurídicamente, para dar su consentimiento; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/12
9. d)el tratamiento es efectuado, en el ámbito de sus actividades legítimas y con las debidas garantías, por una fundación, una asociación o cualquier otro organismo sin ánimo de lucro, cuya finalidad sea política, filosófica, religiosa o sindical, siempre que el tratamiento se refiera exclusivamente a los miembros actuales o antiguos de tales organismos o a personas que mantengan contactos regulares con ellos en relación con sus fines y siempre que los datos personales no se comuniquen fuera de ellos sin el consentimiento de los interesados;
10. e)el tratamiento se refiere a datos personales que el interesado ha hecho manifiestamente públicos;
11. f)el tratamiento es necesario para la formulación, el ejercicio o la defensa de reclamaciones o cuando los tribunales actúen en ejercicio de su función judicial;
12. g)el tratamiento es necesario por razones de un interés público esencial, sobre la base del Derecho de la Unión o de los Estados miembros, que debe ser proporcional al objetivo perseguido, respetar en lo esencial el derecho a la protección de datos y establecer medidas adecuadas y específicas para proteger los intereses y derechos fundamentales del interesado;
13. h)el tratamiento es necesario para fines de medicina preventiva o laboral, evaluación de la capacidad laboral del trabajador, diagnóstico médico, prestación de asistencia o tratamiento de tipo sanitario o social, o gestión de los sistemas y servicios de asistencia sanitaria y social, sobre la base del Derecho de la Unión o de los Estados miembros o en virtud de un contrato con un profesional sanitario y sin perjuicio de las condiciones y garantías contempladas en el apartado 3;
14. i)el tratamiento es necesario por razones de interés público en el ámbito de la salud pública, como la protección frente a amenazas transfronterizas graves para la salud, o para garantizar elevados niveles de calidad y de seguridad de la asistencia sanitaria y de los medicamentos o productos sanitarios, sobre la base del Derecho de la Unión o de los Estados miembros que establezca medidas adecuadas y específicas para proteger los derechos y libertades del interesado, en particular el secreto profesional;
15. j)el tratamiento es necesario con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos, de conformidad con el artículo 89, apartado 1, sobre la base del Derecho de la Unión o de los Estados miembros, que debe ser proporcional al objetivo perseguido, respetar en lo esencial el derecho a la protección de datos y establecer medidas adecuadas y específicas para proteger los intereses y derechos fundamentales del interesado. 3. Los datos personales a que se refiere el apartado 1 podrán tratarse a los fines citados en el apartado 2, letra h), cuando su tratamiento sea realizado por un profesional sujeto a la obligación de secreto profesional, o bajo su responsabilidad, de acuerdo con el Derecho de la Unión o de los Estados miembros o con las normas establecidas por los organismos nacionales competentes, o por cualquier otra persona sujeta también a la obligación de secreto de acuerdo con el Derecho de la Unión o de los Estados miembros o de las normas establecidas por los organismos nacionales competentes. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 10/12 4. Los Estados miembros podrán mantener o introducir condiciones adicionales, inclusive limitaciones, con respecto al tratamiento de datos genéticos, datos biométricos o datos relativos a la salud." IV Información que deberá facilitarse cuando los datos personales se obtengan del interesado El artículo 13 del RGPD establece la información que deberá facilitarse cuando los datos personales se obtengan del interesado, en virtud del cual: "1. Cuando se obtengan de un interesado datos personales relativos a él, el responsable del tratamiento, en el momento en que estos se obtengan, le facilitará toda la información indicada a continuación:
16. a)la identidad y los datos de contacto del responsable y, en su caso, de su representante;
17. b)los datos de contacto del delegado de protección de datos, en su caso;
18. c)los fines del tratamiento a que se destinan los datos personales y la base jurídica del tratamiento;
19. d)cuando el tratamiento se base en el artículo 6, apartado 1, letra f), los intereses legítimos del responsable o de un tercero;
20. e)los destinatarios o las categorías de destinatarios de los datos personales, en su caso;
21. f)en su caso, la intención del responsable de transferir datos personales a un tercer país u organización internacional y la existencia o ausencia de una decisión de adecuación de la Comisión, o, en el caso de las transferencias indicadas en los artículos 46 o 47 o el artículo 49, apartado 1, párrafo segundo, referencia a las garantías adecuadas o apropiadas y a los medios para obtener una copia de estas o al lugar en que se hayan puesto a disposición. 2. Además de la información mencionada en el apartado 1, el responsable del tratamiento facilitará al interesado, en el momento en que se obtengan los datos personales, la siguiente información necesaria para garantizar un tratamiento de datos leal y transparente:
22. a)el plazo durante el cual se conservarán los datos personales o, cuando no sea posible, los criterios utilizados para determinar este plazo;
23. b)la existencia del derecho a solicitar al responsable del tratamiento el acceso a los datos personales relativos al interesado, y su rectificación o supresión, o la limitación de su tratamiento, o a oponerse al tratamiento, así como el derecho a la portabilidad de los datos; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 11/12
24. c)cuando el tratamiento esté basado en el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), la existencia del derecho a retirar el consentimiento en cualquier momento, sin que ello afecte a la licitud del tratamiento basado en el consentimiento previo a su retirada;
25. d)el derecho a presentar una reclamación ante una autoridad de control;
26. e)si la comunicación de datos personales es un requisito legal o contractual, o un requisito necesario para suscribir un contrato, y si el interesado está obligado a facilitar los datos personales y está informado de las posibles consecuencias de no facilitar tales datos;
27. f)la existencia de decisiones automatizadas, incluida la elaboración de perfiles, a que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado. 3. Cuando el responsable del tratamiento proyecte el tratamiento ulterior de datos personales para un fin que no sea aquel para el que se recogieron, proporcionará al interesado, con anterioridad a dicho tratamiento ulterior, información sobre ese otro fin y cualquier información adicional pertinente a tenor del apartado 2. Las disposiciones de los apartados 1, 2 y 3 no serán aplicables cuando y en la medida en que el interesado ya disponga de la información." V Conclusión Se han realizado actuaciones previas de investigación iniciadas a raíz de la denuncia presentada debido al presunto tratamiento de datos de salud para introducir alimentos a un festival de música celebrado en 2023, por SONORAMA del 9 al 13 de agosto de 2023. Se ha evidenciado que la aportación de datos de salud no es una condición de acceso al festival, sino una condición para introducir alimentos en dicho festival. Se ha acreditado que la parte denunciada informa que solicita acreditación de condiciones médicas especiales para introducir alimentos a un festival. En el presente caso, no se aprecian indicios suficientes que permitan acreditar la existencia de un tratamiento efectivo de datos personales relativos a la salud por parte de Sonorama Producciones, S.L., en el marco del acceso al festival Sonorama Ribera 2023. Pese a que en la comunicación pública se incluyó una cláusula que aludía a la posibilidad de acceder al recinto con comida en caso de acreditar condiciones médicas especiales, la entidad denunciada ha manifestado de forma clara y reiterada que no llegó a solicitar materialmente, registrar y conservar ningún justificante médico, ni de forma presencial ni online, a ningún asistente. Asimismo, no se ha aportado evidencia documental que contradiga esta afirmación ni que permita considerar que se haya producido un tratamiento material de datos especialmente protegidos, como lo serían C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 12/12 los relativos a la salud, más allá de una mera posibilidad genérica anunciada en la web y comunicaciones informativas. En este sentido, las manifestaciones de la parte denunciada resultan coherentes con la ausencia de documentación relativa al tratamiento de este tipo de datos (registro de actividades, evaluación de riesgos, análisis de impacto, etc.), y la información aportada sobre la operativa del festival apunta a que no se exigió la presentación de justificantes como requisito obligatorio para el acceso por ninguna vía, ni en el acceso presencial al evento ni online a ningún asistente. SONORAMA ha manifestado que no se llevó a cabo ningún tratamiento de datos relativos a la salud y, por este motivo, ha indicado que no se encuentra facultada para entregar la información y documentación solicitada. Por lo tanto, en base a lo indicado en los párrafos anteriores, no se han encontrado evidencias que acrediten la existencia de infracción en el ámbito competencial de la Agencia Española de Protección de Datos. Todo ello sin perjuicio de las posibles actuaciones posteriores que esta Agencia pudiera llevar a cabo, aplicando los poderes de investigación y correctivos que ostenta. Así pues, al no haber sido posible atribuir la responsabilidad por el tratamiento de datos de salud, de acuerdo con lo señalado, por la Presidencia de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a SONORAMA PRODUCCIONES, S.L. y a la parte reclamante. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
28. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 940-301023 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es