← España

AI-00379-2022

1/20  Expediente N.º: EXP202211440 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes: HECHOS PRIMERO: Con fecha 11 de agosto de 2022, La Agencia Española de Protección de Datos ha tenido conocimiento a través de una denuncia de ciertos hechos que podrían vulnerar la legislación en materia de protección de datos. la Directora de la Agencia Española de Protección de Datos instó a la Subdirección General de Inspección de Datos (SGID) a iniciar las actuaciones previas de investigación a las que se refiere el artículo 67 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD) para investigar a IBERIA LÍNEAS AÉREAS DE ESPAÑA, S.A., OPERADORA con NIF A85850394 (en adelante la parte reclamada o IBERIA) en relación con los siguientes hechos: En la denuncia se indica que la parte reclamada ha habilitado un espacio en su página web para que sus usuarios incluyan documentación con información sanitaria referida a la vacunación contra el COVID19 para la gestión de su viaje operado por la parte reclamada, entendiendo que la parte reclamada no cuenta con ninguna autorización legal para dicho proceder, ni se constituye en Autoridad Sanitaria. Señala asimismo que no informan adecuadamente sobre el tratamiento y gestión de dichos datos. De acuerdo con la denuncia, la información sanitaria referida a la vacunación contra el COVID19 que incluyen los usuarios en dicho espacio tiene como finalidad la gestión más ágil del viaje operado por la línea aérea al poder ser utilizada directamente el embarque, si bien, aunque los documentos se almacenan en el espacio privado de los propios usuarios, la compañía aérea podría tener acceso a los mismos para validarlos de cara a la autorización de embarque. Se aportan imágenes del apartado de la web de la parte reclamada donde se solicita la subida de documentación sanitaria. SEGUNDO: Con fecha de 27 de octubre de 2022 la Directora de la Agencia Española de Protección de Datos acuerda iniciar actuaciones de investigación en relación con IBERIA LÍNEAS AÉREAS DE ESPAÑA, S.A., OPERADORA para verificar estos extremos y, en su caso, la adecuada observancia de la normativa. TERCERO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/20 En fecha 13 de enero de 2023 se realiza una solicitud de información a IBERIA y en fecha 27 de enero de 2023 tiene entrada en la sede electrónica de esta Agencia la respuesta, en la que, en síntesis, indica lo siguiente: Marco normativo - El 30 de enero de 2020, el director general de la Organización Mundial de la Salud (OMS) declaró una emergencia de salud pública de alcance internacional por el brote mundial de coronavirus del síndrome respiratorio agudo grave de tipo 2 (SARSCoV-2), que causa la enfermedad por coronavirus de 2019 (COVID-19). El 11 de marzo de 2020, la OMS publicó una evaluación que calificaba la COVID-19 de pandemia. Según lo contemplado en el Reglamento Sanitario Internacional un evento de estas características constituye un riesgo para la salud pública de los Estados a causa de la propagación internacional de una enfermedad. Para estas circunstancias el Reglamento contempla medidas sanitarias, temporales o permanentes, que los Estados podrán aplicar sobre las personas, equipajes, cargas, contenedores, medios de transporte, mercancías, y/o paquetes, en respuesta a una emergencia de salud pública de importancia internacional. Entre las medidas a aplicar a las personas se contempla la realización de exámenes médicos, medidas de carácter profiláctico u otras medidas sanitarias reconocidas que impidan o controlen la propagación de la enfermedad, con inclusión del aislamiento, la cuarentena o el sometimiento del viajero a observación de salud pública. La evolución de la pandemia y la aparición de las nuevas variantes de especial atención han requerido la adopción de diferentes medidas con objeto de garantizar un mayor control en el tráfico internacional de viajeros. - Desde el inicio de la implementación de controles sanitarios, a través de la Resolución de 29 de junio de 2020, de la Dirección General de Salud Pública, Calidad e Innovación, relativa a los controles sanitarios a realizar en los puntos de entrada de España, sustituida posteriormente por la Resolución de 24 de julio de 2020, de la Dirección General de Salud Pública, Calidad e Innovación, relativa a los controles sanitarios a realizar en los puntos de entrada de España, la situación epidemiológica con respecto a la pandemia por COVID-19 se ha ido modificando, no solo en España sino a nivel global. De la misma forma, también han evolucionado los mecanismos de vigilancia y control sanitario que los países han ido implantando en los puntos de entrada con el fin de controlar la importación de casos a partir de pasajeros procedentes de países de riesgo. El listado actualizado de países o zonas de riesgo se revisa periódicamente y su actualización se publica en la página web del Ministerio de Sanidad y en la web SpTH: https://www.spth.gob.es. La actualización de las revisiones del listado de países o zonas se hace efectiva a los siete días de su publicación, con el objetivo de permitir a las compañías de trasporte, agencias de viajes y operadores turísticos que ajusten las medidas informativas para los pasajeros. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/20 En España los controles sanitarios a los pasajeros internacionales en los puntos de entrada han sido regulados a través de distintas Resoluciones de la Dirección General de Salud Pública, publicadas en la página web del Gobierno de España y relacionadas en la Diligencia Normativa Fronteras COVID-19, con más de cien referencias normativas. - En relación con las agencias de viaje, los operadores turísticos y las compañías de transporte aéreo o marítimo y cualquier otro agente que comercialice billetes aisladamente o como parte de un viaje combinado, por ejemplo, el Real Decreto Ley 23/2020, de 23 de junio, establece que deberán informar a los pasajeros, en el inicio del proceso de venta de los billetes con destino a España, de la obligatoriedad del viajero de presentar el Formulario de Control Sanitario a la llegada, donde se incluirá la declaración de disponer de una Prueba Diagnóstica de Infección Activa para SARSCoV-2 con resultado negativo realizada en las setenta y dos horas previas a la llegada a los que proceden de países/zonas de riesgo. Asimismo, dicho Real Decreto Ley establece que el gestor aeroportuario y las compañías aéreas prestarán su colaboración al Ministerio de Sanidad para la implementación de las medidas de control sanitario, aspecto fundamental a la hora de poder garantizar la adecuada implantación de la medida. En este sentido, en aplicación del deber de colaboración previsto en el apartado 4 de la Disposición Adicional Sexta del Real Decreto-ley 23/2020, las compañías aéreas comprobarán con anterioridad al embarque, que los pasajeros con destino España disponen del código QR generado a través de la web www.spth.gob.es, o de la aplicación Spain Travel Health-SpTH. - La Recomendación (UE) 2020/912 del Consejo, de 30 de junio, sobre la restricción temporal de los viajes no esenciales a la Unión Europea y el posible levantamiento de dicha restricción, estableció un listado de terceros países cuyos residentes quedaban exentos de las restricciones de viaje a la Unión Europea, así como un conjunto de categorías específicas de personas también exentas de esas restricciones, independientemente de su lugar de procedencia. Esta Recomendación ha sido modificada en sucesivas ocasiones para ir adaptando el listado de terceros países a las circunstancias epidemiológicas, o para modificar los criterios de elaboración de dicho listado. - El Reglamento (UE) 2021/953 relativo a un marco para la expedición, verificación y aceptación de certificados COVID-19 interoperables de vacunación, de prueba diagnóstica y de recuperación (certificado COVID digital de la UE) a fin de facilitar la libre circulación durante la pandemia de COVID-19, modificado por el Reglamento (UE) 2022/1034 del Parlamento Europeo y del Consejo de 29 de junio de 2022, establece las características de los certificados sanitarios de vacunación, de prueba diagnóstica y de recuperación en el marco de los viajes internacionales, con el objetivo de facilitar la libre circulación y suprimir gradualmente las restricciones a esta libre circulación, en el contexto de la pandemia por COVID-19. No obstante, este Reglamento deja en manos de los Estados miembros la potestad de limitar el derecho fundamental a la libre circulación por motivos de salud pública, a fin de limitar la propagación del SARS-CoV-2 siempre por motivos basados en razones de interés público específicas y limitadas como la salvaguardia de la salud pública. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/20 Desde la publicación del Reglamento, en España se han aplicado las características de los certificados COVID digital de la UE como requisitos sanitarios para los pasajeros internacionales y en él se han basado en gran medida los controles sanitarios aplicados en los puntos de entrada. De modo análogo, las características del certificado COVID digital de la UE se han hecho extensivas para aceptar como válidos los certificados de vacunación, prueba diagnóstica o recuperación emitidos por terceros países sin acuerdos de equivalencia. - Así las cosas, desde el inicio de la COVID-19 los operadores aéreos y las compañías se han visto sometidos a la observancia de los requerimientos sanitarios específicos, también relacionados con circunstancias del viajero, y cambiantes de los diferentes Estados en los que operan. Dichos requerimientos se plasman en la comprobación de que todo pasajero que embarca en un vuelo de una compañía cumple la normativa sanitaria del país de destino para que no sea devuelto a su lugar de origen. La documentación necesaria a presentar ante las autoridades de control de fronteras en cada país, o para acreditar a satisfacción de cada una de ellas las circunstancias que autorizaban al viajero a entrar al país y no ser devuelto a su lugar de origen de viaje, ha variado continuamente a discreción de las numerosas resoluciones y posteriores actualizaciones dictadas por las autoridades competentes en cada uno de esos países. En la mayoría de los casos las normas dictadas por las autoridades nacionales han hecho responsables a las aerolíneas de la comprobación de la documentación necesaria de cada pasajero antes de admitirles a embarque en el vuelo en cuestión, de forma que transportar a destino a un pasajero sin toda la documentación o requisitos necesarios podría suponer: - La obligación de transportar de vuelta al pasajero a su lugar de origen, con coste a cargo de la aerolínea y La imposición de multas o sanciones administrativas por no cumplir diligentemente con sus obligaciones de comprobación documental. - El 5 de mayo de 2023 el director general de la Organización Mundial de la Salud declaró: “Ayer, el Comité de Emergencias se reunió por decimoquinta vez y me recomendó que declarara el fin de la emergencia de salud pública de importancia internacional. He aceptado ese consejo. Por lo tanto, declaro con gran esperanza el fin de COVID-19 como emergencia sanitaria internacional”. El 5 de julio de 2023 se publica en el BOE la Orden SND/726/2023, de 4 de julio, del Ministerio de Sanidad por la que se declara el fin de la crisis sanitaria COVID19. Aplicación “Aircheck” - “Aircheck” es una plataforma o aplicación que tiene como finalidad que los viajeros puedan subir determinados documentos con antelación a su viaje, como, por ejemplo, el DNI, visados, certificaciones de vacunación, etc. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/20 IBERIA manifiesta y acredita que esta funcionalidad solamente se encuentra a disposición de aquellos tránsitos que se produzcan desde Madrid a todos los destinos de Estados Unidos para verificar el cumplimiento de los requisitos COVID-19. Asimismo, IBERIA señala que optar por emplear este mecanismo es una elección voluntaria del pasajero y en ningún caso un procedimiento impuesto por parte de la compañía. - En la Web Iberia Rutas se constata que IBERIA tiene habilitado un espacio en su web para que los pasajeros de los vuelos desde Madrid a todos los destinos de EEUU puedan subir toda la documentación necesaria para volar. - En el video publicado en la web de IBERIA se describen los pasos que debe seguir el pasajero en caso de optar por esta plataforma: - El pasajero ha de responder afirmativamente a la cuestión ¿Estás completamente vacunado? para subir la documentación sanitaria relativa a la COVID-19, certificado de vacunación y test de COVID-19. 1º 2º - 3º Una vez que el pasajero añade un documento se le muestra el aviso: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/20 “¡Documentación recibida! Ahora vamos a verificarla. Tu número de seguimiento es: …”, y se le da la posibilidad de añadir nuevos documentos. - Los documentos necesarios para volar se pueden subir desde 72 horas antes de la salida del vuelo y para consultar su estado o subir nuevos archivos el pasajero debe introducir el número de seguimiento y el código de reserva o localizador. - Una vez que la documentación es verificada por la compañía, si es correcta, se envía un correo electrónico al pasajero donde se le indica: “Te informamos de que toda la documentación requerida para tu vuelo (…) ha sido verificada y es correcta. Por favor, conserva este mail ya que podrá ser requerido que lo muestres en la puerta de embarque. Si, por el contrario, existe información que resta por aportar o que precisa subsanación, se remite correo electrónico al pasajero informándole de tales circunstancias: “(…) Recuerda que aún tienes documentación por subir, la podrás adjuntar en cualquier momento. (…)” Información que se facilita a los interesados - En relación con la información que se ofrece al pasajero, IBERIA trae a colación aquella contenida en la web del Gobierno estadounidense relativa a los viajes internacionales. A tal efecto, en el epígrafe “Frequently Asked Questions on COVID-19 Vaccinations and Testing for International Travel”, se pone en conocimiento de los usuarios determinados aspectos que, tanto ciudadanos no estadounidenses y no inmigrantes, así como los ciudadanos estadounidenses deben observar como consecuencia de las directrices impuestas por la Administración Biden a través de la Orden “Implementing Presidential Proclamation on Advancing the Safe Resumption of Global Travel During the COVID-19 Pandemic” (en adelante, la “Orden del CDC1”), la cual se aporta como DOCUMENTO 1 de la entrada REGAGE23e00005549140. En la web se recoge: - Actualmente, los viajeros aéreos extranjeros con destino a los Estados Unidos deben estar completamente vacunados y proporcionar un comprobante del estado de vacunación antes de subir a bordo de un avión con destino a los Estados Unidos, con solo excepciones limitadas. - Actualmente, los viajeros aéreos extranjeros con destino a los Estados Unidos deben estar completamente vacunados y proporcionar un comprobante del estado de vacunación antes de subir a bordo de un avión con destino a los Estados Unidos, con sólo excepciones limitadas. - El comprobante de vacunación debe ser un registro en papel o digital emitido en inglés por una fuente oficial y debe incluir el nombre y la fecha de nacimiento del viajero, así como el producto empleado para la vacunación y la(

  1. s)fecha(
  2. s)de administración de todas las dosis que recibió el viajero. 1 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/20 - En relación con los ciudadanos estadunidenses la Orden del CDC exime, desde el 12 de junio de 2022, del deber de aportar, tanto a viajeros vacunados como no vacunados, una prueba con resultado negativo. - En el video publicado en la web de IBERIA donde se describen los pasos que debe seguir el pasajero que opta por esta plataforma se comprueba que, en el momento en el que el pasajero procede a cargar la documentación, se le advierte de las consideraciones que afectan al tratamiento de sus datos de carácter personal y se le ofrece, a su vez, acceso a la información adicional contenida en la política de protección de datos personales: El responsable del tratamiento de sus datos es Iberia L.A.E. S.A. Operadora, Sociedad Unipersonal (en adelante, “Iberia”) con domicilio social en calle Martínez Villegas 49, 28027 Madrid. Sus datos se tratarán para la gestión del embarque, en base a la ejecución del transporte. El usuario podrá, en cualquier momento, ejercitar los derechos de oposición, acceso, portabilidad, rectificación, limitación y supresión de datos. Puede conocer el detalle de la información que aquí se expone a través de la URL https://www.iberia.com/es/informacion-sobre-privacidad/ - En la política de protección de datos personales publicada en la página web, bajo el epígrafe ¿Cuándo y por qué recabamos “datos personales sensibles”? se hace referencia a datos de salud relativos a la COVID-19, ver Diligencia Política de Privacidad, y bajo el epígrafe ¿En qué casos llevamos a cabo un tratamiento automatizado de tus datos? se recoge: Hay situaciones en las que llevaremos a cabo un tratamiento total o parcialmente automatizado de tus datos. Por ejemplo: […] Cuando utilizas nuestra aplicación online Aircheck para revisar con antelación si tu documentación de viaje “COVID19” cumple con los requerimientos de tu país de destino. Una vez más, el uso de esta aplicación es voluntario, pudiendo siempre optar por la revisión de documentación a través de nuestros agentes en puerta de embarque. Además, en caso de utilizar Aircheck y no obtener una validación inicial de la documentación presentada, te ofrecemos la opción de volver a revisarla online y de que esta segunda vez, uno de nuestros agentes la revise manualmente. - Un enlace a la política de protección de datos personales de IBERIA permanece visible en su web desde el momento en el que el usuario está reservando los vuelos y antes de proceder a rellenar los datos necesarios. Una vez que el pasajero decide continuar con el proceso a través de “Rellenar datos de pasajeros”, se le advierte de los requisitos necesarios para poder efectuar su vuelo como consecuencia de exigencias que emanan del Gobierno de Estados Unidos y se le da acceso también a la política de protección de datos personales de la Compañía. En la siguiente fase del proceso en la cual el usuario debe cumplimentar los datos de contacto para el/los pasajero/s, también se pone a su disposición información C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/20 en relación con el tratamiento de sus datos de carácter personal. Asimismo, una vez procesada la compra, IBERIA remite un email de confirmación de la misma, donde se reiteran las advertencias realizadas a lo largo de todo el proceso y se ofrece información en materia de protección de datos como consecuencia de la relación contractual que vincula a IBERIA y el pasajero. Validación de la documentación sanitaria Si el pasajero opta por emplear Aircheck para la verificación online de su documentación, puede facilitar la información requerida, entre la que se encuentra el certificado de vacunación, entre 72 y 4 horas antes de su vuelo. Estos datos se almacenan en los servidores de Salesforce. Las acciones de comprobación de la documentación las efectúan los empleados de Back Office de Iberia: - En primer lugar, se verifica de forma automática, a través de F-SECURE, que los archivos no contienen malware; y - A continuación, a través de una tecnología de reconocimiento óptico de caracteres (OCR por sus siglas en inglés, Optical Character Recognition) en Salesforce se revisa también de forma automática la vigencia del pasaporte. En los casos en los que la documentación no pasa alguno de estos filtros, se genera un KO que se comunica al pasajero solicitante. En el resto de los casos, se procede a continuación con una comprobación manual para verificar que se han aportado los documentos necesarios para cumplir con los requisitos exigidos por el país de destino. Los equipos que tienen acceso a esta información son: - Network Connection Support (NCS): equipo que pertenece al Centro Control Operaciones (CCO), cuyas funciones consisten en resolver las incidencias que afectan a clientes en torno a las operaciones aéreas. En este caso 22 agentes de NCS son los encargados de revisar la documentación que se sube a Aircheck. - CCPO: equipo conformado por agentes de call center los cuales pueden acceder a estos registros para verificar la información en caso de reclamaciones, incidencias, etc. - Aquellos agentes de asistencia en tierra de IBERIA que se encuentren controlando el embarque a los vuelos dentro del ámbito de Aircheck en el aeropuerto de Madrid-Barajas, también tendrán acceso a una aplicación web de IBERIA (en adelante, indistintamente, “Quick Service Point” o “QSP”) al objeto de corroborar si, en relación con cada pasajero, ya se ha recibido y comprobado toda la documentación necesaria para poder viajar, o si falta algún documento por recibir y revisar. En este punto, la aplicación indicada muestra dos posibles opciones: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/20   OK en la pantalla: el pasajero tiene todos los documentos necesarios para viajar, por lo que no es necesario que el agente tenga que llevar a cabo acción adicional alguna; o KO en la pantalla: en este caso, se muestran en pantalla, además, los títulos de los documentos que el agente tiene que validar con el pasajero antes de poder volar. Una vez chequeados esos documentos, si los mismos son conformes con las exigencias legales, el agente puede “confirmar” en la aplicación web que el pasajero dispone de la documentación necesaria para viajar. IBERIA señala que todo el personal perteneciente a los Departamentos indicados (NCS, Call Center del CCPO y personal de asistencia en tierra) son empleados de IBERIA y se han comprometido a obligaciones de confidencialidad y secreto. A modo de ejemplo, aporta: Plazo de conservación de los datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/20 IBERIA manifiesta que los datos facilitados a través de Aircheck se almacenan visibles en Salesforce durante un período de 30 días, estando únicamente a disposición de aquellos empleados de IBERIA que deban acceder a los mismos para el desarrollo de sus funciones. Transcurrido dicho período, los datos se bloquean durante un plazo de 5 años, para atender las posibles responsabilidades que se pudiesen derivar del tratamiento efectuado en aplicación de lo dispuesto en el artículo 1.964 del Código Civil, manteniéndose solamente al alcance limitado de determinados perfiles de administradores de sistemas. IBERIA manifiesta que los datos no son comunicados a las autoridades norteamericanas salvo que sean expresamente solicitados por las mismas. En este sentido, dicha comunicación se efectúa bajo el amparo de lo establecido en la Orden dictada por el CDC. En la Orden del CDC se recogen los datos que deben ser transferidos y las obligaciones impuestas a las compañías: […] La información designada consiste en nombre completo, dirección mientras está en los Estados Unidos, número de teléfono de contacto principal, número de teléfono de contacto secundario o de emergencia, dirección de correo electrónico, fecha de nacimiento, nombre de la aerolínea, número de vuelo, ciudad de salida, fecha y hora de salida, ciudad de llegada, fecha y hora de llegada, y número de asiento. Las aerolíneas y los operadores deben mantener la información designada para los miembros de la tripulación. Estos elementos de datos son necesarios para identificar y localizar a los pasajeros y miembros de la tripulación que puedan tener la enfermedad por coronavirus 2019 (COVID-19) o que hayan estado expuestos a una persona con COVID-19 u otra enfermedad transmisible preocupante […]. Los pasajeros deberán facilitar la información designada, en la medida en que exista, a las compañías aéreas y a los operadores. Las aerolíneas y operadores deben recopilar la información designada de los pasajeros y retenerla durante 30 días desde la salida del vuelo, a menos que se transmita de otra manera al gobierno de los Estados Unidos. Los CDC requieren un período de retención de 30 días […]. Al margen de lo anterior, IBERIA no lleva a cabo ninguna cesión ni comunicación a terceros destinatarios. Medidas de seguridad IBERIA relaciona las medidas de carácter técnico y organizativo que ha implementado en relación con el tratamiento “Digitalización de embarques Aircheck”: - (…) Asimismo, aporta el documento Anexo 1 Informe de riesgos donde se especifiC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/20 can los riesgos y medidas implementadas relativas al tratamiento Digitalización de embarques Aircheck, entre los que se encuentra: - Riesgo 4778.- Riesgo de violación de los derechos y libertades de los interesados derivado del tratamiento de datos personales con decisiones automatizadas. Nivel de riesgo inherente: alto Nombre de control: se ha llevado a cabo la supervisión humana en las decisiones automatizadas. Nivel de riesgo residual: bajo FUNDAMENTOS DE DERECHO I Competencia De acuerdo con las funciones que el artículo 57.1 a),
  3. f)y
  4. h)del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) confiere a cada autoridad de control y según lo dispuesto en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Tratamiento de categorías especiales de datos personales El artículo 9 del RGPD, que regula el tratamiento de categorías especiales de datos personales, establece lo siguiente: "1. Quedan prohibidos el tratamiento de datos personales que revelen el origen étnico o racial, las opiniones políticas, las convicciones religiosas o filosóficas, o la afiliación sindical, y el tratamiento de datos genéticos, datos biométricos dirigidos a identificar de manera unívoca a una persona física, datos relativos a la salud o datos relativos a la vida sexual o la orientación sexual de una persona física. 2. El apartado 1 no será de aplicación cuando concurra una de las circunstancias siguientes:
  5. a)el interesado dio su consentimiento explícito para el tratamiento de dichos datos personales con uno o más de los fines especificados, excepto cuando el Derecho de la Unión o de los Estados miembros establezca que la prohibición mencionada en el apartado 1 no puede ser levantada por el interesado; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/20
  6. b)el tratamiento es necesario para el cumplimiento de obligaciones y el ejercicio de derechos específicos del responsable del tratamiento o del interesado en el ámbito del Derecho laboral y de la seguridad y protección social, en la medida en que así lo autorice el Derecho de la Unión o de los Estados miembros o un convenio colectivo con arreglo al Derecho de los Estados miembros que establezca garantías adecuadas del respeto de los derechos fundamentales y de los intereses del interesado;
  7. c)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física, en el supuesto de que el interesado no esté capacitado, física o jurídicamente, para dar su consentimiento;
  8. d)el tratamiento es efectuado, en el ámbito de sus actividades legítimas y con las debidas garantías, por una fundación, una asociación o cualquier otro organismo sin ánimo de lucro, cuya finalidad sea política, filosófica, religiosa o sindical, siempre que el tratamiento se refiera exclusivamente a los miembros actuales o antiguos de tales organismos o a personas que mantengan contactos regulares con ellos en relación con sus fines y siempre que los datos personales no se comuniquen fuera de ellos sin el consentimiento de los interesados;
  9. e)el tratamiento se refiere a datos personales que el interesado ha hecho manifiestamente públicos;
  10. f)el tratamiento es necesario para la formulación, el ejercicio o la defensa de reclamaciones o cuando los tribunales actúen en ejercicio de su función judicial;
  11. g)el tratamiento es necesario por razones de un interés público esencial, sobre la base del Derecho de la Unión o de los Estados miembros, que debe ser proporcional al objetivo perseguido, respetar en lo esencial el derecho a la protección de datos y establecer medidas adecuadas y específicas para proteger los intereses y derechos fundamentales del interesado;
  12. h)el tratamiento es necesario para fines de medicina preventiva o laboral, evaluación de la capacidad laboral del trabajador, diagnóstico médico, prestación de asistencia o tratamiento de tipo sanitario o social, o gestión de los sistemas y servicios de asistencia sanitaria y social, sobre la base del Derecho de la Unión o de los Estados miembros o en virtud de un contrato con un profesional sanitario y sin perjuicio de las condiciones y garantías contempladas en el apartado 3;
  13. i)el tratamiento es necesario por razones de interés público en el ámbito de la salud pública, como la protección frente a amenazas transfronterizas graves para la salud, o para garantizar elevados niveles de calidad y de seguridad de la asistencia sanitaria y de los medicamentos o productos sanitarios, sobre la base del Derecho de la Unión o de los Estados miembros que establezca medidas adecuadas y específicas para proteger los derechos y libertades del interesado, en particular el secreto profesional;
  14. j)el tratamiento es necesario con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos, de conformidad con el artículo 89, apartado 1, sobre la base del Derecho de la Unión o de los Estados miembros, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/20 que debe ser proporcional al objetivo perseguido, respetar en lo esencial el derecho a la protección de datos y establecer medidas adecuadas y específicas para proteger los intereses y derechos fundamentales del interesado. 3. Los datos personales a que se refiere el apartado 1 podrán tratarse a los fines citados en el apartado 2, letra h), cuando su tratamiento sea realizado por un profesional sujeto a la obligación de secreto profesional, o bajo su responsabilidad, de acuerdo con el Derecho de la Unión o de los Estados miembros o con las normas establecidas por los organismos nacionales competentes, o por cualquier otra persona sujeta también a la obligación de secreto de acuerdo con el Derecho de la Unión o de los Estados miembros o de las normas establecidas por los organismos nacionales competentes. 4. Los Estados miembros podrán mantener o introducir condiciones adicionales, inclusive limitaciones, con respecto al tratamiento de datos genéticos, datos biométricos o datos relativos a la salud." III Información que deberá facilitarse cuando los datos personales se obtengan del interesado El artículo 13 del RGPD establece la información que deberá facilitarse cuando los datos personales se obtengan del interesado, en virtud del cual: "1. Cuando se obtengan de un interesado datos personales relativos a él, el responsable del tratamiento, en el momento en que estos se obtengan, le facilitará toda la información indicada a continuación:
  15. a)la identidad y los datos de contacto del responsable y, en su caso, de su representante;
  16. b)los datos de contacto del delegado de protección de datos, en su caso;
  17. c)los fines del tratamiento a que se destinan los datos personales y la base jurídica del tratamiento;
  18. d)cuando el tratamiento se base en el artículo 6, apartado 1, letra f), los intereses legítimos del responsable o de un tercero;
  19. e)los destinatarios o las categorías de destinatarios de los datos personales, en su caso;
  20. f)en su caso, la intención del responsable de transferir datos personales a un tercer país u organización internacional y la existencia o ausencia de una decisión de adecuación de la Comisión, o, en el caso de las transferencias indicadas en los artículos 46 o 47 o el artículo 49, apartado 1, párrafo segundo, referencia a las garantías adecuadas o apropiadas y a los medios para obtener una copia de estas o al lugar en que se hayan puesto a disposición. 2. Además de la información mencionada en el apartado 1, el responsable del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/20 tratamiento facilitará al interesado, en el momento en que se obtengan los datos personales, la siguiente información necesaria para garantizar un tratamiento de datos leal y transparente:
  21. a)el plazo durante el cual se conservarán los datos personales o, cuando no sea posible, los criterios utilizados para determinar este plazo;
  22. b)la existencia del derecho a solicitar al responsable del tratamiento el acceso a los datos personales relativos al interesado, y su rectificación o supresión, o la limitación de su tratamiento, o a oponerse al tratamiento, así como el derecho a la portabilidad de los datos;
  23. c)cuando el tratamiento esté basado en el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), la existencia del derecho a retirar el consentimiento en cualquier momento, sin que ello afecte a la licitud del tratamiento basado en el consentimiento previo a su retirada;
  24. d)el derecho a presentar una reclamación ante una autoridad de control;
  25. e)si la comunicación de datos personales es un requisito legal o contractual, o un requisito necesario para suscribir un contrato, y si el interesado está obligado a facilitar los datos personales y está informado de las posibles consecuencias de no facilitar tales datos;
  26. f)la existencia de decisiones automatizadas, incluida la elaboración de perfiles, a que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado. 3. Cuando el responsable del tratamiento proyecte el tratamiento ulterior de datos personales para un fin que no sea aquel para el que se recogieron, proporcionará al interesado, con anterioridad a dicho tratamiento ulterior, información sobre ese otro fin y cualquier información adicional pertinente a tenor del apartado 2. Las disposiciones de los apartados 1, 2 y 3 no serán aplicables cuando y en la medida en que el interesado ya disponga de la información." IV Protección de datos desde el diseño y por defecto El artículo 25 del RGPD establece lo siguiente: "1. Teniendo en cuenta el estado de la técnica, el coste de la aplicación y la naturaleza, ámbito, contexto y fines del tratamiento, así como los riesgos de diversa probabilidad y gravedad que entraña el tratamiento para los derechos y libertades de las personas físicas, el responsable del tratamiento aplicará, tanto en el momento de determinar los medios de tratamiento como en el momento del propio tratamiento, medidas técnicas y organizativas apropiadas, como la seudonimización, concebidas para aplicar de forma efectiva los principios de protección de datos, como la minimización de datos, e integrar las garantías necesarias en el tratamiento, a fin de cumplir los requisitos del presente Reglamento y proteger los derechos de los interesados. 2. El responsable del tratamiento aplicará las medidas técnicas y organizativas apropiadas con miras a garantizar que, por defecto, solo sean objeto de tratamiento los datos personales que sean necesarios para cada uno de los fines específicos del tratamiento. Esta obligación se aplicará a la cantidad de datos personales recogidos, a C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/20 la extensión de su tratamiento, a su plazo de conservación y a su accesibilidad. Tales medidas garantizarán en particular que, por defecto, los datos personales no sean accesibles, sin la intervención de la persona, a un número indeterminado de personas físicas. 3. Podrá utilizarse un mecanismo de certificación aprobado con arreglo al artículo 42 como elemento que acredite el cumplimiento de las obligaciones establecidas en los apartados 1 y 2 del presente artículo." V Evaluación de impacto relativa a la protección de datos La evaluación de impacto relativa a la protección de datos se regula en el artículo 35 del RGPD en los siguientes términos: "1. Cuando sea probable que un tipo de tratamiento, en particular si utiliza nuevas tecnologías, por su naturaleza, alcance, contexto o fines, entrañe un alto riesgo para los derechos y libertades de las personas físicas, el responsable del tratamiento realizará, antes del tratamiento, una evaluación del impacto de las operaciones de tratamiento en la protección de datos personales. Una única evaluación podrá abordar una serie de operaciones de tratamiento similares que entrañen altos riesgos similares. 2. El responsable del tratamiento recabará el asesoramiento del delegado de protección de datos, si ha sido nombrado, al realizar la evaluación de impacto relativa a la protección de datos. 3. La evaluación de impacto relativa a la protección de los datos a que se refiere el apartado 1 se requerirá en particular en caso de:
  27. a)evaluación sistemática y exhaustiva de aspectos personales de personas físicas que se base en un tratamiento automatizado, como la elaboración de perfiles, y sobre cuya base se tomen decisiones que produzcan efectos jurídicos para las personas físicas o que les afecten significativamente de modo similar;
  28. b)tratamiento a gran escala de las categorías especiales de datos a que se refiere el artículo 9, apartado 1, o de los datos personales relativos a condenas e infracciones penales a que se refiere el artículo 10, o
  29. c)observación sistemática a gran escala de una zona de acceso público. 4. La autoridad de control establecerá y publicará una lista de los tipos de operaciones de tratamiento que requieran una evaluación de impacto relativa a la protección de datos de conformidad con el apartado 1. La autoridad de control comunicará esas listas al Comité a que se refiere el artículo 68. 5. La autoridad de control podrá asimismo establecer y publicar la lista de los tipos de tratamiento que no requieren evaluaciones de impacto relativas a la protección de datos. La autoridad de control comunicará esas listas al Comité. 6. Antes de adoptar las listas a que se refieren los apartados 4 y 5, la autoridad de control competente aplicará el mecanismo de coherencia contemplado en el artículo 63 si esas listas incluyen actividades de tratamiento que guarden relación con la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/20 oferta de bienes o servicios a interesados o con la observación del comportamiento de estos en varios Estados miembros, o actividades de tratamiento que puedan afectar sustancialmente a la libre circulación de datos personales en la Unión. 7. La evaluación deberá incluir como mínimo:
  30. a)una descripción sistemática de las operaciones de tratamiento previstas y de los fines del tratamiento, inclusive, cuando proceda, el interés legítimo perseguido por el responsable del tratamiento;
  31. b)una evaluación de la necesidad y la proporcionalidad de las operaciones de tratamiento con respecto a su finalidad;
  32. c)una evaluación de los riesgos para los derechos y libertades de los interesados a que se refiere el apartado 1, y
  33. d)las medidas previstas para afrontar los riesgos, incluidas garantías, medidas de seguridad y mecanismos que garanticen la protección de datos personales, y a demostrar la conformidad con el presente Reglamento, teniendo en cuenta los derechos e intereses legítimos de los interesados y de otras personas afectadas. 8. El cumplimiento de los códigos de conducta aprobados a que se refiere el artículo 40 por los responsables o encargados correspondientes se tendrá debidamente en cuenta al evaluar las repercusiones de las operaciones de tratamiento realizadas por dichos responsables o encargados, en particular a efectos de la evaluación de impacto relativa a la protección de datos. 9. Cuando proceda, el responsable recabará la opinión de los interesados o de sus representantes en relación con el tratamiento previsto, sin perjuicio de la protección de intereses públicos o comerciales o de la seguridad de las operaciones de tratamiento. 10. Cuando el tratamiento de conformidad con el artículo 6, apartado 1, letras
  34. c)o e), tenga su base jurídica en el Derecho de la Unión o en el Derecho del Estado miembro que se aplique al responsable del tratamiento, tal Derecho regule la operación específica de tratamiento o conjunto de operaciones en cuestión, y ya se haya realizado una evaluación de impacto relativa a la protección de datos como parte de una evaluación de impacto general en el contexto de la adopción de dicha base jurídica, los apartados 1 a 7 no serán de aplicación excepto si los Estados miembros consideran necesario proceder a dicha evaluación previa a las actividades de tratamiento. 11. En caso necesario, el responsable examinará si el tratamiento es conforme con la evaluación de impacto relativa a la protección de datos, al menos cuando exista un cambio del riesgo que representen las operaciones de tratamiento." VI Principios relativos al tratamiento La letra
  35. c)del artículo 5.1 del RGPD propugna: "1. Los datos personales serán: (…)
  36. c)adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados («minimización de datos»);" C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/20 VII Conclusión En la denuncia presentada contra IBERIA se pone en conocimiento de esta Agencia que la entidad ha habilitado un espacio en su página web para que sus usuarios incluyan información sanitaria referida a la vacunación contra el COVID19, sin contar para ello con ninguna autorización legal, ni estar constituida en autoridad sanitaria, así como que no informa adecuadamente sobre el tratamiento y gestión de dichos datos. Tras las actuaciones realizadas se ha verificado que IBERIA dispone de una plataforma o aplicación, “Aircheck”, que tiene como finalidad que los viajeros puedan subir determinados documentos con antelación a su viaje, como, por ejemplo, el DNI, visados, certificaciones de vacunación, etc. Funcionalidad que solamente se encuentra a disposición de aquellos tránsitos que se produzcan desde Madrid a todos los destinos de Estados Unidos para verificar el cumplimiento de los requisitos COVID-19. Las medidas de carácter técnico y organizativo que IBERIA ha implementado en relación con el tratamiento “Digitalización de embarques Aircheck”, han sido recogidas en el apartado de Hechos. IBERIA señala que optar por emplear este mecanismo es una elección voluntaria del pasajero y en ningún caso un procedimiento impuesto por parte de la compañía. En el momento en el que el pasajero procede a cargar la documentación en la web se le advierte de las consideraciones que afectan al tratamiento de sus datos de carácter personal y se le ofrece a su vez acceso a la información adicional contenida en la política de protección de datos personales. En la política de protección de datos personales publicada en la página web, bajo el epígrafe ¿Cuándo y por qué recabamos “datos personales sensibles”? se hace referencia a datos de salud relativos a la COVID-19, y bajo el epígrafe ¿En qué casos llevamos a cabo un tratamiento automatizado de tus datos? se recoge: Hay situaciones en las que llevaremos a cabo un tratamiento total o parcialmente automatizado de tus datos. Por ejemplo: […] Cuando utilizas nuestra aplicación online Aircheck para revisar con antelación si tu documentación de viaje “COVID19” cumple con los requerimientos de tu país de destino. Una vez más, el uso de esta aplicación es voluntario, pudiendo siempre optar por la revisión de documentación a través de nuestros agentes en puerta de embarque. Además, en caso de utilizar Aircheck y no obtener una validación inicial de la documentación presentada, te ofrecemos la opción de volver a revisarla online y de que esta segunda vez, uno de nuestros agentes la revise manualmente. La política de protección de datos es accesible al usuario, enlace visible en la web, desde que el usuario inicia la reserva de los vuelos hasta que formaliza la compra. Asimismo, una vez procesada la compra, IBERIA remite un email de confirmación C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/20 de la misma, donde se reiteran las advertencias realizadas a lo largo de todo el proceso y se ofrece información en materia de protección de datos como consecuencia de la relación contractual que vincula a IBERIA y el pasajero. Si el pasajero opta por emplear Aircheck para la verificación online de su documentación puede facilitar la información requerida, entre la que se encuentra el certificado de vacunación, entre 72 y 4 horas antes de su vuelo. Estos datos se almacenan en los servidores de Salesforce durante un período de 30 días, estando únicamente a disposición de aquellos empleados de IBERIA que deban acceder a los mismos para el desarrollo de sus funciones. Las acciones de comprobación de la documentación las efectúan empleados de IBERIA, comprometidos a obligaciones de confidencialidad y secreto. En primer lugar, se llevan a cabo verificaciones automáticas de la documentación cargada por el pasajero, a través de F-SECURE y OCR. En los casos en los que la documentación no pasa alguno de estos filtros, se genera un KO que se comunica al pasajero solicitante. En el resto de los casos, se procede a continuación con una comprobación manual para verificar que se han aportado los documentos necesarios para cumplir con los requisitos exigidos por el país de destino. Transcurrido el período de 30 días, los datos se bloquean durante un plazo de 5 años, para atender las posibles responsabilidades que se pudiesen derivar del tratamiento efectuado en aplicación de lo dispuesto en el artículo 1.964 del Código Civil, manteniéndose solamente al alcance limitado de determinados perfiles de administradores de sistemas. IBERIA manifiesta que no realiza cesiones de los datos sanitarios y que no lleva a cabo ninguna comunicación a terceros destinatarios. De las actuaciones practicadas se deprende que e sistema de verificación de documentación referida a la vacunación COVID estaba disponible en la web de IBERIA, siendo siempre voluntario hacerlo. Si el pasajero optaba por facilitar la documentación, siempre lo hacía de forma voluntaria, siendo informado del tratamiento que se realizaría y teniendo medidas de seguridad apropiadas a ese tratamiento. El artículo 27 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público, consagra el principio de tipicidad en el ámbito de la potestad sancionadora de la Administración, pues prescribe que sólo constituyen infracciones administrativas las vulneraciones del ordenamiento jurídico previstas como tales infracciones por una Ley. Conforme a la doctrina del Tribunal Constitucional, los principios inspiradores del orden penal son de aplicación, con ciertos matices, al derecho administrativo sancionador, dado que ambos son manifestaciones del ordenamiento punitivo del Estado, tal y como refleja la propia Constitución en su artículo 25, lo que impone la necesidad de la predeterminación normativa de las conductas infractoras y de las sanciones correspondientes, que permitan predecir con suficiente grado de certeza (lex certa) aquellas conductas y se sepa a qué atenerse en cuanto a la aneja C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/20 responsabilidad y a la eventual sanción, debiendo haber una precisa correlación entre el ilícito y la acción imputada, mediante una correcta y adecuada subsunción de los hechos probados en el tipo sancionador aplicado. Conforme a los principios del derecho administrativo sancionador es necesario que concurran una serie de elementos para poder entender que se ha producido una infracción administrativa. En primer lugar, para que exista responsabilidad administrativa es necesario que la persona a la que se le imputa haya realizado una acción u omisión. Si esta conducta, activa u omisiva, está regulada en las normas administrativas como infracción, entonces se le otorgará tal naturaleza. Asimismo, el principio de responsabilidad requiere que el presunto responsable haya realizado la conducta de modo culpable o doloso, siendo el primer caso aquel en el que las actuaciones son conscientes y voluntarias, y por culpables aquellas involuntarias pero que derivan en el quebranto de la norma. Otro elemento esencial de las infracciones administrativas es el efecto del tiempo ya que solo se pueden castigar aquellas conductas que aparezcan tipificadas como infracciones al tiempo de cometerse. En el presente caso, no existe constancia de que haya llegado a producirse una actuación diferente a la explicada por la parte reclamada. Por lo tanto, en base a lo indicado en los párrafos anteriores, no se han encontrado evidencias que acrediten la existencia de infracción en el ámbito competencial de la Agencia Española de Protección de Datos. Así pues, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a IBERIA LÍNEAS AÉREAS DE ESPAÑA, S.A., OPERADORA. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
  37. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 940-020323 Mar España Martí C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 20/20 Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.