1/19 Expediente N.º: EXP202211441 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes: HECHOS PRIMERO: Con fecha 11 de agosto de 2022, La Agencia Española de Protección de Datos ha tenido conocimiento a través de una denuncia de ciertos hechos que podrían vulnerar la legislación en materia de protección de datos. la Directora de la Agencia Española de Protección de Datos instó a la Subdirección General de Inspección de Datos (SGID) a iniciar las actuaciones previas de investigación a las que se refiere el artículo 67 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD) para investigar a AIR EUROPA LINEAS AÉREAS, S.A., con NIF A07129430 (en adelante la parte reclamada) en relación con los siguientes hechos: En la denuncia se indica que la parte reclamada ha habilitado un espacio en su página web para que sus usuarios incluyan información sanitaria referida a la vacunación contra el COVID19, entendiendo la parte reclamante que la parte reclamada no cuenta con ninguna autorización legal para dicho proceder, ni se constituye en Autoridad Sanitaria. Señalan asimismo que no informan adecuadamente sobre el tratamiento y gestión de dichos datos. Aportan imágenes del apartado de la web de la parte reclamada donde se solicita la subida de documentación sanitaria. SEGUNDO: Con fecha de 27 de octubre de 2022 la Directora de la Agencia Española de Protección de Datos acuerda iniciar actuaciones de investigación en relación con AIR EUROPA LINEAS AÉREAS, S.A., para verificar estos extremos y, en su caso, la adecuada observancia de la normativa. TERCERO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: En fechas 13 de enero y 16 de junio de 2023 se realiza solicitud de información a AIR EUROPA y en sus respuestas, indica lo siguiente: Marco normativo - El 30 de enero de 2020, el director general de la Organización Mundial de la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/19 Salud (OMS) declaró una emergencia de salud pública de alcance internacional por el brote mundial de coronavirus del síndrome respiratorio agudo grave de tipo 2 (SARSCoV-2), que causa la enfermedad por coronavirus de 2019 (COVID-19). El 11 de marzo de 2020, la OMS publicó una evaluación que calificaba la COVID-19 de pandemia. Según lo contemplado en el Reglamento Sanitario Internacional un evento de estas características constituye un riesgo para la salud pública de los Estados a causa de la propagación internacional de una enfermedad. Para estas circunstancias el Reglamento contempla medidas sanitarias, temporales o permanentes, que los Estados podrán aplicar sobre las personas, equipajes, cargas, contenedores, medios de transporte, mercancías, y/o paquetes, en respuesta a una emergencia de salud pública de importancia internacional. Entre las medidas a aplicar a las personas se contempla la realización de exámenes médicos, medidas de carácter profiláctico u otras medidas sanitarias reconocidas que impidan o controlen la propagación de la enfermedad, con inclusión del aislamiento, la cuarentena o el sometimiento del viajero a observación de salud pública. La evolución de la pandemia y la aparición de las nuevas variantes de especial atención han requerido la adopción de diferentes medidas con objeto de garantizar un mayor control en el tráfico internacional de viajeros. - Desde el inicio de la implementación de controles sanitarios, a través de la Resolución de 29 de junio de 2020, de la Dirección General de Salud Pública, Calidad e Innovación, relativa a los controles sanitarios a realizar en los puntos de entrada de España, sustituida posteriormente por la Resolución de 24 de julio de 2020, de la Dirección General de Salud Pública, Calidad e Innovación, relativa a los controles sanitarios a realizar en los puntos de entrada de España, la situación epidemiológica con respecto a la pandemia por COVID-19 se ha ido modificando, no solo en España sino a nivel global. De la misma forma, también han evolucionado los mecanismos de vigilancia y control sanitario que los países han ido implantando en los puntos de entrada con el fin de controlar la importación de casos a partir de pasajeros procedentes de países de riesgo. El listado actualizado de países o zonas de riesgo se revisa periódicamente y su actualización se publica en la página web del Ministerio de Sanidad y en la web SpTH: https://www.spth.gob.es. La actualización de las revisiones del listado de países o zonas se hace efectiva a los siete días de su publicación, con el objetivo de permitir a las compañías de trasporte, agencias de viajes y operadores turísticos que ajusten las medidas informativas para los pasajeros. En España los controles sanitarios a los pasajeros internacionales en los puntos de entrada han sido regulados a través de distintas Resoluciones de la Dirección General de Salud Pública, publicadas en la página web del Gobierno de España y relacionadas en la Diligencia Normativa Fronteras COVID-19, con más de cien referencias normativas. - En relación con las agencias de viaje, los operadores turísticos y las compaC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/19 ñías de transporte aéreo o marítimo y cualquier otro agente que comercialice billetes aisladamente o como parte de un viaje combinado, por ejemplo, el Real Decreto Ley 23/2020, de 23 de junio, establece que deberán informar a los pasajeros, en el inicio del proceso de venta de los billetes con destino a España, de la obligatoriedad del viajero de presentar el Formulario de Control Sanitario a la llegada, donde se incluirá la declaración de disponer de una Prueba Diagnóstica de Infección Activa para SARSCoV-2 con resultado negativo realizada en las setenta y dos horas previas a la llegada a los que proceden de países/zonas de riesgo. Asimismo, dicho real decreto ley establece que el gestor aeroportuario y las compañías aéreas prestarán su colaboración al Ministerio de Sanidad para la implementación de las medidas de control sanitario, aspecto fundamental a la hora de poder garantizar la adecuada implantación de la medida. En este sentido, en aplicación del deber de colaboración previsto en el apartado 4 de la Disposición Adicional Sexta del Real Decreto-ley 23/2020, las compañías aéreas comprobarán con anterioridad al embarque, que los pasajeros con destino España disponen del código QR generado a través de la web www.spth.gob.es, o de la aplicación Spain Travel Health-SpTH. - La Recomendación (UE) 2020/912 del Consejo, de 30 de junio, sobre la restricción temporal de los viajes no esenciales a la Unión Europea y el posible levantamiento de dicha restricción, estableció un listado de terceros países cuyos residentes quedaban exentos de las restricciones de viaje a la Unión Europea, así como un conjunto de categorías específicas de personas también exentas de esas restricciones, independientemente de su lugar de procedencia. Esta Recomendación ha sido modificada en sucesivas ocasiones para ir adaptando el listado de terceros países a las circunstancias epidemiológicas, o para modificar los criterios de elaboración de dicho listado. El Reglamento (UE) 2021/953 relativo a un marco para la expedición, verificación y aceptación de certificados COVID-19 interoperables de vacunación, de prueba diagnóstica y de recuperación (certificado COVID digital de la UE) a fin de facilitar la libre circulación durante la pandemia de COVID-19, modificado por el Reglamento (UE) 2022/1034 del Parlamento Europeo y del Consejo de 29 de junio de 2022, establece las características de los certificados sanitarios de vacunación, de prueba diagnóstica y de recuperación en el marco de los viajes internacionales, con el objetivo de facilitar la libre circulación y suprimir gradualmente las restricciones a esta libre circulación, en el contexto de la pandemia por COVID-19. No obstante, este Reglamento deja en manos de los Estados miembros la potestad de limitar el derecho fundamental a la libre circulación por motivos de salud pública, a fin de limitar la propagación del SARS-CoV-2 siempre por motivos basados en razones de interés público específicas y limitadas como la salvaguardia de la salud pública. Desde la publicación del Reglamento, en España se han aplicado las características de los certificados COVID digital de la UE como requisitos sanitarios para los pasajeros internacionales y en él se han basado en gran medida los controles sanitarios aplicados en los puntos de entrada. De modo análogo, las características del certificado COVID digital de la UE se C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/19 han hecho extensivas para aceptar como válidos los certificados de vacunación, prueba diagnóstica o recuperación emitidos por terceros países sin acuerdos de equivalencia. - Así las cosas, desde el inicio de la COVID-19 los operadores aéreos y las compañías se han visto sometidos a la observancia de los requerimientos sanitarios específicos, también relacionados con circunstancias del viajero, y cambiantes de los diferentes Estados en los que operan. Dichos requerimientos se plasman en la comprobación de que todo pasajero que embarca en un vuelo de una compañía cumple la normativa sanitaria del país de destino para que no sea devuelto a su lugar de origen. La documentación necesaria a presentar ante las autoridades de control de fronteras en cada país, o para acreditar a satisfacción de cada una de ellas las circunstancias que autorizaban al viajero a entrar al país y no ser devuelto a su lugar de origen de viaje, ha variado continuamente a discreción de las numerosas resoluciones y posteriores actualizaciones dictadas por las autoridades competentes en cada uno de esos países. En la mayoría de los casos las normas dictadas por las autoridades nacionales han hecho responsables a las aerolíneas de la comprobación de la documentación necesaria de cada pasajero antes de admitirles a embarque en el vuelo en cuestión, de forma que transportar a destino a un pasajero sin toda la documentación o requisitos necesarios podría suponer: - La obligación de transportar de vuelta al pasajero a su lugar de origen, con coste a cargo de la aerolínea y La imposición de multas o sanciones administrativas por no cumplir diligentemente con sus obligaciones de comprobación documental. - AIR EUROPA informa de que ha sido sancionada recientemente, el 4 de enero de 2023, por Alemania por no verificar correctamente el cumplimiento de sus requisitos de entrada en el país. Aporta Documento 1 que lo evidencia. - El 5 de mayo de 2023 el director general de la Organización Mundial de la Salud declara: “Ayer, el Comité de Emergencias se reunió por decimoquinta vez y me recomendó que declarara el fin de la emergencia de salud pública de importancia internacional. He aceptado ese consejo. Por lo tanto, declaro con gran esperanza el fin de COVID-19 como emergencia sanitaria internacional”. El 5 de julio de 2023 se publica en el BOE la Orden SND/726/2023, de 4 de julio, del Ministerio de Sanidad por la que se declara el fin de la crisis sanitaria COVID19. Herramienta “SAFE TRAVEL” AIR EUROPA manifiesta que en un esfuerzo considerable para implementar las más de 300 versiones diferentes de requerimientos sanitarios que los pasajeros debían acreditar en los países de destino desde el inicio de la COVID-19, contrató los servicios de AMADEUS IT GROUP S.A., en concreto la herramienta “SAFE TRAVEL” para automatizar la verificación de la documentación sanitaria de los pasajeros. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/19 Aporta los Documentos 2, 3 y 4 como evidencia del primer requerimiento sanitario tras la apertura del espacio aéreo internacional; el requerimiento 174, correspondiente al momento más álgido de restricción sanitaria, y el requerimiento 287, como uno de los últimos requerimientos. En cada uno de ellos se describen los requisitos documentales COVID-19 que los pasajeros debían acreditar en los diferentes Estados. La herramienta se contrató el 19 de octubre de 2021, después de haber iniciado un proyecto piloto en marzo de 2021 y tras la implementación de modificaciones y mejoras. Se constata que AIR EUROPA tiene habilitado un espacio en su web para que los viajeros al hacer el check-in online puedan subir documentación COVID; certificado de vacunación, resultados PCR/Antígenos; según requiera cada destino. AIR EUROPA destaca que el uso de la herramienta es opcional, el pasajero no tiene la obligación de aportar su documentación sanitaria, siempre tiene la alternativa de mostrarla cuando le sea solicitada en el momento de embarque al avión. Asimismo, señala que en cualquier momento del check-in online el pasajero puede pasar al siguiente paso de la facturación, sin necesidad de cargar la documentación sanitaria. Aporta Documento 5, Verificación documentación COVID 19 en check-in-online, donde se muestra que durante el check-in online el pasajero puede saltarse el paso Verifique su estado de salud con respecto a la COVID19 con antelación, continuar con la facturación y optar por exhibir la documentación sanitaria para verificar su estado de COVID en el aeropuerto. AIR EUROPA manifiesta que no realiza cesiones de los datos sanitarios y que en ningún caso los comparte con los países de destino. Información que se facilita a los interesados La cláusula informativa proporcionada a los pasajeros en el momento previo a la subida de la documentación sanitaria, la cual debe ser aceptada para continuar con el proceso de subida, de lo contrario se continuará con el proceso de check-in online sin verificar el cumplimiento de los requisitos sanitarios, lo que implicará que los pasajeros exhiban la documentación sanitaria en el momento de embarcar en el avión, es la siguiente: “Le informamos que Air Europa, como responsable del tratamiento, conforme a lo dispuesto en RGPD y en la LOPDGDD, tratará datos personales (nombre y apellidos, pasaporte, fecha de nacimiento, nacionalidad, país de residencia, certificado de vacunación/pasaporte covid, prueba de PCR/antígenos) con la finalidad de mejorar su experiencia (facilitándole el tránsito en el aeropuerto) verificando previamente (checkin online) el cumplimiento de los requisitos solicitados en el país de destino. El uso de este servicio automatizado es voluntario y opcional. Todo pasajero tiene la posibilidad de presentar sus documentos en el aeropuerto si no desean utilizar este método. La base jurídica del tratamiento es el consentimiento prestado con la carga de los documentos, lo que permitirá de manera automatizada que Air Europa verifiC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/19 que el cumplimiento de los requisitos de entrada pertinentes para cada ruta/viaje antes de que el pasajero sea aceptado a bordo. Le informamos que sus datos serán conservados hasta se valide la documentación adjuntada, posteriormente se eliminarán de manera automática, segura e irrecuperable, quedando tan solo registrado que se ha producido la validación requerida en los datos de su reserva, bajo la denominación de SKYCLEARED. Sus datos no serán cedidos, salvo obligación legal. Air Europa almacenará los datos en el sistema informático de su encargado de tratamiento Amadeus IT Group, S.A., el cual tiene implementadas medidas de seguridad técnicas y organizativas eficaces para prevenir y mitigar los riesgos. Puede ejercer sus derechos de acceso, rectificación, supresión, oposición portabilidad y limitación de sus datos, así como el derecho a retirar el consentimiento prestado en cualquier momento, dirigiéndose a Air Europa a través del correo electrónico del Delegado de Protección de Datos: delegadopd@aireuropa.com. Igualmente, tiene derecho a presentar una reclamación ante la Autoridad de Control correspondiente.” Asimismo, en la Política de Privacidad publicada en la página web, bajo el epígrafe Datos sensibles del apartado Datos personales tratados, ver la Diligencia Política de Privacidad, se hace referencia a la COVID-19 y se categorizan como datos sensibles los certificados de vacunación o las pruebas diagnósticas (Antígenos, PCR, etc.), recogiéndose: Destacar que, para determinados destinos y mientras las normativas que hacen referencia al control de epidemias o pandemias (por ejemplo: COVID-19) nos obliguen a ellos, podremos solicitar que muestre sus datos como certificados de vacunación o pruebas diagnósticas (Antígenos, PCR, etc.) requeridas por las autoridades sanitarias del país de destino. Si participas en el programa SKYCLEARED, puede validar sus certificados de vacunación/pasaporte COVID (datos sensibles), si así lo exigen las autoridades de su destino, como parte del check-in online (App o web), con la finalidad de mejorar su experiencia en el aeropuerto haciéndola más rápida y segura (sin presentar su documentación ni en facturación, ni en el embarque, al estar registrado en nuestros sistemas como pasajero idóneo para viajar). Validación de la documentación sanitaria La verificación de la documentación sanitaria permite a AIR EUROPA garantizar que el pasajero cumple los requisitos del país de destino. Para la validación de la documentación sanitaria cargada por el pasajero, AIR EUROPA tiene contratado como encargado de tratamiento a AMADEUS IT GROUP, S.A. (en adelante, Amadeus) que proporciona, entre otras, la herramienta “SAFE TRAVEL”, la cual le permite gestionar de forma automática la validación de la documentación. A su vez, Amadeus tiene como subencargado de tratamiento a MICROSOFT OPERATIONS IRELAND LIMITED (en adelante, Microsoft) del que C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/19 requiere el servicio conocido como MICROSOFT AZURE (nube alojada en EEE, extracción de datos, verificación automática). El proceso de validación comienza con la verificación automática de que los archivos subidos por los pasajeros, la documentación cargada en formato PDF o de imagen, no contienen malware. A continuación, de la imagen se extrae la información necesaria (nombre y apellidos, tipo de prueba, fecha de la prueba, resultado de la prueba) con el apoyo de la herramienta “Azure Computer Vision”, una tecnología de reconocimiento óptico de caracteres (OCR por sus siglas en inglés), la cual pertenece al subencargado Microsoft. Con el procesamiento de los datos extraídos se realiza la verificación de si el pasajero cumple los requisitos para viajar, si éste cumple los requisitos, se añade un indicador de "autorizado para viajar" en la reserva o lo que es lo mismo SKYCLEARED y esta denominación se incluye en la herramienta “ALTEA DCS”. Esta herramienta, igualmente contratada a Amadeus, tiene como función gestionar la facturación (aceptación del pasajero y su equipaje y la asignación de un asiento en la aeronave) y el embarque (proceso de verificación de la identidad del pasajero y gestión de acceso a la aeronave de la manera más ágil posible). AIR EUROPA tiene acceso a los datos almacenados en “ALTEA DCS” y si la tarjeta de embarque no incluye la denominación SKYCLEARED, en el momento del embarque el personal de asistencia en tierra solicita al pasajero que muestre la documentación sanitaria, en formato papel o digital, para verificar en ese momento que cumple con los requisitos del país de destino. Plazo de conservación de los datos La documentación sanitaria subida en formato PDF o de imagen en el check-in online a través de la herramienta “SAFE TRAVEL”, insertada en la página web de AIR EUROPA, es eliminada pasadas 48 horas. Previamente, la herramienta realiza la extracción de datos (nombre y apellidos, tipo de prueba, fecha de la prueba, resultado de la prueba) para validar automáticamente el cumplimiento de los requisitos sanitarios. Este proceso se realiza con “Azure Computer Vision y los datos extraídos son eliminados a las 48 horas. Aquellos pasajeros que cumplan con los requisitos se les introduce en la tarjeta de embarque la denominación SKYCLEARED (“autorizado para viajar”). Esta denominación se almacena hasta la fecha de salida del vuelo y posteriormente durante siete días por si hubiera incidencias (overbooking, vuelo cancelado, atrasado, deniegue de embarque, cambio de destino, etc.) para poder gestionarlas adecuadamente. Contrato de encargado del tratamiento AIR EUROPA aporta el Contrato Marco de Servicios o “Master Services Agreement” o “MSA” entre AIR EUROPA y Amadeus, firmado en fecha 1 de junio de 2018, Documento número 1. Como adenda al Contrato Marco de Servicios, AIR EUROPA aporta el docuC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/19 mento “Services Agreement to the Master Services Agreement for Traveler ID for SAFE TRAVEL”, Documento número 2, igualmente firmado por AIR EUROPA y Amadeus en fecha 3 de diciembre de 2021, relativo a la herramienta “SAFE TRAVEL”, la cual permite gestionar la notificación, recogida y verificación de los requisitos sanitarios que los pasajeros deben acreditar a la aerolínea y ésta al país de destino. En el apartado 15 del Contrato Marco de Servicios se incluye lo relativo al tratamiento de datos y, a continuación, se reproduce su traducción: “15. PRIVACIDAD Y SEGURIDAD DE LOS DATOS (…) “1. AUTORIZACIÓN DE PROTECCIÓN DE DATOS 1.3 Por la presente, el Destinatario del servicio (…) los servicios de mantenimiento y Tratamiento de Datos Personales a los Subencargados del Tratamiento de Datos autorizados por Aerolínea (…) (Subcontratistas) del Contrato Marco de Servicios.” Por otro lado, en el Anexo F se incluye la lista de subencargados de tratamiento de Amadeus a fecha 1 de junio de 2018. De la misma manera, se aporta la lista actualizada a junio de 2023, Documento número 3. No obstante, AIR EUROPA señala que para la herramienta “SAFE TRAVEL” solo requiere del subencargado MICROSOFT IRELAND OPERATIONS LIMITED y en concreto de su servicio conocido como MICROSOFT AZURE. Evaluación de impacto de protección de datos, EIPD AIR EUROPA señala que la finalidad de la herramienta “SAFE TRAVEL” es verificar que los pasajeros cumplen con los requerimientos sanitarios específicos de la ruta/país de destino. Dichos requerimientos se plasman en la comprobación de que todo pasajero que embarca en un vuelo de AIR EUROPA cumple la normativa sanitaria del país de destino. Para su verificación es imprescindible solicitar al pasajero el certificado de vacunación o pasaporte COVID y/o la prueba PCR o antígenos realizada. AIR EUROPA manifiesta que la herramienta “SAFE TRAVEL”, que permite gestionar la notificación, recogida y verificación automática de los requisitos sanitarios, ha sido diseñada siguiendo el principio de privacidad por defecto. Asimismo, aporta la evaluación de impacto de protección de datos (EIPD) relativa al tratamiento que lleva a cabo la herramienta, Documento 7 de la entrada REGAGE23e00007181021, que incluye: Evaluación de la necesidad y proporcionalidad del tratamiento: o Necesidad: Debido a los continuos cambios (más de 300 en los últimos 3 años) en los requerimientos sanitarios exigidos por los diversos países en los que AIR EUROPA opera, la Sociedad vio necesario automatizar el sistema de verificación. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/19 o - Proporcionalidad: Alcance: el tratamiento es opcional, por lo que se verán afectados solo aquellos pasajeros que prefieran aportar esta información para ir más ágiles en el aeropuerto. Extensión: los datos personales tratados se encuentran en la categoría de datos sensibles, en concreto son el certificado de vacunación/pasaporte COVID y/o la prueba PCR o antígenos. Intensidad: el tratamiento permite sacar conclusiones en relación con la COVID, en concreto, si se han vacunado o en el momento del vuelo no tienen la enfermedad. El período de conservación de los datos sanitarios es mínimo, se mantienen el tiempo imprescindible para verificar la documentación y atender a posibles incidentes (overbooking, vuelo cancelado, atrasado, denegación de embarque, cambio de destino, etc.). Medidas: se han implementado medidas de seguridad, que se describirán más adelante, con el fin de que el tratamiento sea seguro y los derechos de los interesados no se vean afectados. Gestión de riesgos: Se identifican las amenazas y se calcula el nivel de riesgo inherente de cada una de ellas, se definen medidas para mitigar el riesgo de cada una de las amenazas y se calcula nivel del riesgo residual. El resultado final es riesgo aceptable. Medidas de seguridad implantadas AIR EUROPA indica que, aunque es el responsable del tratamiento, no accede a la documentación sanitaria, ni tiene la posibilidad de consultarla, sólo almacena en la herramienta “ALTEA DCS”, a cuyos datos almacenados sí tiene acceso, la denominación SKYCLEARED o lo que es lo mismo “autorizado para viajar”. A continuación, se exponen las medidas de seguridad implementadas, las técnicas, son casi en su totalidad introducidas por el encargado del tratamiento (Amadeus) y su subencargado (Microsoft). Por otro lado, las medidas organizativas son implementadas por el responsable (AIR EUROPA), encargado y subencargado: - Medidas Técnicas: o (…) Además, la herramienta se basará en algunos servicios gestionados por Microsoft Azure, aplicando este subencargado de tratamiento varios controles de seguridad para proteger los datos personales, entre los que destacan: o - (…) Medidas Organizativas: o C/ Jorge Juan, 6 28001 – Madrid Nombramiento de Delegado de Protección de Datos o Responsable de www.aepd.es sedeagpd.gob.es 10/19 cumplimiento: (…) o Departamento de IT y ciberseguridad. o Política de Protección de Datos de Carácter Personal y Protocolos de desarrollo. o Política de Confidencialidad y cláusulas empleados. o Medidas legales / contractuales: (…) FUNDAMENTOS DE DERECHO I Competencia De acuerdo con las funciones que el artículo 57.1 a),
Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.