AI-00397-2022

1/6  Expediente N.º: EXP202102521 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes: HECHOS PRIMERO: Con fecha 15 de septiembre de 2021, se presentó reclamación ante la Agencia Española de Protección de Datos contra ARAMARK SERVICIOS DE CÁTERING, S.L.U., con NIF B60359726 (en adelante, la parte reclamada). Los motivos en que basa la reclamación son los siguientes: ARAMARK SERVICIOS DE CATERING, S.L.U., que presta servicio de catering en el CEIP ***CEIP.1 de Sevilla, ha comunicado a los padres de los alumnos las "Condiciones Generales del Servicio de Comedor" en las que se informa de que para notificar ausencias en la utilización del servicio de comedor hay que darse de alta como usuario en la web ***URL.1, así como aportar datos de salud de los menores, en el caso en el que se alegue una situación de enfermedad, e incluso para comunicar intolerancias. Señala el reclamante que la entidad reclamada es adjudicataria del contrato de servicio de comedor ofertado por la JUNTA DE ANDALUCÍA, siendo esta Administración la responsable del tratamiento de datos de alumnos usuarios del servicio de comedor y la entidad reclamada encargada de tratamiento. Sin embargo, en la web ***URL.1 la entidad reclamada se erige como responsable del tratamiento de datos, obteniendo los mismos a partir del registro como usuario. Manifiesta que nos encontramos ante un registro de datos que solicita datos adicionales a aquellos previstos en el pliego de contratación, afectando con ello al principio de minimización de datos, y que se prolonga más allá de la vinculación directa con el servicio de comedor, dado que el tratamiento perdura hasta que se insta la baja como usuario. Señala que se solicitan datos excesivos de menores, se obliga a un registro no previsto en el contrato público celebrado y, a partir del mismo, se prevé en la citada web la posibilidad del uso de datos con finalidades distintas de la mera gestión del sistema de ausencias, sino las propias de la condición de usuario en dicha web. Expone el reclamante que la mercantil ARAMARK está llevando a cabo tratamientos de categorías de datos que exceden lo previsto en los pliegos que rigen la contratación y están destinando esos datos a fines distintos a los contemplados en ellos, de tal modo que está actuando como Responsable de Tratamiento y no como Encargado de Tratamiento con respecto a la Agencia Andaluza de Educación. Manifiesta asimismo que entiende que la entidad reclamada no lleva a cabo una adecuada información en torno a la recogida y finalidades del uso de datos de usuarios y que no aplica las debidas medidas de seguridad en la gestión de los mismos, dado que la solicitud de datos de salud para la justificación de ausencias C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/6 implica el tratamiento de categorías especiales de datos de menores, sin que se informe en la web de la adopción de medidas de seguridad adecuadas para la protección de dichos datos, señalando, por último, que, pese a que se gestionan datos de salud de menores, no se prevé la designación de un DPD por dicha entidad. Documentación relevante aportada por la parte reclamante: - Escrito de denuncia en el que se relatan los hechos y los fundamentos jurídicos en los que se sustenta la misma. (Doc. Denuncia_contra_ARAMARK_ante_AEPD_signed) - Acreditación de la condición de interesado - Condiciones Generales de uso del Servicio de Comedor dispuestas por la mercantil denunciada de septiembre 2021 (Doc. Circular_a_Padres_Curso_2021_2022) - Política de privacidad del sitio web ***URL.1 a fecha 22/9/21 (Doc. O00007128e2100038386-PRIVACIDAD WEB) - Resolución de Corrección de Errores. Contratación de la concesión del Servicio Público de comedor escolar en los centros docentes públicos dependientes de la Consejería de Educación y Deporte mediante procedimiento restringido. Expte. Nº 0065/ISE/2019/SC. (Doc.PLIEGO_CLUSULAS_ADMINISTRATIVASDILIGENCIA_DOCUMENTO_ 607583) (en adelante PCAP) - Pliego de prescripciones técnicas de la Agencia Pública Andaluza de Educación para la contratación de la concesión del servicio público de comedor escolar en los centros docentes públicos dependientes de la Consejería de Educación y Deporte, sujeto a regulación armonizada mediante procedimiento restringido. Expte. Nº 0065/ISE/2019/ SC. (Doc. PLIEGOS_PRESCRIPCIONES_TCNICAS_601443) (en adelante PPT) SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 1 de octubre de 2022 como consta en el certificado que obra en el expediente. Con fecha 29 de octubre de 2021 se recibe en esta Agencia escrito de respuesta indicando, en síntesis, lo siguiente: Es radicalmente falso que la web del "gusto de crecer" solicite datos de salud de menores (como una enfermedad) o datos de intolerancias. Explican el proceso de comunicación, donde se detalla la información que los padres o tutores deben facilitar en la página web. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/6 Sobre la información legal proporcionada por Aramark en la web, señala que, en algunas de dichas finalidades, Aramark tiene el rol de Responsable de tratamiento y de esta manera se refleja en la política de privacidad y las condiciones generales de uso. Dado que la responsabilidad no se deriva de la naturaleza del responsable del tratamiento, sino de sus actividades específicas en un contexto determinado, Aramark actúa, para determinadas finalidades concretas, como Responsable del tratamiento del sitio web En todo caso, esta posición de responsable del tratamiento no debe ser confundida con la posición de encargado del tratamiento que ostenta Aramark en relación con las comunicaciones a efectos de asistencia al comedor. En relación con los datos relativos al servicio de comedor, al ser obtenidos mediante el Responsable del Tratamiento (Junta Andalucía), Aramark no tiene la facultad de gestionar las altas y bajas del servicio, sino que será el responsable del tratamiento el que realice tal gestión. Sobre los datos de menores, reitera Aramark ha tratado los Datos Personales conforme a las instrucciones mencionadas en el Pliego y demás documentos contractuales aplicables a la ejecución del contrato. Consideran que el sitio web proporcionado por Aramark simplemente como una herramienta con la que se recogen los datos en nombre y por cuenta del CEIP Joaquín Turina de Sevilla por el PLIEGO DE PRESCRIPCIONES TÉCNICAS DE LA AGENCIA PÚBLICA ANDALUZA. En este sentido, Aramark actúa como Encargado del tratamiento para algunas finalidades, entre la que se encuentra la gestión de las ausencias de los interesados referentes al CEIP Joaquín Turina de Sevilla. Por lo tanto, en su condición de Encargado del tratamiento, Aramark trata los datos personales de los interesados, tales como: el Nombre y Apellidos, DNI, domicilio y número de cuenta corriente del alumnado beneficiario de la prestación y de sus tutores legales. TERCERO: Con fecha 15 de diciembre de 2021, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: Realizado requerimiento de información a la parte reclamada se recibe en esta Agencia escrito de respuesta, con fecha de 22 de febrero de 2022, informando de lo siguiente: La parte reclamada resultó adjudicataria de la contratación Servicio público de comedor escolar y programa de refuerzo en alimentación infantil (PRAI) en los centros docentes públicos dependientes de la Consejería de Educación y Deporte. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/6 Que, de conformidad con el Pliego de cláusulas administrativas particulares de la Agencia Pública Andaluza de Educación, Aramark actúa como encargado de tratamiento en relación con los datos tratados en el ejercicio de la prestación del servicio. Como objetos asociados se han incorporado a este expediente los pliegos PCAP y PPT del expediente citado por la parte reclamada, expte. nº 0164/ISE/2020/SC. QUINTO: Con fecha 21 de agosto de 2022, la directora de la AEPD dictó resolución de archivo de actuaciones, al no haberse encontrado evidencias que acreditasen la existencia de infracción en el ámbito competencial de la Agencia Española de Protección de Datos. Con fecha 27 de septiembre de 2022 la parte reclamante presentó recurso de reposición, basado en lo siguiente: “Que, a su juicio, la Resolución dictada no ha tenido presente hechos del todo relevantes que se pusieron de manifiesto por esta parte en el escrito de denuncia y, al mismo tiempo, alcanza conclusiones que no se ajustan a la realidad material que concurre en el presente caso, alcanzando con ello la inexistencia de irregularidades en el proceder de la mercantil denunciada. (…) El recurso fue estimado al no haber justificado la solicitud de justificante de asistencia médica para justificar las ausencias del comedor. SEXTO: Con fecha 11 de noviembre de 2022, la Agencia Española de Protección de Datos acordó llevar a cabo nuevas actuaciones de investigación en relación con los hechos tenidos en consideración al estimar el recurso de reposición a la resolución de archivo. Aramark actúa en una doble función como responsable y encargado. Como consecuencia de la ejecución del contrato del servicio de comedor y atendiendo al rol de la adjudicataria del contrato como encargado de tratamiento de Aramark envió al órgano de contratación, responsable del contrato, Gerencia Provincial de Sevilla, Agencia Pública Andaluza de Educación de la Junta de Andalucía distintas comunicaciones. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con las funciones que el artículo 57.1 a), f) y h) del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) confiere a cada autoridad de control y según lo dispuesto en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/6 resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." El Artículo 48 de la Ley 1/2014, de 24 de junio, de Transparencia Pública de Andalucía dispone lo siguiente: “La Dirección del Consejo ejercerá las siguientes funciones: a) Representar al Consejo. b) La resolución de las reclamaciones contra las resoluciones expresas o presuntas en materia de acceso que puedan presentarse por las personas solicitantes o por las terceras personas interesadas en los supuestos previstos en la legislación básica. c) Adoptar criterios de interpretación uniforme de las obligaciones contenidas en esta ley. d) Presentar ante el Parlamento de Andalucía un informe anual de actuación. e) Resolver las consultas que en materia de transparencia o protección de datos le planteen las administraciones y entidades sujetas a esta ley. f) Responder a las consultas que, con carácter facultativo, le planteen los órganos encargados de tramitar y resolver las solicitudes de acceso a la información, así como las consultas que para el cumplimiento de lo previsto en el artículo 22 le planteen los órganos competentes. g) Ejercer el control de la publicidad activa en los términos previstos en el artículo 23. h) Instar la incoación de expedientes disciplinarios o sancionadores de acuerdo con las previsiones del título VI. i) Desempeñar las funciones previstas en la legislación sobre protección de datos para su ejercicio por las agencias autonómicas en su caso. 2. La Dirección del Consejo estará asesorada por la Comisión Consultiva prevista en el artículo 49.” El artículo 57.1.b) de la LOPDGDD establece lo siguiente: 1. Las autoridades autonómicas de protección de datos personales podrán ejercer, las funciones y potestades establecidas en los artículos 57 y 58 del Reglamento (UE) 2016/679, de acuerdo con la normativa autonómica, cuando se refieran a: (…) b) Tratamientos llevados a cabo por personas físicas o jurídicas para el ejercicio de las funciones públicas en materias que sean competencia de la correspondiente Administración Autonómica o Local. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/6 De la documentación aportada y obtenida se desprende que ARAMARK actuaba en calidad de encargado del tratamiento, en relación con los hechos objeto de actuaciones. Por ello, el conocimiento de la cuestión expuesta no corresponde a la Agencia Española de Protección de Datos. En este sentido, el artículo 82 del Estatuto de Autonomía de Andalucía, en su reforma aprobada por Ley Orgánica 2/2007, de 19 de marzo, atribuye a dicha Comunidad Autónoma la competencia en la materia planteada, así como el resto de la normativa reseñada, correspondiendo al Consejo de Transparencia y Protección de Datos de Andalucía velar por la garantía de este derecho, en virtud de la Ley andaluza 1/2014, de 24 de junio. Por lo tanto, en base a lo indicado en los párrafos anteriores, se traslada la documentación a los efectos oportunos, al no ser competente esta Agencia Española de Protección de Datos. De conformidad con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL TRASLADO de las presentes actuaciones al Consejo de Transparencia y Protección de Datos de Andalucía. SEGUNDO: NOTIFICAR la presente resolución a ARAMARK SERVICIOS DE CÁTERING, S.L.U., y a la parte reclamante. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.c) de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 940-020323 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es