E-01550-2021

1/5  Procedimiento Nº: E/01550/2021 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: La reclamación interpuesta por Don A.A.A. (en adelante, el reclamante) tiene entrada con fecha 21 de septiembre de 2020 en la Agencia Española de Protección de Datos. La reclamación se dirige contra LES CORTS DIR, S.A., con CIF A61622635 (en adelante, el reclamado). Los motivos en que basa la reclamación son que para acceder a las instalaciones del club toman obligatoriamente la temperatura corporal. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), con número de referencia E/08328/2020, se dio traslado de dicha reclamación al reclamado, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. No se recibió contestación alguna. TERCERO: Con fecha 10 de febrero de 2021, la Directora de la Agencia Española de Protección de Datos acordó admitir a trámite la reclamación presentada por el reclamante. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos objeto de la reclamación, teniendo conocimiento de los siguientes extremos: ~ Solicitado a la reclamada información sobre el método de obtención de temperatura y su posterior tratamiento, con fecha de 5 de mayo de 2021, se recibe en esta Agencia, escrito de alegaciones remitido por la reclamada manifestando que el dato de temperatura no se registra ni almacena en ningún sistema. Indican que el funcionamiento del sistema consiste en que, si se detecta una temperatura del usuario superior a 37 grados, el sistema impide que el torno de acceso a las instalaciones se abra. Se desprende de las manifestaciones de la reclamada que el funcionamiento del sistema es del tipo “pasa / no pasa” sin quedar registrado el dato y no desarrollándose ulterior tratamiento. ~ Solicitado a la reclamada que informe de las medidas adicionales establecidas con motivo de la situación de la pandemia, con fecha de 1 de junio de 2021, se recibe en esta Agencia escrito de respuesta manifestando que además de la toma de temperatura señalada en los párrafos anteriores, se ha establecido un protocolo donde se reguC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/5 lan aspectos como el aforo máximo permitido en los centros, la limpieza y la desinfección de las instalaciones, la toma de temperatura corporal también a empleados, el uso obligatorio de mascarilla por parte de clientes y trabajadores, la reserva previa de plazas en actividades dirigidas, en la piscina, con entrenador personal, en el servicio de fisioterapia y nutrición, en los centros de wellness y en los restaurantes del Grupo DIR, el plan de actuación en caso de detectar un positivo, el plan de continuidad de la actividad ante un hipotético escenario de crisis y el control del cumplimiento de las medidas establecidas. Añaden que también se ha establecido un protocolo de seguridad COVID-19 relativo a la operativa y el mantenimiento de los sistemas de climatización y ventilación. Y adjuntan la siguiente documentación en la que constan los extremos señalados por la reclamada: - Protocol de seguretat covid-19 clubs dir. fitness, activitats dirigides, ioga, piscina, pàdel, nutrició, fisioteràpia, estètica i restaurant. - Protocol de seguretat covid-19: operació i manteniment dels sistemes de climatització i ventilació. FUNDAMENTOS DE DERECHO I De acuerdo con los poderes de investigación y correctivos que el artículo 58 del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) otorga a cada autoridad de control, y según lo dispuesto en el artículo 47 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. II En relación con la toma de temperatura de las personas como parte de las medidas adoptadas en centros de trabajo para ayudar a prevenir la propagación de la pandemia de COVID-19, se considera necesario resaltar que la temperatura corporal de las personas es un dato de salud en sí mismo, a tenor de la definición contenida en el artículo 4, apartado 15, del RGPD. Según el artículo 4 del RGPD, apartados 1 y 2, se entenderá por «datos personales»: “toda información sobre una persona física identificada o identificable”; y por «tratamiento»: “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción.” Partiendo de lo anterior, los controles de temperatura de las personas pueden constituir un tratamiento de datos de salud relativo a una persona física identificada o identificable, y como tal deben ajustarse a una de las bases jurídicas enumeradas en el artíC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/5 culo 6 del RGPD y concurrir alguna de las excepciones específicas que se relacionan en el artículo 9 del RGPD. Con carácter general, el empleador tiene la obligación de garantizar la seguridad y salud de las personas trabajadoras a su servicio en los aspectos relacionados con el trabajo, como se desprende de los artículos 14 y siguientes de la Ley 31/1995, de 8 de noviembre, de prevención de Riesgos Laborales. Esta obligación opera a la vez como excepción que permite el tratamiento de datos de salud, al amparo de las circunstancias previstas en el artículo 9.2.

1. h)del RGPD, y como base jurídica que legitima el tratamiento, por cuanto el tratamiento es necesario para el cumplimiento de una obligación legal impuesta al empleador (artículo 6.1.
2. c)del RGPD). No cabe duda de que en la actual situación de crisis sanitaria ocasionada por la COVID-19, el empleador está obligado a adoptar medidas extraordinarias encaminadas a prevenir nuevos contagios de COVID-19 y estas medidas deben aplicarse atendiendo a los criterios definidos por las autoridades sanitarias. En el ámbito de las empresas, el Ministerio de Sanidad, en su documento “Procedimiento de actuación para los servicios de prevención de riesgos laborales frente a la exposición al SARS-CoV-2”, indica que “La intervención de las empresas, a través de los servicios de prevención (SPRL), frente a la exposición al SARS-COV-2 ha sido y es crucial, adaptando su actividad con recomendaciones y medidas actualizadas de prevención (…) con el objetivo general de limitar los contagios: medidas de carácter organizativo, de protección colectiva, de protección personal, de trabajador especialmente vulnerable y nivel de riesgo, de estudio y manejo de casos y contactos ocurridos en la empresa y de colaboración en la gestión de la incapacidad temporal” y añade que “las empresas, a través de los servicios de prevención, están llamadas a colaborar con las autoridades sanitarias en la detección precoz de todos los casos compatibles con COVID-19 y sus contactos, para controlar la transmisión.” En este contexto, debe entenderse que el control de la temperatura corporal de los trabajadores realizado por los empleadores, como medida para permitir el acceso a los centros de trabajo con la finalidad de limitar los contagios, dado que la fiebre es un síntoma de la enfermedad causada por el SARS-CoV-2, como parte de un conjunto más amplio de medidas que incluyen medidas preventivas, de higiene, protectoras, etc., cumple con los criterios indicados por las autoridades sanitarias. En el caso examinado, el reclamado en concordancia con los criterios indicados ha elaborado un protocolo de actuación que incluye controles de temperatura corporal para cumplir con sus obligaciones en materia de salud y seguridad. En consecuencia, de acuerdo con lo razonado, este tratamiento de datos de salud de los trabajadores encuentra su legitimación en la causa prevista en el artículo 6.1.
3. c)del RGPD y en las excepciones que habilitan el tratamiento de datos de salud, recogidas en el artículo 9.2.
4. h)del RGPD. En los protocolos aportados se establece el control de trabajadores del centro para evitar la transmisión de la enfermedad y su propia protección. III En relación con la toma de temperatura de los usuarios del club deportivo, los controles de temperatura de las personas pueden constituir un tratamiento de datos de salud C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/5 relativo a una persona física identificada o identificable, y como tal deben ajustarse a una de las bases jurídicas enumeradas en el artículo 6 del RGPD y concurrir alguna de las excepciones específicas que se relacionan en el artículo 9 del RGPD. Para determinar si en un caso concreto se ha producido un tratamiento de datos de una persona identificada o identificable, se ha de partir del tipo de dispositivo empleado y tener en cuenta otras circunstancias del proceso de la toma de temperatura que puedan hacer identificable a la persona, como en el caso de que se registre o no la temperatura corporal o que la captación de la temperatura en los establecimientos abiertos al público se realice con publicidad, de tal manera que la persona afectada pueda ser identificada por terceros. En los controles de temperatura corporal que se llevan a cabo en la entrada de los establecimientos abiertos al público para tomar la temperatura a los visitantes o clientes se suelen utilizar dispositivos manuales de medición de la temperatura, como un termómetro manual que únicamente está concebido para tomar la temperatura corporal. Cuando estos controles de temperatura no van acompañados de un control de identidad de las personas que pretenden acceder al establecimiento, es decir cuando la toma de temperatura no se vincula a una persona determinada a través de su registro o anotación, tales medidas no se encontrarían, en principio, incluidas en el ámbito de aplicación del RGPD al no asociarse la temperatura a una persona identificada o identificable. En el supuesto objeto de reclamación, hay un termómetro cuya función se asocia con abrir el torniquete de entrada al club. Si marca una temperatura superior a 37,3º, el torniquete no se abre, sin identificar a la persona que ha tratado de acceder. Ahora bien, denegar el acceso a una persona con motivo de su temperatura puede desvelar a terceros que no tienen ninguna justificación para conocerlo que la persona a la que se ha denegado la entrada tiene una temperatura corporal por encima de lo considerado no relevante y, sobre todo, que puede estar contagiada por el virus, dado que la fiebre es un síntoma de la enfermedad causada por el SARS-CoV-2, por lo que será también necesario establecer en cada caso si de las concretas circunstancias que concurrieron en el proceso de toma de temperatura de una persona determinada se derivaron acontecimientos que la hicieron identificable. En el supuesto examinado, se utilizan dispositivos para las mediciones de temperatura sin que este proceso vaya acompañado del registro de la temperatura obtenida de los visitantes o clientes. Tampoco se ha constatado la concurrencia de circunstancias especiales que hayan permitido vincular el citado tratamiento a una persona identificada o identificable. Por ello, de acuerdo con lo razonado, no se aprecia en este caso que el tratamiento de datos que se realiza se refiera a personas físicas identificadas o identificables, quedando en consecuencia excluido del ámbito de aplicación del RGPD. Una vez analizadas las razones expuestas por la reclamada, que obran en el expediente, se ha constatado la falta de indicios racionales de la existencia de una infracción en el ámbito competencial de la Agencia Española de Protección de Datos, no procediendo, en consecuencia, la apertura de un procedimiento sancionador. Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/5 Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución al reclamante y reclamado. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
5. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 940-0419 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es