E-02547-2019

1/6 Procedimiento Nº: E/02547/2019 AP/000 940-0419 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 21/03/201 la directora de la AEPD resolvió: “PRIMERO: DECLARAR que la CONSEJERÍA DE IGUALDAD Y POLITICAS SOCIALES DE LA JUNTA DE ANDALUCÍA, ha infringido lo dispuesto en el artículo 5 de la LOPD, tipificada como grave en el artículo 44.2.

1. c)de la citada Ley Orgánica. “SEGUNDO: De acuerdo con lo establecido en el apartado 3 del artículo 46 de la LOPD, se requiere a la denunciada para que acredite en el plazo de un mes desde este acto de notificación las medidas de orden interno que impidan que en el futuro pueda producirse una nueva infracción del artículo 5 de la LOPD, ahora con los requerimientos del artículo 13 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27/04/2016 relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (norma vigente en la actualidad), para lo que se abre expediente de actuaciones previas E/02457/2019.” Se comunicó la resolución recaída al DEFENSOR DEL PUEBLO, conforme señala el artículo 46 de la LOPD. SEGUNDO: Como hechos declarados probados de interés se significaron: 1) El Servicio Andaluz de Teleasistencia (SAT) presta el servicio de teleasistencia que es una prestación de la Junta de Andalucía de atención personalizada que permite a sus usuarios mantener contacto verbal a través de línea telefónica disponible las 24 horas del día todos los días, atendido por un centro receptor, siendo su fin entre otros, conseguir y mantener el grado de autonomía e independencia de las personas mayores en su domicilio, proporcionar a las personas mayores seguridad y una atención rápida en casos de emergencia y atención directa con seguimiento personal de cada usuario. El procedimiento instaurado para la prestación del servicio parte de unas cláusulas de contratación que contienen un pliego de cláusulas administrativas particulares y generales que regulan el servicio, instalación, mantenimiento y otras actuaciones de los dispositivos domiciliarios, y las relaciones con el adjudicatario del servicio. Se indica que el adjudicatario instalará en 2) La persona que solicite el servicio de teleasistencia, en primer lugar rellena un impreso de solicitud en el que entre otros extremos se recogen datos de carácter personal de si el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/6 peticionario es menor de 65 años con discapacidad” “grado de discapacidad”, a cumplimentar a mano, y casilla para marcar de movilidad reducida: si/no” o si precisa de un cuidador por padecer Alzheimer u otra demencia. Este impreso lleva la firma del titular peticionario o representante legal. También se pueden contener datos que el peticionario da, sobre DNI, y nombres y apellidos de “otras personas que conviven en el mismo domicilio” sin que se contemple la firma de dichas personas. En la recogida de datos se indica en el pie del impreso una cláusula de protección de datos, que la Consejería es la responsable de la incorporación de sus datos a un fichero y la sede de ejercicio de derechos. El impreso se firma por el peticionario. No se advierta de una futura y más amplia recogida de datos cuestionario alguno. 3) Junto con el impreso de solicitud también se entregan al peticionario las condiciones generales del servicio en el documento de adhesión al Servicio de Teleasistencia, en el que el titular del servicio, representante o cuidadora declara que “ha recibido información sobre el servicio y haber leído y aceptado en todos sus términos las condiciones generales”, En ese impreso se recogen datos básicos y bancarios para el abono del servicio. Se indica en dicho documento de adhesión: “La Agencia garantiza, la respuesta inmediata ante situaciones de emergencia” “reconocimiento inmediato de la persona titular y el acceso de forma automática a los datos proporcionados para una mejor calidad del servicio”. Entre las obligaciones figura las de facilitar correctamente a la Agencia los datos necesarios para la concesión y prestación del servicio, y “permitir la entrada en el domicilio a los servicios de emergencia en caso de ser necesario”. “una vez de alta, desde el centro de atención de llamadas del SAT se accede a los datos cuando la persona llama para ser atendida”, y “el personal especializado accederá de forma automática a los datos proporcionados por la persona titular, para una mejor calidad del servicio”. En el apartado autorizaciones se indica que el titular “autoriza conforme a la LOPD para incorporar sus datos personales facilitados por la persona titular para su tratamiento así como comunicarlos a terceros exclusivamente para el cumplimiento de fines directamente relacionado con los servicios prestados, y se le informa de que la persona titular autoriza a la Consejería a grabar y tratar las comunicaciones telefónicas que sean mantenidas con las centrales de teleasistencia, con objeto de optimizar el funcionamiento del servicio, tanto aquellas que se realicen en las propias centrales como también aquellas realizadas por la Agencia”. 4) Además, en el pliego de prescripciones técnicas (PPT) para la contratación del servicio técnico de instalaciones, mantenimiento y otras actuaciones sobre los dispositivos domiciliarios del SAT de la ASSDA, se contiene que para prestar correctamente el servicio, en el momento de la instalación de los dispositivos en los domicilios de los peticionarios, por parte del adjudicatario, (que resultó ser la entidad PROAZIMUT) va a recabar de las personas usuarias un cuestionario con datos contenidos en el ANEXO I del PPT, como grado de discapacidad, número de la seguridad social, diferentes tipos de enfermedades (cardiacas, respiratorias, diabetes, hipertensión, etc.…), datos de la Unidad de convivencia, con apartado de Interlocutor principal, persona con el que se establecerá la relación telefónica desde el SAT, su relación con la persona usuaria, nombre y apellidos y NIF y número de teléfono móvil. En otro apartado denominado “Contactos” consta “vinculados a la vivienda” con C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/6 espacio para rellenar los datos de dichas personas, sea servicio doméstico, o cuidado no profesional que convive con el usuario, y otros espacios para rellenar los datos personales de otros contactos personales con sus datos. En dicho ANEXO I del PPT, que recoge el adjudicatario del usuario, no consta ningún referente a que se proporcione información de recogida, tratamiento o finalidad de datos que así se recogen y figuran también datos de terceras personas que conviven en el domicilio sin que se informe a estos. Según las cláusulas del PPT, una vez cumplimentado dicho cuestionario, la empresa (PROAZIMUT) lo remite telemáticamente a ASSDA, que incorpora el contenido de este a su fichero de usuarios, siendo eliminados automáticamente en el software de la empresa adjudicataria. 5) ASSDA tiene suscrito un contrato de servicio de 11/10/2015 para la prestación del Servicio de Teleasistencia con la empresa PROAZIMUT, S.L., entidad adjudicataria del servicio figura un apartado 15, titulado, protección de datos y confidencialidad” se reitera el deber de confidencialidad y que no podrá copiar o utilizar los datos que pudiera conocer con ocasión del cumplimiento del contrato y que “la entidad contratista queda obligada al cumplimiento de los dispuesto en la LOPD, especialmente lo indicado en su artículo 12.” Se indica también que la “entidad contratista se compromete a destruir los datos proporcionados por la Agencia o en su caso a devolver a ésta los soportes donde se halle recogida la información”. “Los datos no podrán ser objeto de ningún tratamiento distinto al previsto en el contrato. La entidad contratista únicamente tratará los datos conforme a las instrucciones de la Agencia, y no aplicará o utilizará con un fin diferente al que figure en el contrato. Cualquier tratamiento de los datos que no se ajuste a los dispuesto en el presente acuerdo, será responsabilidad exclusiva de la entidad contratista frente a terceros y frente a la Agencia, ante la que responderá por los daños y perjuicios que le hubiere podido causar, constituyendo causa de resolución del contrato. “ TERCERO: El envío cursado por el sistema de notificación telemática notific@ fue rehusado (no se accede en el plazo de diez días) con el siguiente resultado: Fecha de puesta a disposición: 25/03/2019 15:31:49 Fecha de rechazo automático: 05/04/2019 00:00:00 El rechazo automático se produce, de forma general, tras haber transcurrido diez días naturales desde su puesta a disposición para su acceso según el párrafo 2, artículo 43, de la ley 39/2015, de 1/10, del Procedimiento Administrativo Común de las Administraciones Públicas. Y de forma particular, superado el plazo establecido por la Administración actuante de acuerdo con la normativa jurídica específica que sea de aplicación. CUARTO: Con fecha 7/05/2019 tuvo entrada en la AEPD escrito del DEFENSOR DEL PUEBLO solicitando conocimiento de las actuaciones que haya llevado a cabo la reclamada, “expresando el parecer al respecto”. La AEPD interesa situación de las medidas adoptadas por la sancionada. QUINTO: Con fecha 11/09/2019, se registra un correo electrónico de la reclamada que indica que “ASSDA no está de alta en el sistema de notificaciones notific@2 y solicita se le envíe copia de la resolución.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/6 Con fecha 7/10/2019 remite la denunciada escrito “respuesta requerimiento”. En el mismo adjuntan escrito que para el cumplimiento han preparado, que contiene el “Plan de actuación de la Agencia de Servicios Sociales y Dependencias de Andalucía al RGPD” fase I enero 2019 y contiene 51 folios. El informe aparece firmado por la Unidad de protección de Datos, delegado de protección de datos, que ostenta al mismo tiempo la Jefatura de la Oficina Jurídica y de Contratación. En el índice se contienen las referencias generales al impacto del RGPD sobre la actividad de las Administraciones Publicas, y a partir de la página 21 entra en el plan de adecuación a la ASSDA. -Se menciona la valoración de la necesidad de que en algunos casos, los encargados del tratamiento con los que se haya contratado la prestación de determinados servicios, los que colaboren en la atención a las solicitudes de los interesados, accedan a datos, debiéndose incluir en los contratos de encargo de tratamiento. Se deben adecuar los contratos de encargo de tratamiento al RGPD. -Se citan aspectos explicativos del RGPD. A partir del punto 5 “Plan de adecuación de la ASSDA” se divide en fase I, se indica que manejan datos de carácter especial del articulo 9 del RGPD, el documento señala lo que se debe implementar. Se indica que se van a acometer las siguientes actuaciones: -Crear en la organización estructural de ASSDA la Unidad de protección de Datos, dado el volumen de datos con los que se trabajan y su calificación, con asignación de presupuesto propio. Esta Unidad elaborara un “informe temático conforme a las guías y directrices de la AEPD”. -Designar a la persona delegada de protección de datos y el personal de apoyo, teniendo de momento nombrada una persona. -Elaboración del registro de actividades del tratamiento. -Analizar las bases jurídicas de los tratamientos. -Se elaborará un análisis de riesgos para conocer e implantar las medidas necesarias. -Verificación de las medidas de seguridad. -Detallar eventuales tratamientos que se puedan considerar de alto riego para realizar una evaluación de impacto. -Además, deberán cumplir las acciones establecidas en el informe de la “empresa auditoria INGENIA de adaptación al RGPD” realizado el 21/12/2017 y del documento “ANALISIS DIAGNOSTICO Y PLAN DE ACCION” para la adaptación al RGPD. Algunas medidas que se van a implantar son:
2. a)Hacia la total digitalización de la documentación que se utiliza, no dejando documento alguno en papel que contenga datos de administrados. Determinar mediante informe la documentación a destruir. Mientras tanto, desalojar estanterías con documentación que contenga datos personales y guardarla en armarios ignífugos y cerrados con llave, con C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/6 documento de control de las llaves y constancia de apertura y cierre de los mismos. Se elaborará una circular con el protocolo a seguir.
3. d)Adaptar la web en concreto, los formularios, la información sobre la política de protección de datos, creación de una oficina virtual en la que se puedan ejercer derechos. Menciona los informes emitidos por la unidad de protección de datos para adaptación de formularios, entre los que se encuentra el consentimiento informado para tratamiento de datos de usuarios de teleasistencia, que deberá ser adaptada por la correspondiente Jefatura.
4. e)Se elaborará un protocolo de actuación referente al ejercicio de los derechos de los administrados preferentemente con medios electrónicos.
5. f)Revisión de adaptación al RGPD y LOPDGDD en las distintas campos que abarca: Dependencia, del SAT, atendiendo al uso de datos de terceros para protocolos de emergencia como la figura de beneficiario.
6. g)Valoraciones de los encargados de tratamiento de datos con los que se realizan contrataciones, adaptar los contratos vigentes confección e implantación de política de protección de datos.
7. h)Elaborar un plan de formación e información en materia de protección de datos para el personal.
8. i)Elaboración de informes por parte de la unidad de protección de datos de las visitas a las áreas, jefaturas y servicios para revisar el cumplimiento de la normativa. FUNDAMENTOS DE DERECHO I De acuerdo con los poderes de investigación y correctivos que el artículo 58 del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) otorga a cada autoridad de control, y según lo dispuesto en el artículo 47 de la Ley Orgánica 3/2018, de 5/12, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. II El RGPD instaura la adopción del el principio de responsabilidad activa. El principio propugna que los responsables del tratamiento de datos refuercen sus disposiciones prácticas internas (estrategias y procedimientos) para hacer que todo el tratamiento se realice de conformidad con los principios y directrices establecidos, adoptando medidas eficaces que llevaran a una aplicación interna efectiva de los principios y obligaciones materiales que contiene la normativa aplicable. El tipo de procedimientos y mecanismos variaría en función de los riesgos que representen el tratamiento y la naturaleza de los datos. Además, el responsable ha de disponer de mecanismos internos necesarios para demostrar el cumplimiento de las C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/6 medidas adoptadas para garantizar el cumplimiento a los interesados externos, incluidas las autoridades nacionales de protección de datos. La consiguiente necesidad de demostrar la adopción de medidas adecuadas para garantizar el cumplimiento facilitará la ejecución de las normas aplicable. La reclamada ha previsto la modificación de sus actuaciones relacionadas en general con los datos que trata, variando los protocolos de recogida de datos e información. Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a la CONSEJERÍA DE IGUALDAD Y POLITICAS SOCIALES DE LA JUNTA DE ANDALUCÍA, y al DEFENSOR DEL PUEBLO (exte ***EXTE.1). De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
9. c)de la Ley 39/2015, de 1/10, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1/10, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13/07, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es