E-03686-2020

1/28  Procedimiento Nº: E/03686/2020 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 21 de abril de 2020 la Directora de la Agencia Española de Protección de Datos acuerda iniciar las presentes actuaciones de investigación al haber tenido conocimiento del desarrollo y puesta en marcha de la Web/app “CORONAMADRID”, de la que es responsable la Consejería de Sanidad de la Comunidad de Madrid, con el fin de determinar si de tales hechos se desprendieran indicios de infracción en el ámbito competencial de la Agencia Española de Protección de Datos. SEGUNDO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos, requiriendo a la Consejería de Sanidad de la Comunidad de Madrid información y documentación sobre la web/app “CORONAMADRID”. De las actuaciones realizadas en relación con el examen del cumplimiento de los principios de protección de datos recogidos en el RGPD, de las tipologías de datos tratados y de su período de conservación, de las finalidades concretas y de las bases jurídicas del tratamiento de datos, del convenio celebrado con una entidad privada para el desarrollo de la aplicación, de la política de privacidad de la aplicación y la evaluación de impacto sobre la protección de datos se ha tenido conocimiento de los siguientes extremos: -Se recibe respuesta del Comité Delegado de Protección de datos, del Servicio Madrileño de Salud, de la Consejería de Sanidad, en los siguientes términos: “Con carácter previo procede realizar una breve alusión al contexto que motivó el desarrollo de la citada aplicación que viene marcado por la emergencia sanitaria causada por el coronavirus COVID-19 a escala internacional, circunstancia que determinó que la Organización Mundial de la Salud declarara la situación de pandemia internacional con fecha 11 de marzo de 2020. Ante la magnitud de la citada crisis sanitaria, el elevado número de afectados y el extraordinario riesgo para la salud pública, el Consejo de Ministros aprobó el Real Decreto 463/2020, de 14 de marzo, por el que se declara el estado de alarma para la gestión de la situación de crisis sanitaria ocasionada por el COVID-19. Cabe recordar que con anterioridad a dicha declaración, en la reunión del Consejo Interterritorial del Sistema Nacional de Salud de 25 de febrero de 2020, tanto el Ministerio de Sanidad como las Comunidades Autónomas, acordaron potenciar los C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/28 servicios de atención telefónica para realizar cribados previos en posibles casos de coronavirus COVID-19. En el ámbito de la Comunidad de Madrid, ante las numerosas solicitudes de información que se recibían en torno al coronavirus y con el objeto de permitir una mejor gestión de los recursos de urgencia y emergencia, se habilitó un número gratuito de teléfono (900 102 112) específico para atender las solicitudes de información respecto al nuevo coronavirus que, a su vez, permitía descongestionar el teléfono general de emergencias 112. Tras la declaración del estado de alarma, y ante el progresivo crecimiento de casos positivos de la enfermedad, se produjo un incremento exponencial de las llamadas y de las solicitudes de información y atención relativas al coronavirus que se articulaban principalmente a través del número de información telefónica habilitado al efecto por la Comunidad de Madrid. Este recurso no resultaba suficiente para atender adecuadamente el aumento de la demanda de las solicitudes de atención que requería la ciudadanía por lo que se valoró el desarrollo de herramientas online con el objetivo de beneficiar al mayor número de ciudadanos posible y mejorar su atención a través de la tecnología, teniendo en cuenta las particularidades de la situación que impone la crisis sanitaria y las medidas de confinamiento domiciliario y distanciamiento social adoptadas por el Real Decreto 463/2020, de 14 de marzo, por el que se decreta el estado de alarma. En este especial contexto la Comunidad de Madrid dio a conocer la puesta en marcha de la App sobre el coronavirus (COVID-19), disponible desde el 24 de marzo, que permite a los usuarios realizar una autoevaluación sin salir de su domicilio a través de sus dispositivos móviles, siendo desarrollada por empresas punteras en tecnología, programadores, expertos en aplicaciones móviles con la colaboración de especialistas en el ámbito sanitario y de salud pública. Dicha herramienta pretende mejorar la atención de la población y la organización de los recursos sanitarios para lograr una respuesta más ágil y eficaz en cada caso particular, atendiendo a las particulares circunstancias actuales que vienen marcadas por una situación de crisis asistencial y emergencia sanitaria que ha motivado la declaración de una situación de estado de alarma, en la que se han adoptado medidas excepcionales de confinamiento y distanciamiento social de la población para asegurar la salud pública.” -Finalidades concretas de la aplicación y tratamientos de datos previstos. Los representantes del aludido Comité Delegado de Protección de datos han informado de lo siguiente: “En atención a las finalidades concretas de la aplicación y los tratamientos sobre los datos previstos, tal y como indica la Política de privacidad de la misma, se recogen y se tratan los siguientes datos: — Nombre y apellidos. Esta información se utiliza para identificar a los usuarios en la aplicación. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/28 — Número de teléfono móvil. Se utiliza para enviar un primer SMS de verificación al usuario en el momento del registro. — DNI / NIE. Para posterior cruce de información con la tarjeta sanitaria, a los efectos de que las Autoridades Sanitarias puedan integrar y comparar la información de pacientes con posibles síntomas con los sistemas públicos de gestión sanitaria existentes y hacer un seguimiento y atención personalizada. — Fecha de nacimiento. Con objeto de poder establecer el grupo de población en el que se encuentra el usuario y ponderar los síntomas (el rango de edad puede determinar si se trata de un grupo de riesgo). — Dirección completa, código postal y comunidad autónoma en la que estás. A efectos de asistencia sanitaria, como facilitar la realización del test, facilitar el contacto del centro sanitario de referencia con el paciente. — Género. Puede ser un factor determinante para conocer si te encuentras en un grupo de riesgo o no. — Geolocalización (Opcional). La localización vía GPS del teléfono móvil sólo se utilizará a la hora de registrar al usuario y realizar sus autoevaluaciones, y únicamente en el caso de que el usuario lo autorice. Esta información se utiliza para conocer la ubicación del paciente y ofrecer las mejores medidas preventivas y de evaluación en cada momento, así como para garantizar la calidad de los datos y su análisis epidemiológico. Básicamente esta información es recogida para entender dónde están los focos, con un fin estadístico. Es decir, se localiza cada evaluación para entender la distribución de los síntomas con datos lo más fiables posibles. Esta localización es siempre opcional. En cualquier caso, la aplicación no realiza geofencing para determinar si el USUARIO se encuentra en su domicilio. — Datos de salud relacionados con tu autoevaluación en función de los síntomas que experimente el usuario. En concreto, con motivo de poder determinar si el paciente puede presentar síntomas de COVID-19, se recaban datos sobre el usuario relacionados con la sensación de falta de aire, fiebre de +37.5ºC, tos seca, si has visitado alguna zona de riesgo en los últimos 14 días, si has estado en contacto con algún paciente positivo confirmado, si tienes mucosidad en la nariz, dolor muscular y/o malestar general. Los datos de las distintas autoevaluaciones que permite la aplicación se almacenan de manera que solo están vinculados a los datos facilitados por el usuario en la aplicación. Para aquellos casos en los que se detecta que el ciudadano puede presentar síntomas de coronavirus, desde los servicios de Atención Primaria o de SUMMA 112 se puede contactar con el ciudadano por parte de personal sanitario para corroborar esos síntomas (registrados) y en su caso facilitar ayuda y asistencia sanitaria al mismo. — Los datos recabados del uso de la Aplicación y obtenidos de tu dispositivo (p.ej. el sistema operativo de tu dispositivo). El uso de esta información es necesario para el correcto funcionamiento de la aplicación en el dispositivo. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/28 — Utilización de cookies técnicas que permiten al usuario la navegación y la utilización de las diferentes opciones o servicios que se ofrecen en la Aplicación como, por ejemplo, identificar la sesión e identificarte como usuario registrado cada vez que acceda a la Aplicación, acceder a partes de acceso restringido o utilizar elementos de seguridad durante la navegación. Especial mención a los datos de geolocalización: Confirmamos que las dos únicas maneras de georreferenciación de los usuarios de la Aplicación son: (

1. i)Mediante el uso de los datos de localización a través de GPS del dispositivo de aquellos usuarios que lo hayan autorizado expresamente, clicando en el botón de “activar” geolocalización en el momento de registro en la aplicación; y (
2. ii)a través de la dirección postal facilitada por los usuarios en el formulario de registro, el cual es un dato obligatorio que los usuarios deben facilitar para poder registrarse. En consecuencia, no se utilizan otras técnicas de localización, como sería el uso de los metadatos generados por las redes y servicios de telecomunicaciones de los operadores de comunicaciones electrónicas. Así mismo, resulta necesario indicar que la localización vía GPS del terminal de los usuarios que hayan dado su permiso sólo se utiliza en el momento del registro y al realizar sus autoevaluaciones, para saber dónde se encuentran y poder ofrecerles las mejores medidas preventivas y de evaluación en cada momento, así como para garantizar la calidad de los datos y su análisis epidemiológico. Básicamente esta información es recogida para entender dónde están los focos, con un fin estadístico. Es decir, se localiza cada autoevaluación para entender la distribución de los síntomas con datos lo más fiables posibles y poder realizar así un mejor seguimiento geoespacial del avance de la epidemia. En cualquier caso, como ya se ha dicho, esta localización vía GPS es siempre opcional y voluntaria para los usuarios, y alternativamente, se podrá utilizar la dirección del domicilio proporcionada en el registro, con la finalidad de prestación de servicios sanitarios si fuera necesario. En este sentido, dada la gran cantidad de población registrada en algunos códigos postales muy amplios, se considera relevante para el estudio de la enfermedad contar con la localización de la calle. Igualmente, es necesario destacar que Aplicación no realiza geofencing para determinar si el usuario se encuentra en su domicilio y, en consecuencia, no recoge información continua de localización de los usuarios ni se monitorizan los movimientos de las personas para detonar acciones en el caso de que el usuario de un dispositivo entre o salga de un determinado perímetro. Tratamientos posteriores previstos: De conformidad con la Ley 41/2002, de 14 de noviembre, básica reguladora de la autonomía del paciente y de derechos y obligaciones en materia de información y documentación clínica (art. 14 y ss.), únicamente los datos sanitarios, son los que se integran con los sistemas de información de gestión de historia clínica de la Consejería de Sanidad, utilizando para ello el DNI/NIE que aporta el usuario en el momento del alta en la aplicación. Estos datos se utilizarán para prestar asistencia C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/28 sanitaria a los pacientes que se hayan dado de alta en la referida aplicación, siguiendo posteriormente los cauces ya establecidos para estas finalidades dentro de la CSCM. Por otra parte, una vez sometidos los datos a un proceso de anonimización, dirigido tanto a prevenir la identificación directa como indirecta de los pacientes, se utilizarán estos datos anonimizados para: • Para finalidades estadísticas; • Para investigación biomédica, científica o histórica; • Para archivo en interés público; Estas finalidades permitirán hacer tanto un análisis anonimizado descriptivo de la situación, que permita conocer los motivos de la pandemia y aportar conocimiento de cómo actuar de manera más eficiente (p.ej. las dinámicas actuales de la sintomatología en la población), de igual manera, este análisis anonimizado predictivo podrá aportar conocimiento sobre la evolución de la pandemia (p.ej. cómo podrían evolucionar dichas dinámicas en el futuro). Todo ello en consideración del art. 9.2.
3. j)del RGPD, que señala como una de las bases jurídicas legitimadoras para su tratamiento a aquellos supuestos en los que el uso de esta información sea necesario con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos, de conformidad con el artículo 89 RGPD. En el mismo sentido, la citada Ley de Autonomía del paciente, en su art. 16. indica que el acceso a la historia clínica con fines epidemiológicos, de salud pública, de investigación o de docencia, obliga a preservar los datos de identificación personal del paciente, separados de los de carácter clínicoasistencial, de manera que, como regla general, quede asegurado el anonimato, salvo que el propio paciente haya dado su consentimiento para no separarlos. El acceso a los datos y documentos de la historia clínica queda limitado estrictamente a los fines específicos de cada caso. De igual manera, la citada norma indica que cuando sea necesario para la prevención de un riesgo o peligro grave para la salud de la población, las Administraciones sanitarias a las que se refiere la Ley 33/2011, de 4 de octubre, General de Salud Pública, podrán acceder a los datos identificativos de los pacientes por razones epidemiológicas o de protección de la salud pública. El acceso habrá de realizarse, en todo caso, por un profesional sanitario sujeto al secreto profesional o por otra persona sujeta, asimismo, a una obligación equivalente de secreto, previa motivación por parte de la Administración que solicitase el acceso a los datos. En este sentido el art. 50 de la citada Ley General de Salud Pública indica que: “Promoción de la investigación en salud pública. Las Administraciones sanitarias promoverán la investigación y la comunicación de sus resultados en la actividad de los profesionales en salud pública. Para ello, adoptarán las siguientes acciones:
4. a)Facilitar que las investigaciones sobre los problemas de salud de la población se realicen con los medios y calidad adecuados.
5. b)Fomentar la relación entre los grupos de investigación de excelencia y el personal profesional de salud pública.
6. c)Estimular la actividad investigadora facilitando el acceso a los datos e informaciones disponibles en las Administraciones sanitarias”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/28 -Periodo de conservación previsto para cada uno de los datos o tipos de datos. Posible integración de los datos en las Historias clínicas de los usuarios. Los representantes del Comité Delegado de Protección de datos exponen lo siguiente: “Como se indica en la Política de privacidad de la aplicación, sólo se conservarán los datos de los usuarios mientras sean necesarios para las distintas finalidades indicadas en el punto anterior. Por ello, los datos sanitarios que han sido proporcionados a través de la aplicación y se han integrado con la historia clínica de cada paciente, se almacenará durante toda la vida del mismo y, como mínimo, cinco años (art. 17 LAP), todo ello teniendo en cuenta que los procesos asistenciales pueden tener una duración determinada o prolongada en el tiempo, y que estos datos son necesarios para garantizar una adecuada asistencia sanitaria al paciente. El resto de datos no sanitarios recogidos mediante la aplicación se conservarán únicamente durante el tiempo que dure el estado de alarma sanitaria, y posteriormente será conservada de forma anonimizada, mientras los datos continúen teniendo valor e interés científico, histórico y médico para dichas finalidades de conformidad con lo señalado en el punto anterior. Información detallada de la posible integración con la historia clínica: Los datos de los registros hechos por la aplicación se almacenan en una base de datos específica para tal fin, en la que se van almacenando los distintos valores obtenidos en las autovaloraciones. Para aquellos ciudadanos que tienen posibles síntomas y se ha contactado telefónicamente por parte de personal sanitario del SERMAS, pasan a registrarse dichos contactos y acciones como cualquier asistencia sanitaria convencional, ya sea telefónica o presencial.” Cumplimiento de los principios de protección de datos: Los representantes del del Comité Delegado de Protección de datos han manifestado lo siguiente: “• Limitación del plazo de conservación: Además de lo señalado en el punto anterior, en la organización existe un “Procedimiento de actuación para el expurgo de la documentación” con directrices para la conservación o supresión de los datos personales cuando ya no son necesarios para el tratamiento. • En relación a los principios de “licitud, lealtad y transparencia” tanto la política de privacidad como los Términos y condiciones de la aplicación aparecen disponibles para su consulta por los usuarios, de manera clara y transparente, tanto en la página web, como en la aplicación.” Aportan impresiones de pantalla de la aplicación donde se aprecian enlaces a la política de privacidad y a las condiciones de uso. En las pantallas iniciales se solicita al usuario que acepte los términos y condiciones del uso de la aplicación mediante un botón con un “check”: al lado del “check” aparece “Acepto las condiciones de uso y la política de privacidad”, conteniendo enlaces a dichas informaciones. Los representantes del CDPD indican que supone una clara acción afirmativa. También aportan impresión de la pantalla de la aplicación mediante la que se solicita la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/28 activación del permiso de geolocalización. En la pantalla se lee “Recomendamos activar tu geolocalización para poder ofrecerte las mejores medidas preventivas y de evaluación. No es obligatorio para poder continuar”. Se observa la existencia de la opción “Continuar sin activar geolocalización”. • “Minimización de datos” como se puede comprobar de la información recogida en el presente documento, los datos recogidos son aquellos mínimos necesarios para los fines que se pretenden a través de la aplicación. Todos los datos recogidos tienen como finalidad, bien el correcto funcionamiento de la aplicación (Número de teléfono/Datos del teléfono/Cookies), como el de prestación de prestación de asistencia sanitaria adecuada a los pacientes (datos de síntomas/DNI/fecha de nacimiento/género). Del mismo modo, estos datos son necesarios para que, posteriormente al proceso de anonimización de los mismos, se realicen estudios e investigaciones en materia de salud pública. • “Limitación en la finalidad” de igual manera, como se refleja en la documentación adjunta a este escrito, así como en los acuerdos y contratos de encargo de tratamiento que se han puesto en conocimiento de la AEPD, se han instaurado los controles pertinentes para que aquellos terceros a la CSCM que realizan algún tratamiento de los datos recogidos a través de la aplicación, únicamente los utilicen siguiendo las directrices e instrucciones del responsable del tratamiento, evitando así el uso de esta información para fines ulteriores, o fines distintos de los recogidos en las citadas Políticas de privacidad y de uso de la aplicación. En este sentido cabe traer aquí a colación lo señalado por el propio art. 5. 1
7. b)del RGPD sobre el principio de limitación al indicar que “el tratamiento ulterior de los datos personales con fines de archivo en interés público, fines de investigación científica e histórica o fines estadísticos no se considerará incompatible con los fines iniciales”. • “Integridad y confidencialidad”, respecto de este principio exponen que se establecen medidas de seguridad a fin de salvaguardar el acceso no autorizado o ilícito a la información (ej. copias de seguridad, permisos de acceso, puntos de restauración, compromiso de confidencialidad, etc.) y que el proveedor con el que se ha firmado el acuerdo de colaboración, ***EMPRESA.1, cuenta con los servicios certificados en categoría ALTA en Esquema Nacional de Seguridad, que relaciona, cumpliendo así con lo dispuesto en la DA primera de la LOPDGDD. Asimismo, han informado respecto de la realización de auditorías que “Con el objetivo de verificar que la aplicación no presenta vulnerabilidades que pueda usar un atacante en su provecho y que se dispone de las medidas de seguridad necesarias para cumplir con la normativa vigente, se realizaron diferentes análisis técnicos a las interfaces publicadas que están accesibles desde Internet.” Detallan diversos aspectos técnicos de los análisis realizados, de las pruebas de intrusión y comprobación de vulnerabilidades. Aportan los documentos “Auditoría móvil de seguridad CoronaMadrid” y “Auditoría WEB de seguridad CORONAMADRID”, auditorías realizadas tanto del aplicativo móvil, como de la página web, respectivamente. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/28 Sobre las terceras entidades intervinientes en los tratamientos. Las relaciones entre responsable y encargado del tratamiento se encuentran reguladas en el “Acuerdo de colaboración entre la Comunidad de Madrid, a través de la Consejería de Sanidad, el Servicio Madrileño de Salud y ***EMPRESA.1, para el procesamiento de datos”, firmado el 18 de marzo de 2020, en el que se prevé el desarrollo y operación de la Aplicación informática. El anexo I a dicho convenio contiene el acuerdo de encargado del tratamiento, señalando que la Viceconsejería de asistencia Sanitaria tendrá la consideración de responsable del tratamiento y ***EMPRESA.1. la de encargado del tratamiento, recogiendo en el clausulado del anexo los requerimientos exigidos por el artículo 28 del RGPD. Dicho acuerdo permite, asimismo, la subcontratación autorizando expresamente la subcontratación con las entidades que el propio acuerdo identifica y permitiendo al encargado efectuar otras subcontrataciones, previa comunicación al responsable del tratamiento, subcontratación que podrá llevarse a cabo si el responsable no manifiesta su oposición en el plazo establecido para ello. En tal caso, se prevé que el subcontratista, que también tendrá la condición de encargado del tratamiento, estará obligado a cumplir las obligaciones establecidas en el acuerdo para el encargado del tratamiento y las instrucciones documentadas que dicte el responsable del tratamiento a tal efecto. Se aporta por la Consejería de Sanidad un convenio celebrado el 19 de marzo de 2020 entre el encargado del tratamiento y ***EMPRESA.1, en el que se recogen las especificaciones del artículo 28.3 del RGDP y otro contrato de la misma fecha firmado por el encargado del tratamiento con terceras entidades, en el que se estipula que cuando así sea requerido por la normativa vigente sobre protección de datos personales y, en particular, de acuerdo con el artículo 28 del Reglamento UE 2016/679 (RGPD) y el artículo 23 de la Ley Orgánica 3/2018, de Protección de Datos personales (LOPDGDD), deberá suscribirse adicionalmente el necesario Acuerdo de Subencargado del tratamiento, que se incorporará como un anexo al acuerdo firmado. Análisis de Riesgos (AR) y Evaluaciones de Impacto sobre Protección de Datos (EIPD) Se aporta un análisis de riesgos de la aplicación CORONAMADRID, realizado por el encargado de tratamiento. En el análisis se utilizan varias metodologías, entre otras IRAM2 como base para realizar el BIA (Business Impact Assessment- análisis de impacto en el negocio), ISO 27005/ISO 31000 para el modelo de gobierno de riesgo y MAGERIT para realizar el catálogo de activos y amenazas. En el AR se describe: la arquitectura del Sistema; los criterios utilizados en el análisis; el modelo de BIA utilizado para conocer los riesgos inherentes y sus resultados; la identificación de las amenazas asociadas al servicio en función de los activos definidos en su arquitectura; el riesgo actual y el riesgo residual en base al cumplimiento de controles y las salvaguardias establecidas, medidas de seguridad y planes de acción. Se aporta copia de la Evaluación de Impacto en Protección de Datos (PIA) TRATAMIENTO: "CovidApp" y “Living App” de efectuada por el encargado del tratamiento, en la que se consideran los siguientes aspectos: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/28  Una descripción de la aplicación, que incluye a los actores, el ciclo de vida y flujo de los datos personales previsto, así como la tecnología utilizada.  Categorías de datos personales tratados.  Estudio de la base legitimadora y de la finalidad.  Roles y responsabilidades de los intervinientes desde el punto de vista de protección de datos  Análisis de la necesidad y proporcionalidad del tratamiento.  Gestión de los Riesgos, basado en una metodología de análisis y gestión de los riesgos de privacidad mediante catálogo de potenciales escenarios de riesgos que implican un daño o perjuicio para las personas afectadas por el tratamiento de los datos. Se aporta también un “INFORME DE EVALUACIÓN DE IMPACTO EN LA PROTECCIÓN DE DATOS (EIPD) CORONAMADRID/COVID-APP”, realizado por la Consejería de Sanidad de la Comunidad de Madrid En esta EIPD se consideran los siguientes aspectos:  Una descripción de la actividad de tratamiento que incluye entre otros aspectos la identificación del responsable del tratamiento, otros actores implicados en el tratamiento, finalidades y bases jurídicas y categorías de datos personales tratados,  Estudio de la base legitimadora y de la finalidad.  Análisis del tratamiento con ciclo de vida de los datos y roles de los actores intervinientes.  Análisis de la necesidad del tratamiento.  Gestión de los Riesgos, con medidas para la reducción del riesgo y estrategias de diseño de la privacidad con controles y patrones de diseño. Incluye medidas de responsabilidad (accountability) indicando que “con el propósito de demostrar el cumplimiento de la normativa de protección de datos respecto al tratamiento objeto de análisis, el responsable del tratamiento ha determinado llevar a cabo las siguientes acciones: - Auditorias bienales de protección de datos. - Revisión trimestral de los permisos de acceso. - Actualización de datos ante la notificación de altas y bajas del personal - Revisión mensual de las trazas de acceso a la información. - Control y seguimiento semanal de las solicitudes de ejercicios de derechos. - Revisión anual de la Política de expurgo de la información. - Revisión anual de los procedimientos que se indican a continuación: Procedimiento para la notificación y gestión de incidentes y brechas de seguridad; Procedimiento para la gestión de ejercicios de derechos en materia de protección de datos; Procedimiento para la destrucción de la información de manera segura. - Revisión de la EIPD siempre que se produzca algún cambio en el ciclo de vida de los datos, cuando se pretenda añadir una nueva funcionalidad en la aplicación o cambiar la finalidad del tratamiento; así como en caso de que se produzca un cambio legal y normativo que pueda afectar la actividad de tratamiento. - Revisión anual de los Análisis de riesgos de seguridad y privacidad. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/28 La EIPD realizada por la Consejería de Sanidad de la Comunidad de Madrid incluye anexo un informe de Análisis de riesgos. Política de privacidad de la aplicación Consta en el expediente la Política de privacidad de la aplicación, que contiene, entre otros aspectos, la siguiente información: - Responsable del tratamiento: señalando que es la Viceconsejería de Asistencia Sanitaria de la Consejería de Sanidad de la Comunidad de Madrid (“CSCM”). Dirección: Plaza Carlos Trías Bertrán, 7. Edificio Sollube II, 28020, Madrid. - Delegado de Protección de Datos: Comité DPD de la Consejería de Sanidad de la Comunidad de Madrid. — Dirección DPD: Calle Melchor Fernández Almagro, 1; 28029, Madrid -Categorías de datos tratados en los siguientes términos: “– Nombre y apellidos. – Número de teléfono móvil, al que te enviaremos un primer SMS de verificación en el momento del registro. para que te podamos enviar notificaciones SMS. – DNI/NIE para posterior cruce con la tarjeta sanitaria, a los efectos de que las autoridades sanitarias puedan integrar y comparar la información de pacientes con posibles síntomas con los sistemas públicos de gestión sanitaria existentes y hacer un seguimiento y atención personalizada. – Fecha de nacimiento, con objeto de poder establecer el grupo de población en el que te encuentras y ponderar los síntomas (el rango de edad puede determinar si se trata de un grupo de riesgo). – Dirección completa, código postal y comunidad autónoma en la que estás. – Género – Geolocalización (Opcional), esto es, la localización vía GPS de tu teléfono móvil. Sólo se utilizará a la hora de registrarte y realizar tus autoevaluaciones, y únicamente en el caso de que des tu autorización para ello. – Datos de salud relacionados con los síntomas que estas experimentando. En concreto, con motivo del uso de la aplicación podremos recabar información sobre ti relacionada con patologías previas, así como la sensación de falta de aire, fiebre de +37,5º C, tos seca, si has visitado alguna zona de riesgo en los últimos 14 días, si has estado en contacto con algún paciente positivo confirmado, si tienes mucosidad en la nariz, dolor muscular y/o malestar general.” “¿Cómo obtenemos y de dónde proceden tus datos? Principalmente obtenemos tus datos directamente de ti y de tu dispositivo: — Nos los proporcionas tú directamente (p.ej. a través de formularios disponibles en la Aplicación o cuando contactas con nosotros). Recuerda que los datos que nos proporciones directamente deberán ser siempre reales, veraces y estar actualizados. Como USUARIO tendrás la obligación de actualizar o rectificar estos datos. En lo que respecta a los síntomas que estas experimentando, se te dará la posibilidad de actualizarlo mediante una nueva autoevaluación de manera periódica. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/28 — Los observados cuando usas la Aplicación o los obtenidos de tu dispositivo (p.ej. el sistema operativo de tu dispositivo o tu ubicación GPS a la hora de registrarte y realizar tus autoevaluaciones). Recuerda que puedes revisar y gestionar los permisos que otorgas a CORONAMADRID para obtener datos de tu dispositivo a través de las opciones disponibles en tu terminal, así como a través del gestor de consentimientos para la gestión de cookies a tu disposición en la página web.” - Se informa asimismo de que “Toda la información se recogerá por la Comunidad de Madrid con fines estrictamente de interés público en el ámbito de la salud pública, y ante la situación decretada por las Autoridades Públicas, a fin de proteger y salvaguardar un interés esencial para la vida de las personas, en los términos descritos en esta política de privacidad.” Enumera a continuación la legislación aplicable:        “Reglamento (UE) 2016/679, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento General de Protección de Datos) Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales. Ley 14/1986, de 25 de abril, General de Sanidad. Ley Orgánica 3/1986, de 14 de abril, de Medidas Especiales en Materia de Salud Pública. Ley 33/2011, de 4 de octubre, General de Salud Pública. Ley 41/2002, de 14 de noviembre, básica reguladora de la autonomía del paciente y de derechos y obligaciones en materia de información y documentación clínica. Real Decreto 463/2020 de 14 de marzo, por el que se declara el estado de alarma para la gestión de la situación de crisis sanitarias ocasionada por el COVID-19 que atribuye al Ministro de Sanidad la necesaria competencia en todo el territorio nacional” -La política de privacidad de la aplicación, señala en su apartado 4, bajo el título ¿Para qué y por qué utilizamos tus datos?, los siguientes fines: “La información y datos recogidos por la CSCM a través de la Aplicación serán tratados con fines estrictamente de interés público en el ámbito de la salud pública, ante la actual situación de emergencia sanitaria decretada por las Autoridades Públicas como consecuencia de la pandemia del COVID-19 y la necesidad de su control y propagación, así como para proteger y salvaguardar un interés esencial para la vida de las personas, de conformidad con la normativa de protección de datos vigente. En línea con lo anterior, se informa que el objetivo principal de la Aplicación es reducir el volumen de llamadas al número de emergencias sanitarias que trata las dudas sobre la enfermedad infecciosa COVID-19 (de la familia de infecciones del Coronavirus), tranquilizar a la población, permitir un triaje o autoevaluación inicial de posibles casos y un seguimiento posterior. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/28 A tal efecto, utilizamos tus datos para prestarte el servicio de «CORONAMADRID» y para que puedas hacer uso de sus funcionalidades de acuerdo con sus condiciones de uso. Esto implica: - - Ofrecerte información sobre el COVID-19, incluyendo el envío de notificaciones a través de la Aplicación en relación con las mejores medidas preventivas y de evaluación en cada momento. Realizar tu autoevaluación sobre la base de los síntomas médicos que nos comuniques acerca de la probabilidad de que estés infectado por el virus COVID-19 o “coronavirus”. Proporcionarte consejos prácticos, instrucciones y recomendaciones de acciones a seguir en función de tu estado de salud. Si es necesario, selección de cita para posible prueba, según diagnóstico. Recepción de resultados de la prueba y recomendaciones de actuación para la cuarentena o auto-cuarentena o cita con centro médico. Integrar, en los casos en los que así esté indicado por criterio médico, tus datos de salud en los sistemas públicos de gestión de historias clínicas de la Comunidad de Madrid, con la finalidad de prestarte la adecuada asistencia sanitaria. Autoevaluación continua diaria: Monitorización de la temperatura y parámetros básicos, cada 12 horas desde que se inicie la Aplicación, incluyendo un recordatorio en forma de alarma para que lo vayas introduciendo. En el momento del registro y la realización de las autoevaluaciones, se guardará tu localización GPS, siempre bajo tu expresa autorización, para saber dónde te encuentras y poder ofrecerte las mejores medidas preventivas y de evaluación en cada momento, así como para garantizar la calidad de los datos y su análisis epidemiológico. Básicamente esta información es recogida para entender dónde están los focos, con un fin estadístico. Es decir, se localiza cada evaluación para entender la distribución de los síntomas con datos lo más fiables posibles. Esta localización es siempre opcional y alternativamente, se podrá utilizar la dirección del domicilio proporcionada en el registro, con la finalidad de prestación de servicios sanitarios si fuera necesario. No se rastrea tu localización para finalidades distintas de las señaladas. En cualquier caso, la aplicación no realiza geofencing para determinar si el USUARIO se encuentra en su domicilio. Adicionalmente, le informamos que conforme a lo establecido en la normativa aplicable en materia de salud pública y protección de datos, y debido a la gravedad de la situación actual, se someterán tus datos personales a un proceso de anonimización, dirigido tanto a prevenir tu reidentificación directa, como indirecta, para tratarlos de forma anonimizada para las siguientes finalidades no directamente relacionadas con las funcionalidades de la CORONAMADRID: — Para finalidades estadísticas; — Para investigación biomédica, científica o histórica; y — Para archivo en interés público Estas finalidades permitirán hacer tanto un análisis anonimizado descriptivo de la situación, que permita conocer qué y por qué está ocurriendo (p.ej. las dinámicas actuales de la sintomatología en la población), así como un análisis anonimizado C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/28 predictivo sobre la evolución de esta (p.ej. cómo podrían evolucionar dichas dinámicas en el futuro). Además, estas finalidades son especialmente relevantes, no solo para conocer y predecir la situación de emergencia sanitaria actual, sino también para futuras investigaciones médicas, científicas e históricas que sean precisas llevar a cabo, entre otros objetivos, para prevenir y detectar situaciones similares que puedan tener lugar en el futuro. Por este motivo, esta información será conservada de forma anonimizada, mientras los datos continúen teniendo valor e interés científico, histórico y médico para dichas finalidades.” -Plazo de conservación de los datos. Se señala que “Sólo conservaremos y trataremos tus datos mientras sean necesarios para las finalidades indicadas en el punto 4 anterior, y durante el período que dure la situación de emergencia sanitaria, todo ello de conformidad con los principios de minimización de datos y limitación del plazo de conservación establecido por la normativa aplicable. En el momento en que finalice el periodo de conservación de tus datos, estos serán anonimizados y/o bloqueados conforme a los requisitos establecidos en la normativa aplicable.” -Destinatarios de los datos. Se aporta la siguiente información: “Además de la CSCM, tienen acceso a tus datos personales, los profesionales sanitarios y las autoridades con las que colaboramos y nos relacionamos para el cumplimiento de las finalidades arriba indicadas. El acceso a tus datos, que proporcionamos a estos terceros, es siempre para finalidades lícitas y sólo durante el periodo de tiempo estrictamente necesario para ello En concreto, es necesario el acceso a tus datos con determinados terceros que te indicamos a continuación, siempre en relación con las finalidades concretas descritas en el punto 4, y durante el periodo de tiempo estrictamente necesario para ello Entre otros, esto implica dar acceso a tus datos a: — Los profesionales sanitarios para que se pongan en contacto directamente contigo en caso de que, del resultado de la autoevaluación realizada a través de la Aplicación, se determine que necesitas atención médica ante la posibilidad de estar infectado por el coronavirus. — A requerimiento de las Autoridades (p.ej. cuerpos y fuerzas de seguridad del estado u órganos judiciales), nacionales y/o internacionales, con las que necesitemos compartir tu información, en cuyo caso se verificará siempre la licitud de las solicitudes y se garantizará que las mismas se ajustan a la normativa vigente. — Nuestros proveedores y colaboradores, así como a las empresas que estos subcontraten, los cuales nos ayudan en calidad de encargado del tratamiento al desarrollo, mantenimiento, evolución y operación de la Aplicación y nos permiten prestarte los servicios a través de ella. Ten en cuenta que estas empresas sólo C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/28 eventualmente podrán tener acceso a tus datos para llevar a cabo dichos servicios en nombre y por cuenta de la CSCM y siguiendo siempre nuestras instrucciones, y por lo tanto, en ningún momento los podrán utilizar para fines propios y/o finalidades no autorizadas.” -Se informa también sobre cuáles son los derechos de los interesados de la siguiente forma: “¿Cuáles son tus derechos y cómo puedes controlar tus datos? “La normativa te otorga una serie de derechos en relación con los datos e información que tratamos sobre ti. Concretamente, los derechos de acceso, rectificación, supresión, limitación, oposición y portabilidad. Puedes consultar el alcance y detalle completo de estos derechos en la página web de la Agencia Española de Protección de Datos (AEPD) aquí. Con carácter general, podrás ejercitar todos estos derechos (en cualquier momento y de forma gratuita) a través de comunicación escrita al Delegado de Protección de Datos de la CSCM, con domicilio en Calle Melchor Fernández Almagro, 1; 28029, Madrid, concretando tu solicitud, junto con tu documento oficial de identidad (preferiblemente acreditando identidad electrónicamente). También puedes ejercer tus derechos mediante este formulario electrónico. Aparte de todo lo anterior, tenemos obligación de indicarte que te asiste en todo momento el derecho para presentar una reclamación ante Agencia Española de Protección de Datos.” FUNDAMENTOS DE DERECHO I De acuerdo con los poderes de investigación y correctivos que el artículo 58 del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) otorga a cada autoridad de control, y según lo dispuesto en el artículo 47 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. II De conformidad con lo establecido en el artículo 55 del RGPD, la Agencia Española de Protección de Datos es competente para desempeñar las funciones que se le asignan en su artículo 57, entre ellas, la de hacer aplicar el Reglamento y promover la sensibilización de los responsables y los encargados del tratamiento acerca de las obligaciones que les incumben, así como tratar las reclamaciones presentadas por un interesado e investigar el motivo de las mismas. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/28 Corresponde, asimismo, a la Agencia Española de Protección de Datos ejercer los poderes de investigación regulados en el artículo 58.1 del mismo texto legal, entre los que figura la facultad de ordenar al responsable y al encargado del tratamiento que faciliten cualquier información que requiera para el desempeño de sus funciones. Correlativamente, el artículo 31 del RGPD establece la obligación de los responsables y encargados del tratamiento de cooperar con la autoridad de control que lo solicite en el desempeño de sus funciones. Para el caso de que éstos hayan designado un delegado de protección de datos, el artículo 39 del RGPD atribuye a éste la función de cooperar con dicha autoridad. Del mismo modo, el ordenamiento jurídico interno también prevé la posibilidad de abrir un período de información o actuaciones previas. En este sentido, el artículo 55 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, otorga esta facultad al órgano competente con el fin de conocer las circunstancias del caso concreto y la conveniencia o no de iniciar el procedimiento. III El artículo 5 del RGPD consagra un conjunto de principios a los que debe ajustarse todo tratamiento de datos personales, estableciendo lo siguiente: “1.Los datos personales serán:
8. a)tratados de manera lícita, leal y transparente en relación con el interesado («licitud, lealtad y transparencia»);
9. b)recogidos con fines determinados, explícitos y legítimos, y no serán tratados ulteriormente de manera incompatible con dichos fines; de acuerdo con el artículo 89, apartado 1, el tratamiento ulterior de los datos personales con fines de archivo en interés público, fines de investigación científica e histórica o fines estadísticos no se considerará incompatible con los fines iniciales («limitación de la finalidad»);
10. c)adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados («minimización de datos»);
11. d)exactos y, si fuera necesario, actualizados; se adoptarán todas las medidas razonables para que se supriman o rectifiquen sin dilación los datos personales que sean inexactos con respecto a los fines para los que se tratan («exactitud»);
12. e)mantenidos de forma que se permita la identificación de los interesados durante no más tiempo del necesario para los fines del tratamiento de los datos personales; los datos personales podrán conservarse durante períodos más largos siempre que se traten exclusivamente con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos, de conformidad con el artículo 89, apartado 1, sin perjuicio de la aplicación de las medidas técnicas y organizativas apropiadas que impone el presente Reglamento a fin de proteger los derechos y libertades del interesado («limitación del plazo de conservación»); C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/28
13. f)tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»). 2. El responsable del tratamiento será responsable del cumplimiento de lo dispuesto en el apartado 1 y capaz de demostrarlo («responsabilidad proactiva»)”. De conformidad con dispuesto en la letra
14. a)de dicho precepto los datos personales deben ser tratados de manera lícita. Se tiene en cuenta a este respecto lo señalado en el considerando 40 del RGPD, según el cual: “Para que el tratamiento sea lícito, los datos personales deben ser tratados con el consentimiento del interesado o sobre alguna otra base legítima establecida conforme a Derecho, ya sea en el presente Reglamento o en virtud de otro Derecho de la Unión o de los Estados miembros a que se refiera el presente Reglamento, incluida la necesidad de cumplir la obligación legal aplicable al responsable del tratamiento o la necesidad de ejecutar un contrato en el que sea parte el interesado o con objeto de tomar medidas a instancia del interesado con anterioridad a la conclusión de un contrato.” En el análisis de la licitud del tratamiento debe examinarse en primer lugar el tipo de datos que se tratan y si estos forman parte de las categorías especiales de datos a que se refiere el artículo 9 del RGPD. En este sentido, el considerando 35 del RGPD aclara que “Entre los datos personales relativos a la salud se deben incluir todos los datos relativos al estado de salud del interesado que dan información sobre su estado de salud física o mental pasado, presente o futuro. Se incluye la información sobre la persona física recogida con ocasión de su inscripción a efectos de asistencia sanitaria, o con ocasión de la prestación de tal asistencia, de conformidad con la Directiva 2011/24/UE del Parlamento Europeo y del Consejo