1/16 Procedimiento Nº: E/03689/2020 940-0419 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: Con fecha de 21 de abril de 2020, la Directora de la Agencia Española de Protección de Datos, acuerda iniciar las presentes actuaciones de investigación, al haber tenido conocimiento de la implantación del billete personalizado de RENFE, en todos sus canales de venta y para todos los servicios comerciales que precisen reserva de plaza como Ave, Alvia o Euromed, de la que es responsable Renfe Viajeros Sociedad Mercantil Estatal S.A., por si de tales hechos se desprendieran indicios de infracción en el ámbito competencial de la Agencia Española de Protección de Datos, y en particular sobre: 1 - Qué instrucciones ha recibido del Ministerio de Sanidad en relación con la solicitud de datos de los viajeros asociados a su número telefónico y en qué fecha. 2 - Conforme a dichas instrucciones, cuáles son las finalidades detalladas de los tratamientos relacionados con la asistencia sanitaria y el control de la epidemia. 3 - Qué medidas están previstas para accionar los protocolos adecuados para garantizar la asistencia sanitaria a los viajeros. 4 - Qué autoridades sanitarias han contemplado como destinatarios de los datos. 5 - Documentación sobre el análisis de riesgos y, en su caso, de evaluación de impacto realizada con esta iniciativa. 6Previsiones sobre el periodo de conservación de los datos relacionados con la asistencia sanitaria y el control de la epidemia. 7 - Evaluación realizada por el Delegado de Protección de Datos. SEGUNDO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos, teniendo conocimiento de los siguientes extremos:
- Con fecha de 22 de abril de 2020 se requiere a RENFE VIAJEROS SOCIEDAD MERCANTIL ESTATAL, S.A. (en adelante Renfe Viajeros) con NIF A86868189 información sobre los aspectos mencionados en el punto primero. Se obtiene respuesta del Delegado de protección de datos de dicha entidad en los siguientes términos: “PREVIA. - SOBRE EL DELEGADO DE PROTECCIÓN DE DATOS COMPARECIENTE Y EL MARCO DEL BILLETE PERSONALIZADO. El compareciente fue designado como Delegado de Protección de Datos para el Grupo empresarial del que es cabecera RENFE-Operadora E.P.E., Administración institucional vinculada o dependiente del Ministerio de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/16 Transportes, Movilidad y Agenda Urbana y, por tanto, es el responsable de la interlocución con la autoridad de control competente. Dispone del siguiente correo electrónico de contacto: ***EMAIL.1 Desde hace años las compañías ferroviarias vienen recibiendo presiones y recomendaciones para que asimilen su funcionamiento en determinados servicios al transporte aéreo, en el que los billetes identifican al viajero. Se presenta como una medida que favorece la gestión de la seguridad pública y la de los accidentes ferroviario. Aunque en España no ha llegado a convertirse en norma imperativa, una mirada por los países de nuestro entorno permite comprobar que se van implantando progresivamente medidas de identificación de los pasajeros en el transporte ferroviario. El último caso son los ferrocarriles italianos en los que, coincidiendo con las medidas aplicadas con ocasión de la grave crisis sanitaria, se han implantado billetes nominativos y la reserva obligatoria. Esta medida en Italia está permitiendo enviar notificación personalizada al viajero en el caso de que haya compartido trayecto con un viajero que, posteriormente, dé positivo en una prueba de detección del virus Covid-
- Evidentemente, la identificación del cliente / pasajero no siempre es posible y lleva en ocasiones a que el título de transporte sea intransferible pero facilita, cuando se recaba teléfono o correo electrónico, las comunicaciones entre el prestador del servicio y el pasajero, antes, durante y después del servicio. Dicha identificación, aunque no llegue a ser tan estricta como la que realizan las compañías aéreas, dificulta determinadas conductas reprobables, como el acaparamiento de billetes con ocasión de ofertas de precio reducido y colabora a la represión del fraude en el transporte, como es el caso del disfrute indebido de bonificaciones aplicables a determinados grupos. En efecto, el fraude en este servicio de interés general y esencial para la sociedad, lo que usualmente se refiere popularmente como servicio público, aprovecha en muchos casos el hecho de una anomalía típica, que en el contrato de transporte una de las partes no está en muchos casos identificada. En este marco, el proyecto billete personalizado pretende homogeneizar el tratamiento de datos con ocasión de la compra del billete, incorporando otros canales de venta, cuyo funcionamiento a estos efectos queda asimilado al de la compra a través de Internet. Consecuentemente, la actuación realizada por Renfe Viajeros, que tiene finalidad comercial, la identificación de la otra parte del contrato de transporte, no tiene relación directa con el estado de alarma. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/16 PRIMERA. – SOBRE LOS DATOS RECABADOS Y LAS INSTRUCCIONES RECIBIDAS -“Datos personales recabados de los viajeros para la emisión del Billete Personalizado, indicando cuáles son de carácter obligatorio y cuáles voluntarios.” Se recaban de los viajeros los siguientes datos personales: Nombre, (es campo obligatorio). Primer y segundo apellido, (solo el primer apellido es obligatorio). Número del documento de identidad, (campo obligatorio). Método de contacto preferido por el viajero: correo electrónico o teléfono, (solo uno de ellos es obligatorio). Tarjeta de fidelización +Renfe, (no es campo obligatorio, puede facilitarse si el pasajero dispone de ella y lo desea). No se solicitan datos personales de todos los viajeros que utilizan nuestros servicios ferroviarios. Sólo es posible recabar la identificación de la otra parte en el contrato de transporte cuando se trata de títulos de transporte que llevan asociada una reserva de plaza. Por ejemplo, no se recaban datos personales de los usuarios de Cercanías o de determinados trenes de Media Distancia. -“Instrucciones recibidas del Ministerio de Sanidad en relación con la solicitud de datos de los viajeros asociados a su número telefónico. Indicar fecha.” No se han recibido instrucciones específicas del Ministerio de Sanidad en esta entidad pública, salvo la de general cumplimiento, que revisten forma de Orden Ministerial. El objetivo de la identificación de la otra parte del contrato de transporte tiene interés comercial y no tiene como causa la emergencia sanitaria. No está previsto tratar datos de salud de los pasajeros ni ningún otro dato de categoría especial relacionado con el COVID-
- Cualquier actuación relativa a la emergencia sanitaria que involucre datos personales se realizará sólo cuando medie orden expresa de las Autoridades Sanitarias, en el ejercicio de sus competencias. SEGUNDA. – FINALIDADES DE LOS TRATAMIENTOS DE DATOS RELACIONADOS CON LA ASISTENCIA SANITARIA Y CON EL BILLETE PERSONALIZADO “Conforme a dichas instrucciones, finalidades detalladas de los tratamientos de datos personales realizados por la empresa relacionados con la asistencia sanitaria y el control de la epidemia de la COVID-19.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/16 Lo que nos ocupa es una ampliación del ámbito de recogida de datos de identificación de la otra parte en el contrato de transporte, a canales adicionales de comercialización. La finalidad de la identificación de la otra parte del contrato de transporte no es la asistencia sanitaria ni el control de la epidemia causada por el coronavirus. Como se ha indicado en la consideración anterior, dentro de las finalidades del Billete Personalizado no está el tratamiento de datos personales relacionados con la asistencia sanitaria o de ninguna otra categoría especialmente protegida. “Información detallada de las finalidades previstas para los datos que se recogen con el Billete Personalizado, incluyendo tratamientos posteriores previstos con dichos datos y criterios y garantías de protección de datos aplicados.” A continuación, vamos a tratar de explicar el contexto que motiva el lanzamiento del denominado como Billete Personalizado. Renfe Viajeros, como es bien sabido, recaba datos personales, esto es la identidad de aquellos pasajeros que adquieren billetes de tren que llevan aparejados reserva de plaza, en los canales de venta que lo permiten, como pueden ser, la web, el teléfono o las aplicaciones móviles. Con los clientes que están identificados y han facilitado datos de contacto tenemos, por tanto, la posibilidad de comunicarles aquellas incidencias, retrasos o cancelaciones que pudieran afectar a su viaje o a los servicios asociados al mismo. Por ejemplo, enviamos comunicaciones, por correo electrónico y SMS, cuando está previsto que un tren llegue con retraso, cuando dejan de funcionar las máquinas de aire acondicionado o cuando por motivos técnicos se realiza una parada durante el trayecto. Sin embargo, no teníamos posibilidad de comunicarnos con aquellos pasajeros que habían adquirido sus billetes por otros canales de venta, como, por ejemplo, las taquillas. En esos casos, ante la falta de identificación del cliente y la inexistencia de datos de contacto, no podíamos informarles sobre incidencias o información relevante para su viaje. Para Renfe Viajeros es fundamental que sus clientes mantengan la confianza en el ferrocarril como medio de transporte de elección y para ello estamos preparando una serie de medidas que aporten tranquilidad y seguridad a los pasajeros y que, en su caso, faciliten la labor de las autoridades sanitarias. En esta situación resultaba aconsejable implantar con celeridad el Billete Personalizado, de tal forma que se puedan usar los datos de contacto del viajero para informarles, antes, durante y después de su viaje, sobre incidencias, retrasos, medidas de protección y problemas de seguridad. Estamos seguros de que esta medida ayuda a incrementar la tranquilidad y percepción de seguridad en el transporte de nuestra competencia. Por otra parte, si bien no es la finalidad del tratamiento, la identificación del viajero y la disponibilidad de datos de contacto podría permitir eventualmente que, llegado el caso, si las Autoridades Sanitarias detectan un riesgo de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/16 contagio y si así lo dispusieran, se informe a los viajeros de dicho riesgo para que extremen las medidas de precaución y de distanciamiento social. Un supuesto típico sería que las Autoridades Sanitarias conociesen que un enfermo o portador del virus ha viajado en tren, y se disponga el envío de un aviso a los viajeros que han compartido vehículo. Es claro que, sea cual sea la disposición que pueda ser tomada por las Autoridades Sanitarias, Renfe Viajeros no va a tratar datos personales de la persona que las Autoridades Sanitarias identifiquen, y, por supuesto, no se los va a comunicar a otros pasajeros del tren. El aviso, en cumplimiento de lo dispuesto por las Autoridades Sanitarias respetaría siempre el anonimato. Es decir, no es, ni ha sido en ningún momento, la finalidad del Billete Personalizado tratar datos de salud de los pasajeros, ni comunicarlos a ninguna Autoridad Sanitaria. Dicha finalidad es primordial y exclusivamente comercial. Reiteramos que es de interés comercial y facilita el cumplimiento de la legislación sectorial que la otra parte del contrato esté identificada. De nuevo se advierte que no se trata de una radical novedad y que se produce una ampliación del ámbito en el cual se solicitaba ya desde hace mucho tiempo a nuestros clientes su identificación. El Billete Personalizado es ahora aplicable a aquellos canales de venta de billetes sobre los que de manera previa no se recababan datos personales, como la referida venta presencial en taquillas. Una vez explicado el contexto que ha motivado el lanzamiento del Billete Personalizado vamos a proceder a dar respuesta a analizar las finalidades, de naturaleza primordialmente comercial, de los datos recabados en el marco del Billete Personalizado son las siguientes:
(1)poder comunicar a los pasajeros incidencias e información relevante de su viaje (datos de contacto), antes, durante y después de dicho viaje; y
(2)facilitar la luchar contra el fraude en este servicio público, específicamente en la adquisición y reventa de billetes y obtención indebida de descuentos (nombre, apellido/s, número de documento de identidad). Respecto a la primera de las finalidades, relacionada con el envío de comunicaciones relacionadas con el servicio, Renfe Viajeros, como empresa ferroviaria, tiene la obligación de suministrar información sobre el servicio a sus clientes por mandato del artículo 8 del Reglamento (CE) Nº 1371/2007 de 23 de octubre de 2007 sobre los derechos y las obligaciones de los viajeros de ferrocarril. El tratamiento se enmarca también dentro de lo previsto en el artículo 18 y el Anexo II Parte II del Reglamento 1371/
- Estas obligaciones han sido recordadas por la Comisión Europea el pasado 18 de marzo con ocasión de las Directrices interpretativas sobre los Reglamentos de la UE en materia de derechos de los pasajeros en el contexto de la situación cambiante con motivo de la COVID-
- En dichas directrices se dice expresamente lo siguiente: “Antes de vender un billete, las empresas ferroviarias y los proveedores de billetes deben proporcionar a los viajeros que lo soliciten información previa al viaje, incluida información sobre cualquier actividad que pueda perturbar o retrasar los servicios. Las empresas ferroviarias deben facilitar también a los C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/16 viajeros información también durante el viaje, incluida información sobre retrasos, protección y problemas de seguridad. Además, cuando las empresas ferroviarias y las autoridades competentes, responsables de los contratos ferroviarios de servicio público, decidan interrumpir el servicio ferroviario, deberán hacer pública dicha decisión antes de su aplicación.” Después del viaje también puede ser necesaria la comunicación con el cliente, que normalmente corresponde al departamento de posventa, por varios motivos, señaladamente cuando se hayan producido incidencias. Respecto a la segunda de las finalidades, la lucha contra el fraude, Renfe Viajeros tiene un gran interés en que nuestros clientes puedan acceder a nuestros productos de acuerdo con las tarifas establecidas, así como en maximizar su beneficio. Esto es especialmente relevante en los servicios sometidos a obligaciones de servicio público, en los que la financiación por el contribuyente es evidente. A día de hoy existen multitud de tipos de fraude que se realizan en la adquisición, venta y reventa de los billetes de nuestros trenes, siendo alguno de los más significativos los siguientes: Tarifas con descuentos especiales: los pasajeros de Renfe que pertenecen a grupos determinados, (tercera edad, jóvenes, familia numerosa, etc.) se pueden beneficiar de tarifas especiales en sus billetes de tren. Ocurre de manera habitual que se adquieren billetes con tarifas especiales y que la persona que finalmente realiza el viaje no tiene derecho a la aplicación del descuento o de la tarifa especial. Robo y hackeo de tarjetas de crédito: Esta medida facilita la lucha contra el fraude consistente en la adquisición de billetes con tarjetas de crédito ilícitamente obtenidas. Estos billetes son revendidos a posteriori y el comprador, que normalmente adquiere el billete de buena fe, acaba sufriendo las consecuencias. Portales y cuentas en redes sociales de reventa de billetes de tren: en la actualidad existen portales web y cuentas en redes sociales que tienen como única finalidad la reventa de billetes con ánimo de lucro. Compran billetes de tarifas promocionales de forma masiva, acaparando las mismas, y posteriormente las venden en internet cobrando una alta comisión al viajero final. Esta actividad nada tiene que ver con el intercambio de billetes entre particulares y supone una limitación de la oferta por los cauces legales de venta y un encarecimiento artificial del precio final pagado por el uso del servicio público. El hecho de vincular un billete a una persona determinada ayudará a combatir este tipo de fraudes, puesto que dificultará el aprovechamiento de tarifas especiales por aquellos que no tienen derecho a las mismas; dificultará también la compra fraudulenta de billetes con tarjetas de las que no son propietarios y la adquisición masiva de billetes por medio de dispositivos automatizados. Esta reducción del fraude redundará en beneficio tanto del prestador del servicio público como de los usuarios. No se prevén usos ulteriores de los datos para finalidades distintas de las mencionadas con anterioridad, por lo que entendemos que no es necesario realizar el análisis descrito en el artículo 6.4 del RGPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/16 Por último, respecto a los criterios y garantías de protección de datos aplicados sobre los datos tratados en el marco del Billete Personalizado, se han realizado las siguientes acciones: Se ha incluido la actividad de tratamiento en el Registro de Actividades de Tratamiento de Datos –RAT-. Se ha informado a los interesados sobre el tratamiento de sus datos mediante información en primera capa en el punto de venta de los billetes y, en segunda capa, en la política de privacidad de la página web. Se ha informado sobre los datos de contacto del DPD. Se ha informado a los clientes sobre sus derechos en materia de protección de datos y se han habilitado canales, debidamente atendidos, para el ejercicio de dichos derechos. Se ha realizado un análisis de riesgos y una valoración sobre la necesidad de la realización de una evaluación de impacto en protección de datos, resultando esta última negativa. Se ha realizado un análisis de riesgos basado en la metodología Magerit del sistema de información involucrado en el tratamiento de los datos recabados para el Billete Personalizado. Se han desplegados los controles de seguridad derivados de la gestión de riesgos del punto anterior. TERCERA. – SOBRE LOS PRINCIPIOS DE PROTECCIÓN DE DATOS “Información sobre el cumplimiento de los principios de protección de datos, en concreto del principio de limitación de finalidad así como del de minimización de los datos recabados, según las finalidades previstas. Copia de los informes que reflejen los estudios realizados en su caso.” Se une como Anexo I, la información solicitada en este apartado. CUARTA. – SOBRE LOS PROTOCOLOS DE ASISTENCIA SANITARIA -“Medidas previstas de accionamiento de los protocolos adecuados para garantizar la asistencia sanitaria a los viajeros, en su caso.” Facilitar el acceso a la asistencia sanitaria en casos de urgencia viene obligado a cualquier persona, además de existir un deber de socorro, cuya omisión está penada. Con mayor motivo, al transportista, que está obligado a velar por la integridad de sus pasajeros, resulta de especial interés facilitar que se proporcione la asistencia sanitaria necesaria y que se guarden las medidas de profilaxis dispuestas por los poderes públicos. No obstante, la adopción de eventuales medidas específicas de interés sanitario se realizará, como no puede ser de otra manera, cuando así se ordene por las autoridades sanitarias o los servicios de emergencia. En esos casos, no está previsto el tratamiento de datos de carácter personal por parte de Renfe Viajeros, salvo que así lo ordenen, en el ámbito de su responsabilidad, las autoridades competentes. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/16 QUINTA. – SOBRE LAS AUTORIDADES SANITARIAS DESTINATARIAS DE LOS DATOS Y LAS BASES DE LEGITIMACIÓN “Autoridades sanitarias contempladas como destinatarias de los datos. Motivación legal determinada que permite el tratamiento de categorías especiales de datos personales (datos de salud). Fundamentación de esta” Como se ha expuesto en el apartado segundo, no se prevé el tratamiento de categorías especiales de datos personales con ocasión del billete personalizado. Tampoco está prevista la comunicación de datos personales recabados en el marco del Billete Personalizado a las Autoridades Sanitarias salvo que así se ordene expresamente por dichas Autoridades en el marco de sus competencias. Por otra parte, es evidente que los Juzgados y Tribunales y las Autoridades y las Fuerzas y Cuerpos de Seguridad podrán solicitar lo que la ley les permite. SEXTA. – SOBRE EL ANÁLISIS DE RIESGOS “Copia del análisis y la gestión de riesgos realizados sobre el tratamiento de datos y, en su caso, de evaluación de impacto relativa a protección de datos realizados con esta iniciativa.” Se acompaña como Anexo II el análisis de riesgos realizado sobre el tratamiento de los datos realizado con ocasión del Billete Personalizado. Se ha valorado la necesidad de realizar una evaluación de impacto y se ha considerado que, teniendo en cuenta las características del tratamiento, no es necesario realizar la evaluación de impacto en Protección de datos –EIPD. Igualmente incorporamos, como Anexo III, el análisis de riesgos del sistema involucrado en el tratamiento de los datos personales, basado en la metodología Magerit y realizado desde el punto de vista de la seguridad de la información. SÉPTIMA. – SOBRE LA CONSERVACIÓN DE LOS DATOS Y SU INTEGRACIÓN DE MANERA PERMANENTE “Previsiones sobre el periodo de conservación de los datos personales que estén relacionados con la asistencia sanitaria y el control de la epidemia de la COVID-19.” Como se ha explicado previamente, Renfe Viajeros no tiene intención de recabar ni de conservar datos de salud de los pasajeros. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/16 “Información detallada de la posible integración de dichos datos de salud en otros tratamientos de datos de los viajeros de tipo permanente.” Al no realizarse tratamiento alguno de datos de salud de los viajeros, no se van a integrar datos en otros tratamientos, ya sea dicha integración temporal o permanente. OCTAVA. – SOBRE EL REGISTRO DE ACTIVIDADES DE TRATAMIENTO “Copia de la evaluación de los tratamientos realizada por el delegado de protección de datos, en su caso. Asimismo, copia del Registro de las Actividades de Tratamiento en el que figure el conjunto de datos incorporado al Billete Personalizado y garantías de que los datos no serán utilizados con finalidades distintas a las previstas.” Se incorpora como Anexo IV ficha del Registro de Actividades de Tratamiento en el que se recoge el Billete Personalizado. NOVENA. – SOBRE TERCERAS ENTIDADES Y ENCARGADOS DE TRATAMIENTO “En su caso, terceras entidades intervinientes en los tratamientos relacionados con el “billete personalizado”. Si las hubiere, identificación de éstas y copia de los contratos/acuerdos suscritos al efecto donde consten las instrucciones para el tratamiento de los datos personales. Habría de incluirse información sobre las garantías impuestas para evitar que terceros traten los datos personales con otras finalidades. Además, si aplica, protocolos de controles específicos de cumplimiento de las estipulaciones de protección de datos fijadas en los contratos/acuerdos con los encargados del tratamiento.” Todos los tratamientos de datos relacionados con el Billete Personalizado se realizan de manera directa por Renfe Viajeros, como responsable del tratamiento, sin que tengan acceso a dichos datos personales terceras entidades o empresas. El sistema utilizado para la consulta y almacenamiento de los datos es de desarrollo propio de Renfe Viajeros.”
- Se aporta informe del Delegado de Protección de Datos del Grupo Renfe sobre el cumplimiento de los principios de protección de datos, recogidos en el artículo 5.1.b (principio de limitación de la finalidad) y 5.1.c (principio de minimización de datos) del RGPD. Se aporta también análisis de riesgos de privacidad del tratamiento de datos denominado billete personalizado, análisis de riesgos de seguridad de la información del sistema informático utilizado para dicho tratamiento y Registro de actividades del Tratamiento en lo que respecta al tratamiento de billete personalizado
- Por parte de la Inspección de Datos se han realizado las siguientes comprobaciones: Se incorporan al expediente dos publicaciones web de la entidad investigada relativas a la implantación del billete personalizado. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/16 Se accede a la Página web de venta de billetes de Renfe Viajeros comprobándose que se facilita información sobre el tratamiento de datos mediante la remisión a la lectura y aceptación de la política de privacidad de la página web de Renfe Viajeros. FUNDAMENTOS DE DERECHO I De acuerdo con los poderes de investigación y correctivos que el artículo 58 del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) otorga a cada autoridad de control, y según lo dispuesto en el artículo 47 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. II De conformidad con lo establecido en el artículo 55 del RGPD, la Agencia Española de Protección de Datos es competente para desempeñar las funciones que se le asignan en su artículo 57, entre ellas, la de hacer aplicar el Reglamento y promover la sensibilización de los responsables y los encargados del tratamiento acerca de las obligaciones que les incumben, así como tratar las reclamaciones presentadas por un interesado e investigar el motivo de las mismas. Corresponde, asimismo, a la Agencia Española de Protección de Datos ejercer los poderes de investigación regulados en el artículo 58.1 del mismo texto legal, entre los que figura la facultad de ordenar al responsable y al encargado del tratamiento que faciliten cualquier información que requiera para el desempeño de sus funciones. Correlativamente, el artículo 31 del RGPD establece la obligación de los responsables y encargados del tratamiento de cooperar con la autoridad de control que lo solicite en el desempeño de sus funciones. Para el caso de que éstos hayan designado un delegado de protección de datos, el artículo 39 del RGPD atribuye a éste la función de cooperar con dicha autoridad. Del mismo modo, el ordenamiento jurídico interno también prevé la posibilidad de abrir un período de información o actuaciones previas. En este sentido, el artículo 55 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, otorga esta facultad al órgano competente con el fin de conocer las circunstancias del caso concreto y la conveniencia o no de iniciar el procedimiento. III La presente resolución se circunscribe, en los términos de la investigación ordenada por la Directora de la Agencia Española de Protección de Datos, a determinar la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/16 adecuación al RGPD Y LOPDGDD de los tratamientos de datos personales consistentes en la recogida de datos de los pasajeros con reserva de plaza que efectúa el responsable con la finalidad de comunicar éstos a las autoridades de sanitarias. El artículo 9 del RGPD dispone en su número 1 que “Quedan prohibidos el tratamiento de datos personales que revelen el origen étnico o racial, las opiniones políticas, las convicciones religiosas o filosóficas, o la afiliación sindical, y el tratamiento de datos genéticos, datos biométricos dirigidos a identificar de manera unívoca a una persona física, datos relativos a la salud o datos relativos a la vida sexual o la orientación sexual de una persona física “. Se prohíbe así el tratamiento de datos relativos a la salud, si bien dicho apartado no resulta de aplicación, conforme a su apartado segundo, cuando concurra alguna de las circunstancias que éste enumera. Para determinar qué debe entenderse por datos relativos a la salud se tiene en cuenta lo señalado por el considerando 35 del RGPD, según el cual: “Entre los datos personales relativos a la salud se deben incluir todos los datos relativos al estado de salud del interesado que dan información sobre su estado de salud física o mental pasado, presente o futuro. Se incluye la información sobre la persona física recogida con ocasión de su inscripción a efectos de asistencia sanitaria, o con ocasión de la prestación de tal asistencia, de conformidad con la Directiva 2011/24/UE del Parlamento Europeo y del Consejo
(1); todo número, símbolo o dato asignado a una persona física que la identifique de manera unívoca a efectos sanitarios; la información obtenida de pruebas o exámenes de una parte del cuerpo o de una sustancia corporal, incluida la procedente de datos genéticos y muestras biológicas, y cualquier información relativa, a título de ejemplo, a una enfermedad, una discapacidad, el riesgo de padecer enfermedades, el historial médico, el tratamiento clínico o el estado fisiológico o biomédico del interesado, independientemente de su fuente, por ejemplo un médico u otro profesional sanitario, un hospital, un dispositivo médico, o una prueba diagnóstica in vitro“. En la documentación obrante en el expediente se especifican los datos personales que se recaban de los viajeros que compran un billete con reserva de plaza, siendo estos los siguientes: Nombre, apellidos, número de documento de identidad, método de contacto preferido por el viajero: correo electrónico o teléfono, y en su caso tarjeta de fidelización de Renfe si el pasajero dispone de ella y desea incorporar dicho dato. Ninguno de estos datos tiene el carácter de dato relacionado con la salud. En este sentido se señala reiteradamente por el responsable que no se tratan datos relacionados con la salud ni se tiene previsto su tratamiento. Se afirma así que “Renfe Viajeros no tiene intención de recabar ni de conservar datos de salud de los pasajeros” y que “Al no realizarse tratamiento alguno de datos de salud de los viajeros, no se van a integrar datos en otros tratamientos, ya sea dicha integración temporal o permanente”. Asimismo, respecto de las medidas previstas para accionar los protocolos adecuados para garantizar la asistencia sanitaria a los viajeros, en su caso, manifiesta que: “Facilitar el acceso a la asistencia sanitaria en casos de urgencia viene obligado a cualquier persona, además de existir un deber de socorro, cuya omisión está penada. Con mayor motivo, al transportista, que está obligado a velar por la integridad de sus pasajeros, resulta de especial interés facilitar que se proporcione la asistencia sanitaria C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/16 necesaria y que se guarden las medidas de profilaxis dispuestas por los poderes públicos. No obstante, la adopción de eventuales medidas específicas de interés sanitario se realizará, como no puede ser de otra manera, cuando así se ordene por las autoridades sanitarias o los servicios de emergencia. En esos casos, no está previsto el tratamiento de datos de carácter personal por parte de Renfe Viajeros, salvo que así lo ordenen, en el ámbito de su responsabilidad, las autoridades competentes”. Igualmente declara que: “No se han recibido instrucciones específicas del Ministerio de Sanidad en esta entidad pública, salvo la de general cumplimiento, que revisten forma de Orden Ministerial. El objetivo de la identificación de la otra parte del contrato de transporte tiene interés comercial y no tiene como causa la emergencia sanitaria. No está previsto tratar datos de salud de los pasajeros ni ningún otro dato de categoría especial relacionado con el COVID-19. Cualquier actuación relativa a la emergencia sanitaria que involucre datos personales se realizará sólo cuando medie orden expresa de las Autoridades Sanitarias, en el ejercicio de sus competencias”. De la documentación obrante en el expediente se desprende que no se recaban datos relacionados con la salud en la compra de billetes personalizados. En lo que se refiere al tratamiento de los datos personales recabados durante el proceso de compra de billetes, cabe señalar que todo tratamiento de datos debe responder al principio de licitud, recogido en el artículo 5.1.
- a)del RGPD según el cual “Los datos personales serán:
- a)tratados de manera lícita, leal y transparente en relación con el interesado («licitud, lealtad y transparencia») (…)”. Señala a este respecto el considerando 35 del RGPD “Para que el tratamiento sea lícito, los datos personales deben ser tratados con el consentimiento del interesado o sobre alguna otra base legítima establecida conforme a Derecho, ya sea en el presente Reglamento o en virtud de otro Derecho de la Unión o de los Estados miembros a que se refiera el presente Reglamento, incluida la necesidad de cumplir la obligación legal aplicable al responsable del tratamiento o la necesidad de ejecutar un contrato en el que sea parte el interesado o con objeto de tomar medidas a instancia del interesado con anterioridad a la conclusión de un contrato”. El artículo 6 del RGPD, bajo el título “licitud del tratamiento” dispone que “1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
- a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
- b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
- c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
- d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
- e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
- f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/16 intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
- f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones. “ Asimismo, el número 2 del artículo 6 del RGPD establece que “Los Estados miembros podrán mantener o introducir disposiciones más específicas a fin de adaptar la aplicación de las normas del presente Reglamento con respecto al tratamiento en cumplimiento del apartado 1, letras
- c)y e), fijando de manera más precisa requisitos específicos de tratamiento y otras medidas que garanticen un tratamiento lícito y equitativo, con inclusión de otras situaciones específicas de tratamiento a tenor del capítulo IX”. El número 3 del artículo 6 del RGPD dispone que “La base del tratamiento indicado en el apartado 1, letras
- c)y e), deberá ser establecida por:
- a)el Derecho de la Unión, o
- b)el Derecho de los Estados miembros que se aplique al responsable del tratamiento. La finalidad del tratamiento deberá quedar determinada en dicha base jurídica o, en lo relativo al tratamiento a que se refiere el apartado 1, letra e), será necesaria para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento. Dicha base jurídica podrá contener disposiciones específicas para adaptar la aplicación de normas del presente Reglamento, entre otras: las condiciones generales que rigen la licitud del tratamiento por parte del responsable; los tipos de datos objeto de tratamiento; los interesados afectados; las entidades a las que se pueden comunicar datos personales y los fines de tal comunicación; la limitación de la finalidad; los plazos de conservación de los datos, así como las operaciones y los procedimientos del tratamiento, incluidas las medidas para garantizar un tratamiento lícito y equitativo, como las relativas a otras situaciones específicas de tratamiento a tenor del capítulo IX. El Derecho de la Unión o de los Estados miembros cumplirá un objetivo de interés público y será proporcional al fin legítimo perseguido”. En este sentido, el artículo 8 de la LOPDGDD establece respecto del tratamiento de datos por obligación legal, interés público o ejercicio de poderes públicos, que: “1. El tratamiento de datos personales solo podrá considerarse fundado en el cumplimiento de una obligación legal exigible al responsable, en los términos previstos en el artículo 6.1.
- c)del Reglamento (UE) 2016/679, cuando así lo prevea una norma de Derecho de la Unión Europea o una norma con rango de ley, que podrá determinar las condiciones generales del tratamiento y los tipos de datos objeto del mismo así como las cesiones que procedan como consecuencia del cumplimiento de la obligación legal. Dicha norma podrá igualmente imponer condiciones especiales al tratamiento, tales como la adopción de medidas adicionales de seguridad u otras establecidas en el capítulo IV del Reglamento (UE) 2016/679. 2. El tratamiento de datos personales solo podrá considerarse fundado en el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable, en los términos previstos en el artículo 6.1
- e)del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/16 Reglamento (UE) 2016/679, cuando derive de una competencia atribuida por una norma con rango de ley”. El Real Decreto Ley 21/2020, de 9 de junio de medidas urgentes de prevención, contención y coordinación para hacer frente a la crisis sanitaria ocasionada por el COVID-19, convalidado por el Congreso de los Diputados mediante Resolución de 25 de junio de 2020 prevé en su artículo 17, relativo al transporte público de viajeros lo siguiente: “1. En los servicios de transporte público de viajeros de competencia estatal ferroviario y por carretera que estén sujetos a un contrato público o a obligaciones de servicio público, los operadores deberán ajustar los niveles de oferta a la evolución de la recuperación de la demanda, con objeto de garantizar la adecuada prestación del servicio, facilitando a los ciudadanos el acceso a sus puestos de trabajo y a los servicios básicos, y atendiendo a las medidas sanitarias que puedan acordarse para evitar el riesgo de contagio del COVID-19. En cualquier caso, deberán evitarse las aglomeraciones, así como respetarse las medidas adoptadas por los órganos competentes sobre el volumen de ocupación de vehículos y trenes. 2. Sin perjuicio de lo dispuesto en el apartado anterior, el titular de la Dirección General de Transporte Terrestre podrá adecuar la oferta de tales servicios para garantizar su correcto funcionamiento, cuando existan razones de interés general que así lo aconsejen. 3. Los operadores de transporte aéreo y terrestre interprovinciales con número de asiento preasignado deberán recabar información para contacto de todos los pasajeros y conservar los listados un mínimo de cuatro semanas con posterioridad al viaje. Asimismo, deberán facilitar estos listados a las autoridades de salud pública cuando se requieran con la finalidad de realizar la trazabilidad de contactos”. Se establece así una obligación legal de recabar información de contacto de todos los pasajeros con número de asiento preasignado, de conservar la misma durante un período mínimo de 4 semanas y de facilitar tales listados a las autoridades de salud pública cuando lo requieran con la finalidad descrita en dicha norma. Aunque en el momento en que se inició la inspección no se había publicado dicha norma, señalaba el responsable que “ Por otra parte, si bien no es la finalidad del tratamiento, la identificación del viajero y la disponibilidad de datos de contacto podría permitir eventualmente que, llegado el caso, si las Autoridades Sanitarias detectan un riesgo de contagio y si así lo dispusieran, se informe a los viajeros de dicho riesgo para que extremen las medidas de precaución y de distanciamiento social. Un supuesto típico sería que las Autoridades Sanitarias conociesen que un enfermo o portador del virus ha viajado en tren, y se disponga el envío de un aviso a los viajeros que han compartido vehículo. Es claro que, sea cual sea la disposición que pueda ser tomada por las Autoridades Sanitarias, Renfe Viajeros no va a tratar datos personales de la persona que las Autoridades Sanitarias identifiquen, y, por supuesto, no se los va a comunicar a otros pasajeros del tren. El aviso, en cumplimiento de lo dispuesto por las Autoridades Sanitarias respetaría siempre el anonimato”. Tras la publicación del Real Decreto Ley 21/2020 el tratamiento de los datos de contacto de los pasajeros con número de billete preasignado que efectúe el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/16 responsable, con independencia de otras posibles bases legitimadoras que pudieran concurrir para tratar los datos personales que se recaban durante la compra del billete con otras finalidades, a los efectos previstos y en las condiciones señaladas por el artículo 17.3 del Real Decreto Ley 21/2020 se enmarca en la obligación legal a que se refieren los artículos 6.1.c), 6.2 y 6.3 del RGPD y 8.1 de la LOPDGDD Del examen de la documentación aportada cabe concluir que no se llevan a cabo tratamientos de datos personales relacionados con la salud en la compra de billetes personalizados y que los tratamientos de recogida de datos de contacto de todos los pasajeros con reserva de plaza, su conservación durante el período fijado en el artículo 17.3 del Real Decreto Ley y su comunicación a las autoridades de salud pública cuando estas lo requieran con la finalidad de realizar la trazabilidad de contactos se encuentran legitimados en lo previsto en el artículo 6.1.c, 6.2 y 6.3 del RGPD en relación con lo previsto en el artículo 8.1 de la LOPDGDD y el artículo 17 del Real Decreto Ley 21/2020. VI Por lo tanto, los tratamientos de datos de contacto de los pasajeros con reserva de plaza que pudiera efectuar RENFE VIAJEROS SOCIEDAD MERCANTIL ESTATAL, S.A., consistentes en la recogida de datos de contacto, mantenimiento durante el período señalado en el artículo 17.3 del Real Decreto Ley 21/2020 y comunicación a las autoridades de salud pública en los términos previstos en dicho artículo resulta conforme a la normativa de protección de datos personales. Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a RENFE VIAJEROS SOCIEDAD MERCANTIL ESTATAL, S.A. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/16 Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
- c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es