1/19 Procedimiento Nº: E/03832/2020 (anteriormente E/3346/2020) 940-0419 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: Con fecha de 30 de marzo de 2020 la Directora de la Agencia Española de Protección de Datos acuerda iniciar las presentes actuaciones de investigación al haber tenido conocimiento del desarrollo y puesta en marcha de varias webs/apps en relación al COVID-19 con tratamientos de datos personales, con el fin de determinar una posible vulneración de la normativa de protección de datos SEGUNDO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos, teniendo conocimiento de los siguientes extremos: 1. Con fecha de 01/04/2020 se requiere a la Consejería de Sanidad Universal y Salud Pública de la Generalitat de Valencia información y documentación sobre las apps desarrolladas con relación al COVID-19. Se obtiene respuesta de la Delegación de Protección de Datos de la Generalitat Valenciana en los siguientes términos: “1.- Esta Delegación actúa conforme a lo establecido en el artículo 19.1
(1); todo número, símbolo o dato asignado a una persona física que la identifique de manera unívoca a efectos sanitarios; la información obtenida de pruebas o exámenes de una parte del cuerpo o de una sustancia corporal, incluida la procedente de datos genéticos y muestras biológicas, y cualquier información relativa, a título de ejemplo, a una enfermedad, una discapacidad, el riesgo de padecer enfermedades, el historial médico, el tratamiento clínico o el estado fisiológico o biomédico del interesado, independientemente de su fuente, por ejemplo un médico u otro profesional sanitario, un hospital, un dispositivo médico, o una prueba diagnóstica in vitro “ El artículo 9 del RGPD dispone en su número 1 que “Quedan prohibidos el tratamiento de datos personales que revelen el origen étnico o racial, las opiniones políticas, las convicciones religiosas o filosóficas, o la afiliación sindical, y el tratamiento de datos genéticos, datos biométricos dirigidos a identificar de manera unívoca a una persona física, datos relativos a la salud o datos relativos a la vida sexual o la orientación sexual de una persona física “ No obstante, establece en su número segundo que dicho apartado no será de aplicación cuando concurra alguna de las circunstancia que a continuación enumera, de las cuales interesan en el presente supuesto las dos siguientes, contenidas en las letras
- h)e
- i)de dicho artículo:
- h)el tratamiento es necesario para fines de medicina preventiva o laboral, evaluación de la capacidad laboral del trabajador, diagnóstico médico, prestación de asistencia o tratamiento de tipo sanitario o social, o gestión de los sistemas y servicios de asistencia sanitaria y social, sobre la base del Derecho de la Unión o de los Estados miembros o en virtud de un contrato con un profesional sanitario y sin perjuicio de las condiciones y garantías contempladas en el apartado 3;
- i)el tratamiento es necesario por razones de interés público en el ámbito de la salud pública, como la protección frente a amenazas transfronterizas graves para la salud, o para garantizar elevados niveles de calidad y de seguridad de la asistencia sanitaria y de los medicamentos o productos sanitarios, sobre la base del Derecho de la Unión o de los Estados miembros que establezca medidas adecuadas y específicas para proteger los derechos y libertades del interesado, en particular el secreto profesional,” Ambas circunstancias vendrían a amparar el levantamiento de la prohibición de tratar categorías especiales de datos, debiendo complementarse la licitud del tratamiento con la existencia de alguna de las bases legitimadoras reguladas en el artículo 6 del RGPD, según el cual “1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
- a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/19
- b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
- c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
- d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
- e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
- f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
- f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones. “ Asimismo, el número 2 del artículo 6 del RGPD dispone que “Los Estados miembros podrán mantener o introducir disposiciones más específicas a fin de adaptar la aplicación de las normas del presente Reglamento con respecto al tratamiento en cumplimiento del apartado 1, letras
- c)y e), fijando de manera más precisa requisitos específicos de tratamiento y otras medidas que garanticen un tratamiento lícito y equitativo, con inclusión de otras situaciones específicas de tratamiento a tenor del capítulo IX. En este sentido, el artículo 8 de la LOPDGDD establece respecto del tratamiento de datos por obligación legal, interés público o ejercicio de poderes públicos, que: “1. El tratamiento de datos personales solo podrá considerarse fundado en el cumplimiento de una obligación legal exigible al responsable, en los términos previstos en el artículo 6.1.
- c)del Reglamento (UE) 2016/679, cuando así lo prevea una norma de Derecho de la Unión Europea o una norma con rango de ley, que podrá determinar las condiciones generales del tratamiento y los tipos de datos objeto del mismo así como las cesiones que procedan como consecuencia del cumplimiento de la obligación legal. Dicha norma podrá igualmente imponer condiciones especiales al tratamiento, tales como la adopción de medidas adicionales de seguridad u otras establecidas en el capítulo IV del Reglamento (UE) 2016/679. 2. El tratamiento de datos personales solo podrá considerarse fundado en el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable, en los términos previstos en el artículo 6.1
- e)del Reglamento (UE) 2016/679, cuando derive de una competencia atribuida por una norma con rango de ley.” Asimismo, el número segundo del artículo 9 de la misma ley dispone que “Los tratamientos de datos contemplados en las letras g),
- h)e
- i)del artículo 9.2 del Reglamento (UE) 2016/679 fundados en el Derecho español deberán estar amparados en una norma con rango de ley, que podrá establecer requisitos adicionales relativos a su seguridad y confidencialidad. En particular, dicha norma podrá amparar el tratamiento de datos en el ámbito de la salud cuando así lo exija la gestión de los sistemas y servicios de asistencia sanitaria y C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/19 social, pública y privada, o la ejecución de un contrato de seguro del que el afectado sea parte.” Complementa estas previsiones lo establecido en la disposición adicional decimoséptima de dicha Ley según la cual: “1. Se encuentran amparados en las letras g), h),
- i)y
- j)del artículo 9.2 del Reglamento (UE) 2016/679 los tratamientos de datos relacionados con la salud y de datos genéticos que estén regulados en las siguientes leyes y sus disposiciones de desarrollo:
- a)La Ley 14/1986, de 25 de abril, General de Sanidad.
- b)La Ley 31/1995, de 8 de noviembre, de Prevención de Riesgos Laborales.
- c)La Ley 41/2002, de 14 de noviembre, básica reguladora de la autonomía del paciente y de derechos y obligaciones en materia de información y documentación clínica.
- d)La Ley 16/2003, de 28 de mayo, de cohesión y calidad del Sistema Nacional de Salud.
- e)La Ley 44/2003, de 21 de noviembre, de ordenación de las profesiones sanitarias.
- f)La Ley 14/2007, de 3 de julio, de Investigación biomédica.
- g)La Ley 33/2011, de 4 de octubre, General de Salud Pública.
- h)La Ley 20/2015, de 14 de julio, de ordenación, supervisión y solvencia de las entidades aseguradoras y reaseguradoras.
- i)El texto refundido de la Ley de garantías y uso racional de los 105 medicamentos y productos sanitarios, aprobado por Real Decreto Legislativo 1/2015, de 24 de julio.
- j)El texto refundido de la Ley General de derechos de las personas con discapacidad y de su inclusión social, aprobado por Real Decreto Legislativo 1/2013 de 29 de noviembre.” En el presente caso, el análisis de la licitud del tratamiento efectuado por la Delegación de Protección de Datos de la Generalitat valenciana toma en consideración lo previsto en los artículos 6 y 9 del RGPD y la disposición adicional decimoséptima de la LOPDGDD, así como las competencias que el artículo 54 del Estatuto de Autonomía de la Comunidad Valenciana, atribuye a la misma en la prestación del servicio sanitario público. En lo que al principio de finalidad respecta, recogido en la letra b del artículo 5.1 del RGPD, la información facilitada por la Delegación de Protección de Datos de la Generalitat valenciana señala que “La aplicación móvil GVA Coronavirus es una aplicación oficial de la Conselleria de Sanitat Universal i Salut Pública, desarrollada con la finalidad de poder solicitar cita en el centro de salud en caso de presentar síntomas clínicos compatibles con infección por COVID19. A través de la app también se puede acceder a una amplia información sobre la infección causada por coronavirus COVID-19. Por tanto, supone un sistema de citas dirigido a los casos posibles de infección por el citado virus.” Se indica también que “el uso de la aplicación es para fines exclusivamente asistenciales y dicha actividad se encuentra en el Registro de Actividades de Tratamiento de la Conselleria.” En otro punto de dicha información se especifica que “las finalidades para las cuales se procederá al tratamiento de datos personales coinciden con los fines de asistencia sanitaria cuya competencia corresponde a la Consellería de Sanidad Universal y Salud Pública y que se encuentran documentadas en su Registro de Actividades de Tratamiento: http://www.san.gva.es/documents/157385/7741448/RAT-ASISTENCIA+SANITARIA.C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/19 pdf. Dichas finalidades se concretan en la solicitud de cita telefónica por motivo del COVID19, citación y seguimiento.” El artículo 5.1. contempla en su letra c, el principio de minimización de datos. En cumplimiento de tal principio se señala en la documentación aportada que los datos a tratar son los siguientes: el N.º de SIP y la fecha de nacimiento, que permiten la identificación y validación de la identidad del usuario, el teléfono de contacto, en el que se recibirá la llamada del profesional sanitario, la cita telefónica y el estado de la misma (solicitada, citada, no citada, seguimiento, no seguimiento y fin de seguimiento). Asimismo, se indica que “Si el usuario facilita un nuevo número de teléfono quedará vinculado a la cita telefónica, no sustituirá a ningún otro teléfono que se encuentre en las bases de datos de la Consellería ni se asociará a la tarjeta sanitaria SIP. El número de teléfono facilitado será utilizado exclusivamente con la finalidad de contactar con el paciente por parte del profesional sanitario, en la primera cita telefónica y sucesivas citas de seguimiento, sin que se haya previsto el uso para finalidades distintas.” Se añade que “En relación con estos tratamientos, la aplicación permite la activación de las siguientes funcionalidades del teléfono: Cámara, calendario y almacenamiento; se debe tener en cuenta que estas funciones están desactivadas por defecto en la instalación, debiendo activarlas el usuario expresamente. Ayer miércoles 22 de abril fuimos informados en la Delegación que finalmente no se va a hacer uso de las funcionalidades que ofrecen estas herramientas por lo que en la próxima actualización de la app va a ser eliminada la posibilidad de que disponga de dichos permisos.” El artículo 5.1.
- e)recoge el principio de limitación del plazo de conservación, respecto del cual la aludida documentación señala que “Tanto la información relativa a la cita telefónica solicitada por el usuario por primera vez, como la información de las siguientes consultas telefónicas de seguimiento (síntomas, tratamiento, etc.), si el profesional sanitario concluye que los síntomas que presenta el paciente efectivamente corresponden a una infección por el COVID-19, pasarán a formar parte de la Historia Clínica del paciente y, por tanto, la información se conservará durante los mismos plazos aplicables a la misma de conformidad con lo establecido en la Ley 41/2002, de 14 de noviembre, básica reguladora de la autonomía del paciente y de derechos y obligaciones en materia de información y documentación clínica.” En lo que se refiere al principio de integridad y confidencialidad de los datos contemplado en la letra
- f)del artículo 5.1 del RGPD, se declara en la documentación facilitada que “Los elementos de seguridad de este sistema tienen valor estratégico. Dada la criticidad del mismo y la naturaleza de los datos de carácter personal, que requieren el más alto nivel de protección de los que establecen, tanto la Ley Orgánica 15/1999 de 13 de diciembre de Protección de Datos de Carácter Personal como el Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la citada Ley, las medidas de seguridad implementadas garantizarán: o La identidad de los agentes implicados en la comunicación. o La privacidad de la información objeto del intercambio, de forma que ésta no sea revelada a terceros de ninguna forma, ni intencionada ni accidentalmente. o La integridad de la información, garantizando que la información recibida no ha sido manipulada en ningún punto de la comunicación (ni intencionada ni accidentalmente). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/19 o La garantía de no repudio, evitando el no reconocimiento por parte de los agentes de la realización de una operación en el sistema.” De todo ello cabe concluir que el tratamiento de datos efectuado mediante la aplicación móvil GVA Coronavirus de la Consellería de Sanitat Universal i Salut Pública de la Generalitat Valenciana, con las finalidades explícitas y determinadas señaladas en su contestación al requerimiento de información formulado por esta Agencia, se encontraría legitimado en lo previsto en los artículos 9 y 6.1, letras
- c)y
- e)del RGPD, en relación con lo previsto en los artículos 8, 9.2 y disposición adicional decimoséptima de la LOPDGDD y el artículo 54 del Estatuto de Autonomía de la Comunidad Valenciana. Ello sin perjuicio de que pudieran concurrir en el presente supuesto otras bases legitimadoras del tratamiento. Los datos a tratar se encuentran limitados a los adecuados y pertinentes para el fin declarado sin que se vaya a hacer uso de otros datos a través de otras funcionalidades del teléfono móvil. Asimismo, la conservación de los datos obtenidos a través de la app se ajusta a los plazos fijados en la Ley 41/2002, de 14 de noviembre, básica reguladora de la autonomía del paciente y de derechos y de derechos y obligaciones en materia de información y documentación clínica y se han adoptado medidas para garantizar la seguridad de los datos tratados. IV El RGPD regula en la sección primera de su capítulo III, dentro de los derechos del interesado el relativo a la transparencia de la información. El artículo 13 del mismo detalla la información que deberá facilitarse cuando los datos personales se obtengan del interesado, disponiendo que: “1. Cuando se obtengan de un interesado datos personales relativos a él, el responsable del tratamiento, en el momento en que estos se obtengan, le facilitará toda la información indicada a continuación:
- a)la identidad y los datos de contacto del responsable y, en su caso, de su representante;
- b)los datos de contacto del delegado de protección de datos, en su caso;
- c)los fines del tratamiento a que se destinan los datos personales y la base jurídica del tratamiento;
- d)cuando el tratamiento se base en el artículo 6, apartado 1, letra f), los intereses legítimos del responsable o de un tercero;
- e)los destinatarios o las categorías de destinatarios de los datos personales, en su caso;
- f)en su caso, la intención del responsable de transferir datos personales a un tercer país u organización internacional y la existencia o ausencia de una decisión de adecuación de la Comisión, o, en el caso de las transferencias indicadas en los artículos 46 o 47 o el artículo 49, apartado 1, párrafo segundo, referencia a las garantías adecuadas o apropiadas y a los medios para obtener una copia de estas o al hecho de que se hayan prestado. 2.Además de la información mencionada en el apartado 1, el responsable del tratamiento facilitará al interesado, en el momento en que se obtengan los datos personales, la siguiente información necesaria para garantizar un tratamiento de datos leal y transparente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/19
- a)el plazo durante el cual se conservarán los datos personales o, cuando no sea posible, los criterios utilizados para determinar este plazo;
- b)la existencia del derecho a solicitar al responsable del tratamiento el acceso a los datos personales relativos al interesado, y su rectificación o supresión, o la limitación de su tratamiento, o a oponerse al tratamiento, así como el derecho a la portabilidad de los datos;
- c)cuando el tratamiento esté basado en el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), la existencia del derecho a retirar el consentimiento en cualquier momento, sin que ello afecte a la licitud del tratamiento basado en el consentimiento previo a su retirada;
- d)el derecho a presentar una reclamación ante una autoridad de control;
- e)si la comunicación de datos personales es un requisito legal o contractual, o un requisito necesario para suscribir un contrato, y si el interesado está obligado a facilitar los datos personales y está informado de las posibles consecuencias de que no facilitar tales datos;
- f)la existencia de decisiones automatizas, incluida la elaboración de perfiles, a que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado.” Por su parte, la LOPDGDD en su Título III, tal y como señala la exposición de motivos de dicha Ley “adapta al Derecho español el principio de transparencia en el tratamiento del reglamento europeo, que regula el derecho de los afectados a ser informados acerca del tratamiento y recoge la denominada «información por capas» ya generalmente aceptada en ámbitos como el de la videovigilancia o la instalación de dispositivos de almacenamiento masivo de datos (tales como las «cookies»), facilitando al afectado la información básica, si bien, indicándole una dirección electrónica u otro medio que permita acceder de forma sencilla e inmediata a la restante información.” A este respecto, el artículo 11 de la LOPDGDD prevé lo siguiente: “1. Cuando los datos personales sean obtenidos del afectado el responsable del tratamiento podrá dar cumplimiento al deber de información establecido en el artículo 13 del Reglamento (UE) 2016/679 facilitando al afectado la información básica a la que se refiere el apartado siguiente e indicándole una dirección electrónica u otro medio que permita acceder de forma sencilla e inmediata a la restante información. 2. La información básica a la que se refiere el apartado anterior deberá contener, al menos:
- a)La identidad del responsable del tratamiento y de su representante, en su caso.
- b)La finalidad del tratamiento.
- c)La posibilidad de ejercer los derechos establecidos en los artículos 15 a 22 del Reglamento (UE) 2016/679. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/19 Si los datos obtenidos del afectado fueran a ser tratados para la elaboración de perfiles, la información básica comprenderá asimismo esta circunstancia. En este caso, el afectado deberá ser informado de su derecho a oponerse a la adopción de decisiones individuales automatizadas que produzcan efectos jurídicos sobre él o le afecten significativamente de modo similar, cuando concurra este derecho de acuerdo con lo previsto en el artículo 22 del Reglamento (UE) 2016/679.” El punto séptimo, del documento de respuesta de la Delegación de protección de datos de la Generalitat Valenciana, describe la información que se facilita al interesado, especificando que la app tiene acceso, tanto desde el apartado “Info.de la app” como desde el apartado “Contacto del desarrollador → Política de privacidad”, ambos en el market de descarga, a una información en la que se indica que el responsable del tratamiento de datos es la Conselleria de Sanitat Universal i Salut Pública, la finalidad del tratamiento (ponerse en contacto con el paciente para prestarle asistencia sanitaria), la posibilidad de ejercer sus derechos y dónde hacerlo, remitiendo para más información, a dos links (Protección de datos del portal web de la Conselleria de Sanitat Universal i Salut Pública y Registro de Actividades de Tratamiento: Asistencia Sanitaria) en los que se completa la información de acuerdo con lo previsto en el artículo 13 del RGPD. V El artículo 28 del RGPD regula la figura del encargado del tratamiento, estableciendo en su número tercero que “el tratamiento por el encargado se regirá por un contrato u otro acto jurídico con arreglo al Derecho de la Unión o de los Estados miembros, que vincule al encargado respecto del responsable y establezca el objeto, la duración, la naturaleza y la finalidad del tratamiento, el tipo de datos personales y categorías de interesados, y las obligaciones y derechos del responsable. (…)” A continuación especifica las estipulaciones que dicho contrato o acto jurídico debe contener. La LODPGDD en su artículo 33 contiene algunas previsiones relativas al encargado del tratamiento, entre las que se encuentra la posibilidad de entregar los datos personales a un nuevo encargado cuando así lo determine el responsable y la de que el encargado conserve debidamente bloqueados los datos en tanto pudieran derivarse responsabilidades de su relación con el responsable del tratamiento. Por otra parte, la disposición transitoria quinta de la LOPDGDD prevé que “Los contratos de encargado del tratamiento suscritos con anterioridad al 25 de mayo de 2018 al amparo de lo dispuesto en el artículo 12 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal mantendrán su vigencia hasta la fecha de vencimiento señalada en los mismos y en caso de haberse pactado de forma indefinida, hasta el 25 de mayo de 2022. Durante dichos plazos cualquiera de las partes podrá exigir a la otra la modificación del contrato a fin de que el mismo resulte conforme a lo dispuesto en el artículo 28 del Reglamento (UE) 2016/679 y en el Capítulo II del Título V de esta ley orgánica.” De la documentación aportada por el Delegado de Protección de datos de la Generalitat valenciana se desprende que el desarrollo de la citada aplicación se ha encoC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/19 mendado a la sociedad Indra Soluciones Tecnologías de la Información, S.L.U., en calidad de encargada del tratamiento. En aplicación de lo establecido en el segundo párrafo de la disposición transitoria quinta de la LOPDGDD se ha procedido a la modificación del contrato de encargado de tratamiento a fin de adaptarlo tanto a lo previsto en el artículo 28 del RGPD como a lo dispuesto en esta materia en la citada LOPDGDD, recogiendo los aspectos que en ambas normas se especifican. VI Por lo tanto, del examen de la documentación aportada relativa a la aplicación oficial GVA Coronavirus de la Consellería de Sanitat Universal i Salut Pública de la Generalitat Valenciana, entidad responsable del tratamiento, no se desprenden indicios racionales de infracción de la normativa sobre protección de datos personales analizada en los párrafos anteriores. Por lo tanto, de acuerdo con lo señalado, por la directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a la Consellería de Sanitat Universal i Salut Pública de la Generalitat Valenciana. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
- c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es