E-03882-2020

1/18  Procedimiento Nº: E/03882/2020 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: Con fecha de 14 de mayo de 2020, la Directora de la Agencia Española de Protección de Datos (AEPD) instó a la Subdirección General de Inspección de Datos (SGID) a iniciar las actuaciones previas de investigación a las que se refiere el artículo 67 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD) dado que, según ha trascendido a través de los medios de comunicación, EL CORTE INGLÉS, S.A. (en adelante, ECI), con CIF A28017895, habría iniciado actuaciones destinadas a la instalación de cámaras termográficas a la entrada de sus establecimientos para medir la temperatura de los clientes. SEGUNDO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos anteriormente descritos, teniendo conocimiento de los siguientes extremos, según se desprende del escrito presentado por ECI, con número de entrada 017706/2020, en respuesta a requerimiento de esta Agencia : Sobre el contexto Según ECI señala, como parte de su escrito número 017837/2020, “ha venido diseñando planes de contingencia [ver anexo 2] ante el COVID-19 desde la perspectiva de su personal, así como de terceros que deben tener relación con nosotros: clientes, proveedores y personal de otras empresas que nos prestan servicios”. El anexo 2 de su escrito 017837/2020, titulado “PLAN DE CONTIGENCIA PARA LA REAPERTURA DE TIENDAS”, fechado el 27 de abril de 2020 y calificado como “DOCUMENTO DE USO INTERNO”, incluye, según el mismo indica, “las medidas preventivas en el reinicio de la actividad de las tiendas después de su suspensión a causa del estado de pandemia por exposición al virus COVID19”. Añade que “este plan se adaptará en cada momento a las indicaciones que establezca el Ministerio de la Sanidad u otras autoridades competentes y también a la disponibilidad en el mercado de medios preventivos, tanto sanitarios como técnicos”. Según señala, “el objetivo último del plan es que, en el momento de la reapertura, sea completa o escalonada, nuestras tiendas sean y se perciban por empleados y clientes como las más seguras y mejor preparadas”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/18 Las medidas incluidas en el plan se subdividen en cuatro apartados: “SEGURIDAD Y SALUD DE LOS EMPLEADOS”; “MEDIDAS ORGANIZATIVAS”; “INSTALACIONES Y ESPACIOS COMUNES”; e “INFORMACIÓN Y COMUNICACIÓN”. En el apartado relativo a la seguridad y salud de los empleados, se citan medidas de higiene y usos sociales, medidas respecto de los trabajadores especialmente sensibles y trabajadores sintomáticos, se contempla la realización de tests rápidos de anticuerpos, medidas de flexibilización laboral, de formación COVID, transporte de empleados, uniformes, un teléfono de ayuda al empleado así como medidas de protección personal. En el apartado sobre medidas organizativas del plan, se cita el distanciamiento social de 2 metros, el control de afluencia de clientes y toma de temperatura corporal a clientes, medidas respecto a los ascensores, probadores y devolución de artículos, así como medidas para las actividades que requieren contacto estrecho, acciones específicas por división, medidas sobre la organización del trabajo y los horarios de apertura. En el apartado relativo a instalaciones y espacios comunes, se enumeran medidas respecto a la climatización, vestuarios, salas de descanso y aseos, también respecto a la limpieza y desinfección, fuentes de agua y puertas. En el apartado sobre información y comunicación, para los empleados se contempla un nexo y correo interno así como un plan específico. Para los clientes, se prevé información telefónica y WhatsApp. También se hace referencia a la comunicación en tienda mediante cartelería y megafonía. En cuanto a las medidas relacionadas con el control de la temperatura, se prevé lo siguiente: - En el apartado relativo a la seguridad y salud de los empleados, dentro del subapartado “TRABAJADORES SINTOMÁTICOS”, se especifica que “en los accesos de personal se realizarán controles aleatorios de temperatura corporal a empleados, mediante dispositivos que permiten una lectura ágil y fiable. Es una medida disuasoria, no es necesario hacérselo a todos los empleados todos los días, sino de forma aleatoria”. - El apartado relativo a las medidas organizativas incluye el subapartado “TOMA DE TEMPERATURA CORPORAL A LOS CLIENTES” que señala que “en la medida de lo posible, se instalarán cámaras termográficas, arcos termográficos o dispositivo equivalente en las puertas de acceso de los clientes, los cuales permitirán la toma de temperatura corporal a los clientes de una forma ágil y sin esperas. Es una medida disuasoria para que no acuda la persona sintomática, así como de tranquilidad hacia el resto de los clientes y empleados”. Sobre el proceso ECI describe el sistema de captura de imágenes y medición de la temperatura de la siguiente manera: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/18 “La tecnología de imagen térmica se basa en un procedimiento de generación de imágenes sin contacto, que permite ver la radiación térmica de un objeto o cuerpo en el espectro invisible para el ojo humano (longitud infrarroja) a través de un monitor. Todo ello se hace con pleno respeto a la privacidad: la cámara no muestra detalles reconocibles para identificar rostros de las personas. [ver Anexo 1] Las cámaras térmicas convierten la radiación IR emitida por los objetos o personas con temperaturas superiores al cero absoluto, en una imagen gráfica y mide la temperatura de forma precisa. Cuando el sistema detecta una figura en la imagen que supera el umbral de temperatura que se establezca, se lanza un aviso acústico a un PC y/o un sistema de alarmas”. ECI refiere en su escrito que los tratamientos realizados durante el proceso serían los siguientes: “- Recogida: La cámara tiene un rango de captura de imagen de 2 a 9 metros y su ángulo de apertura horizontal máxima se encuentra entre los 24º a los 37,5º. Su ángulo de apertura vertical se encuentra entre 18º y 18,2º dependiendo de la lente instalada. La resolución máxima varía entre 256x192 a 384x288 pixeles. Los sensores de imágenes son los modelos ***MODELO.1 y MODELO.

1. La precisión de lectura está entre ±0,3ºC y ±0,5ºC. La capacidad de detección de rostros simultáneos es de 30 rostros. - Consulta: Se visualizarán los datos en tiempo real y únicamente por personal autorizado al efecto. El personal autorizado para esta visualización pertenece a la empresa de seguridad que presta el servicio, o a El Corte Inglés, S.A. Cabe reseñar que las imágenes se visualizan únicamente en el centro de control, el cual dispone de un control de accesos y un sistema de videovigilancia. - Interconexión: Comunicación efectuada desde la cámara, al servidor y al monitor, con el objetivo de crear una unión on-line, comunicando permanentemente los equipos. La cámara se conectará a la infraestructura de red local y exclusiva del Departamento de Prevención y Seguridad que dispone el edificio. La visualización del stream de video se logrará a través del software instalado en un ordenador certificado y un monitor dedicado dentro del centro de control. - Supresión: los datos dejan de tratarse (visualizarse) en cuanto la persona se encuentra fuera del rango de observación de la cámara, no permaneciendo información en el sistema, dado que la visión se realiza en tiempo real. La cámara se configura previamente estableciendo un marco de detección en la imagen termográfica, solamente dentro de ese marco es donde se efectuará la medición de la temperatura. Una vez fuera del marco de detección no podrá realizarse la medición.” Añade que “las características físicas de la lente influyen directamente en el tamaño del marco de detección, estando este condicionado al ángulo de apertura horizontal y vertical y a la distancia de la captura de la imagen”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/18 El anexo 1 del escrito 017837/2020 incluye una muestra de dos imágenes que, según se indica, corresponden con capturas de cámaras termográficas. Indica ECI que la cámara no muestra detalles reconocibles para identificar los rostros de las personas. Y que las cámaras termográficas no combinan imágenes con cámaras convencionales de videovigilancia. Tanto las imágenes de la cámara térmica del sistema de termografía, como las imágenes de vigilancia, pertenecen a sistemas totalmente separados, desde el punto de vista de tratamiento y almacenamiento. Además, como parte de su respuesta, ECI manifiesta que, “de llevarse a cabo las actuaciones referidas, no se realizaría ninguno de los siguientes tratamientos: Registro: NO se inscribiría o grabaría la información sobre la temperatura corporal en ningún tipo de sistema o dispositivo, automatizado o no automatizado. Estructuración: NO se ordenaría ni estructuraría la información al no realizar tratamiento alguno. Modificación: NO se alteraría o cambiaría información. Conservación: NO se almacenaría ni se mantendría la información durante un determinado período de tiempo. Extracción: NO se obtendría la información de un sistema o dispositivo original para su envío o traspaso a otro sistema o dispositivo. Difusión: NO se cederían o comunicarían datos a una persona distinta del interesado. Comunicación por transmisión: NO se enviarían los datos a otro destinatario desde su sistema o dispositivo origen a través de medios electrónicos. Cotejo: NO se analizarían los datos de dos o más tratamientos o sistemas para establecer similitudes y diferencias y desarrollar algún tipo de valoración. Limitación: NO aplicaría puesto que no se almacenan datos ni se realiza ningún tratamiento ulterior. Comunicación: NO se revelaría ningún dato a una persona distinta del interesado.” Sobre la finalidad y la base jurídica La descripción que ECI realiza de la finalidad de estos tratamientos es: “Se pretende medir la temperatura corporal de los clientes y empleados por medio de cámaras termográficas, con fin de obtener un indicador (la presencia de una temperatura corporal elevada) que posibilite detectar a clientes que presenten síntomas compatibles con el COVlD-19 (catarrales, moqueo, congestión nasal, aspecto febril) y, en su caso, informar a la persona afectada que presente estos síntomas, tal y como se indica en la página 8 del "Protocolo y Guía de Buenas Prácticas dirigidas a la actividad comercial en establecimiento físico y no sedentario" del Ministerio de Industria, Comercio y Turismo”. Según señala ECI, el documento “Protocolo y Guía de Buenas Prácticas dirigidas a la actividad comercial en establecimiento físico y no sedentario” del Ministerio de Industria, Comercio y Turismo contiene, entre otras, las siguientes recomendaciones: - “Conocimientos básicos sobre Covid-19 para su prevención: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/18 o - Los síntomas del Covid-19 son tos, fiebre y dificultad respiratoria principalmente y dolor muscular y de cabeza en algunos casos.” “Evitar la entrada al establecimiento de clientes que presenten síntomas catarrales (moqueo, congestión nasal o conjuntival, tos seca o productiva, lagrimeo, aspecto febril). En caso de que algún cliente con síntomas haya entrado al local, realizar una desinfección de todos los puntos como estanterías, carros etc., con los que haya podido tener contacto”. - “Uno de los síntomas del Covid-19 es la fiebre alta. Por ello, se recomienda a los trabajadores que se realicen un control diario de la temperatura antes de salir de su vivienda y, en caso de tener más de 37.5 grados, no acudan al trabajo y lo notifiquen a su empresa llamando al contacto médico habilitado por la compañía. Asimismo, deberán contactar con el servicio público de salud para tramitar su baja por IT y asistencia médica.” En relación con la base jurídica del tratamiento, ECI manifiesta que “según establece el RGPD UE 2016/679, la situación estaría encuadrada en las excepciones que el mismo prevé a la prohibición del tratamiento de ciertas categorías especiales de datos personales, como los datos de salud, cuando exista la necesidad de proteger los intereses vitales del interesado y/o de terceros (art. 6 y 9 del RGPD). En concreto el considerando 46 del Reglamento se refiere explícitamente al control de una epidemia y su propagación”. Aporta, además, las siguientes consideraciones: - “En el contexto laboral, el Comité Europeo de Protección de Datos (CEPD),indica que el tratamiento de datos personales puede ser necesario para cumplir con una obligación legal a la que está sujeto el empleador, como las obligaciones relacionadas con la salud y la seguridad en el lugar de trabajo, o con el interés público, como el control de enfermedades y otras amenazas para la salud”. Asimismo, cita el Real Decreto Legislativo 2/2015, por el que se aprueba el texto refundido de la Ley del Estatuto de los Trabajadores, y la Ley 31/1995, de Prevención de Riesgos Laborales, en los siguientes términos: “La decisión de establecer un control de temperatura corresponde a la empresa en virtud de la LPRL y del artículo 20 del Estatuto de los Trabajadores, que le permite adoptar las medidas que estime más oportunas de vigilancia y control para verificar el cumplimiento por el trabajador de sus obligaciones y deberes laborales. El artículo 29 de la LPRL establece que corresponde a cada trabajador velar, según sus posibilidades y mediante el cumplimiento de las medidas de prevención que en cada caso sean adoptadas, por su propia seguridad y salud en el trabajo y por la de aquellas otras personas a las que pueda afectar su actividad profesional, a causa de sus actos y omisiones en el trabajo, de conformidad con su formación y las instrucciones de la empresa. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/18 El mismo artículo 29 establece que el incumplimiento por los trabajadores de las obligaciones en materia de prevención de riesgos laborales tendrá la consideración de incumplimiento laboral a los efectos previstos en el artículo 58.1 del Estatuto de los Trabajadores. Por todo ello, el trabajador tiene actualmente la obligación legal de acudir al centro de trabajo sin fiebre, la empresa está facultada para verificar el cumplimiento de esta obligación de acuerdo con el artículo 20.3 del Estatuto de los Trabajadores. La principal conclusión que se puede obtener de un resultado positivo en el control de la temperatura es que la medida de autoprotección es eficaz y que se impide el acceso a un trabajador que podía generar un riesgo para sus compañeros”. - “El CEPD y la AEPD también citan como bases jurídicas para el tratamiento el interés público y el interés vital de contención de la pandemia al que se refiere el considerando 46 del RGPD”. Sobre los participantes ECI refiere los siguientes actores que participan en el tratamiento: - Responsable de tratamiento: ECI. - Encargados de tratamiento: las siguientes empresas de seguridad privada: - Mega2, S.L. Responsable de la instalación del sistema y su mantenimiento. Además, presta servicios de vigilantes de seguridad cuya responsabilidad es “observar los monitores y estar atentos a los avisos acústicos o alertas, y activar el protocolo pertinente”. - Securitas, S.A. Sus vigilantes tienen la responsabilidad de “observar los monitores y estar atentos a los avisos acústicos o alertas, y activar el protocolo pertinente”. - EULEN Seguridad, S.A. Sus vigilantes tienen la responsabilidad de “observar los monitores y estar atentos a los avisos acústicos o alertas, y activar el protocolo pertinente”. Explica ECI que se visualizarán los datos en tiempo real y únicamente por personal autorizado al efecto. El personal autorizado para esta visualización pertenece a la empresa de seguridad que presta el servicio, o a El Corte Inglés, S.A. Las imágenes se visualizan únicamente en el centro de control, el cual dispone de un control de accesos y un sistema de videovigilancia. El servicio de seguridad privada es prestado por vigilantes de seguridad habilitados por el Ministerio del Interior. Las empresas de seguridad, consideradas encargadas de tratamiento, tienen la responsabilidad de observar los monitores y estar atentos a los servicios acústicos o C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/18 alertas y activar el protocolo pertinente. Todo ello, de conformidad con la regulación del Ministerio del Interior de España que establece la posibilidad de realizar dichos controles con cobertura jurídica por el personal de seguridad privada, que tiene formación obligatoria en primeros auxilios, deber legal de mantener la confidencialidad, según el Artículo 31 de la Orden INT/318/20111 y que, según el artículo 32.1 de la Ley de Seguridad Privada, les corresponde, entre otras funciones, dentro de su servicio, la protección de las personas “llevando a cabo comprobaciones, registros y prevenciones necesarias para el cumplimiento de su misión”. Sobre la conservación de los datos Con respecto a la conservación de los datos obtenidos a través de este sistema, ECI manifiesta que “no se conservan datos, no se almacenan datos ni se realiza tratamiento ulterior alguno”. Añade que “el sistema se ha configurado de tal modo que únicamente la información es visualizada por el personal de seguridad en tiempo real, sin que se registre o archive información en ningún tipo de soporte. Por lo que el tratamiento de datos únicamente se da mientras el cliente pasa a través del área de observación o alcance de la cámara, tras lo cual de forma automatizada dejan de tratarse SIN QUE CONSERVEMOS DATOS EN NINGÚN TIPO DE SOPORTE”. Sobre el deber de Información En relación con el deber de información, ECI manifiesta que “se han diseñado carteles informativos, los cuales se instalarán en las puertas de acceso, para informar a los clientes, en una primera capa”. Añade que “en dichos carteles se indica donde consultar la información completa y detallada: ***URL.1”. Se ha facilitado, anexo 8 del escrito 017837/2020, copia de la cartelería con el título “CÁMARAS TERMOGRÁFICAS” y el subtítulo “CONTROL TEMPORAL DE LA TEMPERATURA CORPORAL”. Además se facilita en el cartel la siguiente información: - Responsable EL CORTE INGLÉS, S.A. Hermosilla 112, 28009, Madrid - Finalidad Garantizar la seguridad de personas, previniendo la propagación de la pandemia. Las imágenes son visionadas en tiempo real. No se conservan datos ni imágenes en ningún tipo de soporte o registro. - Legitimación El tratamiento es necesario para proteger intereses vitales del interesado o de otras personas. - Destinatarios No se cederán los datos a terceros. 1 Artículo 31 de la Orden IN/318/2011: “
2. El personal de seguridad privada guardará rigurosa reserva profesional sobre los hechos que conozca en el ejercicio de sus funciones, especialmente de las informaciones que reciba en materia de seguridad y de los datos de carácter personal que deba tratar, investigar o custodiar, y no podrá facilitar datos sobre dichos hechos más que a las personas que les hayan contra tado y a los órganos judiciales y policiales competentes para el ejercicio de sus funciones”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/18 - Derechos Los art. 15 a 22 del RGPD regulan los derechos de los afectados, no obstante, el ejercicio de estos debe ser matizado en el ámbito de la toma de temperatura, dado que no se registra dato alguno en ningún soporte. Si desea ejercitar sus derechos, de acuerdo con la legislación vigente, los interesados pueden dirigirse mediante correo electrónico a la dirección ***EMAIL.1, indicando el asunto “Control de Temperatura”. - Información Adicional Puede consultar la información completa y detallada en la web: ***URL.
3. Como parte del Anexo 8 del escrito 017837/2020 se facilita el contenido de la dirección de internet ***URL.
4. Se transcribe a continuación la información contenida en dicho enlace: “POLÍTICA DE PRIVACIDAD SOBRE CÁMARAS TERMOGRÁFICAS EN EL CORTE INGLES POLÍTICA DE PRIVACIDAD CONTROL DE TEMPERATURA RESPONSABLES: El Corte Inglés, S.A., con domicilio social en: Calle Hermosilla 112, 28009 Madrid. Contacto: ***EMAIL.
5. FINALIDAD: Garantizar la seguridad de personas, protegiendo la salud y la vida de quienes se encuentren en este centro. Contribuir a la contención de la pandemia, previniendo su propagación. Las imágenes y datos de temperatura son visionadas en tiempo real. No se conservan datos ni imágenes en ningún tipo de soporte o registro. Cuando se detectan altas temperaturas, el sistema emite una alerta, de forma que puedan tomarse decisiones precisas, en tiempo real y así reforzar las medidas de protección. Apoyando nuestro compromiso de crear un lugar más seguro, limpio y saludable para trabajar y comprar. LEGITIMACIÓN: El RGPD UE 2016/679 prevé excepciones a la prohibición del tratamiento de ciertas categorías especiales de datos personales, como los datos de salud, cuando exista la necesidad de proteger los intereses vitales del interesado y/o de terceros (art. 6 y 9 del RGPD). En concreto el considerando 46 del Reglamento se refiere explícitamente al control de una epidemia y su propagación
6. DESTINATARIOS: No se cederán datos a terceros salvo obligación legal. DERECHOS: El ejercicio de los derechos debe ser matizado, dado que la temperatura e imágenes visualizadas no son registradas en ningún tipo de soporte informatizado o en papel, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/18 por tanto, no se puede dar respuesta a ninguno de los derechos, puesto que no se registra dato alguno. De todas formas, si desea ejercitar sus derechos, de conformidad con la legislación vigente, los interesados pueden dirigirse mediante correo electrónico a la dirección delegado.protecciondatos@elcorteingles.es, indicando en el asunto “Control de Temperatura”. La persona interesada puede presentar una reclamación ante la Agencia Española de Protección de Datos, especialmente cuando no esté satisfecha con el ejercicio de sus derechos, para más detalle consulte la web https://www.agpd.es 1- Considerando 46: El tratamiento de datos personales también debe considerarse lícito cuando sea necesario para proteger un interés esencial para la vida del interesado o la de otra persona física. En principio, los datos personales únicamente deben tratarse sobre la base del interés vital de otra persona física cuando el tratamiento no pueda basarse manifiestamente en una base jurídica diferente. Ciertos tipos de tratamiento pueden responder tanto a motivos importantes de interés público como a los intereses vitales del interesado, como por ejemplo cuando el tratamiento es necesario para fines humanitarios, incluido el control de epidemias y su propagación, o en situaciones de emergencia humanitaria, sobre todo en caso de catástrofes naturales o de origen humano.” Sobre la evaluación del riesgo y medidas de seguridad Además de la información consignada en el análisis de riesgos asociado al tratamiento “Control Corporal de Temperatura” (documento anexo 9 del escrito 017837/2020 facilitado por ECI), ECI realiza una descripción de las medidas técnicas y organizativas de seguridad del tratamiento como parte de su escrito 017837/2020 en los siguientes términos: “ Con la instalación de las cámaras termográficas para medir la temperatura corporal de los clientes y en su caso informarles, se implantarán las siguientes medidas técnicas y organizativas que entendemos garantizan la seguridad del tratamiento:
7. La temperatura, en su caso, será tomada por la cámara termográfica y visualizada por el personal de seguridad. Todo ello, de conformidad con la regulación del Ministerio del Interior de España que establece la posibilidad de realizar dichos controles con cobertura jurídica por el personal de seguridad privada, que tiene formación obligatoria en primeros auxilios, deber legal de mantener la confidencialidad, según el Artículo 31 de la Orden lNT/318/2011 y que, según el artículo 32.1 de la Ley de Seguridad Privada, les corresponde, entre otras funciones, dentro de su servicio, la protección de las personas “llevando a cabo comprobaciones, registros y prevenciones necesarias para el cumplimiento de su misión”
8. Las cámaras cuentan con certificados específicos que aseguran que se trata de un producto homologado, conforme a las siguientes normas técnicas relativas a electrotécnica: [ver Anexo 3] - EN 55032:2015 - EN 61000-3-3-:2013 - EN 61000-3-2:2014 - EN 55024:2010/A1:2015 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/18 - EN 55035:2017 - EN 50130-4:2011/A1:2014” El anexo 3 del escrito del escrito 017837/2020, titulado “Certificados productos homologados conforme a estándares normalizados”, incluye un conjunto de certificados de conformidad emitidos para cámaras termográficas de las compañías “Hangzhou Hikvision Digital Technology Co., Ltd” y “ZHEJIANG DAHUA VISION TECHNOLOGY CO.,LTD”. “
9. Las cámaras vienen con certificados de calibración desde fábrica. [ver Anexo 4]” El anexo 4 del escrito del escrito 017837/2020, titulado “Certificados de calibración de las cámaras”, incluye un conjunto de certificados de calibración emitidos para cámaras termográficas de las compañías “Hangzhou Hikvision Digital Technology Co., Ltd” y “Zhe Jiang Dahua Vision Technology”. “
10. El sistema no dispone de un soporte de grabación, de forma tal, que la información generada (imágenes y metadatos con información) se utiliza para dar datos al sistema de visualización, en el momento de la alarma por alta temperatura, generándose una ventana de aviso, y pudiendo de esta forma visualizar el valor de la medida realizada, en tiempo real, y aplicar el protocolo pertinente en cada caso. Todo esto se hace con pleno respeto a la privacidad, ya que la cámara no muestra detalles reconocibles para identificar rostros. [ver Anexo 1] Ni se registra la información en ningún tipo de soporte.” El anexo 1 del escrito del escrito 017837/2020, titulado “Muestra de imágenes capturadas por las cámaras termográficas”, incluye una muestra de dos imágenes que, según se indica, corresponden con capturas de cámaras termográficas. “
11. El sistema será montado en una infraestructura de red local (LAN) de exclusividad del departamento de Prevención y Seguridad. El sistema de medición de temperatura corporal se compone de los siguientes elementos: - Cámara térmica de termografía. - Software de gestión de la cámara térmica. La cámara se conecta a una red LAN (exclusiva de Seguridad), por comunicaciones TCP/IP, de modo tal, que las imágenes se transmiten al ordenador que tiene instalado el software de gestión (ubicado en el Puesto Permanente de Seguridad), que es el que nos permite realizarla gestión de las alarmas generadas por dicha cámara (comprobación). Todos los elementos instalados disponen de usuarios y contraseñas, con diferentes niveles de acceso.(…) En el software, de los sistemas a utilizar, existirán únicamente tres roles, en los que se| podrán configurar más o menos opciones (…): C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/18 - Superusuario (H)/Administrador (D): es empleado por el instalador y mantenedor del sistema, exclusivamente, para realizar su instalación y puesta en marcha, así como los trabajos necesarios para su mantenimiento. Administrador (H)/Usuario Avanzado (D): con este rol se puede realizar la configuración de todas las opciones (siempre configurables por el superusuario). Operador (H)/Usuario normal (D): únicamente puede ver las imágenes en directo, y tratar las alarmas en tiempo real, pudiendo ver las imágenes producidas en ese momento, asociadas a dicha alarma. Dentro de estos roles, se configuran los usuarios, generándose de tal forma que se obtenga una correcta identificación y autenticación de forma inequívoca y personalizada (id de usuario + contraseña). El superusuario (o administrador, dependiendo del Software), puede además restringir la duración de vigencia de la contraseña de cada usuario. En el presente informe se incluye a modo de ejemplo las imágenes de configuración aportadas por el instalador de los proveedores (***PROVEEDOR.1 y ***PROVEEDOR.2) en las que se aprecian los usuarios creados System o Admin y Vigilante. [ver Anexo 5]” El anexo 5 del escrito del escrito 017837/2020, titulado “Imágenes de configuración extraídas del manual de los proveedores (***PROVEEDOR.1 y ***PROVEEDOR.2)”, incluye capturas de pantalla de lo que, según se indica, serían los programas de configuración de los roles de usuario de ambos proveedores. “Además de los sistemas de acceso propios del software, el ordenador en el que está instalado, tiene sus propios usuarios de acceso al sistema operativo, los cuales les permiten acceder a diferentes aspectos de configuración del mismo, siendo el usuario de funcionamiento el Vigilante (o su rol correspondiente), el cual no puede instalar o realizar ninguna acción no autorizada por el administrador del sistema (modificaciones en el software, instalación de software no autorizados, etc…). El software de las cámaras termográficas permite realizar varias consultas del log (trazas textuales de la actividad informática) en los que se registra el comportamiento de los usuarios asignados a los roles definidos. Indicándonos que usuario ha realizado la acción, y cuál ha sido, así sobre que elemento se ha actuado. [ver Anexo 6]” El anexo 6 del escrito del escrito 017837/2020, titulado “Log Software cámaras termográficas”, incluye capturas de pantalla de lo que, según se indica, serían los logs que registran los sistemas de ambos proveedores al operar con los sistemas. Así, el correspondiente a “***PROVEEDOR.2” mostraría, para cada evento, el momento, el usuario, el tipo de evento, el contenido del evento, y la dirección IP. El sistema de “***PROVEEDOR.1”, por otro lado, muestra, para cada evento: el momento, el usuario, el tipo de log (sistema u operación), la descripción, el tipo y nombre del dispositivo, el grupo, el nombre y el tipo de objeto. “En este informe se incluye el esquema tipo de red local del departamento de seguridad. [ver Anexo 7]” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/18 El anexo 7 del escrito del escrito 017837/2020, titulado “Esquema tipo de red local”, incluye un esquema de la configuración de la “RED EXCLUSIVA DE SEGURIDAD”. “
12. Se imposibilita el tratamiento o acceso no autorizado, ya que las imágenes y datos procesados por el sistema se visualizan directamente en los monitores de la sala de control del centro comercial. La citada sala cuenta con Control de Acceso Físico y Electrónico.
13. El campo de captura de las cámaras se extiende a las puertas de acceso, con un radio de alcance de 2 a 9 m.
14. Está previsto instalar cartelería en las puertas de acceso, para informar a los clientes.
15. Las cámaras termográficas no combinan imágenes con cámaras convencionales de videovigilancia, tal y como se explica a continuación: El sistema de medida de termografía corporal, basada en la utilización de la cámara térmica instalada, aun utilizando como soporte la red informática exclusiva de Seguridad, como canal de transmisión de la información desde el punto de medida hasta el centro de control, y que se utiliza como canal para las imágenes de Videovigilancia, es totalmente autónomo con relación este último, dado que utiliza un software propio y dedicado, y no se ejecuta la grabación de las imágenes sobre los grabadores o elementos de almacenamiento existentes. En consecuencia, tanto las imágenes de la cámara térmica del sistema de termografía, como las imágenes de vigilancia, pertenecen a sistemas totalmente separados, desde el punto de vista de tratamiento y almacenamiento.
16. En el departamento de Prevención y Seguridad de El Corte Inglés se custodiará un inventario de los sistemas termográficos, actualizados en todo momento. (…)” Además, el análisis de riesgos asociado al tratamiento “Control Corporal de Temperatura” de fecha 26 de mayo de 2020 (anexo 9 del escrito 017837/2020) otorga una calificación de 13,46 sobre 100 al nivel de riesgo asociado al tratamiento de control corporal de la temperatura. En esta situación, ECI ha calificado esta actividad de tratamiento como de “ESCASO RIESGO” determinando que “no es necesario realizar la EIPD en el tratamiento “Control Corporal de Temperatura”. No obstante, el documento en su interior se refiere al mismo como “informe de evaluación de impacto sobre la protección de datos personales”, e incluye, entre otra, la siguiente información: - Definición del tratamiento “CONTROL DE TEMPERATURA”. - En el apartado “RESUMEN EJECUTIVO”, incluye un conjunto de indicadores, entre los que se encuentra: - Un gráfico que describe la evolución del riesgo del tratamiento a lo largo del tiempo. Así, le asigna un nivel de 75 (sobre 100) en el primer momento (19 de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/18 mayo de 2020) y un nivel inferior a 25 (sobre 100) en el último momento que consigna el gráfico (26 de mayo de 2020). - Un “mapa de calor” que muestra la disposición de los riesgos identificados según impacto y probabilidad. No consta ningún riesgo que tenga asignada una probabilidad “Muy alta - Máxima”. Tampoco existe ninguno que tenga un impacto “Muy alto – Máximo”. - Riesgos identificados, valoraciones y medidas de control: en general, se les asigna a los riesgos identificados una calificación de la probabilidad como “BAJA- Despreciable” y del impacto como “BAJO- Despreciable”. Y para cada riesgo se enumeran las medidas de control implantadas para mitigarlos. FUNDAMENTOS DE DERECHO I De acuerdo con los poderes de investigación y correctivos que el artículo 58 del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) otorga a cada autoridad de control, y según lo dispuesto en el artículo 47 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. II En el presente caso, ECI estaría realizando la toma de temperatura corporal a empleados y clientes mediante cámaras térmicas cuya imagen no muestra detalles reconocibles para identificar los rostros de las personas ni se combina con imágenes tomadas con cámaras convencionales de videovigilancia. Estos datos se visualizarán en tiempo real y únicamente por personal perteneciente a la empresa de seguridad que presta el servicio o a ECI. Según afirma ECI, los datos no serán enviados a otro destinatario ni se revelaría ningún dato a una persona distinta del interesado. Tampoco se inscribiría o grabaría la información sobre la temperatura corporal en ningún tipo de sistema o dispositivo. Los datos dejan de tratarse (visualizarse) en cuanto la persona se encuentra fuera del área de observación de la cámara, no permaneciendo información en el sistema, dado que la visión se realiza en tiempo real. La finalidad de medir la temperatura corporal de los clientes y empleados por medio de cámaras termográficas sería obtener un indicador (la presencia de una temperatura corporal elevada) que posibilite detectar a clientes que presenten síntomas compatibles con el COVID-19 (catarrales, moqueo, congestión nasal, aspecto febril) y, en su caso, informar a la persona afectada que presente estos síntomas, tal y como se C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/18 indica en la página 8 del "Protocolo y Guía de Buenas Prácticas dirigidas a la actividad comercial en establecimiento físico y no sedentario" del Ministerio de Industria, Comercio y Turismo". Se trataría de una medida disuasoria para que no acuda la persona sintomática, así como de tranquilidad hacia el resto de los clientes y empleados. En cuanto a la base jurídica del tratamiento, ECI señala que en el contexto laboral, el Comité Europeo de Protección de Datos (CEPD),indica que el tratamiento de datos personales puede ser necesario para cumplir con una obligación legal a la que está sujeto el empleador, como las obligaciones relacionadas con la salud y la seguridad en el lugar de trabajo, o con el interés público, como el control de enfermedades y otras amenazas para la salud. Señala, además, que el CEPD y la AEPD también citan como bases jurídicas para el tratamiento el interés público y el interés vital de contención de la pandemia al que se refiere el considerando 46 del RGPD. ECI indica que la decisión de establecer un control de temperatura corresponde a la empresa en virtud de la Ley 31/1995, de 8 de noviembre, de Prevención de Riesgos Laborales (en adelante, LPRL) y del artículo 20 del Real Decreto Legislativo 2/2015, de 23 de octubre, por el que se aprueba el texto refundido de la Ley del Estatuto de los Trabajadores (en adelante, “Estatuto de los Trabajadores”), que le permite adoptar las medidas que estime más oportunas de vigilancia y control para verificar el cumplimiento por el trabajador de sus obligaciones y deberes laborales. El artículo 29 de la LPRL establece que corresponde a cada trabajador velar, según sus posibilidades y mediante el cumplimiento de las medidas de prevención que en cada caso sean adoptadas, por su propia seguridad y salud en el trabajo y por la de aquellas otras personas a las que pueda afectar su actividad profesional, a causa de sus actos y omisiones en el trabajo, de conformidad con su formación y las instrucciones de la empresa. El mismo artículo 29 establece que el incumplimiento por los trabajadores de las obligaciones en materia de prevención de riesgos laborales tendrá la consideración de incumplimiento laboral a los efectos previstos en el artículo 58.1 del Estatuto de los Trabajadores. Por todo ello, el trabajador tiene actualmente la obligación legal de acudir al centro de trabajo sin fiebre y la empresa está facultada para verificar el cumplimiento de esta obligación de acuerdo con el artículo 20.3 del Estatuto de los Trabajadores. ECI defiende que la principal conclusión que se puede obtener de un resultado positivo en el control de la temperatura es que la medida de autoprotección es eficaz y que se impide el acceso a un trabajador que podía generar un riesgo para sus compañeros. También entiende que, según establece el RGPD, la situación estaría encuadrada en las excepciones que el mismo prevé a la prohibición del tratamiento de ciertas categorías especiales de datos personales, como los datos de salud, cuando exista la necesidad de proteger los intereses vitales del interesado y/o de terceros (art. 6 y 9 del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/18 RGPD). En concreto, refiere que el considerando 46 del RGPD hace referencia explícita al control de una epidemia y su propagación. Además, la toma de temperatura es acordada no como medida aislada, sino como complementaria y dentro de un conjunto de medidas adoptadas e implementadas por ECI para evitar el contagio del COVID-19, que se detallan en el documento “PLAN DE CONTINGENCIA PARA LA REAPERTURA DE TIENDAS”, el cual será adaptado a las indicaciones que establezca el Ministerio de Sanidad u otras autoridades competentes y también a la disponibilidad en el mercado de medios preventivos, tanto sanitarios como técnicos. En definitiva, la toma de temperatura corporal no se trata de un tratamiento de datos aislado sino que está relacionado con la pandemia provocada por el COVID-
17. III En relación con la toma de temperatura de las personas como parte de las medidas adoptadas en centros de trabajo para ayudar a prevenir la propagación de la pandemia de COVID-19, se considera necesario resaltar que la temperatura corporal de las personas es un dato de salud en sí mismo, a tenor de la definición contenida en el artículo 4, apartado 15, del RGPD. Según el artículo 4 del RGPD, apartados 1 y 2, se entenderá por «datos personales»: “toda información sobre una persona física identificada o identificable”; y por «tratamiento»: “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción.” Partiendo de lo anterior, los controles de temperatura de las personas pueden constituir un tratamiento de datos de salud relativo a una persona física identificada o identificable, y como tal deben ajustarse a una de las bases jurídicas enumeradas en el artículo 6 del RGPD y concurrir alguna de las excepciones específicas que se relacionan en el artículo 9 del RGPD. Con carácter general, el empleador tiene la obligación de garantizar la seguridad y salud de las personas trabajadoras a su servicio en los aspectos relacionados con el trabajo, como se desprende de los artículos 14 y siguientes de la Ley 31/1995, de 8 de noviembre, de prevención de Riesgos Laborales. Esta obligación opera a la vez como excepción que permite el tratamiento de datos de salud, al amparo de las circunstancias previstas en el artículo 9.2.h) del RGPD, y como base jurídica que legitima el tratamiento, por cuanto el tratamiento es necesario para el cumplimiento de una obligación legal impuesta al empleador (artículo 6.1.c) del RGPD). No cabe duda de que en la actual situación de crisis sanitaria ocasionada por la COVID-19, el empleador está obligado a adoptar medidas extraordinarias encaminadas a prevenir nuevos contagios de COVID-19 y estas medidas deben aplicarse atendiendo a los criterios definidos por las autoridades sanitarias. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/18 En el ámbito de las empresas, el Ministerio de Sanidad, en su documento “Procedimiento de actuación para los servicios de prevención de riesgos laborales frente a la exposición al SARS-CoV-2”, indica que “La intervención de las empresas, a través de los servicios de prevención (SPRL), frente a la exposición al SARS-COV-2 ha sido y es crucial, adaptando su actividad con recomendaciones y medidas actualizadas de prevención (…) con el objetivo general de limitar los contagios: medidas de carácter organizativo, de protección colectiva, de protección personal, de trabajador especialmente vulnerable y nivel de riesgo, de estudio y manejo de casos y contactos ocurridos en la empresa y de colaboración en la gestión de la incapacidad temporal” y añade que “las empresas, a través de los servicios de prevención, están llamadas a colaborar con las autoridades sanitarias en la detección precoz de todos los casos compatibles con COVID-19 y sus contactos, para controlar la transmisión.” En este contexto, debe entenderse que el control de la temperatura corporal de los trabajadores realizado por los empleadores, como medida para permitir el acceso a los centros de trabajo con la finalidad de limitar los contagios, dado que la fiebre es un síntoma de la enfermedad causada por el SARS-CoV-2, como parte de un conjunto más amplio de medidas que incluyen medidas preventivas, de higiene, protectoras, etc., cumple con los criterios indicados por las autoridades sanitarias. En el caso examinado, ECI, en concordancia con los criterios indicados, ha elaborado un plan de actuación que incluye controles de temperatura corporal para cumplir con sus obligaciones en materia de salud y seguridad. En consecuencia, de acuerdo con lo razonado, este tratamiento de datos de salud de los trabajadores encuentra su legitimación en la causa prevista en el artículo 6.1.c) del RGPD y en las excepciones que habilitan el tratamiento de datos de salud, recogidas en el artículo 9.2.h) del RGPD. Finalmente, procede añadir que, respecto de la toma de temperatura de los trabajadores por vigilantes de seguridad, el TSJ de C. Valenciana, (Sala de lo Social, Sección 1ª) en su Sentencia número 2335/2020 de 22 junio (AS 2020\2050), ha considerado que tal medida puede considerarse incluida entre las funciones propias atribuidas a los vigilantes de seguridad, consistentes en la protección de las personas que puedan encontrarse en los bienes inmuebles protegidos y en el control de acceso a dichos locales, al señalar lo siguiente: “En el contexto de crisis socio-sanitaria ocasionada por el COVID-19, la toma de temperatura de los trabajadores que acceden al centro de trabajo es una medida que tiene como finalidad exclusiva evitar que personas con sintomatología que puede estar asociada al COVID 19, accedan a sus instalaciones con el correspondiente riesgo de contagio al resto de trabajadores y a posibles usuarios de los supermercados, poniendo así en peligro las medidas de contención de la pandemia y la propia integridad física de las personas que puedan llegar a encontrarse en el centro comercial, cuya vigilancia tiene encomendada la empresa de seguridad. El control en el acceso al centro es una función propia de los vigilantes y en este caso esta tarea implica la introducción de un criterio nuevo de restricción al mismo , que por el carácter excepcional de las circunstancias se proyecta tanto en la función específicamente contemplada en la norma de garantizar la seguridad de las personas que se encuentran en el local , como en la más genérica de contribuir y colaborar en el plan específico de prevención de riesgos laborales frente al COVID 19, por lo que C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/18 entendemos que la función encomendada tiene en este momento pleno encaje en las funciones legales, convencionales y contractuales atribuidas a los vigilantes de seguridad.” En definitiva, no existen en el caso que nos ocupa evidencias que justifiquen la apertura de un procedimiento sancionador. IV En relación con la toma de temperatura de los usuarios, los controles de temperatura de las personas pueden constituir un tratamiento de datos de salud relativo a una persona física identificada o identificable y, como tal, deben ajustarse a una de las bases jurídicas enumeradas en el artículo 6 del RGPD y concurrir alguna de las excepciones específicas que se relacionan en el artículo 9 del RGPD. Para determinar si en un caso concreto se ha producido un tratamiento de datos de una persona identificada o identificable, se ha de partir del tipo de dispositivo empleado y tener en cuenta otras circunstancias del proceso de la toma de temperatura que puedan hacer identificable a la persona, como en el caso de que se registre o no la temperatura corporal o que la captación de la temperatura en los establecimientos abiertos al público se realice con publicidad, de tal manera que la persona afectada pueda ser identificada por terceros. En los controles de temperatura corporal llevados a cabo por ECI para tomar la temperatura a los visitantes o clientes, se utilizan para ello cámaras termográficas que únicamente están concebidas para la toma de temperatura corporal. Cuando estos controles de temperatura no van acompañados de un control de identidad de las personas que pretenden acceder al establecimiento, es decir cuando la toma de temperatura no se vincula a una persona determinada a través de su registro o anotación, tales medidas no se encontrarían, en principio, incluidas en el ámbito de aplicación del RGPD al no asociarse la temperatura a una persona identificada o identificable. Ahora bien, denegar el acceso a una persona con motivo de su temperatura o informarle de que su temperatura corporal supera determinado umbral podría desvelar a terceros que no tienen ninguna justificación para conocerlo que la persona a la que se ha denegado la entrada o informado sobre su temperatura tiene una temperatura corporal por encima de lo considerado no relevante y, sobre todo, que puede estar contagiada por el virus, dado que la fiebre es un síntoma de la enfermedad causada por el SARS-CoV-2, por lo que será también necesario establecer en cada caso si de las concretas circunstancias que concurrieron en el proceso de toma de temperatura de una persona determinada se derivaron acontecimientos que la hicieron identificable. En el supuesto examinado, se utilizan cámaras termográficas para las mediciones de temperatura sin que este proceso vaya acompañado del registro de la temperatura obtenida de los visitantes o clientes. Tampoco se ha constatado la concurrencia de circunstancias especiales que hayan permitido vincular el citado tratamiento a una persona identificada o identificable. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/18 Por ello, de acuerdo con lo razonado, no se aprecia en este caso que el tratamiento de datos que se realiza se refiera a personas físicas identificadas o identificables, quedando en consecuencia excluido del ámbito de aplicación del RGPD V El artículo 68.1 de la LOPDGDD, referido al acuerdo de inicio del procedimiento para el ejercicio de la potestad sancionadora, establece que concluidas, en su caso, las actuaciones previas de investigación, corresponderá a la Presidencia de la Agencia Española de Protección de Datos, cuando así proceda, dictar acuerdo de inicio de procedimiento para el ejercicio de la potestad sancionadora. Una vez analizadas las razones expuestas por EL CORTE INGLÉS, S.A., que obran en el expediente, se ha constatado la falta de indicios racionales de la existencia de una infracción en el ámbito competencial de la Agencia Española de Protección de Datos, no procediendo, en consecuencia, la apertura de un procedimiento sancionador. Todo ello sin perjuicio de que la Agencia, aplicando los poderes de investigación y correctivos que ostenta, pueda llevar a cabo posteriores actuaciones relativas al tratamiento de datos referido en los antecedentes de hecho. Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones contra EL CORTE INGLÉS, S.A. SEGUNDO: NOTIFICAR la presente resolución a EL CORTE INGLÉS, S.A. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.c) de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 940-0419 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es