1/17 Procedimiento Nº: E/03884/2020 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: Con fecha de 18 de mayo de 2020, la Directora de la Agencia Española de Protección de Datos (AEPD) instó a la Subdirección General de Inspección de Datos (SGID) a iniciar las actuaciones previas de investigación a las que se refiere el artículo 67 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD) dado que, según ha trascendido a través de los medios de comunicación, METRO BILBAO, S.A. (en adelante, MB), con NIF A48541957, habría iniciado actuaciones destinadas a medir la temperatura de los pasajeros del suburbano. SEGUNDO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos anteriormente descritos, teniendo conocimiento de los siguientes extremos, según se desprende del escrito presentado por MB, con número de entrada 018048/2020, en respuesta a requerimiento de esta Agencia: Sobre el contexto Según MB señala como parte del escrito 018048/2020, “en fecha 11 de mayo de 2020, el MB decide poner en marcha en sus instalaciones un control de temperatura de los usuarios del metropolitano, en atención a la situación de emergencia causada por la enfermedad por coronavirus iniciada en 2019 (COVID-19), y con el objetivo de ofrecer a las personas una protección adicional “esperable” por parte de la entidad”. Añade además que “el motivo principal por la que se ha decidido implementar este sistema es la de “contribuir en la salvaguarda de la debida seguridad física de las personas y de sus intereses vitales, en la situación actual de emergencia por la enfermedad de coronavirus iniciada en 2019 (Covid-19)”, tanto de trabajadores como de los usuarios ya que, cuando se trata de defender vidas, no es posible, éticamente, esta diferenciación”. Sobre el proceso Según describe MB en el escrito 018048/2020, el proceso de control de temperatura consiste en: “Se instalará una cámara termográfica sin reconocimiento y sin grabación (emitiendo, por lo tanto, en tiempo real) en un espacio habilitado específicamente en determinadas estaciones del metropolitano. Para hacernos una mejor idea, lo único que captarán las cámaras será un mapa de calor de una persona/animal/cosa que C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/17 permitirá conocer la medición de temperatura sin identificación, sin grabación y sin registro de datos de las personas al no requerirse su identificación ni mediante documento oficial, ni por vía verbal. (…)” “En ningún momento se almacenará ni grabará ningún tipo de dato personal, ni de imagen, ni de temperatura, ni nombre y apellidos, ni cualquier otro dato relativo a una persona física identificada o identificable. De hecho, no se almacenará ninguna información, lo que implica la imposibilidad de identificación de una persona por recoger sólo identificadores indirectos, como el mencionado mapa de calor o la temperatura, pero sin que consten identificadores directos, como la imagen o similares, ni tampoco se almacenarán los resultados de las tomas de temperatura ni se trasladarán los resultados a otro soporte manual o automatizado. Por todo ello, se hace imposible hablar de conceptos como el registro, la comunicación, la supresión, etc… Estos supuestos deberán ser aplicables a los Responsables del Tratamiento que utilicen mecanismos que capten imagen, o cualquier otro tipo de dato personal que sea asociable a una persona identificada o identificable (no sólo asociable a persona física), y que, además, venga a constituir un tratamiento automatizado, o no automatizado que se realice en el ámbito de un “fichero”, lo que no sucede en esta situación. (…)” “La dinámica consiste en que los determinados usuarios se aproximen al espacio reservado para la medición, de forma individual, con el objetivo de medir su temperatura. Sólo en caso de que ésta exceda del valor por el que se considera, a efectos médicos, que una persona podría presentar fiebre, se realizará una segunda medición para verificar dicho resultado a través de un termómetro clínico sin contacto, y se le aconsejará, en congruencia con las indicaciones del Ministerio de Sanidad, que se dirija a su domicilio y que contacte con los servicios médicos habilitados para realizar los test de la enfermedad por coronavirus de 2019 (Covid-19). En caso contrario, ni siquiera se detendrá a la persona que haya presentado un valor por debajo de lo que se puede considerar fiebre. En todo momento, se mantendrá el anonimato de las personas puesto que no se les requiere la identificación, no se produce grabación y la imagen emitida en tiempo real es, como indicábamos, un mapa de calor que no permite identificar de manera unívoca a una persona. (…)” “El personal que llevará a cabo este control será personal sanitario cualificado, de la empresa DYA o de Cruz Roja, de forma que sepan interpretar los resultados. MB ha suscrito un acuerdo de colaboración con Técnicos de Emergencias de las referidas entidades. En cada espacio reservado para el control de temperatura, los operarios informan verbalmente a cada usuario acerca de todos los aspectos necesarios, para ofrecer la máxima transparencia posible. De forma adicional, es necesario aclarar que este tratamiento de información tendrá una duración temporal y que, salvo disposición legal que nos obligue, no se perpetuará. (…)” Asimismo, el documento anexo número 1 facilitado por MB en el escrito 018048/2020, incluye un apartado (el cuarto) titulado “Protocolo de actuación para medición de temperatura” en el que desarrolla el procedimiento utilizado. El documento incluye gráficos aclarativos de las explicaciones que efectúa. Se destaca la siguiente información contenida en el mismo: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/17 “Para realizar la operativa de medición aleatoria de temperatura de los usuarios en el transporte público, se dispondrá de los siguientes elementos técnicos: Cámara termográfica, Trípode, Punto de control, Cinta balizamiento” “El equipo constará de 2 Técnicos de Emergencias sanitarias y 1 Vigilante de Seguridad”. Según señala el propio documento, uno de los técnicos se situará en el “puesto fijo de medición” y el otro en el “puesto de selección”, mientras que al vigilante de seguridad le asigna la “vigilancia en el control”. Las funciones asignadas a los distintos puestos son las siguientes: “Puesto fijo de medición: Será el encargado de controlar la temperatura con la cámara termográfica, y de hacer una segunda medición en caso de positivo con el termómetro manual de contacto. Solo actuará en caso “positivo” (>37,3ºC), permitiendo el paso con normalidad en caso negativo. Puesto de selección: Será el responsable de seleccionar de forma aleatoria usuarios hacia la zona de medición de temperatura. Asimismo, actuará para evaluación en caso de duda por positivo (usuario que acredita enfermedad que le produce fiebre u otras casuísticas de diversa índole que pudieran darse). Puesto de Vigilancia: Vigilancia en el entorno del control para evitar posibles conflictos con usuarios.” El documento, asimismo, describe la operativa de la siguiente forma: “El Técnico 2 (Puesto de selección) irá derivando usuarios de forma aleatoria hacia el punto de control . Mientras el usuario se aproxima a la línea de validación, la cámara termográfica estará obteniendo la medición de su temperatura corporal (1 segundo). El Técnico 1 (Puesto fijo de medición) únicamente intervendrá si la cámara emite pitido o flash de alarma, lo que significará que el usuario está por encima de la temperatura programada. En caso contrario, se considerará al usuario negativo y podrá proseguir con normalidad su viaje. En caso de que la temperatura sea mayor a 37,3ºC y se haya producido la señal de alarma, el Técnico 1 (Puesto fijo de medición) informará al usuario que permanezca en el punto de control, le indicará que ha dado una temperatura superior a la recomendable y que se le va a realizar una segunda medición. Esta segunda medición se realizará utilizando el termómetro clínico sin contacto, manteniendo la distancia de un brazo extendido y tomando la temperatura apuntando a la frente. Si esta segunda toma de temperatura es inferior a 37,3º se informará amablemente al usuario que puede continuar. Si sigue dando positivo, el Técnico 1 (Puesto fijo de medición), apoyado por el Vigilante de Seguridad, le recomendará no acceder a las instalaciones o servicios. En caso de duda ante un segundo positivo de un usuario (usuario que alega alguna enfermedad diferente al COVID19, presenta un justificante o solicita algún tipo de valoración médica), se avisará al Técnico 2 (Puesto de selección) para que se persone y realice la valoración. Si se diera por válido el doble positivo, la actuación sería idéntica al caso anterior, a saber, recomendar no acceder a las instalaciones o servicios”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/17 Por último, incluye, entre otras, la siguiente observación: “(…) En ningún caso se registrarán por escrito datos personales de los usuarios, datos médicos ni imágenes de los mismos asociadas a los datos anteriores que pudieran llevar a una identificación”. En este sentido el último apartado del documento, el quinto, titulado “Análisis legal” concluye que “(…) teniendo en cuenta que el sistema utilizado para la toma de temperatura no permite asociarla a otros datos que permitan la identificación de manera directa o indirecta de las personas viajeras, no cabe aplicar la legislación vigente en materia de protección de datos”. Sobre la finalidad y la base jurídica Como parte del escrito 018048/2020, MB responde sobre la finalidad y la base jurídica del tratamiento refiriendo un conjunto de documentos que han sido incorporados al expediente mediante la correspondiente diligencia. Son los siguientes: - “Dictamen 4/2007 sobre el concepto de datos personales” del Grupo de Trabajo del Artículo 29 adoptado el 20 de junio de
- - Comunicado de la CNIL del 7 de mayo de 2020 titulado “Coronavirus (COVID19): les rappels de la CNIL sur la collecte de données personnelles par les employeurs”. - Comunicado de la “Autoriteit Persoonsgegevens” “Temperaturen en gezondheidscheck”. - “Ley Orgánica 3/1986, de 14 de abril, de Medidas Especiales en Materia de Salud Pública”. - “Ley 38/2015, de 29 de septiembre, del sector ferroviario”. - “Protocolo de actuación para la reactivación de la actividad judicial y salud profesional” del Consejo General del Poder Judicial, fechado el 29 de abril de
- - “Protocolo básico de actuación para la vuelta a los entrenamientos y el reinicio de las competiciones federadas y profesionales” del Consejo Superior de Deportes, fechado el 3 de mayo de
- - “Recomendaciones para la apertura de la actividad en las piscinas tras la crisis del Covid-19” del Ministerio de Sanidad, fechado el 14 de mayo de
- - “Ley 33/2011, de 4 de octubre, General de Salud Pública”. - “Ley 31/1995, de 8 de noviembre, de Prevención de Riesgos Laborales”. - “Procedimiento de actuación para los servicios de prevención de riesgos laborales frente a la exposición al SARS-CoV-2” del Ministerio de Sanidad, fechado el 8 de junio de
- - “Preguntas y respuestas sobre la enfermedad por coronavirus (COVID-19)” de la Organización Mundial de la Salud (OMS). - “Consejos para la población acerca de los rumores sobre el nuevo coronavirus (2019-nCoV)” de la Organización Mundial de la Salud (OMS). C/ Jorge Juan, 6 28001 – Madrid neerlandesa titulado www.aepd.es sedeagpd.gob.es 5/17 - “Decálogo sobre cómo actuar en caso de tener síntomas de COVID-19” del Ministerio de Sanidad. - “Orden SND/399/2020, de 9 de mayo, para la flexibilización de determinadas restricciones de ámbito nacional, establecidas tras la declaración del estado de alarma en aplicación de la fase 1 del Plan para la transición hacia una nueva normalidad”. - “Comunicado de la AEPD en relación con la toma de temperatura por parte de comercios, centros de trabajo y otros establecimientos” del 30 de abril de
- Según manifiesta MB en el escrito 018048/2020 en este proceso “no existe un tratamiento de datos de carácter personal”. MB sustenta esta afirmación en lo siguiente: “(…) Conforme se estipula en los primeros artículos del RGPD, y más concretamente en el artículo 2.1 relativo al ámbito material de aplicación de esta norma, “El presente Reglamento se aplica al tratamiento total o parcialmente automatizado de datos personales, así como al tratamiento no automatizado de datos personales contenidos o destinados a ser incluidos en un fichero”. Tras la descripción de la dinámica a implementar, desde nuestro punto de vista, no existe un tratamiento automatizado de datos personales, ni tampoco un tratamiento no automatizado destinado a ser incluido en un fichero, entendiendo este concepto como “todo conjunto estructurado de datos personales, accesibles con arreglo a criterios determinados, ya sea centralizado, descentralizado o repartido de forma funcional o geográfica”, de acuerdo al artículo 4 RGPD, punto sexto. Por este motivo, esta actuación debe quedar fuera del ámbito de aplicación de la normativa sobre protección de datos. (…)” “(…) Con independencia de que la situación debiera localizarse bajo la defensa de la normativa de protección de datos o no, debido a la existencia o no de tratamiento automatizado o no automatizado, de acuerdo al ámbito material de aplicación, también puede esgrimirse que, en nuestro caso concreto, la utilización de la información necesaria para cumplir con la finalidad del control de temperatura, tal y como lo ha implementado MB, no constituye un dato personal si atendemos a la definición que el propio RGPD ofrece sobre este concepto en el punto primero del artículo 4, cuando estipula que datos personales serán “toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona”. En efecto, la primera parte se divide en 4 elementos bien diferenciados, que el propio ya extinto Grupo de Trabajo del artículo 29 (GT29) ya había analizado separadamente: “Información” + “Sobre” + “Persona física” + “Identificada o identificable”. En el caso que nos ocupa, a nuestro juicio, consideramos que en la verificación de la temperatura se cumplen los 3 primeros, pero no el señalado en cuarto lugar. Es decir, por supuesto que la medición de temperatura podrá asociarse a una persona física, pero lo que no será posible, de acuerdo a los datos que MB recoge, será conocer la identidad de esa persona, de forma razonable, conforme el propio GT29 establecía, ya que no hay recogida ni asociación a otro identificador directo o indirecto (por ejemplo, nombres y C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/17 apellidos, DNI, tarjeta de pasajero o título similar, etc…) que permita conocer la identidad de una persona. En estos casos, según el informe sobre el concepto de datos personales emitido por el GT29 ya en 2007, simplemente nos encontraremos ante datos anónimos que no precisaran de la protección de la legislación sobre privacidad, por el simple hecho de que éste último derecho no se verá afectado. (…)” Además, MB apoya el argumento de que no existe tratamiento de datos personales en documentos publicados por otras autoridades de control europeas (descargados de internet e incorporados al presente expediente a través de la correspondiente diligencia). A saber: “CNIL (Francia): Reconoce públicamente que las regulaciones sobre el tratamiento de datos sólo se aplican al tratamiento automatizado (en particular, TI) o al tratamiento no automatizado de datos personales destinados a ser incluidos en un fichero. Por lo tanto, concluye que si sólo había verificación de la temperatura por medio de un termómetro manual (como, por ejemplo, de tipo infrarrojo sin contacto) a la entrada de un sitio, sin dejar rastro, ni ninguna otra operación que se lleve a cabo (como retroalimentación de información, etc.), esta situación no se encuadra bajo las regulaciones de protección de datos. Puede consultarse este comunicado en el siguiente enlace: https://www.cnil.fr/fr/coronavirus-covid-19-les-rappels-de-la-cnil-surla-collecte-de-donnees-personnelles-par-les Autoriteit Persoonsgegevens (Holanda): En la misma línea, la Autoridad de Control holandesa reconoce que el RGPD no es aplicable a situaciones en las que sólo se lea la temperatura, sin que ésta se registre ni se almacene en un sistema automatizado, tal y como es aplicable a la actuación de MB. Sí que deja abierta la situación a que dicho control pueda afectar a otros derechos, pero no al de la protección de datos en este caso. Este comunicado puede consultarse en el siguiente enlace: https://autoriteitpersoonsgegevens.nl/nl/onderwerpen/corona/temperaturen-tijdenscorona” No obstante lo anterior, MB en el escrito 018048/2020 realiza igualmente un análisis en el caso de que se entendiera que el proceso involucra el tratamiento de datos personales: “Pero, incluso si llegásemos a considerar que, efectivamente, se produjese un tratamiento de datos personales (lo que ya hemos explicado que no sería el caso en esta situación) y debiéramos identificar las legitimaciones oportunas para de tratamiento de este tipo de información, existen actualmente diferentes bases que podrían venir a “legalizar” ese tratamiento. Se exponen a continuación, de forma resumida, en congruencia con el Informe 0017/2020 sobre Covid-19 que ustedes mismos han emitido (y que anexamos como Documento 2), en el que se aborda la posibilidad de realizar un tratamiento de datos personales en el supuesto de hecho que estamos valorando, así como la problemática de la legitimación que habría para llevarlo a cabo: - Interés vital: Conforme se desprende del Considerando 46 RGPD, el tratamiento en estos casos podría estar legitimado por esta causa, al establecer que “El tratamiento de datos personales también debe considerarse lícito cuando sea necesario para proteger un interés esencial para la vida del interesado o la de otra persona física. En principio, los datos personales únicamente deben tratarse sobre la base del interés vital de otra persona física C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/17 cuando el tratamiento no pueda basarse manifiestamente en una base jurídica diferente. Ciertos tipos de tratamiento pueden responder tanto a motivos importantes de interés público como a los intereses vitales del interesado, como por ejemplo cuando el tratamiento es necesario para fines humanitarios, incluido el control de epidemias y su propagación, o en situaciones de emergencia humanitaria, sobre todo en caso de catástrofes naturales o de origen humano”. - Interés público: Salta a la vista esta posibilidad, la cual puede tener justificaciones similares a la tenida en cuenta en el apartado anterior, aunque, aquí sí, deberá tener un respaldo legal. - Obligación legal: En este caso, existen varias leyes que permitirían realizar un tratamiento de datos, no sólo la mencionada Ley 38/2015, que tiene un carácter sectorial, sino también otras con un matiz más general y que pueden abarcar más situaciones, como podrían ser, por ejemplo, Ley Orgánica 3/1986, de 14 de abril, de Medidas Especiales en Materia de Salud Pública (modificada mediante Real Decreto-ley 6/2020, de 10 de marzo, por el que se adoptan determinadas medidas urgentes en el ámbito económico y para la protección de la salud pública, publicado en el Boletín Oficial del Estado de 11 de marzo de 2020), que recoge, en su artículo 3, que “Con el fin de controlar las enfermedades transmisibles, la autoridad sanitaria, además de realizar las acciones preventivas generales, podrá adoptar las medidas oportunas para el control de los enfermos, de las personas que estén o hayan estado en contacto con los mismos y del medio ambiente inmediato, así como las que se consideren necesarias en caso de riesgo de carácter transmisible”. Cabe traer a colación aquí que la autoridad sanitaria, el Ministerio de Sanidad u organismos en los que éste delegue, ya ha publicado, a día de hoy, diferentes protocolos en donde se incluye, como medida de seguridad necesaria para la vuelta a la normalidad de esas actividades, los citados controles de temperatura. Por ejemplo, el Protocolo de actuación para la reactivación de la actividad judicial y salud profesional, del Consejo General del Poder Judicial, el Protocolo básico de actuación para la vuelta a los entrenamientos y el reinicio de las competiciones federadas y profesionales; o en las Recomendaciones para el restablecimiento de la actividad en las piscinas de uso público tras la crisis del Covid-
- Y recordemos también que el propio Gobierno de España, en la gestión de esta situación de emergencia y, concretamente, en relación con las medidas que impondrá a los extranjeros que visiten España durante el periodo que dure esta situación, prevé realizar controles de temperatura a cada persona que acceda al país, con el objetivo de garantizar la máxima seguridad sanitaria. A mayor abundamiento, en la búsqueda de más soporte legal, podríamos señalar también la Ley 33/2011, de 4 de octubre, General de Salud Pública, que recoge supuestos similares que permiten el tratamiento de datos personales siguiendo las instrucciones de las autoridades competentes. O con un carácter más concreto, también podríamos mencionar la Ley 31/1995, de 8 de noviembre, de Prevención de Riesgos Laborales (LPRL), que recoge supuestos similares (en este caso, para los trabajadores), reconociendo que es obligación del empresario garantizar la seguridad en el trabajo. Esta última obligación del empresario debe ser entendida en sentido amplio, por lo que la simple circunstancia de que los empleados o subcontratas del propio MB trabajen en contacto con los clientes y usuarios del mismo, implicaría la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/17 necesidad de que la protección que se le brinda a los empleados o subcontratas sea extensible a los clientes o usuarios, como consecuencia de que el acceso a las instalaciones de MB por parte de clientes o usuarios contagiados podría poner en riesgo la seguridad de los empleados o subcontratas, y la de los propios usuarios entre sí. Incluso, la falta de actuación en el cumplimiento de las obligaciones de protección de los trabajadores derivadas de la LPRL podría ser constitutiva de delito, tal y como se encuentra regulado en los artículos 316-318 del Código Penal. En este sentido, cabe recordar que esta opinión está ratificada por parte del Ministerio de Sanidad en el documento que ha elaborado relativo a “Procedimiento de actuación para los servicios de prevención de riesgos laborales frente a la exposición al SARSCOV-2” que realiza la siguiente recomendación a los servicios de prevención de riesgos laborales en su página 3: “Dado que el contacto con el virus puede afectar a entornos sanitarios y no sanitarios, corresponde a las empresas evaluar el riesgo de exposición en que se pueden encontrar las personas trabajadoras en cada una de la tareas diferenciadas que realizan y seguir las recomendaciones que sobre el particular emita el servicio de prevención, siguiendo las pautas y recomendaciones formuladas por las autoridades sanitarias”. Todo ello, recordemos, sin olvidar que el propio RGPD también contiene la posibilidad de tratar datos personales en situaciones excepcionales, como hemos expuesto anteriormente. Por tanto, una norma más que nos habilita al citado tratamiento. En definitiva, para el caso concreto que nos ocupa e incluso para más casuísticas, parece que la legitimación de un potencial tratamiento de datos personales sería una cuestión que admitiría diversas posibilidades que actúen como base de licitud en un supuesto de hecho como el que es objeto de análisis. (…)” Respecto a la referencia efectuada a la Ley 38/2015 al evaluar el posible sustento en una obligación de legal del tratamiento, MB aporta, igualmente, la siguiente información en el escrito 018048/2020: “(…) nos gustaría aludir a la Ley 38/2015, de 29 de septiembre, del Sector Ferroviario (LSF), que impone a los operadores del mercado ferroviario, así como a los administradores generales de infraestructuras ferroviarias ciertas obligaciones entre las que se encuentra la de “garantizar la seguridad” en sus funciones y atribuciones establecidas en esta Ley. Sin duda, evitar la propagación de una epidemia entra dentro de estas obligaciones que se recogen a lo largo del articulado de esta ley, aplicable directamente al MB. Así se desprende de artículos como el 64.4 LSF, cuando estipulan que “La responsabilidad de la seguridad en la circulación sobre la Red Ferroviaria de Interés General corresponde a los administradores de las infraestructuras ferroviarias y a las empresas ferroviarias que en ella operan. Los administradores de infraestructuras ferroviarias y las empresas ferroviarias aplicarán las reglas y normas de seguridad y dispondrán de unos sistemas de gestión de la seguridad, adecuados a lo dispuesto en esta ley y sus disposiciones de desarrollo, que incluirán las medidas necesarias para la evaluación y control de los riesgos de la circulación ferroviaria y su seguimiento. Se responsabilizarán, igualmente, de la seguridad de la parte del sistema ferroviario que les afecta, incluido el suministro de material y la contratación de servicios, respecto a los usuarios, clientes, trabajadores, interesados y terceros”. También es necesario traer a colación el artículo 104 LSF, que, en el apartado de Régimen Sancionador y de Inspección, establece en su apartado 3 que “El personal de los servicios de inspección que ostente esa condición, en los términos previstos en C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/17 la legislación vigente, podrá recabar de las personas físicas y jurídicas o entidades afectadas por las obligaciones establecidas en esta ley o en sus normas de desarrollo, cuantas informaciones estimen necesarias para el ejercicio de su función inspectora”, en su apartado 4 que “Corresponde a los administradores de infraestructuras ferroviarias el ejercicio de la potestad de policía en relación con la circulación ferroviaria, el uso y la defensa de la infraestructura, con la finalidad de garantizar la seguridad en el tráfico, la conservación de la infraestructura, las instalaciones y medios materiales de cualquier clase, necesarias para su explotación. Además, controlará el cumplimiento de las obligaciones que tiendan a evitar toda clase de daño, deterioro de las vías, riesgo o peligro para las personas, y el respeto de las limitaciones impuestas en relación con los terrenos inmediatos al ferrocarril a que se refiere el capítulo III del título II, formulando las denuncias, que en su caso, sean procedentes”, en su apartado 5 que “Los funcionarios del Ministerio de Fomento y de la Agencia Estatal de Seguridad Ferroviaria y el personal expresamente facultado por los administradores de infraestructuras ferroviarias para asegurar el cumplimiento de la normativa sobre seguridad en la circulación ferroviaria tendrán, en sus actos de servicio o con motivo de los mismos, la consideración de agentes de la autoridad, a efectos de la exigencia, en su caso, de la responsabilidad correspondiente a quienes ofrezcan resistencia o cometan atentado o desacato contra ellos, de obra o de palabra. En el ejercicio de las funciones señaladas en el apartado anterior el citado personal podrá requerir a las personas a las que se refiere el apartado 3 cuantas informaciones consideren necesarias y, en su caso, denunciarán ante el órgano competente para incoación del correspondiente expediente sancionador, las conductas y actuaciones que contravengan las disposiciones establecidas en la misma y en sus normas de desarrollo. Asimismo, podrán solicitar, a través de la autoridad gubernativa correspondiente, el apoyo necesario de los cuerpos y fuerzas de seguridad” y en el apartado 6 que “Los hechos constatados por el personal referido en el apartado anterior tendrán valor probatorio cuando se formalicen en documento público, observando los requisitos legales pertinentes, sin perjuicio de las pruebas que en defensa de sus respectivos derechos o intereses puedan señalar o aportar los propios interesados”. En atención a lo expuesto, MB tiene una obligación de salvaguardar los intereses referidos en líneas anteriores, pudiendo serle exigida responsabilidad por alguna omisión en este sentido, si no hubiese tomado todas las medidas de seguridad que estuviesen a su alcance y que, efectivamente, fuesen conjugadas con la afectación de otros derechos.” Por último, MB realiza el siguiente análisis en cuanto a su legitimación para llevar a cabo el proceso de control de la temperatura: “(…) el análisis sobre la cuestión de la legitimación para realizar esta acción de control de la temperatura sobre las personas en el ámbito del MB no debería atender a un criterio proactivo que consista en la búsqueda de una ley que nos permita llevar a cabo esa acción, todo lo contrario, lo que tendremos que verificar es que no exista una ley que prohíba dicha conducta ya que, conforme al principio de legalidad vigente en nuestro país y reconocido en la Constitución Española (CE), en diferentes artículos, la vinculación negativa de ese principio significaría que “lo que no está expresamente prohibido en nuestro ordenamiento jurídico, está permitido”. Esta interpretación se hace latente en diferentes preceptos de nuestra Carta Magna, como, por ejemplo, en el artículo 9 CE, el cual recoge su versión más general en su C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/17 apartado primero, en el que se estipula que “Los ciudadanos y los poderes públicos están sujetos a la Constitución y al resto del ordenamiento jurídico”, y en su apartado tercero que “La Constitución garantiza el principio de legalidad, la jerarquía normativa, la publicidad de las normas, la irretroactividad de las disposiciones sancionadoras no favorables o restrictivas de derechos individuales, la seguridad jurídica, la responsabilidad y la interdicción de la arbitrariedad de los poderes públicos”. No obstante, y en cuanto a su aplicación en el ámbito penal o administrativo, existen más preceptos en el referido Texto Constitucional que nos dan a entender esta posición. Por ejemplo, el artículo 25.1 CE, que establece que “Nadie puede ser condenado o sancionado por acciones u omisiones que en el momento de producirse no constituyan delito, falta o infracción administrativa, según la legislación vigente en aquel momento”, o también el artículo 103.1, que al establecer que “La Administración Pública sirve con objetividad los intereses generales y actúa de acuerdo con los principios de eficacia, jerarquía, descentralización, desconcentración y coordinación, con sometimiento pleno a la ley y al Derecho”, nos transmite la necesidad de regulación para poder pensar en atribuir responsabilidad por algún hecho prohibido. Entenderlo de otra forma implicaría graves perjuicios a los principios de libertad y de seguridad jurídica, algo que sería inaceptable en cualquier Estado de Derecho, y que el poder judicial castigaría con el objetivo de garantizar los valores primarios de toda democracia.” Los siguientes documentos, referidos en la exposición anterior, han sido facilitados por MB a la AEPD como parte del escrito 018048/2020: - Documento anexo número 2 del escrito 018048/2020: informe del gabinete jurídico de la AEPD N/REF 0017/
- - Documento anexo número 3 del escrito 018048/2020: “Informe jurídico acerca del tratamiento de datos relativos a la temperatura corporal de los usuarios en el metro de Bilbao”, elaborado, según figura consignado en el mismo, por el Delegado de Protección de Datos. Este informe, de manera más dilatada, profundiza en los argumentos expuestos en su escrito: el concepto de datos personales y su aplicación al presente caso; la legitimación del tratamiento en el caso de que estuviera sujeto a la normativa de protección de datos personales; la proporcionalidad del tratamiento (juicios de necesidad, idoneidad, y proporcionalidad). El documento contiene un apartado de conclusiones (pág. 15 y siguientes), entre las cuales aconseja a MB “(…) la implementación de un dispositivo que no capte ni trate ningún dato personal, lo cual aunará las características de respeto más exigentes: No se trata dato personal, por lo que no hay lesión en la privacidad; Se utiliza el medio menos lesivo, por lo que se actúa con una proporcionalidad diligente”. Asimismo, el apartado 5 (“Análisis legal”) del Documento anexo número 1 del escrito 018048/2020 (“Controles aleatorios de temperatura a usuarios”) incide igualmente en la argumentación de que el proceso de MB de control de temperatura no estaría sujeto a la normativa de protección de datos personales. Sobre los participantes Como parte del escrito 018048/2020, MB manifiesta con respecto a los participantes que, de acuerdo con los argumentos vistos en el apartado anterior (“MB no realiza un C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/17 tratamiento de datos personales”), “no cabe aquí la asunción de responsabilidades típicas de la legislación de protección de datos personales”. No obstante añade, “a efectos de transparencia con la AEPD”, la siguiente descripción de responsabilidades: - Cliente: MB, que “ha considerado necesaria la adquisición de un servicio de control de acceso en sus instalaciones, que tenga como premisa la posible existencia de síntomas relacionados con la actual pandemia ocasionada por el Covid-19”. - Prestador de servicios: DYA, que “se configura como un simple prestador de servicios sin acceso a datos, lo que no conlleva aparejada la condición de un Encargado del Tratamiento”. Como parte del escrito 018048/2020, MB adjunta el Documento anexo número 4, acuerdo firmado por DYA y MB el 10 de mayo de
- Se detallan a continuación algunos párrafos incluidos en el acuerdo: “La actual situación de emergencia sanitaria hace necesaria la adopción de medidas específicas que redunden tanto en una mayor seguridad del usuario del transporte como en una concienciación del mismo en cuanto a la necesidad de observar todas las medidas sanitarias de prevención al efecto de controlar la situación de transmisión de Covid-19.” “Un síntoma común, aunque no universal, de Covid-19 es la fiebre. Controlar la temperatura corporal de las personas antes de comenzar a trabajar y al público, ya sea antes de acceder a las estaciones o a las unidades ferroviarias, y luego recomendar que solo las personas con una temperatura corporal normal ingresen a esos espacios, podría ofrecer a los pasajeros una sensación de que las personas a su alrededor están sanas”. “DYA se compromete a la realización de medición de temperatura corporal de viajeros del ferrocarril metropolitano de Bilbao en los términos expuestos en el presente documento”. “DYA realizará una medición diaria en una estación de referencia del ferrocarril metropolitano de Bilbao”. “DYA recomendará a la persona viajera que supere el estándar de temperatura establecido, que se abstenga de continuar el viaje. La medición de temperatura en ningún caso deberá implicar tratamiento de datos de carácter personal a los efectos del Reglamento General de Protección de Datos (REGLAMENTO (UE) 2016/679). Asimismo, tampoco se realizará transmisión inalámbrica alguna de dichas imágenes o datos, manteniendo los equipos de medida con dichas funcionalidades (WiFi, Bluetooth,…) desactivadas en todo momento”. “El presente acuerdo entrará en vigor el 10 de mayo de 2020 expirando a todos los efectos en el plazo de un mes”. No se incluyen, entre la información facilitada a la AEPD, los anexos del acuerdo referidos en el mismo: “Pliego de Cláusulas Administrativas 18-LG-DC-067” y “Oferta de DYA”. Sobre la conservación de los datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/17 Según expone MB en el escrito 018048/2020, dado que no se registra ningún dato y las cámaras térmicas emiten en tiempo real, no procede establecer políticas de plazos de conservación. Sobre el deber de información Sobre este particular, MB, en el escrito 018048/2020, manifiesta lo siguiente: “Partiendo de la consideración que no se está produciendo un tratamiento de datos personales, carece de sentido la implementación de un procedimiento de información a los interesados, a efectos de la legislación sobre protección de datos. No obstante, sí que se ha dado instrucción concreta para que los operarios que tengan la función atribuida de controlar la temperatura informen verbalmente a las personas sobre la situación y la razón de dicho control, haciendo indicación de que, en ningún momento se registrarán, almacenarán o utilizarán los resultados de las mediciones para cualquier otro fin que no sea aconsejar sobre las medidas de seguridad a adoptar. De forma adicional, se dispone de toda la documentación necesaria para implementar en caso de que el MB decidiese, en el futuro, ir un paso más allá y tratar datos personales. En este sentido, ya se ha preparado un distintivo para anunciar esta recogida y tratamiento de datos personales, así como la información adicional a incluir”. MB facilita, como parte escrito 018048/2020, una imagen del distintivo que ha elaborado, y en la que se consigna: aviso de “zona termovigilada”; responsable; finalidades; indicación de cómo ejercer los derechos de protección de datos; e indicación de cómo obtener más información sobre el tratamiento. Sobre la evaluación del riesgo y medidas de seguridad MB, manifiesta que “previa implantación de este control, ha realizado un análisis de impacto para elegir la opción menos lesiva con otros derechos de las personas en juego”. Según señala, este análisis está reflejado en los informes Documento anexo número 1 (“Controles aleatorios de temperatura a usuarios”) y Documento anexo número 3 (“Informe jurídico acerca del tratamiento de datos relativos a la temperatura corporal de los usuarios en el metro de Bilbao”). Ambos documentos ya han sido analizados en el presente informe (el primero de ellos en el apartado 2 “Descripción del proceso” y el segundo en apartado 3 “Finalidad y base jurídica”). Se traslada a continuación, por su relación con el presente apartado, el contenido fundamental del capítulo “Análisis de tecnología existente. Solución adoptada” del documento “Controles aleatorios de temperatura a usuarios”: “En base a las propuestas realizadas por los proveedores de referencia podemos catalogar las soluciones existentes en tres tipologías diferentes: - Termómetros Infrarrojos sin contacto - Cámaras termográficas portátiles - Cámaras termográficas tipo ‘bullet’ C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/17 “(…) Partiendo de la premisa de que las mediciones de temperatura se van a realizar de forma aleatoria en cuanto a usuarios (no todos los usuarios pasarán por el control de temperatura) y móvil (en una estación diferente cada día) y que por tanto, los equipos deben ser fácilmente instalables y transportables, además de sencillos en su manejo, se concluye que la solución más adecuada son las cámaras termográficas portátiles. Las principales ventajas que avalan esta solución son las que a continuación se enumeran: - (…) Fiabilidad media. Error de +/ - 0,5ºC en medición de temperatura - (…) a pesar de que la medición debe realizarse en fila de a uno, no es un aspecto relevante dado que se parte de la premisa de que se realizarán mediciones aleatorias, no a todos los usuarios. No se esperan, por tanto, aglomeraciones de usuarios para pasar por los controles de medición de temperatura. Por otro lado, en lo referente al Personal que va a utilizar las cámaras termográficas portátiles, se considera conveniente que sea Personal sanitario con conocimientos en este campo para que sepa interpretar los resultados obtenidos en caso de doble positivo y pueda resolver las dudas o reclamaciones que presenten los usuarios al respecto (…)”. Además, en el escrito 018048/2020 MB resume, de la siguiente forma, las medidas que ha adoptado: - “Realizar sendos análisis técnicos y jurídicos sobre la solución a implementar de forma previa, habiéndose optado por la menos lesiva de los derechos de las personas. - No seleccionar ningún dispositivo que pudiese generar el tratamiento de datos personales. Ha sido elegida la opción menos intrusiva, y que no trata datos relativos a una persona identificada o identificable y que, por tanto, se constituyen como datos anónimos, los cuales no tienen impacto en la privacidad o intimidad de las personas. - Aconsejar a las personas que puedan venir a presentar algún síntoma relacionado con la enfermedad que ha causado la presente pandemia que se dirijan a su domicilio, y contacte con las autoridades sanitarias para verificar su estado de salud. En estricta concordancia con el mensaje y obligaciones transmitidas por las autoridades competentes en esta materia. - Adoptar esta medida con carácter temporal limitada al tiempo que dure la situación de emergencia sanitaria. - Contratar a personal sanitario cualificado para la interpretación de las mediciones que se proponen. - Informar a las personas acerca de la referida situación, verbalmente, por parte de los operarios, con el objetivo de fomentar la transparencia”. Además, como se ha visto anteriormente, el Documento anexo número 4 que recoge el acuerdo firmado entre DYA y MB, incluye la siguiente medida: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/17 “(…) tampoco se realizará transmisión inalámbrica alguna de dichas imágenes o datos, manteniendo los equipos de medida con dichas funcionalidades (WiFi, Bluetooth,…) desactivadas en todo momento”. FUNDAMENTOS DE DERECHO I De acuerdo con los poderes de investigación y correctivos que el artículo 58 del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) otorga a cada autoridad de control, y según lo dispuesto en el artículo 47 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. II En el presente caso, MB estaría realizando la toma de temperatura corporal a usuarios del metro mediante cámaras termográficas sin reconocimiento y sin grabación, que lo único que captarán será un mapa de calor de una persona/animal/cosa que permitirá conocer la medición de temperatura sin identificación, sin grabación y sin registro de datos de las personas al no requerirse su identificación. Según afirma MB, estos datos se visualizarán en tiempo real y únicamente por personal sanitario. En cuanto a la base jurídica del tratamiento, MB señala que en este proceso no existe un tratamiento de datos de carácter personal conforme se estipula en el artículo 2.1 del RGPD, dado que no existe en este caso un tratamiento automatizado de datos personales, ni tampoco un tratamiento no automatizado destinado a ser incluido en un fichero. Y, por este motivo, esta actuación debe quedar fuera del ámbito de aplicación de la normativa sobre protección de datos. Detalla que nos encontraríamos ante datos anónimos que no precisan de la protección de la legislación sobre privacidad, por el simple hecho de que este último derecho no se verá afectado. No obstante, MB realiza igualmente un análisis en el caso de que se entendiera que el proceso involucra el tratamiento de datos personales y concluye que el tratamiento podría basarse en la protección de un interés vital, en los términos del considerando 46 del RGPD, o en el interés público o el cumplimiento de una obligación legal. A este último respecto, cita la Ley Orgánica 3/1986, de 14 de abril, de Medidas Especiales en Materia de Salud Pública, la Ley 33/2011, de 4 de octubre, General de Salud Pública y la Ley 31/1995, de 8 de noviembre, de Prevención de Riesgos Laborales. MB también realiza una referencia a la Ley 38/2015, de 29 de septiembre, del Sector Ferroviario, la cual impone a los operadores del mercado ferroviario y a las C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/17 administraciones generales de infraestructuras ferroviarias la obligación, entre otras, de garantizar la seguridad en la circulación ferroviaria. Por último, MB menciona la Constitución Española, por entender que “(…) el análisis sobre la cuestión de la legitimación para realizar esta acción de control de la temperatura sobre las personas en el ámbito del MB no debería atender a un criterio proactivo que consista en la búsqueda de una ley que nos permita llevar a cabo esa acción, todo lo contrario, lo que tendremos que verificar es que no exista una ley que prohíba dicha conducta ya que, conforme al principio de legalidad vigente en nuestro país y reconocido en la Constitución Española (CE), en diferentes artículos, la vinculación negativa de ese principio significaría que “lo que no está expresamente prohibido en nuestro ordenamiento jurídico, está permitido”. III En relación con la toma de temperatura de los usuarios del transporte suburbano para ayudar a prevenir la propagación de la pandemia de COVID-19, se considera necesario resaltar que la temperatura corporal de las personas es un dato de salud en sí mismo, a tenor de la definición contenida en el artículo 4, apartado 15, del RGPD. Según el artículo 4 del RGPD, apartados 1 y 2, se entenderá por «datos personales»: “toda información sobre una persona física identificada o identificable”; y por «tratamiento»: “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción.” Partiendo de lo anterior, los controles de temperatura de las personas pueden constituir un tratamiento de datos de salud relativo a una persona física identificada o identificable, y, como tal, deben ajustarse a una de las bases jurídicas enumeradas en el artículo 6 del RGPD y concurrir alguna de las excepciones específicas que se relacionan en el artículo 9 del RGPD. Para determinar si en un caso concreto se ha producido un tratamiento de datos de una persona identificada o identificable, se ha de partir del tipo de dispositivo empleado y tener en cuenta otras circunstancias del proceso de la toma de temperatura que puedan hacer identificable a la persona, como en el caso de que se registre o no la temperatura corporal o que la captación de la temperatura en los establecimientos abiertos al público se realice con publicidad, de tal manera que la persona afectada pueda ser identificada por terceros. En los controles de temperatura corporal llevados a cabo por MB para tomar la temperatura a los usuarios del metro, se utilizan para ello, en una primera medición, cámaras termográficas y, en una segunda medición, termómetros manuales, ambos únicamente concebidos para la toma de temperatura corporal. Cuando estos controles de temperatura no van acompañados de un control de identidad de las personas que pretenden acceder al establecimiento, es decir cuando la toma de temperatura no se C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/17 vincula a una persona determinada a través de su registro o anotación, tales medidas no se encontrarían, en principio, incluidas en el ámbito de aplicación del RGPD al no asociarse la temperatura a una persona identificada o identificable. Ahora bien, denegar el acceso a una persona con motivo de su temperatura o informarle de que su temperatura corporal supera determinado umbral podría desvelar a terceros que no tienen ninguna justificación para conocerlo que la persona a la que se ha denegado la entrada o informado sobre su temperatura tiene una temperatura corporal por encima de lo considerado no relevante y, sobre todo, que puede estar contagiada por el virus, dado que la fiebre es un síntoma de la enfermedad causada por el SARS-CoV-2, por lo que será también necesario establecer en cada caso si de las concretas circunstancias que concurrieron en el proceso de toma de temperatura de una persona determinada se derivaron acontecimientos que la hicieron identificable. En el supuesto examinado, se utilizan cámaras termográficas y termómetros manuales para las mediciones de temperatura sin que este proceso vaya acompañado del registro de la temperatura obtenida de los usuarios del metro. Tampoco se ha constatado la concurrencia de circunstancias especiales que hayan permitido vincular el citado tratamiento a una persona identificada o identificable. Por ello, de acuerdo con lo razonado, no se aprecia en este caso que el tratamiento de datos que se realiza se refiera a personas físicas identificadas o identificables, quedando en consecuencia excluido del ámbito de aplicación del RGPD IV El artículo 68.1 de la LOPDGDD, referido al acuerdo de inicio del procedimiento para el ejercicio de la potestad sancionadora, establece que concluidas, en su caso, las actuaciones previas de investigación, corresponderá a la Presidencia de la Agencia Española de Protección de Datos, cuando así proceda, dictar acuerdo de inicio de procedimiento para el ejercicio de la potestad sancionadora. Una vez analizadas las razones expuestas por METRO BILBAO, S.A., que obran en el expediente, se ha constatado la falta de indicios racionales de la existencia de una infracción en el ámbito competencial de la Agencia Española de Protección de Datos, no procediendo, en consecuencia, la apertura de un procedimiento sancionador. Todo ello sin perjuicio de que la Agencia, aplicando los poderes de investigación y correctivos que ostenta, pueda llevar a cabo posteriores actuaciones relativas al tratamiento de datos referido en los antecedentes de hecho. Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones contra METRO BILBAO, S.A. SEGUNDO: NOTIFICAR la presente resolución a METRO BILBAO, S.A. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/17 De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.c) de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 940-0419 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es