E-04967-2020

1/6  Procedimiento Nº: E/04967/2020 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: La reclamación interpuesta por A.A.A. (en adelante, el reclamante) tiene entrada con fecha 20/11/2019 en la Agencia Española de Protección de Datos. La reclamación se dirige contra GERENCIA REGIONAL DE SALUD DE COMUNIDAD.1, con CIF Q4700608E (en adelante, el reclamado). Los motivos en que basa la reclamación son que “hace unos días”, al solicitar cita telefónica para atención para su médico de cabecera, se solicita en las opciones dar la fecha de nacimiento, pasando a dar una lista de nombres de personas “hasta que dice tu nombre, le confirmas y te da la cita”, considerando que se facilitan datos personales de terceros. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5/12 de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), con número de referencia E/00102/2020, se dio traslado en escrito de 13/01/2020 de la reclamación al reclamado, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes. Recibido el 16/01/2020, con fecha 14/02/2020 respondió: -Indican que la implantación del sistema obedece entre otros motivos a la necesidad de la implantación de un sistema de cita previa en una población con gran dispersión geográfica y alto grado de envejecimiento con no fácil acceso a internet. “Desde el 13/11/2019 está implantado en el sistema de cita previa telefónica para cualquier centro de salud dependiente de la Gerencia Regional de Salud de COMUNIDAD.1 un módulo de reconocimiento de voz que permite prescindir de la enumeración de pacientes que motivó la reclamación. Gracias a ese módulo de reconocimiento de voz, la locución del sistema de cita previa ya no enumerará a otros pacientes adscritos al mismo centro de salud en ningún caso. “ TERCERO: Con fecha de 9/06/2020, la reclamación es admitida a trámite. CUARTO: Con fecha 31/08/2020 se requiere a reclamada: “1. Base de legitimación del tratamiento del dato de voz. 2. Información que se facilita a los afectados cuando obtienen su voz. 3. Indicar si se ha realizado análisis de riesgos o evaluación de impacto de este tratamiento, y en su caso, documentación acreditativa.” En fecha 22/09/2020 se recibe contestación, manifestando: -El tratamiento está basado en el interés público: la gestión de un sistema que da un soporte imprescindible a la prestación de asistencia sanitaria, en los términos de los artículos 6.1.

1. e)y 9.2.
2. h)del RGPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/6 -En el proceso de solicitud de cita, han añadido una la locución informando de que si el interesado desea obtener información sobre el responsable, finalidad y legitimación podrá acceder a ella diciendo “datos” o pulsando el número “9”, y señalando, además, que para ejercer los derechos del interesado podrá dirigirse a la dirección de internet del sistema de salud de la Junta de COMUNIDAD.1: ***URL.1. Examinada esta sección del sitio web, se verifica que se informa de como ejercer los derechos y a donde debe dirigirse la solicitud. Se graba en el sistema SIGRID de la AEPD, como objeto asociado, impresión de pantalla de las páginas relacionadas. - Adjuntan informe de evaluación de impacto (en adelante, EIPD) de los sistemas de cita previa, de fecha 15/09/2020, analizando el tratamiento derivado de los sistemas de cita previa telefónica:
3. a)Como “denominación y descripción del tratamiento”: “cita previa telefónica” (no señala ante quien). Indica que como “categoría de datos” se recoge número de teléfono desde el que se solicita la cita, fecha de nacimiento del solicitante y el dato biométrico de su voz. En ninguna del resto de denominaciones y descripciones del tratamiento figura que se recoge la voz. Si bien en la “denominación y descripción del tratamiento de” “cita previa a través de llamada telefónica directa al centro de salud, se conservan los datos de contacto facilitados por el solicitante en un buzón de voz”.
4. b)“Denominación y descripción del tratamiento”: “cita previa a través de la aplicación para dispositivos móviles”. Se indica la “categoría de datos” que se recogen.
5. c)“Denominación y descripción del tratamiento”: “cita previa a través del sitio web corporativo”, se indica la “categoría de datos” que se recogen, y
6. d)“Denominación y descripción del tratamiento”: “cita previa a través de contacto directo con el centro de salud al que este adscrito el solicitante” (no se indica que sea telefónica). Se indica la “categoría de datos” sin embargo que “en el sistema de cita previa a través de llamada telefónica directa al centro de salud, se solicitan datos de contacto del paciente, nombre y apellidos y número de teléfono”. Se añade como ya se ha explicado en el punto
7. a)que “El sistema de cita previa a través de llamada telefónica directa al centro de salud, se conservan los datos de contacto facilitados por el solicitante en un buzón de voz”. Centrando la cuestión en el registro de la voz, en el apartado VI, análisis del tratamiento, figura: “entrada” -Sistema de cita previa telefónica: fecha de nacimiento, dato biométrico de la voz y teléfono desde el que se realiza la llamada. -Sistema de cita previa a través de llamada telefónica directa al centro de salud: se solicitan datos de contacto del paciente, nombre, apellidos y número de teléfono. “almacenamiento” - Sistema de cita previa telefónica “No se almacena ningún dato, se eliminan al generar la cita”. - Sistema de cita previa a través de llamada telefónica directa al centro de salud: Los datos de contacto del usuario se almacenan en un buzón de voz, hasta el momento en que el centro de salud se pone en contacto para concertar la cita, tras lo cual se suprime. Precisa que de la voz se efectúa la transcripción a texto. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/6 Indican que queda pendiente el análisis de riesgos de funcionamiento de los sistemas, que realiza la Oficina de seguridad de la información sobre cada canal de cita previa que determinará las medidas de seguridad aplicables a cada canal de cita previa. En el balance indican que el riesgo para la privacidad de los canales de cita previa para la privacidad es mínimo, considerando que no hay almacenamiento de la información y los datos son eliminados cuando se genera la cita. QUINTO: Con fecha 3/03/2021 se solicita a reclamada: 1. Informar de si se ha realizado el análisis de riesgos de los sistemas de cita previa, y en su caso, informe del análisis realizado y conclusiones a las que se ha llegado. Con fecha de 16/03/2021, se recibe copia de documento de “análisis de riesgos de seguridad de la información” (versión 10/03/2021), remitido por la reclamada en el que se obtiene como resultado del análisis realizado mediante la herramienta ***HERRAMIENTA.1 del Centro Criptológico Nacional. SEXTO: Con fecha 22/03/2021, con objeto de determinar si el dato biométrico de voz se encuentra almacenado previamente en los servidores del Sistema de Salud de la Junta de COMUNIDAD.1, se solicitó a la reclamada que aclarase cómo se determina la correspondencia del dato de voz capturado durante la solicitud de cita telefónica con un usuario del sistema sanitario. Con fecha de 24/03/2021 se recibe contestación, informando que el tratamiento que se realiza de la voz es solamente para convertir lo pronunciado por el paciente que solicita la cita (en lo sucesivo, el llamante) en una cadena de texto y poder compararla con los datos obrantes en la base de datos de usuarios del sistema de salud. Añaden que una vez tratado el dato de voz y convertido a una cadena de texto, el dato de voz se elimina por no tener ninguna utilidad posterior. Este servicio de reconocimiento de voz (IVR) se encarga a GOOGLE para su transcripción a texto. El procedimiento es el siguiente: en principio, se trata el dato de voz con la fecha de nacimiento, si el usuario prefiere decirlo de viva voz en vez de teclearla en el teléfono. Si no se encuentra ningún usuario del sistema de salud con esa fecha de nacimiento, se pasa la comunicación a un agente del sistema sanitario. Si solo existe un usuario con esa fecha de nacimiento, el sistema pronuncia el nombre y apellidos del paciente y se pide confirmación a la persona que llama. Si existe más de un usuario del sistema con la misma fecha de nacimiento, se le solicita al paciente que pronuncie su nombre y apellidos y se convierte este dato de voz a otra cadena de texto para su comparación con los usuarios del sistema de salud registrados. Tanto si no se encuentra coincidencia como si se encuentra más de un posible paciente, se pasa la comunicación a un agente sin que se revelen datos de otros usuarios. En el caso contrario, que solo se encuentre un paciente, el sistema pronuncia el nombre y apellido y se pide confirmación al llamante. En caso de confirmación negativa, se pasa a un agente. FUNDAMENTOS DE DERECHO C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/6 I De acuerdo con los poderes de investigación y correctivos que el artículo 58 del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) otorga a cada autoridad de control, y según lo dispuesto en el artículo 47 de la Ley Orgánica 3/2018, de 5/12, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. II El RGPD define en su artículo: 1) «datos personales»: toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona; 2) «tratamiento»: cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción; En este caso, la voz que dice el nombre y apellidos del paciente se transforma en texto que es el que sirve a la postre para dirigirse de nuevo al paciente. Verificado el texto resultante de nombre y apellidos pronunciados con una búsqueda a nivel interno en la base de datos (solo en caso de que coincidan ) se le pregunta al paciente si es ese su nombre y apellidos, y que confirme. Si hay dos personas o mas con el mismo nombre y apellidos el sistema pasa la llamada al agente. La revelación en el sistema de cita previa, a través de una fecha que muestre los resultados de las personas que cumplen dicha condición, supone un tratamiento automatizado de datos con la finalidad de emparejar a la persona con el día y hora asignado a la cita médica del médico que tenga asignado. El sistema que se analiza en esta reclamación para concertar las citas previas, aunque existen varios, es solamente uno, el que es susceptible de recoger la voz que indicaría tras la fecha de nacimiento, y si hubiera varias personas en la misma fecha, apto para correlacionar pasado a texto, la identificación de la persona que llama y pide la cita. Cuando finalmente se determina la cita que es el objeto de la recogida por voz de nombre y apellidos, se elimina el archivo de voz registrado solo para ese fin. III C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/6 La pronunciación de la voz, no se almacena como tal sino que se transcribe a texto. Hay que señalar que los datos biométricos están estrechamente vinculados a una persona, dado que pueden utilizar una determinada propiedad única de un individuo para su identificación o autenticación. Según el Dictamen 3/2012 sobre la evolución de las tecnologías biométricas, “Los datos biométricos cambian irrevocablemente la relación entre el cuerpo y la identidad, ya que hacen que las características del cuerpo humano sean legibles mediante máquinas y estén sujetas a un uso posterior.” En relación con ellos, el Dictamen precisa que cabe distinguir diversos tipos de tratamientos al señalar que “Los datos biométricos pueden tratarse y almacenarse de diferentes formas. A veces, la información biométrica capturada de una persona se almacena y se trata en bruto, lo que permite reconocer la fuente de la que procede sin conocimientos especiales; por ejemplo, la fotografía de una cara, la fotografía de una huella dactilar o una grabación de voz. Otras veces, la información biométrica bruta capturada es tratada de manera que solo se extraen ciertas características o rasgos y se salvan como una plantilla biométrica.” Los datos biométricos los define el artículo 4.14 del RGPD: «datos biométricos»: datos personales obtenidos a partir de un tratamiento técnico específico, relativos a las características físicas, fisiológicas o conductuales de una persona física que permitan o confirmen la identificación única de dicha persona, como imágenes faciales o datos dactiloscópicos; Hay que señalar que el RGPD no parece considerar a todo tratamiento de datos biométricos como tratamiento de categorías especiales de datos, ya que el artículo 9.1. se refiere a los “datos biométricos dirigidos a identificar de manera unívoca a una persona física”. En el original en versión inglesa se señala: “biometric data for the purpose of uniquely identifying a natural person”. En este caso, no hay almacenamiento previo de la voz del llamante, por lo que no hay contraste alguno de la voz que llama para pedir la cita con una previa que sierva de identificación única. El registro de voz se usa solo para recoger el nombre y apellidos que diga el llamante. NO hay sistema de ningún tipo que sirva para permitir o confirmar identidad de la persona que llama. Una interpretación conjunta de ambos preceptos parece dar a entender que los datos biométricos solo constituirían una categoría especial de datos en el caso de que se sometan a un tratamiento técnico específico dirigido a identificar de manera unívoca a una persona física, y no se da el caso En el uso de ese sistema de la llamada telefónica para la cita pronunciando nombre y apellidos contiene información previa sobre el tratamiento, finalidades y ejercicio de derechos a través de la alocución que se ha establecido por la reclamada, además de la misma información que se contiene en su web. Al mismo tiempo, el sistema se basa en emparejar alguien que demanda una cita y cuyos datos figuraran previamente en la base de datos, contra la que pronuncia la voz. La C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/6 identificación del usuario se hace con la voz frente al literal de los datos contenidos en la base de datos, que son datos almacenados referidos al sistema de salud, no datos de voz. El modo en que se buscan esos datos son datos transcritos, escritos, extraídos u originados, eso si del sistema de la voz. Aunque se pronuncia en voz el dato de nombre y apellidos, el tratamiento no se efectúa directamente a través de este sistema. No almacenándose la voz, sino que sirve indirectamente para la identificación del paciente, como vehículo para ayudar a transcribir el literal de datos identificativos de la persona, no se considera en este caso que el tratamiento obedezca o tenga el rasgo de biométrico, al aparecer como medio para transcribir y confirmar el dato del usuario. A ello se añadiría que no se almacena el dato voz sino que se transforma para su transcripción y es instrumental para la concertación de la cita, momento en el que desaparecen todos los datos, considerando que será un corto espacio de tiempo Por lo tanto, la actuación del reclamado como entidad responsable del tratamiento, no es contraria a la normativa sobre protección de datos personales. Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución al reclamante y reclamado. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
8. c)de la Ley 39/2015, de 1/10, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1/10, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13/07, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 940-0419 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es