E-06406-2020

1/19  Procedimiento N.º E/06406/2020 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos (en lo sucesivo, AEPD) y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 30 de julio de 2020, la directora de la AEPD, tiene constancia de que en fecha ***FECHA.1, se publica en el sitio de internet de la Comunidad de Madrid (en adelante, CAM) una nota de prensa (***URL.1) en la que se anuncia el establecimiento de nuevas medidas para frenar la expansión del coronavirus. Entre tales medidas se hacía referencia a la siguiente: "Será obligatorio que los locales de restauración y ocio nocturno lleven un registro para permitir a los clientes aportar datos de contacto con la finalidad de localizarles si, con posterioridad, se confirma un caso positivo en uno de estos establecimientos". En el Boletín Oficial de la Comunidad de Madrid (BOCM) del día ***FECHA.2 (***URL.2) se publica la "Orden ***ORDEN.1, de ***FECHA.1, de la Consejería de Sanidad, por la que se modifica la Orden ***ORDEN.2, de ***FECHA.3, por la que se establecen medidas preventivas para hacer frente a la crisis sanitaria ocasionada por el COVID-19, una vez finalizada la prórroga del estado de alarma establecida por el Real Decreto 555/2020, de 5 de junio". En la citada Orden se cita como sujetos obligados y definición del tratamiento: los salones de banquetes, las discotecas y los establecimientos de ocio nocturno deben llevar un registro de "clientes" (salones de banquetes) y "personas que accedan a los mismos" (discotecas y establecimientos de ocio nocturno). Como finalidad del tratamiento: "posibilitar el seguimiento y localización de posibles contactos en los casos de descubrimiento posterior de presencia de casos positivos, probables o posibles de COVID-19". Como Base jurídica del tratamiento: el consentimiento del interesado "sin perjuicio de condicionar el derecho de admisión, por razones de salud pública en caso de no poder contar con el mismo”. Al objeto de aclarar este tratamiento, la directora de la AEPD insta a la Subdirección General de Inspección de Datos (en adelante, SGID), a iniciar las actuaciones previas de investigación a las que se refiere el artículo 67 de la Ley Orgánica 3/2018, de 6 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales, por si de tales hechos se desprendieran indicios de infracción en el ámbito competencial de la AEPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/19 SEGUNDO: A la vista de estos hechos descritos, la SGID procede a la realización de actuaciones previas de investigación para su esclarecimiento, en virtud de los poderes de investigación otorgados a las autoridades de control en el artículo 57.1 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD. En el marco de las actuaciones previas de investigación, se practica un primer requerimiento de información dirigido a la CONSEJERÍA DE SANIDAD DE LA COMUNIDAD DE MADRID (en adelante, la investigada): En este requerimiento, de fecha 4 de agosto de 2020, se solicita la siguiente información: “1. Finalidad del tratamiento de datos personales y base jurídica en la que se sustenta. 2. Valoración de la proporcionalidad del tratamiento (juicio de idoneidad, de necesidad, y de proporcionalidad en sentido estricto). 3. Detalle de las categorías de datos personales objeto de tratamiento y valoración del cumplimiento con el principio de minimización de datos. 4. Determinación de las categorías de establecimientos obligados a la implantación de la medida y explicación del motivo de su elección frente a otros. 5. Descripción del proceso que permite la consecución de la finalidad prevista con indicación, para cada uno de los participantes en el mismo, de: 5.1. Vinculación con el tratamiento (responsable, corresponsable, encargado, tercero, interesado) de cada participante. Detalle del contrato o acto jurídico que vincula al encargado del tratamiento con el responsable del mismo, de acuerdo con lo estipulado en el artículo 28 del RGDP. 5.2. Descripción del tratamiento concreto que realiza (registro, consulta, comunicación, supresión, etc.) cada participante. Especificación, en su caso, del formato en que almacenará los datos personales (digital / papel). 5.3. Procedimiento de comunicación de los datos del registro de cada establecimiento a las autoridades sanitarias: detalle del canal de comunicación (postal, correo electrónico, telefónico, etc.) y de los eventos que provocan el envío (frecuencia concreta y/o a petición de las autoridades sanitarias). 5.4. Indicación de la posibilidad o no de que participen “subencargados” de tratamiento (entidades contratadas por los establecimientos para efectuar partes del tratamiento que se les asigna). 5.5. Plazos de conservación de los datos de cada participante y determinación de si, finalizada la prestación del servicio, los encargados deben suprimir o devolver los datos al responsable. Especificar, en su caso, la normativa que requiere a los encargados la conservación de los datos una vez finalizada la prestación. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/19 5.6. Medios utilizados para el cumplimiento del deber de información al interesado. 5.7. Garantías aplicadas para el cumplimiento de las obligaciones impuestas en el Capítulo IV del RGPD en materia de medidas de seguridad.” El requerimiento se notifica a la investigada en fecha 5 de agosto de 2020, a través de Carpeta Ciudadana, según certificado que figura en el expediente. TERCERO: En fecha 19 de agosto de 2020, la investigada aduce las alegaciones que estima convenientes. CUARTO: En fecha 15 de abril de 2021, la AEPD practica un segundo requerimiento en los siguientes términos: “A este respecto, en el marco de las actuaciones practicadas por la Subdirección General de Inspección de Datos y en uso de las facultades conferidas por el artículo 58.1 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos) (en adelante RGPD), y el art. 67 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se solicita que en el plazo de diez días hábiles presente la siguiente información: - Copia del Auto 112/2020 del Juzgado de lo Contencioso-Administrativo número 08 de Madrid citado en el escrito. - Descripción de la situación actual de las medidas relativas a la obligación de registro recogida por la Orden ***ORDEN.1. Referencia a la vigencia de estas y, en su caso, a la tipología de establecimientos afectados. - En relación con el cumplimiento del deber de información a los interesados, en el escrito 029346/20209 se citaba la propuesta realizada por el DPD. Se solicita confirmación de que dicho procedimiento ha sido el aplicado o, en su caso, descripción del efectivamente utilizado. - En relación con el procedimiento de comunicación de los datos personales recogidos por los establecimientos obligados a la Consejería de Sanidad, en el escrito 029346/20209 se citaba la propuesta realizada por el DPD. Se solicita confirmación de que dicho procedimiento ha sido el aplicado o, en su caso, descripción del efectivamente utilizado. -Detalle de cualquier otra circunstancia relacionada con el tratamiento de los datos personales objeto de registro cuya puesta en práctica haya diferido de lo especificado en el escrito 029346/20209. Asimismo, se informa de que el responsable y el encargado del tratamiento de los datos de carácter personal tienen la obligación de facilitar los documentos, informaciones y cualquier otra colaboración que se precisen para realizar la función de inspección. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/19 El requerimiento se notifica a la investigada en fecha 16 de abril de 2021, a través del Servicio de Notificaciones Electrónicas y Dirección Electrónica Habilitada, según certificado que figura en el expediente. QUINTO: En respuesta al segundo requerimiento, en fecha 28 de abril de 2021, la investigada aduce las alegaciones que estima convenientes. SEXTO: Con fecha 30 de abril de 2021, una vez realizadas las actuaciones previas de investigación, a fin de lograr una mejor determinación de los hechos y las circunstancias que justifican la tramitación del procedimiento, la SGID emite un informe en el que se constatan los siguientes hechos: “RESULTADO DE LAS ACTUACIONES DE INVESTIGACIÓN El presente informe se apoya sobre la siguiente información: Escrito del “Comité Delegado de Protección de Datos (CDPD) de la Consejería de Sanidad de la Comunidad de Madrid (CSCM), en su calidad de interlocutor de dicha Consejería con esta Agencia” registrado de entrada en la AEPD (núm. 029346/20209) con fecha de 19 de agosto de 2020 (en adelante Escrito CSCM 1). Escrito del ““Comité Delegado de Protección de Datos (CDPD) de la Consejería de Sanidad de la Comunidad de Madrid (CSCM), en su calidad de interlocutor de dicha Consejería con esta Agencia” registrado de entrada en la AEPD (núm. O00007128e2100019388) con fecha de 28 de abril de 2021 (en adelante Escrito CSCM 2). Documentos incorporados a las presentes actuaciones a través de la correspondiente diligencia (“Diligencia Referencias”): 1. Orden ***ORDEN.1, de ***FECHA.1, de la Consejería de Sanidad, por la que se modifica la Orden ***ORDEN.2, de ***FECHA.3, por la que se establecen medidas preventivas para hacer frente a la crisis sanitaria ocasionada por el COVID-19 una vez finalizada la prórroga del estado de alarma establecida por el Real Decreto 555/2020, de 5 de junio (en adelante Orden ***ORDEN.1). 2. “Comunicado sobre la recogida de datos personales por parte de los establecimientos” (en adelante Comunicado AEPD). 3. Orden ***ORDEN.3, de ***FECHA.4, de la Consejería de Sanidad, por la que se modifica la Orden ***ORDEN.2, de ***FECHA.3, por la que se establecen medidas preventivas para hacer frente a la crisis sanitaria ocasionada por el COVID-19 una vez finalizada la prórroga del estado de alarma establecida por el Real Decreto 555/2020, de 5 de junio, para la aplicación de las actuaciones coordinadas en salud pública para responder a la situación de especial riesgo derivada del incremento de casos positivos por COVID-19 (en adelante Orden ***ORDEN.3). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/19 4. Orden ***ORDEN.2, de ***FECHA.3, de la Consejería de Sanidad, por la que se establecen medidas preventivas para hacer frente a la crisis sanitaria ocasionada por el COVID-19 una vez finalizada la prórroga del estado de alarma establecida por el Real Decreto 555/2020, de 5 de junio. El texto adjuntado, consolidado a día 13 de abril de 2021, incluye las notas de vigencia de los distintos artículos y un apartado que corresponde con la “historia” de la norma (en adelante Orden ***ORDEN.2). Se consigna a continuación el siguiente contenido del Comunicado AEPD relacionado con el objeto de las presentes actuaciones: “[…] A este respecto, es necesario puntualizar que los datos que se recogen, aunque estén relacionados con el control de la pandemia y su tratamiento sea al objeto de poder identificar posibles infectados, no son datos catalogados en el RGPD como “categorías especiales”. Para poner en marcha el registro de clientes que acuden a locales de ocio, tratándose de una medida para la contención del coronavirus, debe acreditarse su necesidad por las autoridades sanitarias y tiene que ser obligatoria, ya que si fuera voluntaria perdería efectividad. Adicionalmente, si se acudiera a la base jurídica del consentimiento, para poder apreciar un consentimiento libre, sería necesario que no se derivara ninguna consecuencia negativa, es decir, que no se impidiera la entrada al establecimiento. Teniendo en cuenta que ya no está vigente el estado de alarma, la obligatoriedad de tomar datos por parte de los establecimientos tiene que establecerse por una norma con rango de ley. En tal caso, la base jurídica sería el 6.1.

1. c)(“el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento”). En todo caso, debe señalarse que el hacer un seguimiento adecuado de la evolución de los contagios y de la obligación de tomar datos y cederlos a las autoridades sanitarias tiene su fundamento en la garantía de un interés público de controlar la pandemia, por lo que la base jurídica sería, con carácter preferente, el artículo 6.1.
2. e)del RGPD (“el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento”). A estos efectos, debe hacerse especial incidencia en la necesidad de justificar que no existan otras medidas más moderadas para la consecución del propósito perseguido con igual eficacia. Por ello deberían identificarse bien y limitarse a aquellos sitios en los que exista una mayor dificultad para el cumplimiento de estas medidas (no es lo mismo una discoteca, en la que las personas quieren estar cerca, que un museo, en el que se pueden habilitar espacios adecuados para que circule la gente y limitar mucho los contactos). A tal efecto, deberían ser las autoridades sanitarias quienes valoren motivadamente en qué lugares sería obligatorio identificarse. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/19 Por otro lado, la recogida y la cesión de datos debería organizarse de una forma que el registro permita identificar los posibles contactos (es decir, que exista una probabilidad de que hayan coincidido, al estar en la misma hora, en el mismo sitio, etcétera). En otro caso, como podría suceder en un museo, si hay un infectado y se avisa a los miles de personas que ese día lo pudieron haber visitado, aparte de ser un tratamiento excesivo, podrían producirse dificultades o incluso un colapso en la asistencia sanitaria. Cuestión que también tienen que valorar las autoridades sanitarias de las Comunidades Autónomas. Adicionalmente, debe cumplirse con el principio de minimización, en virtud del cual podría ser suficiente con obtener un número de teléfono, junto con los datos del día y la hora de asistencia al lugar. Este criterio, junto con el de la anonimización de los titulares del dispositivo, ha sido el asumido por el Comité Europeo de Protección de Datos en la Recomendación sobre el uso de datos de localización y aplicaciones de seguimiento de contactos en el contexto de la pandemia; criterio que puede extrapolarse a esta situación con las adaptaciones pertinentes. En consecuencia, no sería necesario solicitar el nombre y los apellidos, que serían innecesarios para la finalidad de avisar a los posibles contactos, y en ningún caso es necesaria la identificación mediante el DNI por ser desproporcionada. Asimismo, debe aplicarse estrictamente el principio de limitación de la finalidad, de forma que los datos sólo deben poder utilizarse para la finalidad de lucha contra el virus, excluyendo cualquier otra, así como el principio de limitación del plazo de conservación. De acuerdo con estos criterios, los establecimientos serían responsables de la recogida de datos en virtud de una obligación legal establecida por una norma con rango de ley y la administración autonómica sería la cesionaria de esos datos por razones de interés público previstos en la ley. La administración autonómica deberá establecer criterios sobre la forma en la que se recogen y comunican esos datos personales a la Administración sanitaria. Por su parte, los ciudadanos deben recibir una información clara, sencilla y accesible sobre el tratamiento antes de la recogida de los datos personales. En todo caso, la información debe tratarse con las medidas de seguridad adecuadas.” Con respecto a las medidas relacionadas con el registro de los clientes de determinados establecimientos tomadas por la Consejería de Sanidad de la Comunidad de Madrid, se recoge a continuación información sobre los distintos aspectos: 1. Sobre el alcance de las medidas y su evolución a lo largo del tiempo. El Escrito CSCM 1, de 19 de agosto de 2020, señala que: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/19 “el Comité Delegado de Protección de Datos (CDPD) de la Consejería de Sanidad de la Comunidad de Madrid (CSCM), en su calidad de interlocutor de dicha Consejería con esta Agencia, acorde a lo establecido en el artículo 37.2 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales (LOPDGDD), comparece y formula las siguientes consideraciones en relación con lo solicitado: Con carácter preliminar, debe indicarse que, a fecha de la redacción de la presente respuesta, se ha publicado la Orden ***ORDEN.3, de ***FECHA.4, de la Consejería de Sanidad, por la que se modifica la Orden ****ORDEN.2, de ***FECHA.3, por la que se establecen medidas preventivas para hacer frente a la crisis sanitaria ocasionada por el COVID-19 una vez finalizada la prórroga del estado de alarma establecida por el Real Decreto 555/2020, de 5 de junio, para la aplicación de las actuaciones coordinadas en salud pública para responder a la situación de especial riesgo derivada del incremento de casos positivos por COVID-19. A través de esta Orden se modifican los apartados Vigesimosegundo y Vigesimocuarto de la Orden ***ORDEN.2 de la que trae causa este requerimiento de información, quedando redactados de la siguiente forma: “Vigesimosegundo. - Medidas y condiciones para el desarrollo de actividad de hostelería y restauración en espacios interiores. (…) 3. Los salones de banquetes, además de cumplir las anteriores condiciones y limitaciones, deberán de solicitar los datos identificativos de los asistentes a un evento, incluyendo un teléfono de contacto, y conservar dicha información por si fuera requerida por la autoridad sanitaria en la investigación de un brote epidémico para facilitar su localización en los casos de descubrimiento posterior de presencia de casos positivos, probables o posibles de COVID-19. La recogida de tales datos requerirá el consentimiento del interesado y se deberán conservar durante el plazo de veintiocho días naturales con las debidas garantías y observando las exigencias derivadas de la normativa en materia de protección de datos de carácter personal y estarán a disposición, exclusivamente, de las autoridades sanitarias y con la única finalidad de realizar el seguimiento de posibles contactos de casos positivos, probables o posibles de COVID-19 (…). Vigesimocuarto. - Medidas y condiciones para el desarrollo de actividad de discotecas y establecimientos de ocio nocturno. Queda suspendida la actividad de los locales de discotecas y demás establecimientos de ocio nocturno hasta la finalización de la vigencia de la declaración de actuaciones coordinadas en salud pública para responder ante la situación de especial riesgo derivada del incremento de casos positivos por COVID-19 aprobada mediante Orden Comunicada del Ministro de Sanidad de 14 de agosto de 2020. Una vez finalizada su vigencia la autoridad sanitaria C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/19 podrá acordar la reanudación de la actividad de estos establecimientos en las condiciones que se determinen. Se entenderán por establecimientos de ocio nocturno, a efectos de lo establecido en este apartado, las discotecas, salas de baile y bares especiales con y sin actuaciones musicales”. Es decir, actualmente, se ha suprimido la obligación de solicitar los datos identificativos de los asistentes para los establecimientos de ocio nocturno y discotecas, puesto que su actividad ha sido suspendida hasta la finalización de la vigencia de las actuaciones coordinadas acordadas. Por su parte, en cuanto a los salones de banquetes, la obligación de solicitar los datos identificativos de los asistentes ha sido modificada señalando que, únicamente podrán recabar los datos identificativos mínimos necesarios, si cuentan con el consentimiento de los ciudadanos para ello, todo ello con el fin de conservar dicha información por si fuera requerida por la autoridad sanitaria en la investigación de un brote epidémico para facilitar su localización en los casos de descubrimiento posterior de presencia de casos positivos, probables o posibles de COVID-19. […] En cuanto a la elección de este tipo de locales, tal y como se indica en la ORDEN COMUNICADA DEL MINISTRO DE SANIDAD, DE 14 DE AGOSTO DE 2020, MEDIANTE LA QUE SE APRUEBA LA DECLARACIÓN DE ACTUACIONES COORDINADAS EN SALUD PÚBLICA PARA RESPONDER ANTE LA SITUACIÓN DE ESPECIAL RIESGO DERIVADA DEL INCREMENTO DE CASOS POSITIVOS POR COVID-19, según el cual: “Durante las últimas semanas, se ha incrementado el número de brotes generados en el ámbito social, que suponen casi el 40% de los mismos. Entre estos brotes, los más importantes son aquellos relacionados con reuniones familiares o de amigos y los producidos en locales de ocio con horario mayoritariamente nocturno (bares de copas, discotecas y salas de baile). Los primeros son los más numerosos, pero los segundos, afectan a grupos más grandes de población, difícilmente identificables, con orígenes geográficos muy diversos y que debido a las grandes dificultades de localización que generan impiden la aplicación temprana y eficaz de las medidas de control”. En base a ello, y en atención a la Declaración de Actuaciones Coordinadas en Salud Pública prevista en el artículo 65 de la Ley 16/2003, de 28 de mayo, de cohesión y calidad del Sistema Nacional de Salud recientemente se han tomado las medidas que se consideran estrictamente necesarias e imprescindibles para atajar la situación de especial riesgo para la salud pública derivada del incremento de casos positivos por COVID-19, y que, por su naturaleza, se considera que tienen un impacto muy significativo en el objetivo de prevenir y controlar la expansión de la enfermedad. Entre estas medidas se ha decretado el cierre de discotecas, salas de baile y bares de copas con y sin actuaciones musicales en directo, por lo que, a C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/19 fecha de redacción de la presente contestación, estos locales no se verían afectados por la obligación interpuesta por la Orden ***ORDEN.1, quedando únicamente los salones de banquetes.” Con posterioridad, el Escrito CSCM 2 (registrado de entrada en la AEPD el día 28 de abril de 2021), actualiza la información al respecto de la evolución cronológica de la medida citando lo siguiente: “[…] la Orden ***ORDEN.1 de la que trae causa el requerimiento de información de la AEPD, fue sustituida el mismo día en el que este Comité DPD remitió la contestación núm. 029346/20209, por la ORDEN ***ORDEN.3, de ***FECHA.4, de la Consejería de Sanidad, por la que se modifica la Orden ***ORDEN.2, de ***FECHA.3, por la que se establecen medidas preventivas para hacer frente a la crisis sanitaria ocasionada por el COVID-19 una vez finalizada la prórroga del estado de alarma establecida por el Real Decreto 555/2020, de 5 de junio, para la aplicación de las actuaciones coordinadas en salud pública para responder a la situación de especial riesgo derivada del incremento de casos positivos por COVID-19, realizando modificaciones sustanciales sobre lo dispuesto en la Orden ***ORDEN.1. Cabe destacar, entre las modificaciones realizadas, la eliminación de la obligación de los locales de ocio nocturno de realizar el registro de sus clientes, quedando únicamente vigente esta obligación para los salones de banquetes. En ese sentido, debemos señalar que, por lo tanto, las previsiones contenidas en la Orden ***ORDEN.1, en los términos indicados por el requerimiento E/06406/2020 no llegaron a hacerse efectivas, y no se llevaron a cabo. Por otro lado, cabe indicar que la Orden ***ORDEN.1 ha sufrido más modificaciones, dado que posteriormente se ha publicado la ORDEN 1404/2020, de 22 de octubre, de la Consejería de Sanidad, por la que se modifica la Orden ***ORDEN.2, de ***FECHA.3, por la que se establecen medidas preventivas para hacer frente a la crisis sanitaria ocasionada por el COVID-19 una vez finalizada la prórroga del estado de alarma establecida por el Real Decreto 555/2020, de 5 de junio, como consecuencia de la evolución epidemiológica, que igualmente modifica el apartado vigesimosegundo de la Orden ***ORDEN.2 en relación a las obligaciones de los salones de banquetes sobre el registro de sus clientes, manifestando que: “Los salones de banquetes deberán cumplir con las condiciones dispuestas en los puntos anteriores y su aforo no podrá superar el cincuenta por ciento. Además, deberán solicitar los datos identificativos de los asistentes a un evento, incluyendo un teléfono de contacto, y conservar dicha información por si fuera requerida por la autoridad sanitaria en la investigación de un brote epidémico para facilitar su localización en los casos de descubrimiento posterior de presencia de casos positivos, probables o posibles de COVID19”. A este respecto debemos indicar que, según nos traslada la Dirección General de Salud Pública, en relación con las competencias que ostenta en la materia, “actualmente no ha resultado necesario en ningún caso solicitar a los salones de banquetes datos relativos a sus clientes para facilitar el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/19 seguimiento de contactos de casos COVID19”. No obstante, lo anterior, en base a las referidas modificaciones producidas en la Orden ***ORDEN.2, desde este Comité Delegado de Protección de Datos, se han trasladado indicaciones a la Dirección General de Salud Pública respecto a qué datos mínimos deben tratarse en relación a los clientes de los salones de banquetes. En este sentido, las recomendaciones que se han remitido establecen que deben considerarse, en aras del principio de minimización, únicamente el número de teléfono, fecha y hora de asistencia a los locales por parte de los clientes.” En relación con la evolución de esta medida en cuanto a su vigor y alcance, se destaca el siguiente contenido de la Orden ***ORDEN.2 incorporada a la “Diligencia Referencias”: Según dispone el apartado “Historia de la Norma”, el apartado vigesimosegundo de la Orden ***ORDEN.2, se ha sido modificado, con posterioridad a la publicación de la Orden ***ORDEN.1, por la siguientes: 1. 2. 3. 4. 5. 6. Orden núm. ***ORDEN.3, de ***FECHA.4. Orden núm. ***ORDEN.4, de ***FECHA.5. Orden núm. ***ORDEN.5, de ****FECHA.6. Orden núm. ***ORDEN.6, de ***FECHA.7. Orden núm. ***ORDEN.7, de ***FECHA.8. Orden núm. ***ORDEN.8, de ***FECHA.9. El contenido del apartado vigesimosegundo de la Orden ***ORDEN.2 (consolidada a 13 de abril de 2021) es el siguiente: “Vigesimosegundo. Medidas y condiciones para el desarrollo de actividad de hostelería y restauración en espacios interiores. […] 3. Los salones de banquetes deberán cumplir con las condiciones dispuestas en los puntos anteriores y su aforo no podrá superar el cincuenta por ciento. Además, deberán solicitar los datos identificativos de los asistentes a un evento, incluyendo un teléfono de contacto, y conservar dicha información por si fuera requerida por la autoridad sanitaria en la investigación de un brote epidémico para facilitar su localización en los casos de descubrimiento posterior de presencia de casos positivos, probables o posibles de COVID-19. La recogida de tales datos requerirá el consentimiento del interesado y se deberán conservar durante el plazo de veintiocho días naturales con las debidas garantías y observando las exigencias derivadas de la normativa en materia de protección de datos de carácter personal y estarán a disposición, exclusivamente, de las autoridades sanitarias y con la única finalidad de realizar el seguimiento de posibles contactos de casos positivos, probables o posibles de COVID-19. […]” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/19 Según dispone el apartado “Historia de la Norma”, el apartado vigesimocuarto de la Orden ***ORDEN.2, se ha sido modificado, con posterioridad a la publicación de la Orden ***ORDEN.1, por la siguientes: 1. 2. Orden núm. ***ORDEN.3, de ***FECHA.4. Orden núm. ***ORDEN.6, de ***FECHA.7. El contenido del apartado vigesimocuarto de la Orden ***ORDEN.2 (consolidada a 13 de abril de 2021) es el siguiente: “Vigesimocuarto. Medidas y condiciones para el desarrollo de actividad de discotecas y establecimientos de ocio nocturno 1.Queda suspendida la actividad de los locales de discotecas y demás establecimientos de ocio nocturno hasta la finalización de la vigencia de la declaración de actuaciones coordinadas en salud pública para responder ante la situación de especial riesgo derivada del incremento de casos positivos por COVID-19, aprobada mediante Orden Comunicada del Ministro de Sanidad de 14 de agosto de 2020. Una vez finalizada su vigencia, la autoridad sanitaria podrá acordar la reanudación de la actividad de estos establecimientos en las condiciones que se determinen. Se entenderán por establecimientos de ocio nocturno, a efectos de lo establecido en este apartado, las discotecas, salas de baile y bares especiales con y sin actuaciones musicales. […]” 1. Sobre la finalidad de los tratamientos de datos personales. Con respecto a la finalidad del tratamiento, el Escrito CSCM 1 apunta que: “[…] el tratamiento tiene como finalidad, la recopilación de los datos de los clientes que acudan a establecimientos sometidos a la obligación de mantener un registro de asistentes para posibilitar el seguimiento y localización de posibles contactos en casos de descubrimiento de presencia en los locales de casos positivos, probables o posibles de COVID-19.” 2. Sobre las categorías de datos personales objeto de tratamiento. El Escrito CSCM 1 refiere lo siguiente en relación con las categorías de datos personales objeto de tratamiento: “Los datos que se recibirán en la Consejería de Sanidad por parte de los establecimientos obligados por la citada Orden serán la fecha, hora, nombre y apellidos y un número de teléfono de cada persona que accede al local, todo ello con el fin de facilitar su localización por las autoridades sanitarias en caso de que sea necesario, a fin de posibilitar el seguimiento y localización de posibles contactos en los casos de descubrimiento posterior de presencia en el local de casos positivos, probables o posibles de COVID-19. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/19 Estos datos recogidos son los mínimos necesarios para poder realizar el seguimiento de la enfermedad. Cómo puede observarse, únicamente se recaban datos identificativos mínimos, como nombre y apellidos, y el número de teléfono para poder tener una vía de contacto en el supuesto en el que sea necesario, así como la fecha y hora en la que accedió al local, siendo estos factores importantes a la hora de establecer la trazabilidad de contagios.” No obstante, lo anterior, como se ha referido anteriormente, el Escrito CSCM 2 registrado de entrada en la AEPD el día 28 de abril de 2021, señala lo siguiente: “No obstante lo anterior, en base a las referidas modificaciones producidas en la Orden ***ORDEN.2, desde este Comité Delegado de Protección de Datos, se han trasladado indicaciones a la Dirección General de Salud Pública respecto a qué datos mínimos deben tratarse en relación a los clientes de los salones de banquetes. En este sentido, las recomendaciones que se han remitido establecen que deben considerarse, en aras del principio de minimización, únicamente el número de teléfono, fecha y hora de asistencia a los locales por parte de los clientes.” 3. Sobre la posición de los distintos “actores” y la base jurídica del tratamiento. Sobre la posición de la Consejería de Sanidad de la Comunidad de Madrid y los establecimientos afectados por la medida en relación con el tratamiento de datos personales derivado de la obligación de registro, el Escrito CSCM 1 detalla lo siguiente: “[…] de conformidad con lo trasladado por la AEPD en su nota de prensa publicada el pasado 1 de agosto de 2020, en relación con la recogida de datos personales por parte de los establecimientos, en el presente supuesto, la Orden ***ORDEN.1 de la que trae causa el requerimiento, no establece un encargo de tratamiento entre la Consejería de Sanidad y los distintos establecimientos que vienen obligados por la citada Orden. Así pues, los establecimientos serían responsables de la recogida de datos de conformidad con la obligación interpuesta por el Real Decreto-ley 21/2020, de 9 de junio, de medidas urgentes de prevención, contención y coordinación para hacer frente a la crisis sanitaria ocasionada por el COVID-19, que en su artículo 26 sobre provisión de información esencial para la trazabilidad de contactos indica que: “Los establecimientos, medios de transporte o cualquier otro lugar, centro o entidad pública o privada en los que las autoridades sanitarias identifiquen la necesidad de realizar trazabilidad de contactos, tendrán la obligación de facilitar a las autoridades sanitarias la información de la que dispongan o que les sea solicitada relativa a la identificación y datos de contacto de las personas potencialmente afectadas”. Esta obligación legal ha sido desarrollada por la Orden ***ORDEN.1 emitida por la Consejería de Sanidad en sus competencias como Autoridad Sanitaria, resultando la Consejería de Sanidad ser la cesionaria de esos datos por razones de interés público C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/19 previstos en la ley. En este sentido, debemos indicar que la Consejería de Sanidad de la Comunidad de Madrid, de acuerdo con lo dispuesto en el artículo 9 de la Ley 12/2001, de 21 diciembre, Ordenación Sanitaria de la Comunidad de Madrid, ostenta la condición de Autoridad sanitaria, siendo por tanto competente para adoptar dichas medidas, que se acuerdan, por tanto, al amparo de la normativa legal referenciada y por la Autoridad sanitaria competente en la materia en esta Comunidad Autónoma. […] Teniendo en cuenta lo señalado anteriormente, toda vez que los establecimientos se instauran como responsables del tratamiento de los datos que recaben, la Consejería de Sanidad actuaría como cesionario de dichos datos en virtud de las competencias que tiene atribuidas como autoridad sanitaria. Así, dentro de la Consejería de Sanidad, la Dirección General de Salud Pública (en adelante DGSP), es el órgano que ostenta las competencias en vigilancia, análisis y control epidemiológico de la salud y sus determinantes, así como de la incidencia de las enfermedades transmisibles y su distribución en los distintos grupos de población y la vigilancia epidemiológica y control de microorganismos multirresistentes o de especial relevancia clínico-epidemiológica. Asimismo, dentro de la CSCM realiza el control de las enfermedades y riesgos para la salud en situaciones de emergencia sanitaria, la organización de la respuesta ante situaciones de alertas y crisis sanitarias, así como la gestión del Sistema de Alerta Rápida en Salud Pública de la Comunidad de Madrid y su coordinación con el Servicio Madrileño de Salud otras redes nacionales o de Comunidades Autónomas.” Sobre la competencia de la Consejería de Sanidad de la Comunidad de Madrid para adoptar la medida y la base jurídica de los tratamientos de datos personales derivados de la misma, el Escrito CSCM 1 señala lo siguiente: “Además, debe señalarse que las potestades administrativas que justifican la adopción de las medidas incluidas en la Orden ***ORDEN.1, se encuentran legitimadas, inicialmente, por el artículo 43 de la Constitución Española (en lo sucesivo CE), que, tras reconocer el derecho a la salud, precisa en su apartado segundo que: “Compete a los poderes públicos organizar y tutelar la salud pública a través de medidas preventivas y de las prestaciones y servicios necesarios. La Ley establecerá los derechos y deberes de todos al respecto”. El desarrollo básico desde este principio se encuentra en la Ley 14/1986 de 25 de abril, General de Sanidad, en la Ley Orgánica 3/1986, de 14 de abril sobre Medidas Especiales en Materia de Salud Pública, dictadas en virtud de la atribución competencial reconocida en el art. 149.1.16 CE a favor del Estado, sin perjuicio del ámbito competencial de las Comunidades Autónomas. De igual manera, la Ley Orgánica 3/1986 de 4 de abril sobre Medidas Especiales en Materia de Salud Pública señala en su art 1º que: “Al objeto de proteger la salud pública y prevenir su pérdida o deterioro, las autoridades sanitarias de las distintas Administraciones Públicas podrán, dentro del ámbito de sus competencias, adoptar las medidas previstas en la presente Ley cuando así lo exijan razones sanitarias de urgencia o necesidad”, añadiendo en el 3 que “con el fin de controlar las enfermedades C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/19 transmisibles, la autoridad sanitaria, además de realizar las acciones preventivas generales, podrá adoptar las medidas oportunas para el control de los enfermos, de las personas que estén o hayan estado en contacto con los mismos y del medio ambiente inmediato, así como las que se consideren necesarias en caso de riesgo de carácter transmisible”, estableciendo por tanto dicha ley un repertorio abierto de estas medidas, exigibles y legitimadas por la defensa de la salud pública. Así pues, en el ámbito de la Comunidad de Madrid, la Ley 12/2001 de 21 de diciembre de Ordenación Sanitaria de la Comunidad de Madrid, en su art. 55, legitima a la Comunidad Autónoma a adoptar las medidas preventivas necesarias en el ámbito de la salud pública, al determinar que: “1. La función de Autoridad en Salud Pública incluye:
3. a)La adopción cuando proceda, de las medidas previstas en la Ley 3/1986, de 14 de abril de Medidas Especiales en Materia de Salud Pública, y especialmente en los supuestos contemplados en sus artículos 2 y 3.
4. b)La adopción de cualquier otra medida necesaria en función del análisis de los determinantes del proceso salud-enfermedad en la Comunidad de Madrid”. Por último, debe señalarse que el Juzgado de lo Contencioso-Administrativo nº 08 de Madrid, mediante Auto ***AUTO.1, en el ejercicio de las competencias otorgadas por la Ley Reguladora de la Jurisdicción Contencioso-Administrativa, ha procedido a ratificar la Orden ***ORDEN.1, considerando que, “teniendo en cuenta la situación actual de alarma sanitaria, y evidenciando la voluntad de adoptar una actuación orientada a disminuir la transmisión de la enfermedad y a conseguir la necesaria protección de la salud pública, se aprecia tanto su idoneidad - pues no parece que existan medidas menos gravosas o lesivas para la consecución del objeto propuesto como su necesidad y proporcionalidad, en el sentido de que razonablemente pueden reportar más beneficios al interés general que desventajas o perjuicios a otros bienes o derechos. […] Así pues, en atención a lo traspuesto anteriormente, de conformidad con lo establecido en la Ley 14/1986 de 25 de abril, General de Sanidad, la Ley 12/2001 de 21 de diciembre de Ordenación Sanitaria de la Comunidad de Madrid y la Ley 3/1986, de 14 de abril de Medidas Especiales en Materia de Salud Pública, la base jurídica para este tratamiento, sería la recogida en el art. 6.1.
5. e)del RGPD “el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento”.” Así, el Escrito CSCM 1 expresa que “el traspaso de información que se realizará entre los establecimientos y la Consejería de Sanidad, en los supuestos en los que resulte necesaria, consistirá en una comunicación de datos basada en el cumplimiento de una misión realizada en interés público en atención a las competencias otorgadas por ley a la CSCM.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/19 Se adjunta al Escrito CSCM 2 copia del Auto ***AUTO.1 del Juzgado de lo Contencioso-Administrativo nº 08 de Madrid mencionado anteriormente. 4. Sobre la proporcionalidad de los tratamientos de datos personales. En relación con el juicio de proporcionalidad, el Escrito CSCM 1 especifica lo siguiente: “Sobre la presente cuestión debemos reiterar que el Juzgado de lo Contencioso-Administrativo nº 08 de Madrid, mediante Auto 112/2020, ratificó las medidas adoptadas en la Orden ***ORDEN.1. Para ello el Juzgado señala que los informes emitidos por la DGSP, que quedan incorporados a las actuaciones, ponen de manifiesto de forma exhaustiva la situación actual, especificando que los “brotes” notificados en las últimas semanas y su peculiar idiosincrasia, evidencian la voluntad de adoptar una actuación orientada a disminuir la transmisión de la enfermedad y a conseguir la necesaria protección de la salud pública. Además, el Juzgado valora que se trata de medidas temporales - ya que, el apartado Tercero de la Orden ***ORDEN.2, de ***FECHA.3, de la Consejería de Sanidad que se modifica, dispone que la misma mantendrá su vigencia hasta que el Gobierno de España declare la finalización de la situación de crisis sanitaria de acuerdo con lo previsto en el artículo 2.3 del Real Decretoley 21/2020, de 9 de junio, de medidas urgentes de prevención, contención y coordinación para hacer frente a la crisis sanitaria ocasionada por el COVID19. Por todo ello, el citado Juzgado comparte con el Ministerio Fiscal, que efectivamente, “no parece existir otra alternativa que cause menor afectación a los derechos fundamentales”, indicando además que aprecia su idoneidad “pues no parece que existan medidas menos gravosas o lesivas para la consecución del objeto propuesto - como su necesidad y proporcionalidad, en el sentido de que razonablemente pueden reportar más beneficios al interés general que desventajas o perjuicios a otros bienes o derechos”.” Se adjunta al Escrito CSCM 2 copia del Auto ***AUTO.1 del Juzgado de lo Contencioso-Administrativo nº 08 de Madrid mencionado anteriormente. 5. Sobre las medidas de seguridad aplicadas. En relación con el procedimiento de comunicación de los datos personales desde los establecimientos afectados por la medida a la Consejería de Sanidad de la Comunidad de Madrid, el Escrito CSCM 1 detalla lo siguiente: “Desde la Dirección General de Salud Pública se solicitará a los establecimientos la información de la que dispongan sobre los ciudadanos que hayan estado en sus locales, únicamente en aquellos supuestos en los que se tenga sospechas lo suficientemente fundamentadas de que pudiera existir un “brote” de Coronavirus en el establecimiento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/19 Desde esta Delegación de Protección de Datos, se ha recomendado que se remita esta información a través de correo electrónico a una cuenta de la Dirección General de Salud Pública, mediante un archivo segurizado [sic] con contraseña, la cual se hará llegar por teléfono, u otro medio distinto al correo electrónico.” Con respecto a las medidas de seguridad aplicadas una vez la información es trasladada a la Consejería de Sanidad de la Comunidad de Madrid, el Escrito CSCM 1 explica lo siguiente: “la información que se recabe de los establecimientos se incluirá en los sistemas de gestión asistencial de la DGSP, concretamente en la aplicación de gestión de Alertas Sanitarias (SISPAL). A la citada aplicación, únicamente tendrán acceso aquellos profesionales que por su perfil profesional estén habilitados para conocer la información que allí se recoja. Dicho personal está sometido al deber de confidencialidad y secreto profesional. Por otra parte, las credenciales de acceso son nominales y llevan asignado un perfil de conectividad controlada y restringida del conjunto de recursos de la red de la CSCM (concentrador de túneles SSL) a los estrictamente necesarios para la realización de sus funciones. El tráfico de los usuarios remotos se transporta, mediante túneles VPN-SSL, desde cada uno de los ordenadores hasta la entrada a la red de la CSCM. Este servicio de Acceso Seguro vía SSL ofrece un doble nivel de seguridad:  El primero, a nivel del concentrador de túneles SSL, donde la validación de usuarios se realiza contra Directorio Activo. Por lo tanto, es un requerimiento poseer un usuario activo en el DA, en caso contrario se deberá solicitar la creación de este a través del formulario destinado a tal efecto.  El segundo a nivel de aplicación (para cada aplicación a la que se desee acceder el usuario deberá introducir sus credenciales). En lo que respecta a las medidas de protección de los sistemas, al encontrarse la plataforma de gestión de alertas sanitarias (SISPAL) dentro de la red sanitaria de la Consejería de Sanidad, cumple con los requisitos de seguridad establecidos en el Anexo II del Esquema Nacional de Seguridad y las medidas necesarias para salvaguardar la disponibilidad, autenticidad, integridad, confidencialidad y trazabilidad de los sistemas de información.” 1. Sobre los plazos de conservación de los datos personales: Sobre los plazos de conservación de los datos personales objeto de registro, el Escrito CSCM 1 apunta lo siguiente: “Los establecimientos obligados, deberán conservar los datos durante el plazo de veintiocho días naturales, en virtud de la Orden ***ORDEN.1. Por parte de la Consejería de Sanidad, en aquellos supuestos en los que se constate que alguno de los contactos que haya proporcionado un C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/19 establecimiento es positivo en SARS-CoV-2, se integrarán estos datos con los sistemas de historia clínica, con el fin de poder prestarle una adecuada asistencia sanitaria al paciente. En estos supuestos, los datos de la historia clínica se conservarán mientras sean necesarios para garantizar la adecuada asistencia sanitaria de los pacientes y, como mínimo, cinco años.” Además, según se ha visto anteriormente, el plazo de conservación que refiere el contenido del apartado vigesimosegundo de la Orden ***ORDEN.2 (consolidada a 13 de abril de 2021) para los salones de banquetes es de veintiocho días. 2. Sobre el cumplimiento del deber de información al interesado. En relación con esta cuestión, el Escrito CSCM 1 recoge que: “Desde la Delegación de Protección de Datos, se ha recomendado que, en aquellos supuestos que se hayan recibido datos de algún establecimiento, en el momento en el que, desde la Dirección General de Salud Pública, se pongan en contacto con algún ciudadano que pudiese encontrarse en riesgo de haber contraído el virus SARSCoV-2, los servicios de teleoperadores contratados para ello le proporcionarán por teléfono la información requerida de conformidad con el art. 14 del RGPD.”” FUNDAMENTOS DE DERECHO PRIMERO: De acuerdo con los poderes de investigación y correctivos que el artículo 58 del RGPD otorga a cada autoridad de control, y según lo dispuesto en el artículo 47 de la LOPDGDD, la directora de la AEPD es competente para resolver estas actuaciones de investigación. SEGUNDO: El artículo 8.6 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa establece: “(…) Asimismo, corresponderá a los Juzgados de lo Contenciosoadministrativo la autorización o ratificación judicial de las medidas adoptadas con arreglo a la legislación sanitaria que las autoridades sanitarias consideren urgentes y necesarias para la salud pública e impliquen limitación o restricción de derechos fundamentales cuando dichas medidas estén plasmadas en actos administrativos singulares que afecten únicamente a uno o varios particulares concretos e identificados de manera individualizada.” A este respecto, mediante escrito presentado en fecha 30 de julio de 2020, por los Servicios Jurídicos de la Comunidad de Madrid, se solicita, ante la jurisdicción contencioso administrativa, la ratificación de la Orden ***ORDEN.1, de ***FECHA.1 de la Consejería de Sanidad por la que modifica la Orden ***ORDEN.2, de ***FECHA.3, por la que se adoptan medidas preventivas para hacer frente a la crisis sanitaria ocasionada por el COVID-19, una vez finalizada la prórroga del estado de alarma establecida por el Real Decreto 555/2020, de 5 de junio (BOCM de ***FECHA.1), de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/19 acuerdo con lo dispuesto en el artículo 9 de la Ley 12/2001, de 21 diciembre, Ordenación Sanitaria de la Comunidad de Madrid. En respuesta a la solicitud instada, el Juzgado de lo Contencioso-Administrativo nº 8 de Madrid, mediante Auto ***AUTO.1 de fecha 31 de julio de 2020, dispone acordar la ratificación de las medidas adoptadas en la Orden ***ORDEN.1, de ***FECHA.1, de la Consejería de Sanidad, por la que se modifica la Orden ***ORDEN.2, de ***FECHA.3, por la que se adoptan medidas preventivas para hacer frente a la crisis sanitaria ocasionada por el COVID-19 una vez finalizada la prórroga del estado de alarma establecida por el Real Decreto 555/2020, de 5 de junio (BOCM de ***FECHA.1). En concreto, en el Fundamento de Derecho Tercero se pronuncia sobre los apartados Vigésimo segundo, punto 3, y, Vigésimo cuarto, punto 8, relativos al registro aplicable a los banquetes y a los locales de discotecas y establecimientos de ocio nocturno (cuya actividad -estas dos últimas- queda suspendida (mediante Orden ***ORDEN.3, de ***FECHA.4, de la Consejería de Sanidad), hasta la finalización de la vigencia de la declaración de actuaciones coordinadas en salud pública para responder ante la situación de especial riesgo derivada del incremento de casos positivos por COVID-19 aprobada mediante Orden comunicada del Ministro de Sanidad de 14 de agosto de 2020). “TERCERO.-Teniendo en cuenta que no se interesa la ratificación de la aplicación de medidas sobre personas concretas, sino de las medidas que con carácter general prevé la propia Orden en cuanto modifica medidas anteriores, ampliando en algunos supuestos las restricciones previstas -que unidas a las anteriores pueden afectar a la libertad de circulación del artículo 19 de la Constitución, por ejemplo las contempladas en el Apartado Séptimo, puntos 8 y 9- ; a la libertad de reunión del artículo 21 de la Constitución, como ocurre con las contempladas en el Apartado Séptimo, punto 10; al derecho a la intimidad personal del artículo 18 de la Constitución las previstas en los Apartados Vigesimosegundo, punto 3 y Vigesimocuarto, punto 8 (…). (…), se concluye que resulta procedente su ratificación, sin que se estime, sin embargo, necesario, imponer a la Administración solicitante obligación alguna al respecto, más allá de lo que legalmente resulta del citado artículo 8.6 LRJCA que da cobertura a esta ratificación. TERCERO: El artículo 118 de la Constitución Española establece: “Es obligado cumplir las sentencias y demás resoluciones firmes de los Jueces y Tribunales, así como prestar la colaboración requerida por éstos en el curso del proceso y en la ejecución de lo resuelto.” CUARTO: Por lo tanto, la actuación de la investigada como entidad responsable del tratamiento ha sido acorde con la normativa sobre protección de datos analizada en los párrafos anteriores. Por lo tanto, de acuerdo con lo señalado, por la directora de la AEPD, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/19 SEGUNDO: NOTIFICAR la presente resolución a la CONSEJERÍA DE SANIDAD DE LA COMUNIDAD AUTÓNOMA DE MADRID con CIF S7800001E. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según el artículo 48.6 de la LOPDGDD, y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la AEPD en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 940-0419 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es