E-06590-2021

1/19  Procedimiento Nº: E/06590/2021 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes: HECHOS PRIMERO: La reclamación interpuesta por la CENTRAL SINDICAL INDEPENDIENTE Y DE FUNCIONARIOS (en adelante, el reclamante) tiene entrada, con fecha 15 de febrero de 2021, en la Agencia Española de Protección de Datos. La reclamación se dirige contra la CONSEJERÍA DE SALUD, (en adelante, el reclamado). Los motivos en que basa la reclamación son los siguientes: “PRIMERO. -Que, con fecha 12 de febrero de 2021, la CONSEJERÍA DE SALUD DE LA REGIÓN DE MURCIA, sita en Avda. Ronda de Levante, 11. 30071, Murcia, ha dado acceso, a varios Diputados de la Asamblea Regional de Murcia, a un listado en el que se recogen los datos personales de los empleados públicos destinatarios de las primeras vacunas puestas frente a la Covid-19 en la Región de Murcia, con el fin de poder conocer qué cargos y trabajadores se han vacunado y si los mismos lo han hecho correctamente según el protocolo establecido al efecto. SEGUNDO. - Que tal actuación se ha llevado a cabo sin que los trabajadores hayan prestado consentimiento u autorización previa alguna al efecto, sin tener en cuenta que el listado mostrado contiene datos personales sensibles relacionados con su salud, e identificando a los mismos con su nombre y apellidos, que no por el cargo o puesto desempeñado. Datos, todos ellos, protegidos por el Reglamento (UE) 2016/679, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (RGPD) y la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPD). Es más, el propio presidente de la Región de Murcia, el 24 de enero de 2021, confirmó que ante las serias dudas que generaba dar acceso a la lista de los vacunados, ante una posible vulneración de los derechos de los mismos, la Consejería de Salud iba a pedir a la Agencia Española de Protección de Datos que le autorizara a publicarla. Sin embargo, dicha consulta escrita no tenemos constancia que se haya hecho, al menos no con anterioridad a la comunicación de la lista de los empleados públicos vacunados. TERCERO. – Que, de este acontecimiento, se han hecho eco distintos medios de comunicación, radio y prensa (por ejemplo: La Verdad de Murcia, La Opinión de Murcia, …), con la consiguiente repercusión. Que, en dichas publicaciones, se indica que los Diputados pudieron tomar notas respecto de los datos obrantes en ese listado. De hecho, con posterioridad, han salido publicados los nombres y apellidos de algunos de los altos cargos vacunados, para luego continuar señalando directamente a los funcionarios, como al Jefe de Servicio de valoración y diagnóstico (funcionario de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/19 Política Social), …, pudiendo ser éste el principio, si no se frena, de un largo listado de nombres de funcionarios que quedarían en entredicho cuando, la realidad, es que fueron llamados al ser empleados que fueron vacunados de conformidad con las directrices dadas por la propia Consejería de Salud de la Región de Murcia. CUARTO.- Teniendo en cuenta que, a requerimiento del Ministerio Fiscal, la Consejería de Salud ya había facilitado, a la Fiscalía Superior de la Región de Murcia, un listado de los altos cargos y funcionarios de la Consejería de Salud que habían sido vacunados sin estar adscritos a hospitales o centros de salud y de aquellos que no realizaban labores asistenciales directas, para poder establecer así, si existen indicios de la comisión de algún posible delito, desconoce esta parte, la legalidad existente en que la Consejería haya permitido el acceso, a un grupo de Diputados/as de la Asamblea Regional, a los listados íntegros de todos los empleados públicos vacunados, no con el puesto o cargo que desempeñan sino con todos sus datos personales y de salud a la vista CSIF considera que la Consejería se ha extralimitado en su actuación, dando acceso a datos personales y sensibles de salud de sus empleados públicos, sin consentimiento previo de los mismos, existiendo, además, otra posibilidad que hubiera dado lugar a permitir el fin perseguido por los Diputados (dotar de transparencia el proceso de vacunación), sin vulnerar derecho alguno de los trabajadores y los posibles daños que la publicación de sus datos pudiera causarles, esto es, dar acceso a un listado en el que se desvinculara la información proporcionada, de los datos identificativos, tal y como informó, a la Consejería, el propio Delegado de Protección de Datos, Inspección General de Servicios, ante la consulta que la misma le hizo en relación al tratamiento y cesión de datos personales relativos al proceso de vacunación, al que por lo visto, han hecho caso omiso.” Junto a la reclamación aporta: - - Informe del Delegado de Protección de Datos sobre la comunicación de datos relativos al proceso de vacunación en el que concluye que dicha comunicación constituye un tratamiento de datos de salud y debe cumplir lo establecido en los artículos 6 y 9 del RGPD y los principios en materia de protección de datos; indicando que se podrían facilitar pseudonimizados. Poder notarial de representación del CSIF. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), con número de referencia E/03006/2021, se dio traslado de dicha reclamación al reclamado, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. TERCERO: Con fecha 1 de junio de 2021, la Directora de la Agencia Española de Protección de Datos acordó admitir a trámite la reclamación presentada por el reclamante. CUARTO: En la misma fecha que se admitió a trámite la reclamación, 1 de junio de 2021, se recibió en la Agencia Española de Protección de Datos la contestación a la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/19 solicitud de información efectuada a la Consejería de Salud reclamada. En la misma alegan lo siguiente: “En fecha 26 de enero de 2021 la Fiscalía de la Comunidad Autónoma, en las Diligencias de Investigación nº 26/2021 solicitó a esta Consejería la siguiente información:  Vacunación contra el COVID-19 del personal de la Consejería de Salud y servicios centrales del Servicio Murciano de Salud, Protocolos y criterios de interpretación seguidos para ello y grupos en los que se les ha considerado incluidos.  Listado digital completo de esas personas, con su identificación y puesto de trabajo.  Copia digital de las Resoluciones adoptadas para la inclusión de este personal en las vacunaciones.  Posible existencia de un régimen sancionador aplicable para el supuesto de incumplimientos del Protocolo de vacunación existente. En fecha 29 de enero de 2021, ante determinadas noticias aparecidas en prensa poniendo en tela de juicio el proceso de vacunación llevado a cabo durante el mes de enero por la Administración Sanitaria, en especial en lo referente a la vacunación del personal de los órganos centrales del Servicio Murciano de Salud y de la Consejería de Salud, esta Consejería consideró necesario, en aras a la transparencia de las actuaciones practicadas, dar publicidad general a los listados de las personas que han sido vacunadas en el conjunto de la Región de Murcia, pero siendo necesario plantearse previamente su viabilidad jurídica y, en su caso, con qué criterios y pautas se debería llevar a cabo dicha difusión sin vulnerar la normativa reguladora de los datos de carácter personal se solicitó a la Inspección General de Servicios en su calidad de Delegado de Protección de Datos de la Administración General de la Comunidad Autónoma de la Región de Murcia informe si es factible llevar a cabo la publicación de datos y de qué modo sería posible realizarlo o, en su caso, que se formulara consulta al respecto a la Agencia Española de Protección de Datos como autoridad de control. En fecha 3 de febrero de 2021 y en contestación a la petición de información formulada por la Fiscalía, se hizo entrega a los miembros de la Policía JudicialGuardia Civil del informe explicativo de la campaña de vacunación de COVID-19 en la Región de Murcia, adjuntando como anexo al mismo un disco CD que contenía un fichero comprimido y cifrado en formato Zip, conteniendo los ficheros en formato Excel con los datos solicitados,(información digitalizada de los listados de personal de los órganos centrales del Servicio Murciano de Salud y de la Consejería de Salud que han sido vacunados) firmado digitalmente y con clave de seguridad para el acceso y lectura de los mismos. Con la entrega de dicho informe y teniendo en cuenta que los ficheros contenían datos de carácter personal relativos a la vacunación que tienen la consideración de datos de historia clínica, relacionados con la salud y que, por tanto, se encuentran especialmente protegidos, de conformidad con la normativa aplicable en materia de protección de datos de carácter personal se recordó el carácter sensible de los datos facilitados y, en consecuencia, el deber de confidencialidad, sigilo, integridad y seguridad, con que deben tratarse por todas aquellas personas que tengan acceso a los mismos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/19 En cualquier caso, el tratamiento de datos de estas categorías de datos especialmente protegidas se encontraría amparada en lo dispuesto en el apartado

1. f)del artículo 9.2 del citado l Reglamento UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016, que posibilita dicho tratamiento por el ejercicio de funciones en el ámbito de la autoridad judicial, sin perjuicio del deber de confidencialidad, sigilo, integridad y seguridad que afecta a todo el personal que tenga acceso a estos datos de carácter personal. En fecha 3 de febrero de 2021 el Delegado de Protección de Datos de la Administración General de la Comunidad Autónoma de la Región de Murcia emitió el informe que consta en la denuncia y en el que, a modo de conclusión nº 4 señala que: “En otro orden de cosas, si se solicitara información por un diputado en ejercicio de la función de control parlamentario se aplicaría el régimen establecido en el Reglamento de la Asamblea. En el artículo 13 establece que se recabará el dato siempre que su conocimiento no conculque las garantías legalmente establecidas para la protección de datos de carácter personal. Y en caso de afectar a un derecho fundamental, establece un acceso limitado a tomar notas.” Por otro lado, la Presidencia de la Asamblea Regional de la Región de Murcia, trasladó al Consejo de Gobierno de la Región de Murcia las siguientes solicitudes de información, admitidas en la Mesa de la Cámara celebrada el 4 de febrero de 2021, y cuya respuesta correspondía a esta Consejería de Salud:  10L/SIDI-1633 Solicitud de información dirigida al Consejero de Salud sobre relación fechas vacunación por Covid-19, número de dosis recibidas en la región, número de personas vacunadas diariamente y lugares donde se ha administrado la vacuna a día de fecha, formulada por D. XXX, del Grupo Parlamentario Socialista.  10L/SIDI-1668 Solicitud de información dirigida al Consejo de Gobierno sobre calendario de vacunación contra la Covid-19 en la Región de Murcia, formulada por Dª. CCC, del Grupo Parlamentario Mixto.  10L/SIDI-1667 Solicitud de información dirigida al Consejo de Gobierno sobre lista de cargos públicos vacunados contra la Covid-19 en la Región de Murcia, formulada por Dª. VVV, del Grupo Parlamentario Mixto.  10L/SIDI-1669 Solicitud de información dirigida al Consejero de Salud sobre listado de personas que han sido vacunadas contra el SARS-COV2 (Covid-19) en la Región de Murcia, formulada por Dª. BBB, del Grupo Parlamentario VOX.  10L/SIDI-1673 Solicitud de información dirigida al Consejo de Gobierno sobre relación detallada del listado completo de todos los vacunados contra la Covid-19, formulada por D. NNN, del Grupo Parlamentario Socialista.  10L/SIDI-1674 Solicitud de información dirigida al Consejo de Gobierno sobre relación de vacunados contra la Covid-19 en la Región de Murcia, formulada por D. MMM, del Grupo Parlamentario VOX. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/19 Esta Consejería, en fecha 9 de febrero de 2021, dado que los datos solicitados son personales relativos a prestaciones sanitarias y protegidos por el art.18.1 de la Constitución Española, y en aplicación del artículo 13.1 del Reglamento de la Asamblea Regional de Murcia, dispuso lo siguiente: “PRIMERO: Comunicar a la Mesa de la Asamblea el carácter reservado de la información requerida en las iniciativas 10L/SIDI-1633, 10L/SIDI-1667, 10L/SIDI-1668, 10L/SIDI-1669, 10L/1673, 10L/1674, solicitando de la citada Mesa la declaración del carácter no público de las actuaciones, disponiendo el acceso directo a los documentos y pudiendo las diputadas y diputados solicitantes de información tomar notas, pero no obtener copia ni actuar acompañado de ningún asesor, ni divulgar la información. SEGUNDO: El acceso directo, en su caso, tendrá lugar de forma conjunta para las diputadas y diputados solicitantes, el próximo viernes 12 de febrero, de 09:30h a las 13:00h, en las dependencias de la Consejería de Salud sita en la Avenida Ronda de Levante 11, 30008-Murcia. TERCERO: El acceso directo a la documentación solicitada se realizará en una Sala preparada al efecto, en la que habrá varios funcionarios de apoyo y se dará fe de que no se han hecho fotos ni contactado con nadie del exterior, se expedirá una Diligencia de Comparecencia firmada por los presentes, funcionarios y diputados y diputadas, en la que se haga constar las circunstancias de la visita y en la que los Diputados se darán por informados de la protección de esos datos y las consecuencias que tiene el que no se mantenga la confidencialidad.” En fecha 12 de febrero de 2021, a las 09:27 horas, se recibió un email de la Jefa de Servicio de Gestión Parlamentaria, Publicaciones y Archivo de la Asamblea Regional de Murcia, en el que literalmente se comunicaba que: “Siguiendo instrucciones de la Letrada-Secretaria General, te comunico que la Mesa de la Cámara en sesión celebrada en el día de ayer, tomó conocimiento y accedió a la petición del Consejo de Gobierno de declarar carácter no público de la documentación pedida a través de las solicitudes de información 1633, 1668, 1667, 1669, 1673 y 174, de diversos diputados de la Cámara, a los que se le ha comunicado que el acceso a la información tendrá lugar en el día de hoy, en los términos señalados en el escrito del que se las entregado copia.” (Aunque hace referencia a la solicitud de información 174, ha de entenderse un error mecanográfico y deducirse referida a la 1674). El 12 de febrero de 2021, a las 9:30 horas se puso a disposición de cada uno de los diputados y diputadas personados un ordenador exclusivamente con la información solicitada por cada uno de ellos, de forma que cada diputado sólo podía acceder a la información por él solicitada, sin que los restantes pudieran acceder a la misma. Así:  A D. XXX, del Grupo Parlamentario Socialista, se le dio acceso exclusivamente a la relación fechas vacunación por Covid-19, el número de dosis recibidas en la Región, el número de personas vacunadas diariamente y lugares donde se administró la vacuna (10L/SIDI1633). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/19  A Dª. CCC, del Grupo Parlamentario Mixto, se le dio acceso exclusivamente a. calendario de vacunación contra la Covid-19 en la Región de Murcia (10L/SIDI1668) y a la lista de cargos públicos vacunados contra la Covid-19 en la Región de Murcia (10L/SIDI-1667).  A Dª. MMM, del Grupo Parlamentario VOX se le dio acceso exclusivamente al listado de personas que han sido vacunadas contra el SARS-COV2 (COVID-19) en la Región de Murcia, (10L/SIDI-1669).  A D. NNN, del Grupo Parlamentario Socialista se le dio acceso exclusivamente a la relación detallada del listado completo de todos los vacunados contra la Covid-19 (10L/SIDI-1673).  A D. MMM, del Grupo Parlamentario VOX se le dio acceso exclusivamente a la relación de vacunados contra la Covid-19 en la Región de Murcia (10L/SIDI-1674). De dichas comparecencias se levantaron las correspondientes Diligencias, en las que, debidamente suscritas por cada uno de los Sres. Diputados y Diputadas, se hizo constar que: “Previamente a la entrega de la información, y atendiendo a lo informado por el Delegado de Protección de Datos-Inspección General de Servicios de la Comunidad Autónoma de la Región de Murcia en fecha 3 de febrero de 2021, se le informa expresamente al Sr. Diputado que los datos solicitados tienen la condición de datos de carácter personal y, en especial, los datos referentes a la vacunación tienen la consideración de datos de historia clínica, relacionados con la salud y, por tanto, se encuentran especialmente protegidos,… Asimismo, se le recuerda al Sr. Diputado que de conformidad con lo dispuesto en el art. 13.1 del Reglamento de la Asamblea, dispone del acceso directo a la información, pudiendo tomar notas, pero no puede obtener copia, ni actuar acompañado de ningún asesor, ni divulgar la información, siendo de aplicación la normativa de protección de datos de carácter personal para el tratamiento posterior de los obtenidos. El incumplimiento de la reserva del tratamiento de los datos a los que en el día de hoy tendrá acceso, puede conllevar la aplicación de las normas de disciplina parlamentaria …”. Una vez terminada la comparecencia, los Sres. diputados y diputadas salieron del edificio y realizaron ante la prensa las declaraciones que estimaros oportunas, sin que esta Consejería pueda entrar a valorar la idoneidad de las mismas. En definitiva, esta Consejería sólo ha cedido los datos de vacunación en dos casos:  A la Fiscalía de la Comunidad Autónoma, en el ámbito de actuación de las Diligencias de Investigación nº 26/2021, estando amparada dicho tratamiento en lo dispuesto en el apartado
2. f)del artículo 9.2 del citado l Reglamento UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016, que posibilita dicho tratamiento por el ejercicio de funciones en el ámbito de la autoridad judicial, sin perjuicio del deber de confidencialidad, sigilo, integridad y seguridad que afecta a todo el personal que tenga acceso a estos datos de carácter personal. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/19  A determinados diputados y diputadas de la Asamblea Regional de Murcia, estando amparado dicho tratamiento en el ámbito del artículo 13 del reglamento de la Asamblea Regional. FUNDAMENTOS DE DERECHO I De acuerdo con los poderes de investigación y correctivos que el artículo 58 del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) otorga a cada autoridad de control, y según lo dispuesto en el artículo 47 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. II La reclamación se concreta en que la Consejería de Salud de la Región de Murcia ha ha dado acceso, a varios Diputados de la Asamblea Regional de Murcia, de un listado en el que se recogen los datos personales de los empleados públicos destinatarios de las primeras vacunas puestas frente a la Covid-19 en la Región de Murcia, con el fin de poder conocer qué cargos y trabajadores se han vacunado y si los mismos lo han hecho correctamente según el protocolo establecido al efecto. La comunicación de esos datos constituye un tratamiento de los mismos para lo cual la Consejería de Salud debía tener legitimación. El artículo 4.2) del RGPD define tratamiento de datos como: “2) «tratamiento»: cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción; Por otro lado, el artículo 6.1 del mencionado RGPD indica: “1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
3. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
4. b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
5. c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/19
6. d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
7. e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
8. f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
9. f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones”. Al tratarse de datos referidos a la salud, se ha de dar alguno de los presupuestos establecidos en el artículo 9 del RGPD para levantar la prohibición de su tratamiento. Este artículo determina en sus dos primeros apartados lo siguiente: “1. Quedan prohibidos el tratamiento de datos personales que revelen el origen étnico o racial, las opiniones políticas, las convicciones religiosas o filosóficas, o la afiliación sindical, y el tratamiento de datos genéticos, datos biométricos dirigidos a identificar de manera unívoca a una persona física, datos relativos a la salud o datos relativos a la vida sexual o las orientaciones sexuales de una persona física. 2. El apartado 1 no será de aplicación cuando concurra una de las circunstancias siguientes:
10. a)el interesado dio su consentimiento explícito para el tratamiento de dichos datos personales con uno o más de los fines especificados, excepto cuando el Derecho de la Unión o de los Estados miembros establezca que la prohibición mencionada en el apartado 1 no puede ser levantada por el interesado;
11. b)el tratamiento es necesario para el cumplimiento de obligaciones y el ejercicio de derechos específicos del responsable del tratamiento o del interesado en el ámbito del Derecho laboral y de la seguridad y protección social, en la medida en que así lo autorice el Derecho de la Unión de los Estados miembros o un convenio colectivo con arreglo al Derecho de los Estados miembros que establezca garantías adecuadas del respeto de los derechos fundamentales y de los intereses del interesado;
12. c)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física, en el supuesto de que el interesado no esté capacitado, física o jurídicamente, para dar su consentimiento;
13. d)el tratamiento es efectuado, en el ámbito de sus actividades legítimas y con las debidas garantías, por una fundación, una asociación o cualquier otro organismo sin ánimo de lucro, cuya finalidad sea política, filosófica, religiosa o sindical, siempre que el tratamiento se refiera exclusivamente a los miembros actuales o antiguos de tales organismos o a personas que mantengan contactos regulares con ellos en relación con sus fines y siempre que los datos personales no se comuniquen fuera de ellos sin el consentimiento de los interesados;
14. e)el tratamiento se refiere a datos personales que el interesado ha hecho manifiestamente públicos;
15. f)el tratamiento es necesario para la formulación, el ejercicio o la defensa de reclamaciones o cuando los tribunales actúen en ejercicio de su función judicial; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/19
16. g)el tratamiento es necesario por razones de un interés público esencial, sobre la base del Derecho de la Unión o de los Estados miembros, que debe ser proporcional al objetivo perseguido, respetar en lo esencial el derecho a la protección de datos y establecer medidas adecuadas y específicas para proteger los intereses y derechos fundamentales del interesado;
17. h)el tratamiento es necesario para fines de medicina preventiva o laboral, evaluación de la capacidad laboral del trabajador, diagnóstico médico, prestación de asistencia o tratamiento de tipo sanitario o social, o gestión de los sistemas y servicios de asistencia sanitaria y social, sobre la base del Derecho de la Unión o de los Estados miembros o en virtud de un contrato con un profesional sanitario y sin perjuicio de las condiciones y garantías contempladas en el apartado 3;
18. i)el tratamiento es necesario por razones de interés público en el ámbito de la salud pública, como la protección frente a amenazas transfronterizas graves para la salud, o para garantizar elevados niveles de calidad y de seguridad de la asistencia sanitaria y de los medicamentos o productos sanitarios, sobre la base del Derecho de la Unión o de los Estados miembros que establezca medidas adecuadas y específicas para proteger los derechos y libertades del interesado, en particular el secreto profesional;
19. j)el tratamiento es necesario con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos, de conformidad con el artículo 89, apartado 1, sobre la base del Derecho de la Unión o de los Estados miembros, que debe ser proporcional al objetivo perseguido, respetar en lo esencial el derecho a la protección de datos y establecer medidas adecuadas y específicas para proteger los intereses y derechos fundamentales del interesado.” III Sobre una cuestión idéntica a la que se ha planteado en este expediente, el Servicio Jurídico de la AEPD emitió el Informe número 25/2021, en el que, tras señalar la responsabilidad activa de los responsables de los tratamientos en evaluar el riesgo de estos tratamientos y adoptar las medidas adecuadas tras su análisis, la importancia de consultar al DPD (como se realizó en el presente expediente), y, en el caso de tener dudas, plantear una consulta al Servicio Jurídico de la AEPD; en el informe reseñado, se indica, en síntesis, lo siguiente: “La consulta plantea las dudas que se suscitan al consultante respecto de la solicitud de información efectuada por un parlamentario de la Junta General del Principado de Asturias, calificada y admitida a trámite por la Mesa de la Cámara, sobre la relación de altos cargos y cargos directivos del Principado de Asturias, sus organismos autónomos, entes públicos y empresas públicas a los que se les ha suministrado alguna de las vacunas contra el COVID-19. Para ello, debe partirse de la consideración de la información correspondiente al hecho de la vacunación como un dato relativo a la salud, dada la amplitud con la que se consideran dichos datos en el RGPD. En este sentido, el artículo 4.15 del RGPD define como «datos relativos a la salud», aquellos datos personales relativos a la salud física o mental de una persona física, incluida la prestación de servicios de atención sanitaria, que revelen información sobre su estado de salud; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/19 Por su parte el Considerando