E-06867-2021

1/6  Expediente Nº: E/06867/2021 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: A.A.A. (en adelante, la parte reclamante) con fecha 28 de enero de 2021 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra CÍRCULO MERCANTIL E INDUSTRIAL DE SEVILLA con NIF G41032863 (en adelante, la parte reclamada). Los motivos en que basa la reclamación son los siguientes: El reclamante manifiesta que para el acceso a una exposición abierta al público se ha puesto como requisito la toma de la temperatura corporal mediante un dispositivo tipo pistola, por un empleado que no ha facilitado ni habilitación legal ni profesional para hacerlo así como ningún tipo de información sobre la finalidad de dicha recogida de datos médicos. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 25 de febrero de 2021 como consta en el acuse de recibo que obra en el expediente. Con fecha de 3 de marzo de 2021 se recibe en esta Agencia, escrito manifestando, entre otros asuntos, que la finalidad de la toma de temperatura es exclusivamente detectar posibles personas contagiadas y garantizar la seguridad y salud de las personas trabajadoras a su servicio en los aspectos relacionados con el trabajo. El médico de este servicio ha procedido a supervisar dicha toma de temperatura y ha delegado la función de esta en el personal cualificado de seguridad y de conserjería según el caso. El DPD realizó un análisis del riesgo cuyo resultado hace innecesaria una EIPD. La toma de temperatura se realiza mediante termómetro de irradiación sin que el dato de la temperatura quede anotado en ningún registro ni se proceda a tratamiento ulterior. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/6 Para dar cumplimiento a lo requerido respecto de la cualificación del personal que toma la temperatura a nivel interno ha organizado una serie de cursos comenzando por los conserjes que fueron los primeros en realizarlos, terminando todos estos con la capacitación de todo el cuerpo de conserjes antes de la toma de temperatura en cuestión. Y aportan la siguiente documentación relevante: - Análisis de riesgos - Manual y certificado de calibración del termómetro tipo pistola. - Diplomas acreditativos de la acción formativa "Curso usuario de Datos Seguridad Privada + Covid 19/21", de 30 horas de duración, impartido del 15 al 30/12/

1. TERCERO: Con fecha 3 de junio de 2021, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de los poderes de investigación otorgados a las autoridades de control en el artículo 57.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: Solicitada información a la parte reclamada sobre las medidas de acompañamiento a la toma de temperatura acometidas por para la prevención de la COVID-19, con fecha de 21 de diciembre de 2021 se recibe en esta Agencia, escrito de respuesta manifestando que estas medidas preventivas son:
2. Limitación aforo: en todo momento de la pandemia se han seguido las pautas marcadas por la Autoridad competente, y por ello se publicaba a través de todos los medios disponibles (cartelería física y redes sociales) las medidas y aforos de cada momento, y así se podrá comprobar en las diferentes publicaciones que os mostramos con enlaces a nuestra web y los diferentes protocolos a seguir que se publicaron.
3. La separación de 1,5-2 metros, se ha llevado a cabo en todas nuestras sedes, y en todos los recintos dentro de cada una de ellas como podréis ver en fotos anexas y como también se especifica en las publicaciones realizadas.
4. Sobre vestuarios/ aseos; en nuestra sede de Sierpes, se cerraron/ clausuraron la mayor parte del tiempo para el público, solo estando disponible para empleados, y con servicio de limpieza y desinfección continua.
5. Uso de mascarilla: obligatoria, anunciada con cartelería.
6. Medidas de Higiene: refuerzo en el servicio de limpieza, gel hidroalcohólico en todos los espacios y obligatorio dispensarse gel para poder acceder.
7. Adicionalmente: pantallas de metacrilato en los puestos de contacto con público, señalización en suelo para marcar la distancia interpersonal, teletrabajo durante un tiempo para evitar coincidir en el mismo espacio varios compañeros y asegurar la distancia de seguridad, se crea la figura de Responsable Covid según marca la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/6 normativa, se crean turnos en verano para acceder a las instalaciones con desinfección entre turnos. Facilitan además un listado de enlaces al sitio web del Círculo Mercantil e Industrial de Sevilla donde se hacen públicas estas normas generales, su adaptación según la situación pandémica y las normas para las visitas a exposiciones temporales. FUNDAMENTOS DE DERECHO I De acuerdo con los poderes de investigación y correctivos que el artículo 58 del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) otorga a cada autoridad de control, y según lo dispuesto en el artículo 47 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. II En relación con la toma de temperatura de las personas como parte de las medidas adoptadas en centros de trabajo para ayudar a prevenir la propagación de la pandemia de COVID-19, se considera necesario resaltar que la temperatura corporal de las personas es un dato de salud en sí mismo, a tenor de la definición contenida en el artículo 4, apartado 15, del RGPD. Según el artículo 4 del RGPD, apartados 1 y 2, se entenderá por «datos personales»: “toda información sobre una persona física identificada o identificable”; y por «tratamiento»: “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción.” Partiendo de lo anterior, los controles de temperatura de las personas pueden constituir un tratamiento de datos de salud relativo a una persona física identificada o identificable, y como tal deben ajustarse a una de las bases jurídicas enumeradas en el artículo 6 del RGPD y concurrir alguna de las excepciones específicas que se relacionan en el artículo 9 del RGPD. El Ministerio de Sanidad, frente a la exposición al SARS-COV-2 ha dictado recomendaciones y medidas de carácter organizativo, de protección colectiva, de protección personal, para controlar la transmisión. En este contexto, debe entenderse que el control de la temperatura corporal de los trabajadores realizado, como medida para permitir el acceso, se ha realizado con la finalidad de limitar los contagios, dado que la fiebre es un síntoma de la enfermedad causada por el SARS-CoV-2, como parte de un conjunto más amplio de medidas que C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/6 incluyen medidas preventivas, de higiene, protectoras, etc., cumple con los criterios indicados por las autoridades sanitarias. En el caso examinado, si bien no se ha peguntado sobre la toma de temperatura al reclamante, dicha toma de temperatura se ha realizado siguiendo un protocolo de protección frente al COVID-19, y ser tomada la temperatura bajo la supervisión de un médico III En relación con el hecho denunciado, ha de señalarse que para determinar si en un caso concreto se ha producido un tratamiento de datos de una persona identificada o identificable, se ha de partir del tipo de dispositivo empleado y tener en cuenta otras circunstancias del proceso de la toma de temperatura que puedan hacer identificable a la persona, como en el caso de que se registre o no la temperatura corporal o que la captación de la temperatura en los establecimientos abiertos al público se realice con publicidad, de tal manera que la persona afectada pueda ser identificada por terceros. En los controles de temperatura corporal que se llevan a cabo en la entrada de los establecimientos abiertos al público para tomar la temperatura a los visitantes o clientes se suelen utilizar dispositivos manuales de medición de la temperatura, como un termómetro manual que únicamente está concebido para tomar la temperatura corporal. Cuando estos controles de temperatura no van acompañados de un control de identidad de las personas que pretenden acceder al establecimiento, es decir cuando la toma de temperatura no se vincula a una persona determinada a través de su registro o anotación, tales medidas no se encontrarían, en principio, incluidas en el ámbito de aplicación del RGPD al no asociarse la temperatura a una persona identificada o identificable. Ahora bien, denegar el acceso a una persona con motivo de su temperatura puede desvelar a terceros que no tienen ninguna justificación para conocerlo que la persona a la que se ha denegado la entrada tiene una temperatura corporal por encima de lo considerado no relevante y, sobre todo, que puede estar contagiada por el virus, dado que la fiebre es un síntoma de la enfermedad causada por el SARS-CoV-2, por lo que será también necesario establecer en cada caso si de las concretas circunstancias que concurrieron en el proceso de toma de temperatura de una persona determinada se derivaron acontecimientos que la hicieron identificable. En el supuesto examinado, no queda acreditado cómo se ha hecho esa toma de temperatura, si a la vista de todo el mundo o en una sala reservada, tampoco se ha constatado si al reclamante se le ha denegado o no el acceso Por su parte la entidad reclamada afirma actuar acorde a un protocolo para intentar que no se expandiera la COVID-19, con varias medidas de seguridad, y entre ellas estaba la toma de temperatura realizada bajo la supervisión de un médico. Por ello, de acuerdo con lo razonado, en función de las circunstancias específicas que concurren, no se aprecia en este caso que el tratamiento de datos que se realiza se C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/6 refiera a personas físicas identificadas o identificables, quedando en consecuencia excluido del ámbito de aplicación del RGPD. IV En este caso, teniendo en cuenta que la reclamación se presentó en esta Agencia en fecha 28 de enero de 2021, a tenor de lo dispuesto en el apartado 5 del artículo 65 de la LOPDGDD, procede su tramitación con arreglo a lo dispuesto en el Título VIII de la citada norma. Este Título VIII dispone en su artículo 68.1, referido al acuerdo de inicio del procedimiento para el ejercicio de la potestad sancionadora que, concluidas, en su caso, las actuaciones previas de investigación, corresponderá a la Presidencia de la Agencia Española de Protección de Datos, cuando así proceda, dictar acuerdo de inicio de procedimiento para el ejercicio de la potestad sancionadora. Una vez analizadas las razones expuestas por la parte reclamada que obran en el expediente, se ha constatado la falta de indicios racionales de la existencia de una infracción en el ámbito competencial de la Agencia Española de Protección de Datos, no procediendo, en consecuencia, la apertura de un procedimiento sancionador. Se ha de tener en cuenta que, al Derecho Administrativo Sancionador, por su especialidad, le son de aplicación, con alguna matización, pero sin excepciones, los principios inspiradores del orden penal, resultando claro la plena virtualidad del principio de presunción de inocencia. En tal sentido, el Tribunal Constitucional, en Sentencia 76/1990 considera que el derecho a la presunción de inocencia comporta “que la sanción esté basada en actos o medios probatorios de cargo o incriminadores de la conducta reprochada; que la carga de la prueba corresponda a quien acusa, sin que nadie esté obligado a probar su propia inocencia; y que cualquier insuficiencia en el resultado de las pruebas practicadas, libremente valorado por el órgano sancionador, debe traducirse en un pronunciamiento absolutorio”. Este principio se encuentra expresamente recogido para los procedimientos administrativos sancionadores en el artículo 53.2.b) de la Ley 39/2015, de 1 de octubre, de Procedimiento Administrativo Común de las Administraciones Públicas, que reconoce al interesado el derecho “A la presunción de no existencia de responsabilidad administrativa mientras no se demuestre lo contrario” En definitiva, la aplicación del principio de presunción de inocencia impide imputar una infracción administrativa cuando no se hayan obtenido evidencias o indicios de los que se derive la existencia de infracción. En este caso, de las actuaciones realizadas y de la documentación obrante en el procedimiento no se infiere la existencia de una actuación infractora por la parte reclamada en el ámbito competencial de la Agencia Española de Protección de Datos, por lo que procede el archivo de la reclamación. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/6 Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a la parte reclamante y reclamada. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.c) de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es