1/8 Expediente Nº: E/08265/2021 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: A.A.A. (en adelante, la parte reclamante) con fecha 6 de abril de 2021 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra ELADIO LÓPEZ COLÓN, S. L. con CIF B41870585 (en adelante, la parte reclamada). Los motivos en que basa la reclamación son los siguientes: El reclamante expone que, para acceder a las instalaciones de la entidad reclamada, se realiza una comprobación de temperatura por personal no cualificado y sin habilitación legal para ello. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 05/05/2021como consta en el acuse de recibo que obra en el expediente, sin que conste respuesta por parte de la parte reclamada. TERCERO: Con fecha 19 de julio de 2021, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de los poderes de investigación otorgados a las autoridades de control en el artículo 57.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: Analizada la reclamación presentada en esta Agencia, en ningún momento el denunciante manifiesta que se haya visto afectado por los hechos reclamados por lo que se estima que la denuncia presentada es de carácter informativo. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/8 Solicitada información a la parte reclamada del posible tratamiento de datos realizado a partir de la toma de temperatura y el conjunto de medidas de protección ante la pandemia de la COVID-19 en que pudiera enmarcarse la toma de temperatura corporal de sus clientes para el acceso a su entidad, con fecha de 24 de septiembre de 2021 se recibe en esta Agencia, escrito de contestación informando de que su centro, hasta mayo de 2021, ha estado realizando una toma de temperatura a sus trabajadores, alumnos y clientes previo consentimiento verbal. Esta toma ha sido realizada por el personal de recepción, siempre de forma individual y bajo consentimiento verbal, y de forma anónima y privada. Dicha información personal no ha quedado registrada en ficheros o bases de datos de la empresa ya que ese dato era exclusivamente válido para ese preciso momento presente, ya que ni siquiera el termómetro que se usaba guardaba datos de usuario ni poseía memoria. Añaden que esta medida se adoptó principalmente con la intención de prevenir que los empleados, alumnos y clientes se contagien de COVlD-19, en el marco del deber empresarial de promover la seguridad y la salud de los trabajadores previsto en la Ley 31/1995, de 8 de noviembre, de prevención de Riesgos Laborales. Continúan manifestando que, sin perjuicio de lo anterior, lo cierto es que esta medida resulta efectiva no solo para proteger a los trabajadores, sino también al resto de personas que accedan a la empresa, por lo que con la misma no se estaría persiguiendo únicamente cumplir con el deber empresarial de asegurar la salud e integridad física de los trabajadores en el centro de trabajo, sino también un interés colectivo superior, como es evitar la propagación del virus entre la ciudadanía. Asimismo, respecto a la proporcionalidad de la medida, la parte reclamada menciona la Sentencia del Tribunal Constitucional núm. 186/2000, de 10 de julio, que determinó que para comprobar si una medida restrictiva de un derecho fundamental supera el juicio de proporcionalidad, es necesario constatar si cumplen los tres requisitos o condiciones siguientes: Si tal medida es susceptible de conseguir el objetivo propuesto (juicio de idoneidad); Si, además, es necesaria, en el sentido de que no exista otra medida más moderada para la consecución de tal propósito con igual eficacia (juicio de necesidad); Y, finalmente, si la misma es ponderada o equilibrada, por derivarse de ella más beneficios o ventajas para el interés general que perjuicios sobre otros bienes o valores en conflicto (juicio de proporcionalidad en sentido estricto).» Seguidamente, la parte reclamada pasa a detallar las medidas adoptadas con objeto de alcanzar el fin de minimizar la propagación de la COVID-19, tanto respecto a los clientes, como al alumnado y los trabajadores: Clientes Cartel informativo situado en el interior y exterior del centro conteniendo las siguientes medidas: Límite de aforo en la recepción a 1 persona, respetar la distancia de seguridad, desinfectar manos y pies en la zona habilitada para ello y esperar a la toma de temperatura, respetar las líneas de separación, uso obligatorio de mascarilla, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/8 recomendación de traer su propia toalla y guantes, pago con tarjeta, y finalmente, solicitud de no acudir al centro si padece algún síntoma compatible con la COVID-19. Además, informan de que la toma de temperatura siempre fue bajo consentimiento verbal a la entrada al centro. Alumnado Se hizo entrega de documento conteniendo las medidas: Toma de temperatura antes de acceder al centro, obligatorio el uso de uniforme, no utilización de los vestuarios, prohibición de cambiar de aula, no utilización de aseos a no ser que sea estrictamente necesario, uso obligatorio de mascarilla, deber desinfectarse sus manos antes y después de atender a otra persona, disponibilidad de geles higienizantes en las aulas y recepción, además de que cada monitor se encargará de administrar algo de este gel a cada alumno cuando empiece la clase y al final de la misma. Asimismo, cada alumno debe limpiar el material usado antes de atender a un nuevo cliente y al finalizar su clase (incluyendo el asiento), deber de portar su propia botella de agua, evitar tocarse ojos, nariz y boca, deber de quedarse en casa si ha estado en contacto con alguna persona enferma o en sospecha por COVID-19 en los últimos 14 días o si tiene fiebre además de notificarlo al centro para activar el protocolo de seguridad, prohibición de acompañantes y limitación en recepción a una persona, y previa cita, para temas administrativos. Se entrega formulario de compromiso y aceptación de las medidas descritas que debe firmarse por el alumno. Trabajadores Se facilitó a cada trabajador una copia de las medidas de prevención contra la propagación de la COVID-19 implantadas por los diferentes ministerios, así como un curso informativo sobre medidas de prevención; y medidas y procedimientos implantados por el centro tanto para trabajadores como para alumnos y clientes. Así mismo, se le entregó a cada uno de los trabajadores unos equipos de protección individual (EPIS). Adjuntan a este escrito la siguiente documentación relevante: - Cartel informativo situado en el exterior e interior del establecimiento de las medidas adoptadas por el centro contra la propagación del virus SARSCov-2. - Protocolo de asistencia al centro para el alumnado conteniendo entre otras normas, medidas relativas a la prevención contra la propagación de la COVID-19. - Modelo de formulario a entregado a los alumnos de aceptación del protocolo citado. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/8 FUNDAMENTOS DE DERECHO I De acuerdo con las funciones que el artículo 57.1 a),
- f)y
- h)del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) confiere a cada autoridad de control y según lo dispuesto en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos.” II En relación con la toma de temperatura de las personas como parte de las medidas adoptadas en centros de trabajo para ayudar a prevenir la propagación de la pandemia de COVID-19, se considera necesario resaltar que la temperatura corporal de las personas es un dato de salud en sí mismo, a tenor de la definición contenida en el artículo 4, apartado 15, del RGPD. Según el artículo 4 del RGPD, apartados 1 y 2, se entenderá por «datos personales»: “toda información sobre una persona física identificada o identificable”; y por «tratamiento»: “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción.” Partiendo de lo anterior, los controles de temperatura de las personas pueden constituir un tratamiento de datos de salud relativo a una persona física identificada o identificable, y como tal deben ajustarse a una de las bases jurídicas enumeradas en el artículo 6 del RGPD y concurrir alguna de las excepciones específicas que se relacionan en el artículo 9 del RGPD. Con carácter general, el empleador tiene la obligación de garantizar la seguridad y salud de las personas trabajadoras a su servicio en los aspectos relacionados con el trabajo, como se desprende de los artículos 14 y siguientes de la Ley 31/1995, de 8 de noviembre, de prevención de Riesgos Laborales. Esta obligación opera a la vez como excepción que permite el tratamiento de datos de salud, al amparo de las circunstancias previstas en el artículo 9.2.
- h)del RGPD, y como base jurídica que C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/8 legitima el tratamiento, por cuanto el tratamiento es necesario para el cumplimiento de una obligación legal impuesta al empleador (artículo 6.1.
- c)del RGPD). No cabe duda de que en la actual situación de crisis sanitaria ocasionada por la COVID-19, el empleador está obligado a adoptar medidas extraordinarias encaminadas a prevenir nuevos contagios de COVID-19 y estas medidas deben aplicarse atendiendo a los criterios definidos por las autoridades sanitarias. En el ámbito de las empresas, el Ministerio de Sanidad, en su documento “Procedimiento de actuación para los servicios de prevención de riesgos laborales frente a la exposición al SARS-CoV-2”, indica que “La intervención de las empresas, a través de los servicios de prevención (SPRL), frente a la exposición al SARS-COV-2 ha sido y es crucial, adaptando su actividad con recomendaciones y medidas actualizadas de prevención (…) con el objetivo general de limitar los contagios: medidas de carácter organizativo, de protección colectiva, de protección personal, de trabajador especialmente vulnerable y nivel de riesgo, de estudio y manejo de casos y contactos ocurridos en la empresa y de colaboración en la gestión de la incapacidad temporal” y añade que “las empresas, a través de los servicios de prevención, están llamadas a colaborar con las autoridades sanitarias en la detección precoz de todos los casos compatibles con COVID-19 y sus contactos, para controlar la transmisión.” En este contexto, debe entenderse que el control de la temperatura corporal de los trabajadores realizado por los empleadores, como medida para permitir el acceso a los centros de trabajo con la finalidad de limitar los contagios, dado que la fiebre es un síntoma de la enfermedad causada por el SARS-CoV-2, como parte de un conjunto más amplio de medidas que incluyen medidas preventivas, de higiene, protectoras, etc., cumple con los criterios indicados por las autoridades sanitarias. En el caso examinado, si bien no se ha peguntado sobre la toma de temperatura a los empleados, si se ha realizado un protocolo de protección frente al COVID-19, -tanto para trabajadores como para alumnos-, que también afecta a los trabajadores; la salud de los clientes afecta a las personas que les atienden en una peluquería. El tratamiento de datos de salud de los trabajadores, en este contexto, encuentra su legitimación en la causa prevista en el artículo 6.1.
- c)del RGPD y en las excepciones que habilitan el tratamiento de datos de salud, recogidas en el artículo 9.2.
- h)del RGPD. III En relación con los clientes de la peluquería, para determinar si en un caso concreto se ha producido un tratamiento de datos de una persona identificada o identificable, se ha de partir del tipo de dispositivo empleado y tener en cuenta otras circunstancias del proceso de la toma de temperatura que puedan hacer identificable a la persona, como en el caso de que se registre o no la temperatura corporal o que la captación de la temperatura en los establecimientos abiertos al público se realice con publicidad, de tal manera que la persona afectada pueda ser identificada por terceros. En los controles de temperatura corporal que se llevan a cabo en la entrada de los establecimientos abiertos al público para tomar la temperatura a los visitantes o clientes se suelen utilizar dispositivos manuales de medición de la temperatura, como C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/8 un termómetro manual que únicamente está concebido para tomar la temperatura corporal. Cuando estos controles de temperatura no van acompañados de un control de identidad de las personas que pretenden acceder al establecimiento, es decir cuando la toma de temperatura no se vincula a una persona determinada a través de su registro o anotación, tales medidas no se encontrarían, en principio, incluidas en el ámbito de aplicación del RGPD al no asociarse la temperatura a una persona identificada o identificable. Ahora bien, denegar el acceso a una persona con motivo de su temperatura puede desvelar a terceros que no tienen ninguna justificación para conocerlo que la persona a la que se ha denegado la entrada tiene una temperatura corporal por encima de lo considerado no relevante y, sobre todo, que puede estar contagiada por el virus, dado que la fiebre es un síntoma de la enfermedad causada por el SARS-CoV-2, por lo que será también necesario establecer en cada caso si de las concretas circunstancias que concurrieron en el proceso de toma de temperatura de una persona determinada se derivaron acontecimientos que la hicieron identificable. En el supuesto examinado, se utiliza termómetro manual que no graba imágenes ni información biométrica del usuario, sin que este proceso vaya acompañado del registro de la temperatura obtenida de las personas que acceden a la peluquería. Se han adoptado medidas para garantizar la confidencialidad y se realiza de manera totalmente anónima y con el objetivo de seguir recomendaciones frente a la pandemia de COVID-19. Por ello, de acuerdo con lo razonado, no se aprecia en este caso que el tratamiento de datos que se realiza se refiera a personas físicas identificadas o identificables, quedando en consecuencia excluido del ámbito de aplicación del RGPD. IV En este caso, teniendo en cuenta que la reclamación se presentó en esta Agencia en fecha 6 de abril de 2021, a tenor de lo dispuesto en el apartado 5 del artículo 65 de la LOPDGDD, procede su tramitación con arreglo a lo dispuesto en el Título VIII de la citada norma. Este Título VIII dispone en su artículo 68.1, referido al acuerdo de inicio del procedimiento para el ejercicio de la potestad sancionadora que, concluidas, en su caso, las actuaciones previas de investigación, corresponderá a la Presidencia de la Agencia Española de Protección de Datos, cuando así proceda, dictar acuerdo de inicio de procedimiento para el ejercicio de la potestad sancionadora. Una vez analizadas las razones expuestas por la parte reclamada que obran en el expediente, se ha constatado la falta de indicios racionales de la existencia de una infracción en el ámbito competencial de la Agencia Española de Protección de Datos, no procediendo, en consecuencia, la apertura de un procedimiento sancionador. Se ha de tener en cuenta que, al derecho administrativo sancionador, por su especialidad, le son de aplicación, con alguna matización, pero sin excepciones, los principios inspiradores del orden penal, resultando claro la plena virtualidad del principio de presunción de inocencia. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/8 En tal sentido, el Tribunal Constitucional, en Sentencia 76/1990 considera que el derecho a la presunción de inocencia comporta “que la sanción esté basada en actos o medios probatorios de cargo o incriminadores de la conducta reprochada; que la carga de la prueba corresponda a quien acusa, sin que nadie esté obligado a probar su propia inocencia; y que cualquier insuficiencia en el resultado de las pruebas practicadas, libremente valorado por el órgano sancionador, debe traducirse en un pronunciamiento absolutorio”. Este principio se encuentra expresamente recogido para los procedimientos administrativos sancionadores en el artículo 53.2.
- b)de la Ley 39/2015, de 1 de octubre, de Procedimiento Administrativo Común de las Administraciones Públicas, que reconoce al interesado el derecho “A la presunción de no existencia de responsabilidad administrativa mientras no se demuestre lo contrario”. En definitiva, la aplicación del principio de presunción de inocencia impide imputar una infracción administrativa cuando no se hayan obtenido evidencias o indicios de los que se derive la existencia de infracción. En este caso, de las actuaciones realizadas y de la documentación obrante en el procedimiento no se infiere la existencia de una actuación infractora por la parte reclamada en el ámbito competencial de la Agencia Española de Protección de Datos, por lo que procede el archivo de la reclamación. Por lo tanto, en base a lo indicado en los párrafos anteriores, no se han encontrado evidencias que acrediten la existencia de infracción en el ámbito competencial de la Agencia Española de Protección de Datos. Así pues, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a A.A.A. y ELADIO LÓPEZ COLÓN, S.L. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
- c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 940-110322 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/8 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es