E-12617-2021

1/12  Expediente N.º: EXP202102529 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes: HECHOS PRIMERO: LIBERUM ASOCIACIÓN (en adelante, la parte denunciante), con fecha 26 de agosto de 2021, interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra la UNIVERSIDAD DE NAVARRA, con NIF R3168001J (en adelante, la parte denunciada). Los motivos en que basa la reclamación son los siguientes: La Asociación reclamante expone que la Universidad de Navarra ha remitido un correo electrónico a sus alumnos en el que les anuncia que dicha entidad colaborará con el SERVICIO NAVARRO DE SALUD en la Vacunación contra el COVID-19, y solicita a los alumnos que informen sobre su situación respecto de la vacunación, antes del 1 de septiembre de 2021, lo que entienden que supone un incumplimiento de la normativa de protección de datos, ya que estaría accediendo a la historia clínica de los estudiantes y cediendo los datos de vacunación a terceros. Añade en su escrito de reclamación el literal de la comunicación remitida por la citada Universidad a los alumnos conteniendo los siguientes párrafos relevantes: “[…] La Universidad de Navarra, de acuerdo con lo previsto en el artículo 7.1.

1. n)del Real Decreto por el que se aprueba el Estatuto del Estudiante Universitario, se encuentra obligada a proporcionar a su alumnado información y formación sobre prevención de riesgos y a disponer de los medios que garanticen su salud y seguridad en el desarrollo de sus actividades de aprendizaje. Entre las nuevas medidas, de acuerdo con las autoridades sanitarias en el ejercicio de sus competencias, la Universidad de Navarra colaborará en la Campaña de Vacunación frente al virus. Os informamos que las autoridades sanitarias de Navarra han solicitado a la Universidad que participe en la inoculación de la vacuna a sus estudiantes. Dicha vacuna se la entregará a la Universidad el Servicio Navarro de Salud, responsable de la Campaña de vacunación. Para facilitaros el acceso a la vacunación, os pedimos que nos informéis de vuestra situación a través del siguiente enlace, antes del 1 de septiembre, tanto si ya os habéis vacunado, como si estáis pendientes de recibir una o dos dosis. La vacunación tendrá lugar desde el inicio del mes de septiembre. Con carácter previo a la fecha, os entregarán la hoja informativa redactada por las autoridades sanitarias en la que os informarán del tipo y marca de vacuna que se os ofrece y otras C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/12 cuestiones relacionadas con el proceso de vacunación. Os recordamos que para cualquier duda relacionada con el Covid-19 y para comunicar positivos y contactos estrechos, podéis contactar con la oficina médica virtual, área Covid, a través del correo atencioncovid©unav.es o llamando al (…). […]” SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado la denuncia a la parte denunciada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 4 de octubre de 2021, como consta en el acuse de recibo que obra en el expediente. Con fecha 26 de octubre de 2021 se recibe en esta Agencia escrito de respuesta indicando, en síntesis, lo siguiente: Que la solicitud de información efectuada se produce en relación con el correo electrónico remitido a los estudiantes de la Universidad mediante el que se informaba de las acciones llevadas a cabo para la protección de la salud de los trabajadores y alumnos, así como de la colaboración entre la Institución y el Servicio Navarro de Salud-Osasunbidea (en adelante, el “SNS-O”), en relación con la campaña de vacunación contra el COVID-19. Asimismo, y atendiendo a las peticiones formuladas por el SNS-O, en dicho correo la Universidad ofrecía al alumno la posibilidad de informar de su estado de vacunación. Añaden que de ningún modo puede aseverarse que se esté coaccionando a los alumnos para que faciliten información acerca de su estado de vacunación ya que se indica, claramente, que se trata de una petición que se efectúa respecto de la situación de vacunación con el único fin de facilitar las tareas llevadas a cabo por parte del SNSO, en la lucha contra la pandemia sufrida, a causa de la propagación universal del SARS-CoV-2 y sus catastróficos efectos en la salud. Y todo ello con base en el acuerdo alcanzado con el Gobierno de Navarra. Además, manifiestan que se ha manipulado la información que se encuentra en el comunicado. Continúan indicando que la base que legitimaría el tratamiento de datos de carácter personal que se podría llegar a efectuar sería el consentimiento de los estudiantes. Consentimiento que en ningún caso se encontraría viciado al no haberse establecido ninguna condición que pudiese anular la correcta voluntad del interesado del tratamiento. Ni hay, ni se ha previsto ninguna medida contraria a los intereses de aquellos alumnos que no proporcionen esta información de manera libre y voluntaria, como no podría ser de otra manera. En definitiva, y a la vista de lo recogido en la nota informativa remitida a los estudiantes de la Institución, se desconoce el verdadero motivo por el cual se denuncia C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/12 una vulneración de lo establecido en la normativa vigente en materia de protección no existiendo cuestión de fondo alguna que ampare tal alegación, la cual consideramos que puede venir empañada por una pretendida obtención de la vulneración de lo establecido por el artículo 15 de la Constitución Española que reconoce el derecho a la vida y a la integridad física. Según se ha venido manifestando a lo largo de este escrito, la Universidad, en ningún caso, trata datos de carácter personal relacionados con el estado de vacunación de los estudiantes sin su aceptación expresa. En este sentido, resulta necesario referir nuevamente que el objeto de la comunicación realizada no es otro que cumplir con el objetivo del acuerdo de colaboración alcanzado con el Gobierno de Navarra, en virtud de las actuaciones seguidas en su lucha contra la pandemia SARS-CoV-2. Recalcándose el riguroso respeto de esta parte con el imperio de la Ley y los derechos de las personas, lo que refuerza la diligencia mostrada por la Universidad, así como los esfuerzos y proactividad de ésta en asegurar y proteger la privacidad de los interesados. TERCERO: Con fecha 24 de noviembre de 2021, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la denuncia presentada. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: Solicitada a la parte denunciada la comunicación íntegra remitida a los estudiantes, base de legitimación para el tratamiento de datos especialmente protegidos por esa Universidad, detalles de este tratamiento de datos y marco de medidas adoptadas ante la pandemia provocada por el SARS-CoV-2, con fecha de 17 de diciembre de 2021 se recibe en esta Agencia, con número de registro O00007128e2100051725, escrito de contestación remitido por la parte denunciada de la que extrae la siguiente información: - Se constata la veracidad del comunicado presentado en la denuncia según documento nº 1. A este respecto, la parte denunciada manifiesta que se trata de un comunicado totalmente informativo, redactado para cumplir con la encomienda de la Consejería de Salud del Gobierno de Navarra, autoridad sanitaria competente y organizadora de la campaña de vacunación frente al COVID 19, a las Universidades de Navarra. Este hecho no es desconocido para la ciudadanía, ya que los medios de comunicación locales, así como el propio Gobierno de Navarra en nota de prensa publicada en Navarra.es, se han hecho eco de tal colaboración. Adjuntan como documento nº 2 la nota de prensa cuyo título reza “El Gobierno de Navarra acuerda con las universidades un procedimiento para vacunar a sus estuC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/12 diantes de otras comunidades y países”. De esta nota de prensa se extrae el siguiente contenido relevante para el caso que nos ocupa: “[...] La labor administrativa inicial se realiza por parte de las universidades, que deberán suministrar al Departamento de Salud un listado con las personas que vayan a recibir la vacuna, de modo que su identidad pueda quedar registrada en las bases de datos sanitarias. En el caso de la Universidad Pública de Navarra (UPNA), la vacunación se realizará en el polideportivo del propio centro, cedido desde marzo por la universidad para su uso como punto de vacunación poblacional. En el caso de la Universidad de Navarra, ésta aporta la logística en la administración de las dosis. […]” Respecto a la base de legitimación de este tratamiento la parte reclamada manifiesta cumplimiento de una obligación legal en materia de prevención de riesgos laborales en atención a lo dispuesto por la Ley 31/1995 y el Real Decreto 1791/2010, por lo que en este sentido esta parte entiende que se encuentra bajo el paraguas de lo establecido por el artículo 6.1. del RGPD. Y todo ello sin obviar, que no deja de ser una acción voluntaria por parte del alumno. Efectivamente, dada la gravedad de pandemia y la facilidad de propagación del presente coronavirus puede considerarse que se esté ante obligaciones que afectan a la Institución, estudiantes, trabajadores y a la comunidad universitaria en general. En virtud de lo establecido en el artículo 7.1 letra n del el Real Decreto 1791/2010, el alumno tiene derecho “a recibir formación sobre prevención de riesgos y a disponer de los medios que garanticen su salud y seguridad en el desarrollo de sus actividades de aprendizaje”. Respecto a los detalles de este tratamiento de datos, la parte reclamada adjunta como documento nº 3 el formulario que los alumnos debían cumplimentar en el caso de que decidieran reflejar su estado de vacunación. Ya en el primer párrafo se comprueba que el cumplimiento del formulario es voluntario indicándose: “La Universidad de Navarra está colaborando con las autoridades sanitarias en la Campaña de Vacunación frente al Covid-1 9, facilitando a todos aquellos alumnos y alumnas que lo deseen y no se hayan vacunado totalmente o no hayan recibido la pauta completa […]”, para a continuación aclarar que el cumplimiento del formulario implica el consentimiento del estudiante para el tratamiento de sus datos con unas determinadas finalidades que enumeran a continuación: “
2. a)Poder ofrecer una mejor prestación de sus servicios en un entorno lo más seguro posible en relación con la pandemia Covid19.
3. b)Para poder establecer y diseñar medidas relativas eficaces para evitar la propagación del virus entre la comunidad universitaria.
4. c)Para colaborar con las autoridades sanitarias competentes en las campañas de prevención y vacunación frente al virus.” En este sentido se comprueba que el primer campo del formulario es la solicitud de consentimiento. En este campo, existe la opción de acceder a las cláusulas informativas en las que se informa al estudiante de que la información proporcionada únicamente será tratada por la Universidad de Navarra con la finalidad de minimizar el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/12 riesgo de contagio y propagación del Covid-19, su base de legitimación, el periodo de conservación (el estrictamente necesario para el cumplimiento de las finalidades mencionadas, así como para llevar a cabo las acciones adicionales que corresponda en materia de prevención), que la información facilitada no será comunicada a terceros a menos que las autoridades sanitarias así lo requieran, los derechos del interesado y el procedimiento a seguir para ejercerlos en el caso de que considerase que estos han sido vulnerados. Finalmente, en estas cláusulas informativas consta “Al pulsar en "Si", da su consentimiento expreso a la Universidad de Navarra para que trate sus datos personales, incluidos datos de salud, con la finalidad de colaborar en la vigilancia de la salud de la comunidad universitaria”. Dentro del plan de actuación contra la propagación de la covid-19, la parte reclamada ha desarrollado unas medidas de contingencia que quedan recogidas en el documento nº 4, “Plan de contingencia COVID-19”, en el que se especifican las siguientes: · Medidas de prevención personal: uso de mascarillas, limitación de contactos, higiene, etc. · Gestión de casos: protocolo de actuación en caso de aparición de contagios. · Personal vulnerable: comunicación al servicio Mancomunado de Prevención de Riesgos Laborales y posibles actuaciones. · Ventilación de espacios: aulas, despachos, salas de reuniones, oficinas de atención al público, cafetería, etc. · Limpieza y desinfección · Y otros aspectos a observar como las medidas en el transporte, comunicación e información y señalización. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con las funciones que el artículo 57.1 a),
5. f)y
6. h)del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) confiere a cada autoridad de control y según lo dispuesto en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Licitud del tratamiento C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/12 El artículo 6 del RGPD, que regula la licitud del tratamiento, establece lo siguiente: "1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
7. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
8. b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
9. c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
10. d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
11. e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
12. f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
13. f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones. 2. Los Estados miembros podrán mantener o introducir disposiciones más específicas a fin de adaptar la aplicación de las normas del presente Reglamento con respecto al tratamiento en cumplimiento del apartado 1, letras
14. c)y e), fijando de manera más precisa requisitos específicos de tratamiento y otras medidas que garanticen un tratamiento lícito y equitativo, con inclusión de otras situaciones específicas de tratamiento a tenor del capítulo IX. 3. La base del tratamiento indicado en el apartado 1, letras
15. c)y e), deberá ser establecida por:
16. a)el Derecho de la Unión, o
17. b)el Derecho de los Estados miembros que se aplique al responsable del tratamiento. La finalidad del tratamiento deberá quedar determinada en dicha base jurídica o, en lo relativo al tratamiento a que se refiere el apartado 1, letra e), será necesaria para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento. Dicha base jurídica podrá contener disposiciones específicas para adaptar la aplicación de normas del presente Reglamento, entre otras: las condiciones generales que rigen la licitud del tratamiento por parte del responsable; los tipos de datos objeto de tratamiento; los interesados afectados; las entidades a las que se pueden comunicar datos personales y los fines de tal comunicación; la limitación de la finalidad; los plazos de conservación de los datos, así como las operaciones y los procedimientos del tratamiento, incluidas las medidas para garantizar un tratamiento lícito y equitativo, como las relativas a otras situaciones específicas de tratamiento a tenor del capítulo IX. El Derecho de la Unión o de los Estados miembros cumplirá un objetivo de interés público y será proporcional al fin C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/12 legítimo perseguido. 4. Cuando el tratamiento para otro fin distinto de aquel para el que se recogieron los datos personales no esté basado en el consentimiento del interesado o en el Derecho de la Unión o de los Estados miembros que constituya una medida necesaria y proporcional en una sociedad democrática para salvaguardar los objetivos indicados en el artículo 23, apartado 1, el responsable del tratamiento, con objeto de determinar si el tratamiento con otro fin es compatible con el fin para el cual se recogieron inicialmente los datos personales, tendrá en cuenta, entre otras cosas:
18. a)cualquier relación entre los fines para los cuales se hayan recogido los datos personales y los fines del tratamiento ulterior previsto;
19. b)el contexto en que se hayan recogido los datos personales, en particular por lo que respecta a la relación entre los interesados y el responsable del tratamiento;
20. c)la naturaleza de los datos personales, en concreto cuando se traten categorías especiales de datos personales, de conformidad con el artículo 9, o datos personales relativos a condenas e infracciones penales, de conformidad con el artículo 10;
21. d)las posibles consecuencias para los interesados del tratamiento ulterior previsto;
22. e)la existencia de garantías adecuadas, que podrán incluir el cifrado o la seudonimización." III Tratamiento de categorías especiales de datos personales El artículo 9 del RGPD, que regula el tratamiento de categorías especiales de datos personales, establece lo siguiente: "1. Quedan prohibidos el tratamiento de datos personales que revelen el origen étnico o racial, las opiniones políticas, las convicciones religiosas o filosóficas, o la afiliación sindical, y el tratamiento de datos genéticos, datos biométricos dirigidos a identificar de manera unívoca a una persona física, datos relativos a la salud o datos relativos a la vida sexual o la orientación sexual de una persona física. 2. El apartado 1 no será de aplicación cuando concurra una de las circunstancias siguientes:
23. a)el interesado dio su consentimiento explícito para el tratamiento de dichos datos personales con uno o más de los fines especificados, excepto cuando el Derecho de la Unión o de los Estados miembros establezca que la prohibición mencionada en el apartado 1 no puede ser levantada por el interesado;
24. b)el tratamiento es necesario para el cumplimiento de obligaciones y el ejercicio de derechos específicos del responsable del tratamiento o del interesado en el ámbito del Derecho laboral y de la seguridad y protección social, en la medida en que así lo autorice el Derecho de la Unión o de los Estados miembros o un convenio colectivo con arreglo al Derecho de los Estados miembros que establezca garantías adecuadas del respeto de los derechos fundamentales y de los intereses del interesado;
25. c)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física, en el supuesto de que el interesado no esté capacitado, física o jurídicamente, para dar su consentimiento;
26. d)el tratamiento es efectuado, en el ámbito de sus actividades legítimas y con las debidas garantías, por una fundación, una asociación o cualquier otro organismo C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/12 sin ánimo de lucro, cuya finalidad sea política, filosófica, religiosa o sindical, siempre que el tratamiento se refiera exclusivamente a los miembros actuales o antiguos de tales organismos o a personas que mantengan contactos regulares con ellos en relación con sus fines y siempre que los datos personales no se comuniquen fuera de ellos sin el consentimiento de los interesados;
27. e)el tratamiento se refiere a datos personales que el interesado ha hecho manifiestamente públicos;
28. f)el tratamiento es necesario para la formulación, el ejercicio o la defensa de reclamaciones o cuando los tribunales actúen en ejercicio de su función judicial;
29. g)el tratamiento es necesario por razones de un interés público esencial, sobre la base del Derecho de la Unión o de los Estados miembros, que debe ser proporcional al objetivo perseguido, respetar en lo esencial el derecho a la protección de datos y establecer medidas adecuadas y específicas para proteger los intereses y derechos fundamentales del interesado;
30. h)el tratamiento es necesario para fines de medicina preventiva o laboral, evaluación de la capacidad laboral del trabajador, diagnóstico médico, prestación de asistencia o tratamiento de tipo sanitario o social, o gestión de los sistemas y servicios de asistencia sanitaria y social, sobre la base del Derecho de la Unión o de los Estados miembros o en virtud de un contrato con un profesional sanitario y sin perjuicio de las condiciones y garantías contempladas en el apartado 3;
31. i)el tratamiento es necesario por razones de interés público en el ámbito de la salud pública, como la protección frente a amenazas transfronterizas graves para la salud, o para garantizar elevados niveles de calidad y de seguridad de la asistencia sanitaria y de los medicamentos o productos sanitarios, sobre la base del Derecho de la Unión o de los Estados miembros que establezca medidas adecuadas y específicas para proteger los derechos y libertades del interesado, en particular el secreto profesional;
32. j)el tratamiento es necesario con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos, de conformidad con el artículo 89, apartado 1, sobre la base del Derecho de la Unión o de los Estados miembros, que debe ser proporcional al objetivo perseguido, respetar en lo esencial el derecho a la protección de datos y establecer medidas adecuadas y específicas para proteger los intereses y derechos fundamentales del interesado. 3. Los datos personales a que se refiere el apartado 1 podrán tratarse a los fines citados en el apartado 2, letra h), cuando su tratamiento sea realizado por un profesional sujeto a la obligación de secreto profesional, o bajo su responsabilidad, de acuerdo con el Derecho de la Unión o de los Estados miembros o con las normas establecidas por los organismos nacionales competentes, o por cualquier otra persona sujeta también a la obligación de secreto de acuerdo con el Derecho de la Unión o de los Estados miembros o de las normas establecidas por los organismos nacionales competentes. 4. Los Estados miembros podrán mantener o introducir condiciones adicionales, inclusive limitaciones, con respecto al tratamiento de datos genéticos, datos biométricos o datos relativos a la salud." IV Principios relativos al tratamiento C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/12 La letra
33. c)del artículo 5.1 del RGPD propugna: "1. Los datos personales serán: (…)
34. c)adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados («minimización de datos»);" V Tratamiento del que se responsabiliza a la parte reclamada y naturaleza de los datos tratados El RGPD, artículo 4.15, define los “datos relativos a la salud” como los “datos personales relativos a la salud física o mental de una persona física, incluida la prestación de servicios de atención sanitaria, que revelen información sobre su estado de salud;”. El considerando 35 del RGPD se refiere a ellos en los siguientes términos: <<Entre los datos personales relativos a la salud se deben incluir todos los datos relativos al estado de salud del interesado que dan información sobre su estado de salud física o mental pasado, presente o futuro. Se incluye la información sobre la persona física recogida con ocasión de su inscripción a efectos de asistencia sanitaria, o con ocasión de la prestación de tal asistencia, de conformidad con la Directiva 2011/24/UE del Parlamento Europeo y del Consejo