PS-00091-2021

1/38  Expediente Nº: PS/00091/2021 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 6 de agosto de 2020 la directora de la AEPD tiene constancia de que en fecha 24 de julio de 2020 se publica en el Boletín Oficial de Cantabria la "Resolución por la que se aprueba la segunda modificación de la Resolución de la Consejería de Sanidad de 18 de junio de 2020 por la que se establecen las medidas sanitarias aplicables en la Comunidad Autónoma de Cantabria durante el período de nueva normalidad" (en lo sucesivo, segunda modificación de la Resolución). Esta resolución incorpora la obligación para determinados tipos de establecimientos de contar con un registro de clientes a disposición de la Dirección General de Salud Pública con la finalidad de "facilitar el rastreo y seguimiento de contactos de casos positivos, probables o posibles de Covid-19". La propia resolución estipula que "la recogida de tales datos requerirá el consentimiento del interesado, sin perjuicio de condicionar el derecho de admisión por razones de salud pública en caso de no poder contar con el mismo". Al objeto de aclarar este tratamiento, la directora de la AEPD insta a la Subdirección General de Inspección de Datos (en adelante, SGID) a iniciar las actuaciones previas de investigación a las que se refiere el artículo 67 de la Ley Orgánica 3/2018, de 6 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo, LOPDGDD), por si de tales hechos se desprendieran indicios de infracción en el ámbito competencial de la AEPD. SEGUNDO: A la vista de estos hechos, la SGID procede a la realización de actuaciones previas de investigación para su esclarecimiento, en virtud de los poderes de investigación otorgados a las autoridades de control en el artículo 58.1 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/ CE (Reglamento general de protección de datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD. En el marco de las actuaciones previas de investigación se practica un primer requerimiento de información dirigido a la CONSEJERÍA DE SANIDAD DEL GOBIERNO DE CANTABRIA (en adelante, la CONSEJERÍA): Requerimiento C/ Jorge Juan, 6 28001 – Madrid Código Seguro de Verificación Fecha requeri- Fecha notificawww.aepd.es sedeagpd.gob.es 2/38 Primero CSV.1 miento ción requerimiento 07/08/2020 07/08/2020 En este requerimiento, de fecha 7 de agosto de 2020, se solicita la siguiente información: “1. Finalidad del tratamiento de datos personales y base jurídica en la que se sustenta. 2. Valoración de la proporcionalidad del tratamiento (juicio de idoneidad, de necesidad, y de proporcionalidad en sentido estricto). 3. Detalle de las categorías de datos personales objeto de tratamiento y valoración del cumplimiento con el principio de minimización de datos. 4. Determinación de las categorías de establecimientos obligados a la implantación de la medida y explicación del motivo de su elección frente a otros. 5. Descripción del proceso que permite la consecución de la finalidad prevista con indicación, para cada uno de los participantes en el mismo, de: 5.1. Vinculación con el tratamiento (responsable, corresponsable, encargado, tercero, interesado) de cada participante. Detalle del contrato o acto jurídico que vincula al encargado del tratamiento con el responsable del mismo de acuerdo con lo estipulado en el artículo 28 del RGDP. 5.2. Descripción del tratamiento concreto que realiza (registro, consulta, comunicación, supresión, etc.) cada participante. Especificación, en su caso, del formato en que almacenará los datos personales (digital / papel). 5.3. Procedimiento de comunicación de los datos del registro de cada establecimiento a las autoridades sanitarias: detalle del canal de comunicación (postal, correo electrónico, telefónico, etc.) y de los eventos que provocan el envío (frecuencia concreta y/o a petición de las autoridades sanitarias). 5.4. Indicación de la posibilidad o no de que participen “subencargados” de tratamiento (entidades contratadas por los establecimientos para efectuar partes del tratamiento que se les asigna). 5.5. Plazos de conservación de los datos de cada participante y determinación de si, finalizada la prestación del servicio, los encargados deben suprimir o devolver los datos al responsable. Especificar, en su caso, la normativa que requiere a los encargados la conservación de los datos una vez finalizada la prestación. 5.6. Medios utilizados para el cumplimiento del deber de información al interesado. 5.7. Garantías aplicadas para el cumplimiento de las obligaciones impuestas en el Capítulo IV del RGPD en materia de medidas de seguridad.” Toda vez que dicho requerimiento no fue atendido por la CONSEJERÍA, se practica un segundo requerimiento con el siguiente tenor: “En cumplimiento del artículo 14.2 de la ley 39/2015 de 1 de octubre, del ProceC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/38 dimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), las personas jurídicas y las entidades sin personalidad jurídica, así como quienes representen a sujetos obligados, entre otros, estarán obligados a relacionarse con las Administraciones Públicas a través de medios electrónicos. La Agencia Española de Protección de Datos remite sus notificaciones y comunicaciones electrónicas a través de la plataforma Notific@ que envía las notificaciones a los sistemas Carpeta Ciudadana y Dirección Electrónica Habilitada del Ministerio de Hacienda y Administraciones Públicas. Habiendo sido enviado el escrito que se adjunta en relación con el expediente E/ 06497/2020 a través del sistema Notific@, y no habiéndose obtenido respuesta a la solicitud de información practicada, de forma excepcional y a título informativo procedemos a su remisión por correo postal. Por último, le informo de que el responsable y el encargado del tratamiento de los datos de carácter personal tienen la obligación de facilitar los documentos, informaciones y cualquier otra colaboración que se precise para realizar la función de inspección. El incumplimiento de esa obligación podría comportar la comisión de la infracción tipificada en el art. 83.5.

1. e)del RGPD, consistente en no facilitar acceso en incumplimiento del artículo 58, apartado 1.” Requerimiento Código Seguro de Verificación Fecha requerimiento Fecha notificación requerimiento Segundo CSV.2 19/10/2020 20/10/2020 Este último se acompañó de un anexo que reproducía el primer requerimiento de fecha 7 de agosto de 2020 TERCERO: En respuesta a los requerimientos formulados, la presunta responsable aportó -en fecha 2 de noviembre de 2020-, la siguiente información: “En relación a la solicitud en relación con la obligatoriedad de implantar un registro de clientes contemplados en la modificación segunda de la resolución de la Consejería de Sanidad de 28 de junio de 2020, por la que se establecen las medidas sanitarias aplicables en la Comunidad Autónoma de Cantabria, le informo que: La recogida de datos de carácter personal, nombre, apellidos y teléfono, no es obligatoria, es voluntaria y requiere el consentimiento expreso del interesado. Los datos, (en caso de su recogida), solamente están a disposición de la Dirección General de Salud Pública, con la única finalidad de facilitar el rastreo de casos positivos, probables o posibles de COVID-19. Solamente se conservarán durante un mes. El tratamiento de los datos se regirá en todo caso por lo dispuesto en la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales y en el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/38 CUARTO: Con fecha 1 de diciembre de 2020 una vez realizadas las actuaciones previas de investigación a fin de lograr una mejor determinación de los hechos y las circunstancias que justifican la tramitación del procedimiento, la SGID emite un informe en el que se constatan los siguientes hechos: “RESULTADO DE LAS ACTUACIONES DE INVESTIGACIÓN Se subraya el siguiente contenido incluido en la Resolución del 24 de julio (incorporada al procedimiento a través de la correspondiente diligencia -Diligencia Referencias-): “El artículo 2 del Decreto 2/2020, de 18 de junio, del Presidente de la Comunidad Autónoma de Cantabria, se remite a la aplicación del Real Decreto-ley 21/2020, de 9 de junio, de medidas urgentes de prevención, contención y coordinación para hacer frente a la crisis sanitaria ocasionada por el Covid-19, así como a las medidas que se adopten por el Consejero de Sanidad, como autoridad sanitaria de acuerdo con lo establecido en el artículo 59.
2. a)de la Ley 7/2002, de 10 de diciembre, de Ordenación Sanitaria de Cantabria, o cualesquiera otras que resulten de aplicación durante este periodo. Las citadas medidas fueron adoptadas mediante Resolución de la Consejería de Sanidad de 18 de junio de 2020 (Boletín Oficial de Cantabria extraordinario nº 50, de 18 de junio de 2020; corrección de errores en el Boletín Oficial de Cantabria extraordinario nº 53 de 29 de junio de 2020), resultando modificadas mediante Resolución de la Consejería de Sanidad de 15 de julio de 2020 (Boletín Oficial de Cantabria extraordinario nº 57, de 15 de julio de 2020), que amplía los supuestos de obligatoriedad del uso de mascarilla. […] Por otra parte, se ha advertido durante la investigación de los recientes brotes declarados en la Comunidad Autónoma de Cantabria la trascendencia, a efectos del control de la pandemia, de la rapidez en la respuesta relativa a estudio de casos y contactos y su correspondiente aislamiento, así como la necesidad de facilitar la tarea a los investigadores al objeto de limitar al máximo la trasmisión y afectación de los ciudadanos por el coronavirus SARS 2-Covid-19.Ello resulta especialmente difícil cuando el estudio incluye la visita de un establecimiento abierto al público, precisándose la adopción de medidas concretas que faciliten el rastreo de los referidos contactos. Por ello, se introduce un registro de personas que acceden a determinados establecimientos con especiales condiciones de riesgo de transmisión, condicionando por razones de salud pública el derecho de admisión en los mismos a la identificación de clientes. […] En su virtud, vistos el artículo 25.3 del Estatuto de Autonomía para Cantabria, el artículo 26.1 de la Ley 14/1986, de 25 de abril, General de Sanidad, el artículo 3 de la Ley Orgánica 3/1986, de 14 de abril, de Medidas Especiales en materia de Salud Pública, y el artículo 54 de la Ley 33/2011, de 4 de octubre, General de Salud Pública, a propuesta de la Dirección General de Salud Pública, y de conformidad con el artículo 59.
3. a)de la Ley de Cantabria 7/2002, de 10 de diciembre, de Ordenación Sanitaria de Cantabria. RESUELVO Primero. Modificación de la Resolución de la Consejería de Sanidad de 18 de junio de 2020. […] 2.- Se añade un apartado 2.6 con la siguiente redacción: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/38 "2.6. Sin perjuicio de lo dispuesto en su normativa sectorial, los titulares de hoteles y alojamientos turísticos, peluquerías, centros de belleza, gabinetes de estética, salones de manicura, pedicura y depilación, saunas y gimnasios deberán contar con un registro de las personas que accedan al establecimiento correspondiente en el que se recoja fecha y hora del acceso, nombre y apellidos y número de teléfono de contacto. La recogida de tales datos requerirá el consentimiento del interesado, sin perjuicio de condicionar el derecho de admisión por razones de salud pública en caso de no poder contar con el mismo. El registro se encontrará exclusivamente a disposición de la Dirección General de Salud Pública y tendrá como única finalidad facilitar el rastreo y seguimiento de contactos de casos positivos, probables o posibles de Covid-19. Los datos deberán conservarse en el registro únicamente durante un plazo de un mes desde el acceso, transcurrido el cual deberá procederse a su cancelación. Tanto el registro como el tratamiento de los datos contenidos en el mismo se regirá en todo caso por lo dispuesto en la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales y en el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE". […] Segundo. Efectos. La presente Resolución surtirá efectos a las 00.00 horas del día 26 de julio de 2020. Se exceptúa lo dispuesto en el punto 2 por el que se añade un nuevo apartado 2.6 a la Resolución de la Consejería de Sanidad de 18 de junio de 2020, que entrará en vigor a los diez días de su publicación en el "Boletín Oficial de Cantabria".” Con fecha de 31 de julio de 2020 la AEPD publicó en su sitio de internet la nota de prensa titulada “Comunicado sobre la recogida de datos personales por parte de los establecimientos” (incorporada al procedimiento a través de la correspondiente diligencia -Diligencia Referencias-). Se destaca el siguiente contenido de la nota: “A este respecto, es necesario puntualizar que los datos que se recogen, aunque estén relacionados con el control de la pandemia y su tratamiento sea al objeto de poder identificar posibles infectados, no son datos catalogados en el RGPD como “categorías especiales”. Para poner en marcha el registro de clientes que acuden a locales de ocio, tratándose de una medida para la contención del coronavirus, debe acreditarse su necesidad por las autoridades sanitarias y tiene que ser obligatoria, ya que si fuera voluntaria perdería efectividad. Adicionalmente, si se acudiera a la base jurídica del consentimiento, para poder apreciar un consentimiento libre, sería necesario que no se derivara ninguna consecuencia negativa, es decir, que no se impidiera la entrada al establecimiento. Teniendo en cuenta que ya no está vigente el estado de alarma, la obligatoriedad de tomar datos por parte de los establecimientos tiene que establecerse por C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/38 una norma con rango de ley. En tal caso, la base jurídica sería el 6.1.
4. c)(“el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento”). En todo caso, debe señalarse que el hacer un seguimiento adecuado de la evolución de los contagios y de la obligación de tomar datos y cederlos a las autoridades sanitarias tiene su fundamento en la garantía de un interés público de controlar la pandemia, por lo que la base jurídica sería, con carácter preferente, el artículo 6.1.
5. e)del RGPD (“el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento”). A estos efectos, debe hacerse especial incidencia en la necesidad de justificar que no existan otras medidas más moderadas para la consecución del propósito perseguido con igual eficacia. Por ello deberían identificarse bien y limitarse a aquellos sitios en los que exista una mayor dificultad para el cumplimiento de estas medidas (no es lo mismo una discoteca, en la que las personas quieren estar cerca, que un museo, en el que se pueden habilitar espacios adecuados para que circule la gente y limitar mucho los contactos). A tal efecto, deberían ser las autoridades sanitarias quienes valoren motivadamente en qué lugares sería obligatorio identificarse. Por otro lado, la recogida y la cesión de datos debería organizarse de una forma que el registro permita identificar los posibles contactos (es decir, que exista una probabilidad de que hayan coincidido, al estar en la misma hora, en el mismo sitio, etcétera). En otro caso, como podría suceder en un museo, si hay un infectado y se avisa a las miles de personas que ese día lo pudieron haber visitado, aparte de ser un tratamiento excesivo, podrían producirse dificultades o incluso un colapso en la asistencia sanitaria. Cuestión que también tienen que valorar las autoridades sanitarias de las Comunidades Autónomas. Adicionalmente, debe cumplirse con el principio de minimización, en virtud del cual podría ser suficiente con obtener un número de teléfono, junto con los datos del día y la hora de asistencia al lugar. Este criterio, junto con el de la anonimización de los titulares del dispositivo, ha sido el asumido por el Comité Europeo de Protección de Datos en la Recomendación sobre el uso de datos de localización y aplicaciones de seguimiento de contactos en el contexto de la pandemia; criterio que puede extrapolarse a esta situación con las adaptaciones pertinentes. En consecuencia, no sería necesario solicitar el nombre y los apellidos, que serían innecesarios para la finalidad de avisar a los posibles contactos, y en ningún caso es necesaria la identificación mediante el DNI por ser desproporcionada. Asimismo, debe aplicarse estrictamente el principio de limitación de la finalidad, de forma que los datos sólo deben poder utilizarse para la finalidad de lucha contra el virus, excluyendo cualquier otra, así como el principio de limitación del plazo de conservación. De acuerdo con estos criterios, los establecimientos serían responsables de la recogida de datos en virtud de una obligación legal establecida por una norma con rango de ley y la administración autonómica sería la cesionaria de esos datos por razones de interés público previstos en la ley. La administración autonómica deberá establecer criterios sobre la forma en la que se recogen y comunican esos datos personales a la Administración sanitaria. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/38 Por su parte, los ciudadanos deben recibir una información clara, sencilla y accesible sobre el tratamiento antes de la recogida de los datos personales. En todo caso, la información debe tratarse con las medidas de seguridad adecuadas.” Con fecha 7 de agosto de 2020 se dirige una solicitud de información al investigado al objeto de aclarar los pormenores de los tratamientos de datos personales derivados de la obligación de registro incluida en el apartado 2.6 de la Resolución del 24 de julio. El día 2 de noviembre de 2020 se recibe respuesta a dicho requerimiento (número de registro de entrada O00007128e2000008619) en los siguientes términos: (…) (El contenido íntegro de las alegaciones está recogido en el antecedente tercero). Con fecha de 14 de noviembre de 2020 se publicó en el sitio de internet de la Consejería de Sanidad el “Texto consolidado de la resolución de 18 de junio de 2020” (incorporado al procedimiento a través de la correspondiente diligencia Diligencia Referencias-) que consolida en la resolución original las diez modificaciones realizadas sobre la misma. La redacción del apartado 2.6 permanece en los mismos términos en que fue redactada por la Resolución del 24 de julio. Asimismo, la página 7 del texto incluye la nota a pie de página número 5 que referencia el apartado 2.6 de la siguiente manera: “Apartado 2.6 añadido por Resolución de la Consejería de Sanidad de 24 de julio de 2020 (BOC extraordinario nº 59, de 24 de julio de 2020). Efectos: diez días desde su publicación en el BOC (10 de agosto de 2020)”” QUINTO: Con fecha 14 de julio de 2021 la directora de la AEPD acordó iniciar procedimiento sancionador contra la CONSEJERÍA, con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por presunta infracción de los siguientes preceptos del RGPD y de la LOPDGDD: - Artículos: 5.1.
6. c)y 7 del RGPD, tipificada en el artículo 83.5.
7. a)del RGPD y en el artículo 72.1.
8. a)y 72.1.
9. c)de la LOPDGDD. - Artículo: 5.1.
10. e)del RGPD, tipificada en el artículo 83.5.
11. a)del RGPD y en el artículo 72.1.
12. a)de la LOPDGDD. - Artículo: 13 del RGPD, tipificada en el artículo 83.5.
13. b)del RGPD y en el artículo 72.1.
14. h)de la LOPDGDD. Asimismo, ordenó a la CONSEJERÍA, de acuerdo con lo dispuesto en el artículo 58.2
15. d)del RGPD, para que en el plazo de DIEZ DÍAS procediera a ordenar al responsable o encargados de los tratamientos, que las operaciones de tratamiento se ajustasen a las disposiciones del RGPD y la LOPDGDD. También la requirió para que en el plazo de un mes acreditase ante la AEPD el cumplimiento de: - La adopción de todas las medidas necesarias para que la entidad investigada actúe de conformidad con los principios de «minimización de datos» y «limitación del plazo de conservación», del artículo 5.1 apartados
16. c)y
17. e)del RGPD. - La adopción de las medidas necesarias para facilitar la información prevista en el artículo 13 del RGPD, debiendo facilitar a las personas que accedan al establecimiento correspondiente, con carácter previo a la recogida de los datos personales C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/38 de los mismos, toda la información exigida en el citado precepto, para lo que se deberá tener en cuenta lo dispuesto en el artículo 7 del RGPD en relación con las condiciones para el consentimiento y artículo 6 de la LOPDGDD. SEXTO: El acuerdo de inicio se notifica a la CONSEJERÍA, en fecha 15 de julio de 2021, a través del Servicio de Notificaciones Electrónicas y Dirección Electrónica Habilitada, según certificado que figura en el expediente. SÉPTIMO: Con fecha 29 de julio de 2021 se recibe en esta Agencia, en tiempo y forma, escrito en el que aduce alegaciones y tras manifestar lo que a su derecho conviene, solicita que se dicte resolución por la que se declare la inexistencia de hechos que pudieran constituir infracción, con archivo de las actuaciones. En síntesis, aduce que: PRIMERO. BASE JURÍDICA DEL TRATAMIENTO. La inclusión por la segunda modificación de la Resolución de la obligación de llevar un registro de clientes para determinado tipo de establecimientos surge a partir de lo previsto en el Real Decreto-Ley 21/2020, citado en la exposición de motivos de la Resolución, constituyendo la finalidad del tratamiento “el seguimiento, vigilancia y control epidemiológico del COVID-19”, atendiendo a “razones de interés público esencial en el ámbito específico de la salud pública, y para la protección de intereses vitales de los afectados y de otras personas físicas”, tal y como expresamente señala el citado artículo 27.2 del Real Decreto- Ley y, posteriormente, el artículo 27.2 de la Ley 2/2021, de 29 de marzo, de medidas urgentes de prevención, contención y coordinación para hacer frente a la crisis sanitaria ocasionada por el COVID-19: “2. El tratamiento tendrá por finalidad el seguimiento, vigilancia y control epidemiológico del COVID-19 para prevenir y evitar situaciones excepcionales de especial gravedad, atendiendo a razones de interés público esencial en el ámbito específico de la salud pública, y para la protección de intereses vitales de los afectados y de otras personas físicas al amparo de lo establecido en el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016. Adicionalmente, los datos podrán ser utilizados, en su caso, para la emisión por la autoridad sanitaria competente de certificados de pruebas diagnósticas o de vacunación, previa solicitud expresa e inequívoca del interesado o su representante legal. Los datos recabados serán utilizados exclusivamente para las finalidades descritas.” Invoca el Informe 17/2020 de la AEPD. Recuerda que el considerando 46 del RGPD reconoce que, en situaciones excepcionales, como una epidemia, la base jurídica de los tratamientos puede ser múltiple, basada tanto en el interés público, como en el interés vital del interesado u otra persona física. Asimismo, alude a la STS 3609/2020, de 5 de noviembre de 2020, que confirma que el artículo 6.1 del RGPD no mantiene ya la regla de la necesidad de consentimiento, como base legitimadora para poder tratar datos personales, sino que para la existencia de una ilicitud en el tratamiento deberá probarse que no concurre ninguna de las previstas en cualquiera de las bases del artículo 6. Concurren, según lo expuesto, las bases legitimadoras previstas en los apartados c),
18. d)y
19. e)del artículo 6 del RGPD para el tratamiento de datos identificativos de personas físicas que accedan a determinados establecimientos públicos, por lo que los datos podrían ser tratados sin necesidad del consentimiento. Sin perjuicio de los anteriores títulos de legitimación que justifican plenamente la acC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/38 tuación adoptada por la autoridad sanitaria, concurre igualmente la base de licitud prevista en el artículo 6.1
20. a)relativa al consentimiento del interesado. Ciertamente, la Dirección General de Salud Pública de la Consejería de Sanidad del Gobierno de Cantabria, mediante escrito de 27 de octubre de 2020, indicó que “la recogida de datos de carácter personal, nombre, apellidos y teléfono, es voluntaria y requiere el consentimiento expreso del interesado”. Sin embargo, dicha frase, con mayor o menor acierto, pretende expresar que los datos son aportados por el propio interesado, con su consentimiento expreso. Es decir, el interesado debe consentir en ceder sus datos, para la única finalidad de “facilitar el rastreo y seguimiento de contactos de casos positivos, probables o posibles de Covid-19”, como señala el punto 2.6 de resolución de 18 de junio de 2020. En ningún caso el titular del establecimiento puede recabarlos por otros medios que no sea el propio interesado y sin su consentimiento. En el caso de no contar con el consentimiento del interesado, dicho punto 2.6 se limita a reconocer el derecho de admisión que corresponde a los establecimientos públicos en virtud del Real Decreto 2816/1982, de 27 de agosto, por el que se aprueba el Reglamento General de Policía de Espectáculos Públicos y Actividades Recreativas, ya sea como en este caso por razones de salud pública, o por cualquiera de los requisitos a que la empresa hubiera condicionado su derecho de admisión. SEGUNDO. MEDIOS PARA EL CUMPLIMIENTO DEL DEBER DE INFORMACIÓN AL INTERESADO. El contexto en el que se lleva a cabo la recogida de datos personales en el supuesto que nos ocupa, determina el sujeto que debe proporcionar información a las personas afectadas. Así, en el caso del registro de clientes previsto en el apartado 2.6 de la resolución de 18 de junio de 2020, son los titulares de los establecimientos que se relacionan en dicho apartado 2.6 los que recaban los datos de las personas que acceden a dichos establecimientos y los incluyen en el correspondiente registro, a disposición de la Dirección General de Salud Pública. Por tanto, no cabe, sino que sean los titulares de los establecimientos, en su calidad de encargados del tratamiento, los que faciliten a los interesados la información exigida por el artículo 13 del RGPD en el momento de la recogida de los datos. A su vez, los titulares de los establecimientos conocen la información relativa al tratamiento de los datos que deben facilitar a sus clientes en el momento de recabar el dato porque figura en la propia resolución de 18 de junio de 2020. En concreto, figura:  Responsable del tratamiento: Dirección General de Salud Pública de la Consejería de Sanidad del Gobierno de Cantabria.  Finalidad del tratamiento: Facilitar el rastreo y seguimiento de contactos de casos positivos, probables o posibles de Covid-19.  Categoría de datos: Nombre, apellidos y teléfono móvil. Fecha y hora de acceso.  Colectivo afectado: Las personas que accedan a hoteles y alojamientos turísticos, peluquerías, centros de belleza, gabinetes de estética, salones de manicura, pedicura y depilación, saunas y gimnasios.  Plazo de conservación: Un mes desde el acceso, transcurrido el cual se procederá a su cancelación. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/38  Consecuencias de no facilitar los datos: Podrá condicionar el derecho de admisión por razones de salud pública.  Destinatarios: Exclusivamente la Dirección General de Salud Pública de la Consejería de Sanidad del Gobierno de Cantabria. Así, no cabe imputar a la Consejería de Sanidad, responsable del tratamiento, haber infringido el derecho de información de los interesados recogido en el artículo 13 del RGPD. No obstante, y sin perjuicio de lo anterior, a la vista del requerimiento efectuado por la Directora de la Agencia la Consejería de Sanidad publicará en la web de la Consejería y del Servicio Cántabro de Salud la información básica exigida por dicho artículo 13, especificando que los titulares de los establecimientos deben proporcionar a sus clientes dicha información con carácter previo a la recogida de sus datos. TERCERO. PRINCIPIO DE MINIMIZACIÓN DE DATOS. La exclusión del nombre y apellidos de los interesados del registro de clientes supondría la total anonimización de los datos y, en consecuencia, ni siquiera resultaría de aplicación la normativa de protección de datos de carácter personal. Dicho de otro modo, los únicos datos de carácter personal que se contienen en el registro son el nombre y apellidos de los interesados, esto es, los mínimos datos personales identificativos posibles. Corresponde a la autoridad sanitaria de Cantabria valorar la adecuación los datos a la finalidad del tratamiento, así, el Jefe de Servicio de Salud Pública emitió un informe al respecto de fecha 29 de julio de 2021, que dice: “En lo relativo a los datos necesarios para la identificación del cliente, debe considerarse que, dada la alta transmisibilidad asociada a este tipo de establecimientos, el Programa de Estudio de Casos e Identificación de Contactos de la GSP, dentro del despliegue de la segunda fase del rastreo ampliado, considera que son contactos estrechos “En los centros de estética y peluquería, en caso de que un trabajador sea caso confirmado, los clientes que haya atendido personalmente”. Consideración que debe entenderse extendida a todos los establecimientos en los que el trabajador mantiene contacto físico con el cliente, tales como salones de manicura, pedicura y depilación. Esto exige que el trabajador identifique a quien ha atendido, es decir, resulta necesario no solo disponer del censo de clientes (persona) de un establecimiento (lugar), en una jornada de trabajo (tiempo); sino que con el fin de establecer la cuarentena, es necesario saber quien ha estado en un contacto cercano y prolongado con el cliente. Esta identificación no puede realizarse de otra forma que no sean los nombres y apellidos. Un trabajador no puede identificar entre un listado de teléfonos o identificaciones numéricas a quien ha atendido. Con carácter general, para todo tipo de establecimientos, dichos datos son elementales en el proceso de identificación de los contactos estrechos, pues para iniciar la identificación de los mismos el primer paso es la comprobación de si está identificada como caso o como contacto y entonces proceder a contactar con la persona. Ponerse en contacto con la persona sin previamente haber averiguado si ya es un caso o un contacto, un fenómeno muy habitual, imposibilita el poder actuar sobre la misma. Por ejemplo, podría llevar a establecer una cuarentena en una persona ya aislada o en una persona vacunada. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/38 Debe tenerse en cuenta que no siempre existe una correlación número teléfonosujeto o individuo único. En numerosas ocasiones el cliente facilita un número de teléfono móvil del que no es titular (lo es por ejemplo su pareja) o se facilita un número de teléfono fijo utilizado por varias personas del entorno familiar, y en el caso de menores el teléfono de sus progenitores, por lo que el desconocimiento de la identidad de la persona podría llevar a establecer una cuarentena en una persona ya aislada o en una persona vacunada, o impediría saber si las actuaciones de control se están dictando sobre el menor o sobre los progenitores. En resumen, la resolución propuesta impide el desarrollo de las actuaciones ordinarias del Programa de Estudio de Casos e Identificación de Contactos de Cantabria, así como la investigación de los brotes y alertas causadas por las variantes de preocupación, en un entorno de alta transmisibilidad como son las peluquerías y centros de estética.” Por tanto, la inclusión en el registro de los datos identificativos mínimos de los interesados, además del teléfono móvil, la fecha y hora de acceso no resulta desproporcionada, sino razonable, adecuada, pertinente y estrictamente limitada a la finalidad perseguida. CUARTO. PRINCIPIO DE LIMITACIÓN DEL PLAZO DE CONSERVACIÓN. De acuerdo con el informe del Jefe de Servicio de Salud Pública de fecha 29 de julio de 2021, la fijación del plazo de cuatro días es incompatible con las exigencias epidemiológicas, en concreto de la identificación de contactos estrechos, investigación de brotes y de los periodos de incubación y transmisibilidad. “(…) De acuerdo con lo expuesto, el Programa de Estudio de Casos e Identificación de Contactos de Cantabria exige para las actuaciones ordinarias al menos 17 días de conservación del registro, además, la investigación del origen de brotes por variantes de preocupación precisa la investigación retrospectiva dos periodos de incubación antes del inicio de los síntomas, 28 días. Se ha considerado prudente añadir dos días más al periodo de conservación de los datos incluidos en el registro de clientes, hasta 30 días, con el fin de paliar posibles retrasos o errores.” En definitiva, el plazo de conservación de los datos, fijado en 30 días, constituye el tiempo necesario para cumplir la finalidad que se persigue. Y adjunta: - Informe del Jefe de Servicio de Salud Pública de fecha 29 de julio de 2021 (documento nº 1). - Informe de la Dirección General de Salud Pública relativo a la resolución por la que se aprueba la segunda modificación de la Resolución de la Consejería de Sanidad de 18 de junio de 2020 por la que se establecen las medidas sanitarias aplicables en la Comunidad Autónoma de Cantabria durante el período de nueva normalidad (documento nº 2). - Informe de la Dirección General de Salud Pública relativo a la Resolución por la que se aprueba la décima modificación de la Resolución de 11 de mayo de 2021, por la que se establecen medidas sanitarias para la prevención, contención y control de la pandemia ocasionada por el Covid-19 en la Comunidad Autónoma de Cantabria (documento nº 3). - Programa de Estudio de Casos e Identificación de Contactos de Cantabria (docuC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/38 mento nº 4). Asimismo, mediante otrosí, solicita admitir como medio de prueba la pericial, consistente en que se solicite informe de D. A.A.A., Director del Observatorio de Salud Pública del Cantabria, a fin de ratificar lo expuesto en las alegaciones contenidas en los fundamentos de derecho III y IV. OCTAVO: Con fecha 13 de agosto de 2021 se recibe en esta Agencia escrito por el que da respuesta al requerimiento contenido en el acuerdo de inicio. Respecto al primero de los requerimientos consistente en "la adopción de todas las medidas necesarias para que la entidad investigada actúe de conformidad con los principios de «minimización de datos» y «limitación del plazo de conservación», del artículo 5.1 apartados
21. c)y
22. e)del RGPD", aduce que, los datos personales incluidos no resultan desproporcionados, sino que se trata de los mínimos datos identificativos posibles y su petición es razonable, pertinente y adecuada. Del mismo modo, el plazo de conservación de los datos, fijado en 30 días, constituye el tiempo necesario para cumplir la finalidad perseguida. Respecto al cumplimiento del deber de información, aduce que, teniendo en cuenta que los titulares de los establecimientos son los que recaban los datos de carácter personal, a ellos corresponde, en su calidad de encargados del tratamiento, facilitar a los interesados la información exigida por el artículo 13 del RGPD en el momento de la recogida de los datos. E informa que se ha publicado en la web de la Consejería la información básica exigida por el artículo 13 del RGPD y adjunta el Registro de actividades de tratamiento (en lo sucesivo, RAT) disponible en: ***URL.1 NOVENO: Con fecha 22 de noviembre de 2021 la instructora del procedimiento acordó practicar las siguientes pruebas: 1. Se dan por reproducidos a efectos probatorios todos los documentos obtenidos y generados por los Servicios de Inspección y el Informe de actuaciones previas que forman parte del procedimiento E/06497/2020. 2. Asimismo, se dan por reproducidas a efectos probatorios, las alegaciones al Acuerdo de iniciación del procedimiento sancionador referenciado presentadas por la CONSEJERÍA DE SANIDAD y la documentación que a ellas acompaña: - Registro de personas que accedan a determinados establecimientos abiertos al público y actividades de ocio y tiempo libre o actividades multitudinarias. - Informe de situación (datos cerrados de 15/07/2021) - Informe propuesta de actuaciones de respuesta ante la situación epidemiológica de Covid-19 en Cantabria - 25/06/2021 - Informe epidemiológico en relación con el acuerdo de inicio de procedimiento sancionador PS/00091/2021 de fecha 29 de julio de 2021. - Protocolo de detección y manejo de casos y contactos de Covid-19. Versión 7. Y declaró innecesaria la solicitud de prueba pericial consistente en solicitar un informe a D. A.A.A., director del Observatorio de Salud Pública del Cantabria, al amparo de lo previsto en el artículo 77.3 de la LPACAP, por cuanto el informe que pudiera emitir el director del citado Observatorio no tenía relevancia para la determinación de los hechos, ni su calificación jurídica, ni en la atribución de posibles responsabilidades. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/38 DÉCIMO: Con fecha 11 de marzo de 2022 se formuló propuesta de resolución, proponiendo una sanción de APERCIBIMIENTO por infracción de los artículos 5.1.
23. c)y 7 del RGPD, tipificadas respectivamente en el artículo 83.5.
24. a)del RGPD y en el artículo 72.1.
25. a)y 72.1.
26. c)de la LOPDGDD y dando respuesta a las alegaciones presentadas. Dicha propuesta fue debidamente notificada en la misma fecha de su puesta a disposición a través del Servicio de Notificaciones Electrónicas y Dirección Electrónica Habilitada, según certificado que figura en el expediente. UNDÉCIMO: El día 25 de marzo de 2022 el interesado presenta alegaciones frente a la propuesta de resolución en las que, en síntesis, se recogen las siguientes consideraciones: 1) Principio de minimización de datos: Inicia su escrito de alegaciones refiriéndose al tenor literal del artículo 64.2.
27. b)de la LPACAP y al artículo 68.1 de la LOPDGDD para argumentar que estos suponen que los hechos imputados deben quedar fijados e inalterables desde el mismo momento en que se inicia el procedimiento sancionador, con independencia de su diferente valoración jurídica, que puede variar según el curso de la instrucción del procedimiento. Para apoyar su argumentación, recoge doctrina del Tribunal Constitucional referente al derecho del inculpado en un procedimiento sancionador administrativo tanto el derecho a conocer los hechos de los que se le acusa como a la inalterabilidad de los hechos esenciales objeto de acusación (Por todas, STC 117/2002 de 20 de mayo). Todo ello, para concluir que esto no ha sido así en el presente procedimiento por cuanto, aun cuando el acuerdo de inicio venía referido a la vulneración del principio de minimización de datos por la Resolución por la que se aprueba la segunda modificación de la Resolución de la Consejería de Sanidad de 18 de junio de 2020 por la que se establecen las medidas sanitarias aplicables en la Comunidad Autónoma de Cantabria durante el periodo de nueva normalidad, publicada en el Boletín Oficial Cantabria extraordinario nº 59 de 24 de julio de 2020, a lo largo de la propuesta de resolución se alude en varias ocasiones al contenido de la Resolución por la que se aprueba la décima modificación de la Resolución de 11 de mayo de 2021, por la que se establecen medidas sanitarias para la prevención, contención y control de la pandemia ocasionada por el Covid-19 en la Comunidad Autónoma de Cantabria, publicada en el Boletín Oficial de Cantabria extraordinario núm. 51 de 25 de junio de 2021. A continuación, da por reproducidas la totalidad de las alegaciones realizadas respecto al principio de minimización de datos en el escrito de alegaciones presentado frente al acuerdo de iniciación del presente procedimiento, incidiendo especialmente en su consideración de que la solicitud de datos establecida por la Resolución publicada el 24 de julio es el mínimo posible por cuanto, afirma, únicamente requiere el nombre y los apellidos de los clientes de los establecimientos. De igual modo, insiste en que la valoración sobre la adecuación, pertinencia y limitación de los datos tratados a lo necesario en relación con el fin perseguido corresponde a la autoridad sanitaria de Cantabria, extractando un párrafo del informe 17/2020 de la AEPD por considerar que sustenta dicha afirmación. Prosigue argumentando que el informe del jefe de servicio de Salud Pública de 29 de julio de 2021, aceptado por la instrucción como elemento probatorio, detalla las razones que aconsejaron la inclusión del nombre y apellidos en el registro de clientes, no habiéndose motivado su desestimación por la instrucción. 2) Incumplimiento de las condiciones del consentimiento: Comienza su alegación a este respecto reiterando lo ya dicho en la anterior en relación con los hechos que C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/38 han de ser objeto del procedimiento. Y ello por cuanto entiende que la instrucción no puede hacer referencia a la Resolución de 11 mayo de 2021 por ser de fecha posterior al Acuerdo de inicio del presente procedimiento, en el que se imputa un incumplimiento de la normativa de protección de datos por la Resolución por la que se aprueba la segunda modificación de la Resolución de la Consejería de Sanidad de 18 de junio de 2020 por la que se establecen las medidas sanitarias aplicables en la Comunidad Autónoma de Cantabria durante el periodo de nueva normalidad, publicada en el Boletín Oficial Cantabria extraordinario nº 59 de 24 de julio de 2020. De igual modo, se reitera en lo alegado respecto a las condiciones de consentimiento frente al acuerdo de inicio del procedimiento, insistiendo en que la base jurídica para el tratamiento de datos identificativos de personas físicas que accedan a determinados establecimientos públicos para facilitar la trazabilidad de los contactos, recogidos en el correspondiente registro de clientes previsto en la Resolución de 18 de junio de 2020, se encuentra en el cumplimiento de una obligación legal aplicable al responsable del tratamiento, y en el cumplimiento de una misión realizada en interés público. En relación con la redacción del apartado 2.6 de la resolución, matiza, que la referencia al condicionamiento a la voluntad del cliente para la entrega de datos, lo que pretende es clarificar que el titular del establecimiento no puede utilizar otros mecanismos para su obtención que no sean la entrega voluntaria de dichos datos por el cliente y que, la falta de los mismos, lo que supone es que entra en juego el Real Decreto 2816/1982, de 27 de agosto, por el que se aprueba el Reglamento General de Policía de Espectáculos Públicos y Actividades Recreativas, ya sea como en este caso por razones de salud pública, o por cualquiera de los requisitos a que la empresa hubiera condicionado su derecho de admisión. Finalmente, destaca que se trató de una medida temporal que en la actualidad no está vigente en la comunidad autónoma de Cantabria y solicita que se dicte resolución declarando la inexistencia de infracción y el archivo de las actuaciones. De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS PRIMERO: Con fecha 11 de junio de 2020 entra en vigor el, ya derogado, Real Decreto-ley 21/2020, de 9 de junio, de medidas urgentes de prevención, contención y coordinación para hacer frente a la crisis sanitaria ocasionada por el COVID-19. Los artículos 5, 23, 26 y 27, disponían: Artículo 5. Planes y estrategias de actuación para afrontar emergencias sanitarias. Con arreglo a lo previsto por el artículo 65 de la Ley 16/2003, de 28 de mayo, de cohesión y calidad del Sistema Nacional de Salud, se procederá a la adopción de planes y estrategias de actuación para afrontar emergencias sanitarias, mediante actuaciones coordinadas en salud pública, atendiendo a los distintos niveles de riesgo de exposición y de transmisión comunitaria de la enfermedad COVID-19 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/38 para el desarrollo de las distintas actividades contempladas en este real decretoley. Artículo 23. Obligación de información. 1. Se establece la obligación de facilitar a la autoridad de salud pública competente todos los datos necesarios para el seguimiento y la vigilancia epidemiológica del COVID-19 que le sean requeridos por esta, en el formato adecuado y de forma diligente, incluidos, en su caso, los datos necesarios para la identificación personal. 2. La obligación establecida en el apartado anterior es de aplicación al conjunto de las administraciones públicas, así como a cualquier centro, órgano o agencia dependiente de estas y a cualquier otra entidad pública o privada cuya actividad tenga implicaciones en la identificación, diagnóstico, seguimiento o manejo de los casos COVID-19. En particular, será de aplicación a todos los centros, servicios y establecimientos sanitarios y servicios sociales, tanto del sector público como del privado, así como a los profesionales sanitarios que trabajan en ellos. Artículo 26. Provisión de información esencial para la trazabilidad de contactos. Los establecimientos, medios de transporte o cualquier otro lugar, centro o entidad pública o privada en los que las autoridades sanitarias identifiquen la necesidad de realizar trazabilidad de contactos, tendrán la obligación de facilitar a las autoridades sanitarias la información de la que dispongan o que les sea solicitada relativa a la identificación y datos de contacto de las personas potencialmente afectadas. Artículo 27. Protección de datos de carácter personal. “1. El tratamiento de la información de carácter personal que se realice como consecuencia del desarrollo y aplicación del presente real decreto-ley se hará de acuerdo a lo dispuesto en el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE, en la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales, y en lo establecido en los artículos ocho.1 y veintitrés de la Ley 14/1986, de 25 de abril, General de Sanidad. En particular, las obligaciones de información a los interesados relativas a los datos obtenidos por los sujetos incluidos en el ámbito de aplicación del presente real decreto-ley se ajustarán a lo dispuesto en el artículo 14 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, teniendo en cuenta las excepciones y obligaciones previstas en su apartado 5. 2. El tratamiento tendrá por finalidad el seguimiento y vigilancia epidemiológica del COVID-19 para prevenir y evitar situaciones excepcionales de especial gravedad, atendiendo a razones de interés público esencial en el ámbito específico de la salud pública, y para la protección de intereses vitales de los afectados y de otras personas físicas al amparo de lo establecido en el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016. Los datos recabados serán utilizados exclusivamente con esta finalidad. 3. Los responsables del tratamiento serán las comunidades autónomas, las C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/38 ciudades de Ceuta y Melilla y el Ministerio de Sanidad, en el ámbito de sus respectivas competencias, que garantizarán la aplicación de las medidas de seguridad preceptivas que resulten del correspondiente análisis de riesgos, teniendo en cuenta que los tratamientos afectan a categorías especiales de datos y que dichos tratamientos serán realizados por administraciones públicas obligadas al cumplimiento del Esquema Nacional de Seguridad. 4. El intercambio de datos con otros países se regirá por el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, teniendo en cuenta la Decisión n.º 1082/2013/UE del Parlamento Europeo y del Consejo, de 22 de octubre de 2013, sobre las amenazas transfronterizas graves para la salud y el Reglamento Sanitario Internacional