PS-00266-2022

1/14  Expediente N.º: PS/00266/2022 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: A.A.A. (en adelante, la parte reclamante) con fecha 19/03/2021 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra las entidades CONSELLERIA DE SANIDAD UNIVERSAL Y SALUD PÚBLICA de la Generalitat Valenciana, con NIF S4611001A (en adelante, la parte reclamada o CONSELLERÍA DE SANIDAD), y Sistemas Genómicos, S.L. (en lo sucesivo (Sistemas Genómicos). Los motivos en que basa la reclamación son los siguientes: La reclamación se formula en relación con el protocolo dispuesto por la CONSELLERÍA DE SANIDAD para la realización de PCR al alumnado, que se llevan a cabo por empresas externas contratadas por aquella entidad. A este respecto, la parte reclamante señala que con motivo de un positivo en Covid-19 detectado en la clase de su hija, les indicaron que para realizar la prueba debían dirigirse a la sede de Sistemas Genómicos, en la que les solicitaron el nombre y el número de tarjeta SIP sin facilitar ninguna información en materia de protección de datos personales. Advierte la parte reclamante que se han tratado categorías especiales de datos y que se cede esa información a una empresa de secuenciación de genoma. Asimismo, indica que la información sobre el resultado de la prueba se facilita a los progenitores de los alumnos mediante un documento en formato pdf. que incluye un enlace al resultado, remitido por correo electrónico sin cifrar. Solicita que se elimine la información y se corrija el protocolo “de manera que ningún laboratorio pueda cruzar el ADN con datos del propietario sin un consentimiento expreso e informado”. Con su reclamación, aporta copia de la respuesta que le fue remitida por la CONSELLERÍA DE SANIDAD a un correo electrónico de la parte reclamante. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a las entidades CONSELLERÍA DE SANIDAD y Sistemas Genómicos, para que procediesen a su análisis e informasen a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/14 Públicas (en adelante, LPACAP), fue recogido en fecha 19/04/2021 por la CONSELLERÍA DE SANIDAD y en fecha 21/04/2021 por la entidad Sistemas Genómicos, S.L., como consta en el acuse de recibo que obra en el expediente. 1. Con fecha 02/06/2021, se recibe respuesta de la citada Consellería en la que manifiesta lo siguiente: . La CONSELLERÍA DE SANIDAD contrató los servicios de Sistemas Genómicos para la realización de 10.000 pruebas PCR en el estudio de contactos de los casos de COVID-19 en el ámbito escolar. La contratación se realizó por trámite de emergencia motivado por la situación de pandemia. Para la selección de empresas se tuvieron en cuenta criterios de capacidad y solvencia técnica con pleno sometimiento a la legislación que regula la contratación del sector público. Entre la Consellería d’Educació, Cultura y Esport y la CONSELLERÍA DE SANIDAD se ha elaborado un protocolo de actuación en relación con el tratamiento de datos personales para el seguimiento de los casos afectados por la Covid-19 en los centros educativos. Respecto a las inquietudes objeto de la reclamación, está establecido que una vez finalizado el procesamiento de la muestra biológica (exudado nasofaríngeo, para el caso de la prueba RT-PCR), el material extraído es almacenado durante un mes, para prevenir situaciones como la obtención de resultados no concluyentes, que requiriesen la repetición del ensayo con la misma muestra. La conservación durante este período se realiza en condiciones de anonimización, temperatura y acceso estrictamente controladas, que garantizan la calidad del sobrante de muestra, la protección de la intimidad personal, el tratamiento confidencial de los datos personales, así como cualquier otra información de carácter personal que se pudiera derivar del material biológico existente. Una vez transcurrido este tiempo, las sustancias biológicas con el material extraído son destruidas por empresas autorizadas para la gestión de este tipo de residuos. 2. Con fecha 02/06/2021, se recibe respuesta de Sistemas Genómicos en la que manifiesta lo siguiente: Sistemas Genómicos fue contratada por la CONSELLERÍA DE SANIDAD mediante tramitación de emergencia, conforme a lo establecido en la Ley 9/2017, de 8 de noviembre de Contratos del Sector Público, para la realización de 10.000 pruebas PCR en el estudio de contactos SARS-COVID en el ámbito escolar (acompaña resolución sobre esta contratación), según el protocolo establecido por la autoridad sanitaria. En lo que respecta al tratamiento de datos personales de los menores, se refiere a lo establecido en el Considerando 46 del RGPD, que, según la citada entidad, establece la licitud del tratamiento de datos con la finalidad de proteger un interés esencial para la vida de las personas, como es el control de epidemias y su propagación. La propia Agencia, en su informe 17/2020, que hace referencia a la Ley Orgánica 3/1986, de Medidas especiales en materia de Salud Pública, o la Ley 33/2011, General de Salud Pública, reconoce el tratamiento de datos sin el consentimiento de los afectados por la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/14 situación derivada de la extensión del virus Covid-19. Sistemas Genómicos recibía de la CONSELLERÍA DE SANIDAD las indicaciones respecto del centro o centros educativos a los que se instaba para la realización de pruebas y de los diferentes lugares al aire libre donde se iban a habilitar puntos de extracción de las muestras, entre ellos el parking de Sistemas Genómicos, además de los nombres completos (DNI en caso de tenerlo), SIP y dirección de correo electrónico para poder contactar con el interesado y entregarle los resultados. Sistemas Genómicos se limitada a adverar la identidad, comprobando los datos que previamente la habían sido facilitados. Los menores escolares acudían acompañados de sus progenitores al lugar donde se les indicaba y, sin salir de su propio vehículo, se les realizaba la extracción de la muestra, exudado nasofaríngeo que no es una prueba invasiva ni supone riesgos con repercusión negativa sobre la salud del paciente, por lo que no era necesario obtener el consentimiento informado previsto en la Ley 41/2002, de 14 de noviembre, de Autonomía del Paciente. Los resultados se remitían a la dirección de correo electrónico referida por el propio interesado según el protocolo instaurado, enviando un primer correo con la contraseña para conocer el informe y el segundo con el archivo encriptado. Concluye que la entidad, como encargada del tratamiento, ejecutó el contrato bajo las directrices de la Consellería, siendo el objeto del servicio contratado la detección del virus SARS-CoV-2, por lo que las muestras obtenidas son tratadas única y exclusivamente con ese fin, nuca para extraer el ADN de las muestras, las cuales son conservadas temporalmente a modo de prevención por posibles resultados no concluyentes y destruidas con posterioridad por empresas autorizadas para la gestión de este tipo de residuos, cumpliendo con las disposiciones vigentes que le son de aplicación. En las respuestas al traslado de la reclamación, las citadas entidades no aportaron acreditación alguna sobre la información en materia de protección facilitada a los interesados y sus representantes legales con ocasión de la realización de las pruebas PCR. TERCERO: Con fecha 11/08/2021, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: Con fecha 20/07/2022, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, con arreglo a lo dispuesto en los artículos 63 y 64 de la LPACAP, por la presunta infracción del artículo 13 del RGPD, tipificada en el artículo 83.5.

1. b)del citado Reglamento; y calificada como muy grave a efectos de prescripción en el artículo 72.1.
2. h)de la LOPDGDD. En el acuerdo de apertura se determinó que la sanción que pudiera corresponder, de confirmarse la infracción, sería de apercibimiento; y se advertía que la infracción imputada podrá conllevar la imposición de medidas, según el citado artículo 58.2
3. d)del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/14 RGPD. QUINTO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en la LPACAP, se recibió escrito de alegaciones de la parte reclamada, elaborado por la Delegación de Protección de Datos de la Generalitat Valenciana, en el que formula las consideraciones siguientes: 1. En el tratamiento objeto del procedimiento, la empresa (encargado) solicita el nombre y SIP del alumnado que asiste a realizarse la PCR, y lo hace para verificar dichos datos sobre el listado que ha sido facilitado por la Conselleria (responsable), de modo que esos datos no se están obteniendo en ese momento. Sí que se considerará obtención de datos personales la muestra que se recoge para llevar a cabo la prueba. Esta obtención y posterior prueba tendrá calidad de tratamiento de datos personales. Por otra parte, el artículo 13 del RGPD, que establece la obligación de informar a la persona interesada respecto de las condiciones en que sus datos van a ser tratados, dictamina que no serán aplicables las disposiciones 1, 2 y 3 de dicho artículo en la medida en la que el interesado ya disponga de la información. 2.- En relación con la cuestión suscitada, la CONSELLERÍA DE SANIDAD detalla los mecanismos a través de los cuales se ha ofrecido a los interesados la información referente al tratamiento de datos personales llevado a cabo: . Información básica de protección de datos en la web de la Conselleria. . Información de protección de datos en el portal “CORONAVIRUS” de la Conselleria. . RAT de las actividades “Mantenimiento y actualización del Sistema de Información Poblacional (SIP)”, “Asistencia Sanitaria” y “Promoción de la Salud, Prevención de la Enfermedad y Salud Laboral”. . Información facilitada por la Conselleria de Educación, Cultura y Deporte relativa a su “Protocolo COVID-19 en los centros educativos públicos GVA”. Respecto de la no entrega de dicha información en el mismo momento en que fue tomada la muestra, la citada CONSELLERÍA DE SANIDAD manifiesta lo siguiente: “En este caso, se entiende que sería desproporcionado tener que proporcionar información en cada una de las actuaciones que se han realizado en el marco de las actividades de promoción de la salud, prevención de la enfermedad y salud laboral para afrontar la crisis sanitaria que ha supuesto la pandemia por SARS-CoV-2. De forma análoga tampoco se considera necesario facilitar información relativa al deber de informar en cada uno de los contactos que los usuarios tienen con el sistema sanitario (visitas médicas, realización de pruebas diagnósticas de laboratorio o de imagen etc.) puesto que se considera que ha se ha facilitado la información a través de los cauces mencionados en los apartados previos de este escrito”. Aporta un Anexo con los enlaces a la información aludida por la CONSELLERÍA DE SANIDAD. Entre otros, los siguientes: . URL: https://coronavirus.san.gva.es/es/web/sanidad/proteccion-de-datos En esta dirección de internet se informa sobre los portales web y aplicación móvil C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/14 desarrollados para mantener informada a la población sobre la pandemia, señalando a la citada Consellería como responsable del tratamiento de los datos personales. Se informa sobre la finalidad de contactar con el paciente para prestarle asistencia sanitaria y la emisión de certificados Covid para la movilidad entre los países de la UE, así como sobre la posibilidad de ejercer los derechos; y se incluyen enlaces para obtener más información a través de la web de la CONSELLERÍA DE SANIDAD y del “Registro de Actividades de Tratamiento: Asistencia Sanitaria”. . URL: https://www.san.gva.es/web/app-gva-mes-salut/proteccion-de-datos La información contenida en esta URL corresponde a la aplicación para dispositivos móviles dispuesta por Generalitat Valenciana para usuarios de la sanidad pública. Se informa sobre los datos personales tratados y su origen, su finalidad y base jurídica, identidad del responsable, derechos del interesado, posibilidad de oponerse al uso de medios telemáticos, datos de contacto del DPD y posibilidad de reclamar ante la AEPD. . URL: https://www.san.gva.es/es/web/conselleria-sanitat-universal-i-salut-publica/ proteccion-de-datos Esta dirección conduce a la información insertada en el portal web de la CONSELLERÍA DE SANIDAD. Únicamente incluye información sobre la identidad del responsable, datos de contacto del DPD, ejercicio de derechos y posibilidad de reclamar ante la AEPD. Incluye, además, un enlace al “Registro de Actividades de Tratamiento: Asistencia Sanitaria”. En este Registro (URL: https://www.san.gva.es/documents/157385/7741448/RATASISTENCIA+SANITARIA.pdf) se enumeran las bases legitimadoras, fines del tratamiento, colectivos de interesados, categorías de datos personales, categorías de destinatarios, transferencias internacionales, plazo de conservación, medidas de seguridad, entidad responsable y contacto del DPD. . URL: https://www.san.gva.es/documents/157385/7741448/RATPROMOCION+DE+LA+SALUD%2C %20PREVENCION+DE+LA+ENFERMEDAD+Y+SALUD+LABORAL.pdf La información accedida corresponde al contenido del “Registro de Actividades de Tratamiento: promoción de la salud, prevención de la enfermedad y salud laboral”. Tiene la misma estructura del RAT señalado en el párrafo anterior. . Informe: https://ceice.gva.es/es/web/educacion/proteccio-de-dades-en-centreseducatius-publics-gva URL: https://ceice.gva.es/es/web/educacion/proteccio-de-dades-en-centres-educatiuspublics-gva Esta dirección conduce a la información en materia de protección de datos personales en centros educativos de la Generalitat Valenciana. Al igual que la información insertada en el portal web de la CONSELLERÍA DE SANIDAD, este otro portal únicamente incluye información sobre la identidad del responsable, datos de contacto del DPD, ejercicio de derechos y posibilidad de reclamar ante la AEPD. Incluye, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/14 además, enlaces a los “Registro de Actividades de Tratamiento” de la Consellería d’Educació, Cultura y Esport. . Informe: Protocolo Covid-19 para los Centros Educativos Públicos GVA y Gestión de la vacunación del personal de los centros URL: https://ceice.gva.es/documents/161634256/172300185/RAT+Protocolo+COVID19+para+los+Centros+Educativos+P%C3%BAblicos+y+Gesti %C3%B3n+de+la+vacunaci%C3%B3n+del+personal+en+los+centros.pdf/4a6abe1aa5cb-43f7-aa1d-071f68ef4313?t=1614774587076 Se intenta acceder a esta información a través del enlace indicado y no se obtiene resultado. SEXTO: Con fecha 16/09/2022, se formuló propuesta de resolución en el sentido de que por la Directora de la Agencia Española de Protección de Datos se sancione con apercibimiento a la entidad CONSELLERÍA DE SANIDAD, por la infracción del artículo 13 del RGPD, tipificada en el artículo 83.5.
4. b)del mismo Reglamento, y calificada como muy grave a efectos de prescripción en el artículo 72.1.
5. h)de la LOPDGDD. SÉPTIMO: Notificada a la entidad reclamada la citada propuesta de resolución se recibe escrito de la Delegación de Protección de Datos de la Generalitat Valenciana, que acompaña la respuesta elaborada por la CONSELLERÍA DE SANIDAD, en base a la cual consideran que no concurren los supuestos que determinan la infracción imputada. Basa su conclusión en las consideraciones siguientes: 1. Las actuaciones se llevaron a cabo cumpliendo el protocolo acordado entre las dos Consellerias con competencias en educación y en sanidad y salud pública, respectivamente, (disponible en el enlace https://ceice.gva.es/documents/161634256/356417399/Actualizaci %C3%B3n+del+protocolo/33b7d01c-9ed2-3628-cbec-a17a3833dc40? t=1649054495985), así como el contrato entre ésta última y la empresa Sistemas Genómicos S.L., a la que se contrató, en fecha 29/01/2021, para la realización de 10.000 pruebas PRC para el diagnóstico de la COVID-19 en el ámbito escolar. 2. Las personas afectadas, menores escolarizados acompañados de un familiar adulto, acudieron a los lugares concertados para la toma de muestras por indicación del responsable COVID de su centro escolar, que pertenece a la plantilla del centro y se ocupa de velar por el cumplimiento de las normas establecidas en lo referente a COVID-19, coordina y comunica con el centro de salud y las familias del alumnado ante la aparición de síntomas. 3. Las tomas de muestras se realizaron en distintas localizaciones, entre ellas el aparcamiento de la empresa Sistemas Genómicos S.L. El personal de esta empresa verifica los datos básicos de los interesados para comprobar su identidad contrastándola con la facilitada por la Conselleria y, siempre que las circunstancias sanitarias lo permitieron se les entregó una hoja informativa que contiene un apartado C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/14 relativo a la protección de datos personales. Aporta copia de esta hoja informativa, que corresponde a un “Documento de información y consentimiento informado” elaborado por la entidad “Grupo Ascires”, del que formaba parte en aquella época la entidad Sistemas Genómicos S.L., según indica la parte reclamada. Este documento incluye información sobre la prueba que se pretende realizar y un apartado sobre protección de datos personales, además del formulario para prestar el consentimiento para la realización de la prueba. La información sobre protección de datos es ofrecida por la entidad “Ascires Grupo Biomédico” como entidad responsable del tratamiento. En relación con el empleo de esta hoja informativa, la entidad reclamada manifiesta que las dudas expresadas por los interesados al respecto eran atendidas por el personal de la empresa, “remitiéndose cuando fue necesario a la información comunicada en los centros escolares o a la facilitada por la Conselleria de Sanidad y la propia empresa a través de los canales de comunicación habilitados al efecto, entre ellos sus portales web”. 4. Con idéntico propósito informativo, la Conselleria de Educación, Cultura y Deporte elaboró una serie de documentos destinados a las familias y relativos a la gestión de la crisis sanitaria en los centros educativos. Esta documentación consta de: . Compromiso colaboración Guía-Protocolo COVID-19 (declaración responsable): Documento que debían cumplimentar las familias que incluye información sobre protección de datos. . Información detallada datos personales Guía-Protocolo COVID-19 en Centros Educativos Públicos: Cláusula de información relacionada con los tratamientos de datos derivados del Protocolo para la Gestión de casos Covid-19 en los centros educativos de enseñanzas no universitarias de la Comunitat Valenciana durante el curso 2020-2021 en cumplimiento de los artículos 13 y 14 del RGPD. . RAT Protocolo COVID-19 para los Centros Educativos Públicos y Gestión de la vacunación del personal en los centros Esta información es pública y puede consultarse en el apartado C accesible a través de la siguiente url: https://ceice.gva.es/ es/registre-de-tractament-de-dades 5. Las extraordinarias circunstancias que concurrieron en aquellos días pueden considerarse dentro de los casos previstos en el artículo 14.5.b del RGPD, en relación con las sucesivas normas destinadas a la gestión de la situación de crisis sanitaria ocasionada por el COVID-19 y aprobadas tanto por el Gobierno del Estado como por los de las Comunidades Autónomas. Por otra parte, desde los centros sanitarios se informa, a través de distintos medios y, en especial, en el momento de alta en el sistema de información poblacional, de los tratamientos de datos que se realizan como consecuencia de la actividad asistencial en cumplimiento de los artículos 13 y 14 del RGPD, por cuanto las personas interesadas ya reciben información sobre el tratamiento de sus datos incluyendo los relacionados con las pruebas diagnósticas. De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/14 HECHOS PROBADOS 1. Con motivo de un positivo en Covid-19 detectado en la clase de la hija de la parte reclamante, por parte de la CONSELLERÍA DE SANIDAD se realizó una prueba PCR al alumnado, incluida la hija de la parte reclamante. Con este motivo, se recabaron los datos personales de la hija de la parte reclamante relativos a nombre completo, DNI y una dirección de correo electrónico, además del resultado de la prueba. La dirección de correo electrónico fue utilizada para la remisión del resultado de la prueba practicada. 2. La parte reclamante ha manifestado que la prueba PCR realizada a su hija se llevó a cabo sin ofrecerle ninguna información en materia de protección de datos personales. 3. La CONSELLERÍA DE SANIDAD ha manifestado que la información en materia de protección de datos personales se ofrece a través de los documentos insertados en los portales web y aplicación para dispositivos móviles, accesibles a través de las URL detalladas en al Antecedente Quinto, que se declaran reproducidos a efectos probatorios. FUNDAMENTOS DE DERECHO I De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos”. II El artículo 4 del RGPD, bajo la rúbrica “Definiciones”, dispone lo siguiente: “2) «tratamiento»: cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/14 De acuerdo con dichas definiciones, la recogida de datos de carácter personal que conlleva la realización de las pruebas PRC por parte de la CONSELLERÍA DE SANIDAD constituye un tratamiento de datos, respecto del cual dicha entidad, como responsable del tratamiento, ha de dar cumplimiento al principio de transparencia, establecido en el artículo 5.1 del RGPD, según el cual los datos personales serán “tratados de manera lícita, leal y transparente en relación con el interesado (licitud, lealtad y transparencia)”; y desarrollado en el Capítulo III, Sección 1ª, del mismo Reglamento (artículos 12 y siguientes). El artículo 12.1 del RGPD establece la obligación del responsable del tratamiento de tomar las medidas oportunas para “facilitar al interesado toda información indicada en los artículos 13 y 14, así como cualquier comunicación con arreglo a los artículos 15 a 22 y 34 relativa al tratamiento, en forma concisa, transparente, inteligible y de fácil acceso, con un lenguaje claro y sencillo, en particular cualquier información dirigida a un niño”. Cuando los datos personales se recaben directamente del interesado, la información deberá facilitarse en el momento mismo en que tiene lugar esa recogida de datos. El artículo 13 del RGPD detalla esa información en los términos siguientes: “1. Cuando se obtengan de un interesado datos personales relativos a él, el responsable del tratamiento, en el momento en que estos se obtengan, le facilitará toda la información indicada a continuación:
6. a)la identidad y los datos de contacto del responsable y, en su caso, de su representante;
7. b)los datos de contacto del delegado de protección de datos, en su caso;
8. c)los fines del tratamiento a que se destinan los datos personales y la base jurídica del tratamiento;
9. d)cuando el tratamiento se base en el artículo 6, apartado 1, letra f), los intereses legítimos del responsable o de un tercero;
10. e)los destinatarios o las categorías de destinatarios de los datos personales, en su caso;
11. f)en su caso, la intención del responsable de transferir datos personales a un tercer país u organización internacional y la existencia o ausencia de una decisión de adecuación de la Comisión, o, en el caso de las transferencias indicadas en los artículos 46 o 47 o el artículo 49, apartado 1, párrafo segundo, referencia a las garantías adecuadas o apropiadas y a los medios para obtener una copia de estas o al hecho de que se hayan prestado. 2. Además de la información mencionada en el apartado 1, el responsable del tratamiento facilitará al interesado, en el momento en que se obtengan los datos personales, la siguiente información necesaria para garantizar un tratamiento de datos leal y transparente:
12. a)el plazo durante el cual se conservarán los datos personales o, cuando no sea posible, los criterios utilizados para determinar este plazo;
13. b)la existencia del derecho a solicitar al responsable del tratamiento el acceso a los datos personales relativos al interesado, y su rectificación o supresión, o la limitación de su tratamiento, o a oponerse al tratamiento, así como el derecho a la portabilidad de los datos;
14. c)cuando el tratamiento esté basado en el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), la existencia del derecho a retirar el consentimiento en cualquier momento, sin que ello afecte a la licitud del tratamiento basado en el consentimiento previo a su retirada;
15. d)el derecho a presentar una reclamación ante una autoridad de control;
16. e)si la comunicación de datos personales es un requisito legal o contractual, o un requisito necesario para suscribir un contrato, y si el interesado está obligado a facilitar los datos personales y está informado de las posibles consecuencias de que no facilitar tales datos;
17. f)la existencia de decisiones automatizas, incluida la elaboración de perfiles, a que se refiere el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/14 artículo 22, apartados 1 y 4, y, al menos en tales casos, información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado. 3.Cuando el responsable del tratamiento proyecte el tratamiento ulterior de datos personales para un fin que no sea aquel para el que se recogieron, proporcionará al interesado, con anterioridad a dicho tratamiento ulterior, información sobre ese otro fin y cualquier información adicional pertinente a tenor del apartado 2. 4.Las disposiciones de los apartados 1, 2 y 3 no serán aplicables cuando y en la medida en que el interesado ya disponga de la información”. De acuerdo con estas normas, el deber de informar corresponde al responsable del tratamiento de los datos personales. En este caso, la entidad CONSELLERÍA DE SANIDAD no ha acreditado haber cumplido esta obligación de informar en materia de protección de datos personales a la parte reclamada con motivo de la realización de una prueba PCR a su hija menor de edad. Sobre esta cuestión, la CONSELLERÍA DE SANIDAD, en sus alegaciones a la propuesta de resolución ha indicado que, cuando las circunstancias lo permitieron facilitó a los interesados la “hoja informativa” que compaña, en la que se incluye información en materia de protección de datos. Sin embargo, no dice que dicha “hoja informativa se facilitase a la parte reclamante y, además, la misma no serviría para entender cumplida la obligación de informar por parte de la citada Consellería al tratarse de un documento elaborado por la entidad contratada para la realización de las pruebas, Sistemas Genómicos, S.L., que interviene en los hechos como encargada del tratamiento (en esa “hoja informativa se indica que “Ascires Grupo Biomédico”, al que pertenecía Sistemas Genómicos, S.L. es el responsable del tratamiento). A estos efectos, no se estima suficiente para entender cumplida la obligación de informar con la información contenida en los documentos insertados en los portales web a los que se refiere la CONSELLERÍA DE SANIDAD en sus alegaciones a la apertura. Menos aún con la información insertada en la aplicación para dispositivos móviles habilitada por dicha entidad, cuya descarga puede no haberse realizado por la parte reclamante. Lo mismo puede decirse en relación con los documentos elaborados por la Consejería de Educación, Cultura y Deporte (Guía-Protocolo COVID-19 en Centros Educativos Públicos y RAT Protocolo COVID-19 para los Centros Educativos Públicos y Gestión de la vacunación del personal en los centros), a los que se refiere la entidad reclamada en sus alegaciones a la propuesta de resolución Dichos documentos, y la posibilidad de acceder a los mismos a través de internet, no excluye la necesidad de facilitar a los interesados una información básica de primera capa en el momento de la recogida de los datos, en este caso, en el momento de la realización de la prueba PCR. En esta información básica es posible hacer referencia a la información adicional contenida en aquellos portales web, en las URL indicadas por la parte reclamada, cuya existencia puede no ser conocida por los interesados. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/14 Y tampoco puede aceptarse que estos detalles sobre la forma y lugar para localizar la información se indicasen verbalmente por el personal de Sistemas Genómicos, S.L. a las personas que expresaran dudas al respecto. Esta circunstancia ha sido manifestada por la CONSELLERÍA DE SANIDAD en sus alegaciones a la propuesta de resolución, pero sin aportar prueba alguna. Debe señalarse que, según lo establecido en el artículo 12 del RGPD, “La información será facilitada por escrito o por otros medios, inclusive, si procede, por medios electrónicos. Cuando lo solicite el interesado, la información podrá facilitarse verbalmente siempre que se demuestre la identidad del interesado por otros medios”. En este sentido, la primera capa ha de referirse, al menos, a la existencia del tratamiento, la identidad del responsable, la posibilidad de ejercitar los derechos previstos en los artículos 15 a 22 del RGPD y dónde obtener más información sobre el tratamiento de los datos personales. La información de la segunda capa debe estar disponible para el interesado, admitiéndose que esta obligación se cumpla indicando una dirección electrónica u otro medio que permita acceder de forma “sencilla” e “inmediata” a la restante información, que ha de referirse a los demás elementos del artículo 13 del RGPD. A este respecto, el artículo 11 de la LOPDGDD establece lo siguiente: “Artículo 11. Transparencia e información al afectado. 1. Cuando los datos personales sean obtenidos del afectado el responsable del tratamiento podrá dar cumplimiento al deber de información establecido en el artículo 13 del Reglamento (UE) 2016/679 facilitando al afectado la información básica a la que se refiere el apartado siguiente e indicándole una dirección electrónica u otro medio que permita acceder de forma sencilla e inmediata a la restante información. 2. La información básica a la que se refiere el apartado anterior deberá contener, al menos:
18. a)La identidad del responsable del tratamiento y de su representante, en su caso.
19. b)La finalidad del tratamiento.
20. c)La posibilidad de ejercer los derechos establecidos en los artículos 15 a 22 del Reglamento (UE) 2016/679. (…)”. Por último, debe señalarse, también en respuesta a lo manifestado por la CONSELLERÍA DE SANIDAD en sus alegaciones a la propuesta de resolución, que el artículo 14 del RGPD no es aplicable al presente supuesto, por cuanto se refiere a situaciones en las que los datos personales no son recabados directamente del interesado. Con esta alegación, pretendía dicha entidad justificar la excepción que supone respecto de la obligación de informar la imposibilidad o esfuerzo desproporcionado de llevarla a cabo (artículo 14.5.
21. b)del RGPD). Por tanto, los hechos constatados incumplen el principio de trasparencia establecido en el artículo 13 del RGPD, y son constitutivos de una infracción tipificada en el artículo 83.5.
22. b)del RGPD, que bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone lo siguiente: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/14 de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
23. b)los derechos de los interesados a tenor de los artículos 12 a 22;(…)”. A efectos del plazo de prescripción, el artículo 72.1.
24. h)de la LOPDGDD indica: “Artículo 72. Infracciones consideradas muy graves. 1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
25. h)La omisión del deber de informar al afectado acerca del tratamiento de sus datos personales conforme a lo dispuesto en los artículos 13 y 14 del Reglamento (UE) 2016/679 y 12 de esta Ley Orgánica”. V El artículo 83 “Condiciones generales para la imposición de multas administrativas” del RGPD en su apartado 7 establece: “Sin perjuicio de los poderes correctivos de las autoridades de control en virtud del artículo 58, apartado 2, cada Estado miembro podrá establecer normas sobre si se puede, y en qué medida, imponer multas administrativas a autoridades y organismos públicos establecidos en dicho Estado miembro”. Asimismo, el artículo 77 “Régimen aplicable a determinadas categorías de responsables o encargados del tratamiento” de la LOPDGDD dispone lo siguiente: “1. El régimen establecido en este artículo será de aplicación a los tratamientos de los que sean responsables o encargados: (…)
26. c)La Administración General del Estado, las Administraciones de las comunidades autónomas y las entidades que integran la Administración Local. (…) 2. Cuando los responsables o encargados enumerados en el apartado 1 cometiesen alguna de las infracciones a las que se refieren los artículos 72 a 74 de esta ley orgánica, la autoridad de protección de datos que resulte competente dictará resolución sancionando a las mismas con apercibimiento. La resolución establecerá asimismo las medidas que proceda adoptar para que cese la conducta o se corrijan los efectos de la infracción que se hubiese cometido. La resolución se notificará al responsable o encargado del tratamiento, al órgano del que dependa jerárquicamente, en su caso, y a los afectados que tuvieran la condición de interesado, en su caso. 3. Sin perjuicio de lo establecido en el apartado anterior, la autoridad de protección de datos propondrá también la iniciación de actuaciones disciplinarias cuando existan indicios suficientes para ello. En este caso, el procedimiento y las sanciones a aplicar serán las establecidas en la legislación sobre régimen disciplinario o sancionador que resulte de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/14 aplicación. Asimismo, cuando las infracciones sean imputables a autoridades y directivos, y se acredite la existencia de informes técnicos o recomendaciones para el tratamiento que no hubieran sido debidamente atendidos, en la resolución en la que se imponga la sanción se incluirá una amonestación con denominación del cargo responsable y se ordenará la publicación en el Boletín Oficial del Estado o autonómico que corresponda. (…) 5. Se comunicarán al Defensor del Pueblo o, en su caso, a las instituciones análogas de las comunidades autónomas las actuaciones realizadas y las resoluciones dictadas al amparo de este artículo. (…)”. En el supuesto que nos ocupa, el citado artículo 77 de la LOPDGDD contempla la posibilidad de acudir a la sanción de apercibimiento para corregir los tratamientos de datos personales que no se adecúen a sus previsiones, cuando los responsables o encargados enumerados en el apartado 1 cometiesen alguna de las infracciones a las que se refieren los artículos 72 a 74 de esta Ley Orgánica. Asimismo, se contempla además que la resolución que se dicte pueda establecer las medidas que proceda adoptar para que cese la conducta, se corrijan los efectos de la infracción que se hubiese cometido y se lleve a cabo la necesaria adecuación, en este caso, a las exigencias contempladas en el citado artículo 13 del RGPD, así como la aportación de medios acreditativos del cumplimiento de lo requerido. Así, conforme a lo establecido en el citado artículo 77 de la LOPD, se podrá requerir a la entidad responsable para que, en el plazo que se determine, adecúe su actuación a la normativa de protección de datos personales, con el alcance expresado en los anteriores Fundamentos de Derecho. No obstante, en este caso, considerando la situación actual de la pandemia provocada por el virus Covid-19, no se estima necesaria imponer a la CONSELLERÍA DE SANIDAD la adopción de medidas para el cumplimiento del principio de transparencias al realizar pruebas PCR, salvo que la evolución de dicha pandemia exija poner de nuevo en práctica la realización de las mismas. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a CONSELLERIA DE SANIDAD UNIVERSAL Y SALUD PÚBLICA de la Generalitat Valenciana, con NIF S4611001A, por una infracción del artículo 13 del RGPD, tipificada en el artículo 83.5.
27. b)del mismo Reglamento, y calificada como muy grave a efectos de prescripción en el artículo 72.1.
28. h)de la LOPDGDD tipificada en el Artículo 83.5 del RGPD, una sanción de apercibimiento. SEGUNDO: NOTIFICAR la presente resolución a CONSELLERIA DE SANIDAD UNIVERSAL Y SALUD PÚBLICA de la Generalitat Valenciana. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/14 TERCERO: COMUNICAR la presente resolución al Defensor del Pueblo, de conformidad con lo establecido en el artículo 77.5 de la LOPDGDD. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
29. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-120722 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es