← España

PS-00302-2022

1/14  Expediente N.º: EXP202102257 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: A.A.A. (en adelante, la parte reclamante) con fecha 30 de agosto de 2021 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra SERVICIO DE SALUD DE LAS ILLES BALEARS (IBSALUT) con NIF Q0719003F (en adelante, la parte reclamada). Los motivos en que basa la reclamación son los siguientes: El reclamante expone que el Servicio de Salud de las Islas Baleares obliga a todo el que entra en las islas a cumplimentar el "Formulario de Control Sanitario (Fcs) Digital para el Control Documental en Puertos y Aeropuertos en las Islas Baleares" y considera que no cumple con el principio de minimización de datos ya que no son adecuados, pertinentes ni limitados a lo necesario en relación con los fines para los que son tratados. El documento figura en el enlace: https://viajarabaleares.ibsalut.es/formulario/? locale=es Asimismo, cuestiona la validez de la información sobre la base jurídica que se cita para el tratamiento de los datos personales, alojada en el sitio web: https://www.ibsalut.es//es/informacion-sobre-el-tratamiento-dedatos-personales. Por otro lado, muestra su disconformidad con las finalidades del tratamiento que se citan "garantizar la prestación de los servicios ordinarios o extraordinarios con el fin de garantizar el control sanitario de la entrada de pasajeros en los puertos y aeropuertos de las Illes Balears y con usos estadísticos e investigación sanitaria". Entiende que los fines estadísticos y el garantizar la prestación de servicios (sin indicar cuáles son) no pueden entenderse englobadas dentro de la posible habilitación derivada de la emergencia sanitaria. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 23 de septiembre de 2021 como consta en el acuse de recibo que obra en el expediente. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/14 Con fecha 1 de noviembre de 2021 se recibe en esta Agencia escrito de respuesta al traslado de la reclamación presentada por la parte reclamante 1 indicando, en síntesis, el contexto en el que se enmarca la adopción de esta medida; el organismo responsable de determinar los fines y medios de los tratamientos de datos personales relacionados con el control sanitario de puertos y aeropuertos; que los criterios en los que se basó para la definición de los fines del tratamiento de los datos personales realizados durante el control sanitario en los puertos y aeropuertos de las Islas Baleares fueron los establecidos por el Ministerio de Sanidad del Gobierno de España y la creación de nueva actividad de tratamiento en su registro bajo el título “Control sanitario de pasajeros en puertos y aeropuertos de las Illes Balears”; la base jurídica del tratamiento (artículos 6.1.

  1. c)y 6.1.
  2. e)del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD)), los datos que recaba con objeto de cumplir con el principio de minimización de datos; la forma en la que se facilita la información del tratamiento “Control sanitario de pasajeros en puertos y aeropuertos de las Illes Balears” a los interesados, expresa la parte reclamada que se aporta en dos capas: una primera en el pie de página del FCS, y una segunda en la dirección de internet https://www.ibsalut.es/es/informacion-sobre-eltratamiento-de-datospersonales. TERCERO: Con fecha 30 de noviembre de 2021, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: La subdirección general de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del RGPD, y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: Para llevar a cabo las comprobaciones pertinentes, se ha accedido al FCS vigente con fecha de 3 de agosto de 2021 y a la información sobre datos personales enlazada por éste con el título “POLÍTICA DEL PORTAL IB-SALUT 19 ABRIL 2021”). El FCS publicado a día 3 de agosto de 2021 dispone de la siguiente descripción sobre la finalidad del tratamiento: “Sus datos personales serán tratados con las finalidades de vigilancia y control sanitario de la pandemia de COVID-19, para garantizar la prestación de servicios ordinarios o extraordinarios con objeto de asegurar el control sanitario de la entrada de pasajeros en los puertos y aeropuertos de las Islas Baleares y con finalidades estadísticas y de investigación sanitaria.” La política del portal IB-Salut del 19 de abril de 2021 expresaba lo siguiente en relación con la finalidad: “Sus datos personales serán tratados con fines de vigilancia y control sanitario por la pandemia provocada por la COVlD-19, garantizar la prestación de los servicios ordinarios o extraordinarios con el fin de garantizar el control sanitario de la entrada de pasajeros en los puertos y aeropuertos de las Illes Balears y con usos estadísticos e investigación sanitaria.” El Registro de Actividades de Tratamiento de la Dirección General del Servicio de Salud de las Islas Baleares contiene, en relación con la finalidad del tratamiento C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/14 “Control sanitario de pasajeros en puertos y aeropuertos de las Illes Balears” el siguiente texto: “Finalidad del tratamiento Vigilancia y control sanitario por la pandemia provocada por la COVID-19 Garantizar la prestación de los servicios ordinarios o extraordinarios con el fin de garantizar el control sanitario de la entrada de pasajeros en los puertos y aeropuertos de las Islas Baleares Usos estadísticos e investigación sanitaria” Sobre la base jurídica del tratamiento El FCS publicado a día 3 de agosto de 2021 no dispone información sobre la base jurídica del tratamiento. Sin embargo, sí contiene un enlace (“si desea más información sobre el uso de sus datos personales, clique aquí”) a la política del portal IB-Salut, que en su versión del 19 de abril de 2021 expresaba lo siguiente: “Los datos de carácter personal serán tratados por el Servicio de Salud de las Illes Balears e incorporados a la actividad de tratamiento “Control sanitario de pasajeros en puertos y aeropuertos de las Illes Balears". El tratamiento de sus datos es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento y para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento (Real Decreto 926/2020. de 25 de octubre, por el que se declara el estado de alarma para contener la propagación de infecciones causadas por el SARSCoV-2, Real Decreto-ley 23/2020, de 23 de junio por el que se aprueban medidas en materia de energía y en otros ámbitos para la reactivación económica, Resolución de 11 de noviembre de 2020, de la Dirección general de Salud Pública, relativa a los controles sanitarios a realizar en los puntos de entrada de España).” No obstante lo anterior, en su Respuesta al Traslado la parte reclamada añade que “Desde la fecha en la que IB-Salut registró el tratamiento “Control sanitario de pasajeros en puertos y aeropuertos de las Illes Balears”, nueva Normativa y/o Supuestos que habilitan tal tratamiento ha entrado en vigor […], la cual no ha sido actualizada ni incluida en el RAT del IB-Salut.” Así, expresa que se procederá a su corrección e indica que la información correcta es: - “Art. 6.1.e), el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento. Art. 9.1.i), el tratamiento de categorías especiales por razones de interés público esencial en el ámbito de la salud pública. Art. 9.1.g), el tratamiento es necesario por razones de un interés público esencial. Art. 9.1.
  3. h)el tratamiento es necesario para fines de medicina preventiva. Referenciando la correcta normativa que habilita la base legal del tratamiento: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/14 - - - - - - - - Ley 14/1986, de 25 de abril, General de Sanidad Ley 33/2011, de 4 de octubre, General de Salud Pública. Resolución de 11 de noviembre de 2020, de la Dirección General de Salud Pública, relativa a los controles sanitarios a realizar en los puntos de entrada de España. El formulario de control sanitario en formato papel contemplado en la misma, podrá ser utilizado de manera excepcional y durante un período de un mes. Decreto 21/2020, de 14 diciembre, de la presidenta de las Illes Balears, por el que se establecen limitaciones a la entrada en las Illes Balears de personas procedentes del resto de comunidades autónomas y de las ciudades de Ceuta y Melilla, como consecuencia de la declaración del estado de alarma y para hacer frente a la situación de emergencia sanitaria provocada por la COVID-19 Resolución de la consejera de Salud y Consumo de 18 de marzo de 2021 por la que se establecen medidas sanitarias específicas para dar seguridad en el acceso a las Illes Balears de personas residentes o visitantes por algún motivo justificado. Resolución de 4 de junio de 2021, de la Dirección General de Salud Pública, relativa a los controles sanitarios a realizar en los puntos de entrada de España, al amparo de lo contemplado en el artículo primero del Real Decretoley 8/2021, de 4 de mayo y de lo establecido en el artículo 52 de la Ley 33/2011, de 4 de octubre, General de Salud Pública. Decreto 33/2021, de 9 de abril, de la presidenta de las Illes Balears, por el que se establecen medidas temporales y excepcionales por razón de salud pública para la contención de la COVID-19 en todas las Illes Balears, al amparo de la declaración del estado de alarma, y de modificación del Decreto 21/2020, de 14 de diciembre, de la presidenta de las Illes Balears, por el que se establecen limitaciones a la entrada en las Illes Balears de personas procedentes del resto de comunidades autónomas y de las ciudades de Ceuta y Melilla, como consecuencia de la declaración del estado de alarma y para hacer frente a la situación de emergencia sanitaria provocada por la COVID-19. Real Decreto-ley 8/2021, de 4 de mayo, por el que se adoptan medidas urgentes en el orden sanitario, social y jurisdiccional, a aplicar tras la finalización de la vigencia del estado de alarma declarado por el Real Decreto 926/2020, de 25 de octubre, por el que se declara el estado de alarma para contener la propagación de infecciones causadas por el SARS-CoV-2. Resolución de 4 de junio de 2021, de la Dirección General de Salud Pública, relativa a los controles sanitarios a realizar en los puntos de entrada de España. Resolución de 8 de junio de 2021, de la Dirección General de Salud Pública, por la que se modifica la de 4 de junio de 2021, relativa a los controles sanitarios a realizar en los puntos de entrada de España, al amparo de lo contemplado en el artículo primero del Real Decreto-ley 8/2021, de 4 de mayo y de lo establecido en el artículo 52 de la Ley 33/2011, de 4 de octubre, General de Salud Pública. Acuerdo del Consejo de Gobierno de 28 de junio de 2021 por el cual se establecen condiciones excepcionales para la organización, reserva y venta de viajes organizados a grupos de personas, en las Illes Balears, para prevenir y contener la pandemia ocasionada por la COVID-19 durante todo el mes de julio de 2021 y se prorroga la eficacia de las medidas que se contienen en el Acuerdo del Consejo de Gobierno de 18 de junio de 2021 por el cual se C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/14 - establecen los niveles de alerta sanitaria que se tienen que aplicar en cada una de las islas. Acuerdo del Consejo de Gobierno de 8 de septiembre de 2021 por el que se establece la medida excepcional de control a la entrada de personas en las Illes Balears procedentes del resto de comunidades autónomas y de las ciudades de Ceuta y Melilla, para prevenir y contener la pandemia ocasionada por la COVID-19 hasta el día 31 de octubre de 2021 (de aquí en adelante, “Acuerdo del Consejo de Gobierno de 8 de septiembre de 2021”)” Según se ha comprobado, el Registro de Actividades de Tratamiento de la Dirección General del Servicio de Salud de las Islas Baleares, en relación con la base jurídica del tratamiento “Control sanitario de pasajeros en puertos y aeropuertos de las Illes Balears” recoge actualmente el texto descrito por la parte reclamada en su respuesta al Traslado de la reclamación. QUINTO: Con fecha 14 de junio de 2022, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, por la presunta infracción del artículo 13 del RGPD, tipificada en el artículo 83.5 del RGPD. SEXTO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en la LPACAP, la parte reclamada presentó escrito de alegaciones en el que, en síntesis, manifestaba lo siguiente: 1.- En primer lugar, muestran su disconformidad con la necesidad de hacer referencia a los artículos del RGPD de las bases legales que legitiman el citado tratamiento al entender que dicha necesidad no se encuentra recogida ni en la normativa aplicable, RGPD y LOPDGDD, ni en las guías interpretativas de la AEPD. 2.- A continuación y en relación con la vigencia de la normativa referenciada en el aviso puesto a disposición de los usuarios sobre la base legal del tratamiento, la parte reclamada afirma que tomó como referencia la base legal del tratamiento “SpTH Spain Travel Health”, realizado por la Dirección General de Salud Pública (Subdirección General de Sanidad Exterior del MSBS), determinando que la licitud del tratamiento “Control sanitario de pasajeros en puertos y aeropuertos de las Illes Balears” era la misma que la determinada por el MSBS. y que, en todo caso, entiende que se trata de un error formal que en ningún momento puede haber causado una situación de desinformación material a los interesados que cause un daño o perjuicio a los mismos, en tanto se ha venido cumpliendo siempre con los principios esenciales de la normativa aplicable en materia de protección de datos y, en concreto, del artículo 13 RGPD. 3.- Por último, insiste en que, en caso de que pudiera considerarse que se ha producido una infracción, esta no habría llegado a afectar a los derechos y libertades del interesado. Fundamenta dicha afirmación en los siguientes puntos:
  4. a)la consideración de que no puede llegar a considerarse que existe una infracción suficientemente material del derecho a la información del afectado por no facilitar toda la información exigida por los artículos 13 y 14 del RGPD;
  5. b)no ha habido una continuidad en el tiempo de la misma en tanto que la parte reclamada considera que llevó a cabo sus máximos esfuerzos a los fines implementar medidas para paliar tal C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/14 situación y corregir tales hipotéticas deficiencias normativas a la mayor brevedad posible;
  6. c)no ha habido intencionalidad por su parte;
  7. d)considera que no ha habido daños. Concluye su escrito de alegaciones solicitando que se declare la ausencia de responsabilidad administrativa o, en su defecto, se proceda al mero apercibimiento, dada la naturaleza de la presente infracción, la falta de continuidad en el tiempo de la misma y la implementación de medidas para paliar la situación existente, la ausencia de intencionalidad y la no irrogación de daños o perjuicios materiales o psicológicos a los interesados. SÉPTIMO: Con fecha 1 de agosto de 2022 se formuló propuesta de resolución, proponiendo sancionar con un apercibimiento a la parte reclamada por un incumplimiento del artículo 13 del RGPD. En dicha propuesta de resolución, se dio respuesta a las alegaciones planteadas frente al acuerdo de inicio, indicando lo siguiente: 1.- En relación con la afirmación relativa a la innecesariedad de hacer referencia a los artículos del RGPD de las bases legales que legitiman el tratamiento, esta Agencia no puede compartir dicha opinión y ello por cuanto de la lectura del apartado 1.
  8. c)del artículo 13 del RGPD no puede más que hacerse la interpretación inequívoca de la voluntad del legislador de que los afectados conozcan claramente tanto los fines del tratamiento como la base jurídica del mismo. Base jurídica que, para ser lícita, debe apoyarse, necesariamente, en alguno de los apartados del artículo 6 del RGPD. 2.- Respecto a su segunda alegación, se procede a aclarar, en primer lugar, que, la adecuación a la normativa vigente del procedimiento establecido por la Dirección General de Salud Pública (Subdirección General de Sanidad Exterior del MSBS) no es objeto del presente procedimiento y que, por lo tanto, no procede aquí su valoración. Por otro lado, tampoco puede aceptarse la consideración como mero error formal sin consecuencias de la puesta a disposición de los afectados de una información incompleta o errónea en cuanto a las referencias normativas aplicables al tratamiento de sus datos personales. Y ello por cuanto supone una clara indefensión que dificulta, si no impide, a dichas personas conocer los motivos que permiten considerar licito el tratamiento de sus datos personales afectando a unos de sus derechos fundamentales. 3.- En conclusión, no podemos mas que discrepar de la afirmación hecha por la parte reclamada sobre la falta de afección a los derechos y libertades del interesado: se ha producido una vulneración del derecho a la información exigido en el artículo 13 del RGPD al no haber puesto a disposición de los afectado al información correcta y actualizada de la base legal del tratamiento de sus datos personales. La existencia y prolongación en el tiempo de dicha infracción ha quedado no solo probada sino también reconocida por la parte reclamada. En relación con la falta de intencionalidad de la parte reclamada, baste decir que no se requiere una especial intención de infringir la norma en este tipo de infracciones; es suficiente constatar el incumplimiento sin que haya razón que, fuerza mayor u otra de naturaleza similar, pueda excluir positivamente la culpabilidad. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/14 OCTAVO: Con fecha 8 de agosto de 2022 la parte reclamada presenta escrito de alegaciones frente a la propuesta de resolución en el que, en síntesis, se recogen las siguientes consideraciones: 1.- En su primera alegación la parte reclamada recalca que, en el Formulario de Control Sanitario (“FCS”), se informaba a los interesados haciendo uso del mecanismo de información en dos capas previsto en el artículo 11 de la Ley Orgánica 3/2018 de Protección de Datos y Garantía de los Derechos Digitales (“LOPDGDD”). Considera probado que la primera y segunda capa informativa, en sus versiones del 19 de abril de 2021, incorporaban tanto los fines del tratamiento como la base jurídica del mismo. Asimismo, se reitera en su convencimiento de que la obligación que consta en el RGPD consiste simplemente en informar sobre la finalidad y la base legal del tratamiento, sin que sea necesario mencionar de forma expresa el RGPD, ni tampoco citar la referencia numérica del apartado y artículo que en cada caso correspondan (en este caso, el artículo 6 apartados
  9. c)y e)). 2.- Respecto a la posible indefensión de los interesados en relación con su derecho de información, la reclamada se reitera en lo ya dicho a lo largo del procedimiento, reconociendo que, efectivamente, la normativa referenciada inicialmente en la política del portal del IB-SALUT no era la vigente en aquel momento. No obstante, entiende también que es importante tener en cuenta que el objeto de las disposiciones normativas citadas erróneamente era el mismo que el de las que debían haberse citado, tratándose solamente de una desactualización en relación con la norma en vigor en el momento de los hechos considerando por tanto que lo que existe es un error meramente formal, no material, con el que no se causo indefensión alguna a los interesados. A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes, HECHOS PROBADOS PRIMERO: El Formulario de Control Sanitario (Fcs) Digital para el Control Documental en Puertos y Aeropuertos en las Islas Baleares publicado a día 3 de agosto de 2021 no disponía de información sobre la base jurídica del tratamiento siendo su contenido literal el siguiente: Sus datos personales serán tratados con las finalidades de vigilancia y control sanitario de la pandemia de COVID-19, para garantizar la prestación de servicios ordinarios o extraordinarios con objeto de asegurar el control sanitario de la entrada de pasajeros en los puertos y aeropuertos de las Islas Baleares y con finalidades estadísticas y de investigación sanitaria. Sin embargo, sí que contenía un enlace (“si desea más información sobre el uso de sus datos personales, clique aquí”) a la política del portal IB-Salut, que en su versión del 19 de abril de 2021 expresaba lo siguiente: “Los datos de carácter personal serán tratados por el Servicio de Salud de las Illes Balears e incorporados a la actividad de tratamiento “Control sanitario de pasajeros en puertos y aeropuertos de las Illes Balears". C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/14 El tratamiento de sus datos es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento y para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento (Real Decreto 926/2020. de 25 de octubre, por el que se declara el estado de alarma para contener la propagación de infecciones causadas por el SARSCoV-2, Real Decreto-ley 23/2020, de 23 de junio por el que se aprueban medidas en materia de energía y en otros ámbitos para la reactivación económica, Resolución de 11 de noviembre de 2020, de la Dirección general de Salud Pública, relativa a los controles sanitarios a realizar en los puntos de entrada de España).” SEGUNDO: En la actualidad, el Registro de Actividades de Tratamiento de la Dirección General del Servicio de Salud de las Islas Baleares, en relación con la base jurídica del tratamiento “Control sanitario de pasajeros en puertos y aeropuertos de las Illes Balears” recoge el texto descrito por la parte reclamada en el que se hace referencia expresa tanto al artículo 6 del RGPD como fundamento de la licitud del tratamiento, como a las normas sectoriales que resultan de aplicación. FUNDAMENTOS DE DERECHO I De acuerdo con los poderes que el artículo 58.2 del RGPD, otorga a cada autoridad de control y según lo establecido en los artículos 47 y 48.1 de la LOPDGDD, es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos.” II En respuesta a las alegaciones planteadas, corresponde realizar las siguientes consideraciones: 1.- En relación con la primera de sus alegaciones, se procede a señalar que la misma no puede ser estimada. Tal y como se ha recogido a lo largo del procedimiento y como señala la parte reclamada, aun cuando el FCS no recogía en un primer momento la base de legitimación para el tratamiento, sí que contenía un enlace que remitía a la política del portal IB-Salut en el que se citaban de manera genérica, varios apartados del artículo 6 del RGPD, sin concretar cual o cuales de ellos eran aplicables al caso concreto del FCS ni se recogían las disposiciones normativas que así lo dispusieran. En este sentido, se insiste en que la mera referencia genérica a las bases del tratamiento que se recogía en la política del portal IB-Salut no puede considerarse como una información completa, máxime teniendo en cuenta que la normativa que se referenciaba como fundamentadora de la aplicabilidad de dichas bases legitimadoras C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/14 no estaba vigente en el momento de los hechos. Los principios de transparencia y seguridad jurídica que rigen la actuación de las administraciones públicas, así como la obligatoriedad de cumplir con el principio de transparencia dispuesto en el art. 5.1.
  10. a)del RGPD requieren, necesariamente, que, cuando el tratamiento se fundamente en cualquiera de las bases jurídicas previstas en el art. 6.1.
  11. c)y 6.1.
  12. e)del RGPD (cumplimiento de una obligación legal o cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento) se indique al ciudadano de manera clara y precisa cuál es la norma jurídica habilitante respecto de dicho tratamiento (en el sentido del art. 8 de la LOPDGDD). Ha quedado de manifiesto en el presente expediente y reconocido por la parte reclamada que ese no era el supuesto en el que nos encontramos. Tal y como se refleja, de hecho, en la respuesta dada por la propia parte reclamada al requerimiento de esta Agencia realizado durante las actuaciones previas de investigación, en el que no solo reconocía el incumplimiento objeto del presente expediente, sino que reflejaba también en su propuesta la necesaria referencia a la excepción aplicable en este caso para poder tratar categorías especiales de datos, como son datos de salud (artículo 9.2 del RGPD). El criterio de la Agencia a este respecto se ha puesto de manifiesto en numerosas ocasiones (sirvan de ejemplo las diversas Guías publicadas por la AEPD para facilitar la comprensión y cumplimiento de la normativa sectorial, como puedan ser la guía para responsables de tratamiento o la relativa al cumplimiento del deber de informar). La información que se facilite debe ser completa y comprensiva de todas las obligaciones generadas esencialmente en virtud de los artículos 13 y 14 del RGPD pero también, como es lógico, de los principios que rigen la normativa de protección de datos siendo especialmente relevante a nuestros efectos, el de responsabilidad proactiva. 2.- Respecto a la posible indefensión de los interesados en relación con su derecho de información, esta Agencia no puede sino reiterar lo ya dicho a lo largo del procedimiento: el desconocimiento de la normativa aplicable y habilitante para el tratamiento de datos personales en general, y en particular, los de carácter especial como son los datos relativos a la salud, no puede ser considerado más que un motivo de indefensión del ciudadano, ya que le impide tanto su defensa frente a un eventual abuso, como el acatamiento consciente y voluntario de los mandatos a los que pudiera estar sometido, como el posible ejercicio de los derechos derivados del tratamiento en cuestión. III Cuando los datos personales se recaben directamente del interesado, la información deberá facilitarse en el momento mismo en que tiene lugar esa recogida de datos. El artículo 13 del RGPD detalla esa información en los términos siguientes: “1. Cuando se obtengan de un interesado datos personales relativos a él, el responsable del tratamiento, en el momento en que estos se obtengan, le facilitará toda la información indicada a continuación: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/14
  13. a)la identidad y los datos de contacto del responsable y, en su caso, de su representante;
  14. b)los datos de contacto del delegado de protección de datos, en su caso;
  15. c)los fines del tratamiento a que se destinan los datos personales y la base jurídica del tratamiento;
  16. d)cuando el tratamiento se base en el artículo 6, apartado 1, letra f), los intereses legítimos del responsable o de un tercero;
  17. e)los destinatarios o las categorías de destinatarios de los datos personales, en su caso;
  18. f)en su caso, la intención del responsable de transferir datos personales a un tercer país u organización internacional y la existencia o ausencia de una decisión de adecuación de la Comisión, o, en el caso de las transferencias indicadas en los artículos 46 o 47 o el artículo 49, apartado 1, párrafo segundo, referencia a las garantías adecuadas o apropiadas y a los medios para obtener una copia de estas o al hecho de que se hayan prestado. 2. Además de la información mencionada en el apartado 1, el responsable del tratamiento facilitará al interesado, en el momento en que se obtengan los datos personales, la siguiente información necesaria para garantizar un tratamiento de datos leal y transparente:
  19. a)el plazo durante el cual se conservarán los datos personales o, cuando no sea posible, los criterios utilizados para determinar este plazo;
  20. b)la existencia del derecho a solicitar al responsable del tratamiento el acceso a los datos personales relativos al interesado, y su rectificación o supresión, o la limitación de su tratamiento, o a oponerse al tratamiento, así como el derecho a la portabilidad de los datos;
  21. c)cuando el tratamiento esté basado en el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), la existencia del derecho a retirar el consentimiento en cualquier momento, sin que ello afecte a la licitud del tratamiento basado en el consentimiento previo a su retirada;
  22. d)el derecho a presentar una reclamación ante una autoridad de control;
  23. e)si la comunicación de datos personales es un requisito legal o contractual, o un requisito necesario para suscribir un contrato, y si el interesado está obligado a facilitar los datos personales y está informado de las posibles consecuencias de no facilitar tales datos;
  24. f)la existencia de decisiones automatizadas, incluida la elaboración de perfiles, a que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/14 3.Cuando el responsable del tratamiento proyecte el tratamiento ulterior de datos personales para un fin que no sea aquel para el que se recogieron, proporcionará al interesado, con anterioridad a dicho tratamiento ulterior, información sobre ese otro fin y cualquier información adicional pertinente a tenor del apartado 2. 4.Las disposiciones de los apartados 1, 2 y 3 no serán aplicables cuando y en la medida en que el interesado ya disponga de la información”. De acuerdo con estas normas, el deber de informar corresponde al responsable del tratamiento de los datos personales. En este caso, la parte reclamada no informó adecuadamente de la base legal del tratamiento. Tal y como se refleja ut supra, la información facilitada en la segunda capa, no respetando además las recomendaciones dadas por esta Agencia, no hacía referencia alguna al RGPD, aludiendo de manera genérica a varias de las bases recogidas en su artículo 6.1, sin concretar cuales serían de aplicación al concreto tratamiento de datos derivado de la cumplimentación del FCS, ni aludir a los motivos que permitirían el tratamiento de datos de carácter especial como son los datos de salud. Asimismo, hay que destacar que la normativa que sí que recogía no estaba vigente en el momento de los hechos. IV De conformidad con las evidencias de las que se dispone, se considera que la parte reclamada ha informado deficientemente de la base jurídica del tratamiento de los datos que iba a llevar a cabo cuando los afectados cumplimentaran el FCS. Los hechos conocidos se consideran constitutivos de una infracción, imputable a la parte reclamada, por vulneración del artículo 13 del RGPD. Esta infracción se encuentra tipificada en el artículo 83.5.
  25. b)del RGPD, que bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone lo siguiente: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: (…)
  26. b)los derechos de los interesados a tenor de los artículos 12 a 22;(…)”. A efectos del plazo de prescripción, el artículo 74 de la LOPDGDD indica: “Artículo 74. Infracciones consideradas leves. Se consideran leves y prescribirán al año las restantes infracciones de carácter meramente formal de los artículos mencionados en los apartados 4 y 5 del artículo 83 del Reglamento (UE) 2016/679 y, en particular, las siguientes: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/14
  27. a)El incumplimiento del principio de transparencia de la información o el derecho de información del afectado por no facilitar toda la información exigida por los artículos 13 y 14 del Reglamento (UE) 2016/679”. V El artículo 83 “Condiciones generales para la imposición de multas administrativas” del RGPD en su apartado 7 establece: “Sin perjuicio de los poderes correctivos de las autoridades de control en virtud del artículo 58, apartado 2, cada Estado miembro podrá establecer normas sobre si se puede, y en qué medida, imponer multas administrativas a autoridades y organismos públicos establecidos en dicho Estado miembro.” Asimismo, el artículo 77 “Régimen aplicable a determinadas categorías de responsables o encargados del tratamiento” de la LOPDGDD dispone lo siguiente: “1. El régimen establecido en este artículo será de aplicación a los tratamientos de los que sean responsables o encargados: (…)
  28. c)La Administración General del Estado, las Administraciones de las comunidades autónomas y las entidades que integran la Administración Local. (…) 2. Cuando los responsables o encargados enumerados en el apartado 1 cometiesen alguna de las infracciones a las que se refieren los artículos 72 a 74 de esta ley orgánica, la autoridad de protección de datos que resulte competente dictará resolución sancionando a las mismas con apercibimiento. La resolución establecerá asimismo las medidas que proceda adoptar para que cese la conducta o se corrijan los efectos de la infracción que se hubiese cometido. La resolución se notificará al responsable o encargado del tratamiento, al órgano del que dependa jerárquicamente, en su caso, y a los afectados que tuvieran la condición de interesado, en su caso. (…) 5. Se comunicarán al Defensor del Pueblo o, en su caso, a las instituciones análogas de las comunidades autónomas las actuaciones realizadas y las resoluciones dictadas al amparo de este artículo.” VI En el texto de la resolución se establecen cuáles han sido las infracciones cometidas y los hechos que han dado lugar a la vulneración de la normativa de protección de datos, de lo que se infiere con claridad cuáles son las medidas a adoptar, sin perjuicio de que el tipo de procedimientos, mecanismos o instrumentos concretos para implementarlas corresponda a la parte sancionada, pues es el responsable del tratamiento quien conoce plenamente su organización y ha de decidir, en base a la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/14 responsabilidad proactiva y en enfoque de riesgos, cómo cumplir con el RGPD y la LOPDGDD. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a SERVICIO DE SALUD DE LAS ILLES BALEARS (IB-SALUT), con NIF Q0719003F, por una infracción del artículo 13 del RGPD, tipificada en el artículo 83.5 del RGPD, una sanción de apercibimiento. SEGUNDO: NOTIFICAR la presente resolución a SERVICIO DE SALUD DE LAS ILLES BALEARS (IB-SALUT). TERCERO: COMUNICAR la presente resolución al Defensor del Pueblo, de conformidad con lo establecido en el artículo 77.5 de la LOPDGDD. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
  29. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-120722 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/14 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.