← España

PS-00317-2022

1/36  Expediente N.º: EXP202202309 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: A.A.A. (en adelante, la parte reclamante) con fecha 9 de febrero de 2022 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra CENTRO MÉDICO SALUS BALEARES, S.L. con NIF B07060478 (en adelante SALUS BALEARES). Los motivos en que basa la reclamación son los siguientes: Que estando en un centro médico de SALUS BALEARES (clínica Asistel Moraira) se le pide que se tome la temperatura con un aparato situado en la pared delante de la sala de espera y al lado de la recepción, a la vista por tanto de terceras personas el visionado de la temperatura corporal que arroja. Se niega a tomársela y con ello se le niega la asistencia médica (realización de una analítica). Considera que se le ha discriminado y vulnerado sus derechos. Junto a la notificación se aportan fotografías en las que se visualiza la localización del termómetro del citado centro médico, así como copia de la hoja de reclamación presentada por la parte reclamante. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a SALUS BALEARES, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 1 de marzo de 2022, como consta en el acuse de recibo que obra en el expediente. Con fecha 28 de marzo de 2022 se recibe en esta Agencia escrito de respuesta indicando lo siguiente: -El sistema de medición utilizado se trata de un termómetro laser ubicado a la entrada de la clínica, en la que el usuario individualmente se toma la temperatura y el personal de admisión de la clínica médica observa dicha medición, sin llevar a cabo ningún tipo de registro de temperatura o datos identificativos de dicho usuario. Por tanto, en ningún caso la toma de temperatura realizada (medición laser frente o mano), es un tratamiento de datos de carácter personal, y por tanto la intervención de la Agencia C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/36 Española de Protección de Datos, y la aplicación de la normativa vigente en materia de protección de datos no procede al no existir un tratamiento de datos. -La medición automática de temperatura de un usuario, sin llevar a cabo un registro aparejado no supone un tratamiento de datos, y por tanto no existe una finalidad establecida para dicho tratamiento. -Asimismo, en caso de que se considerara efectivamente un tratamiento de datos, la finalidad de este es la seguridad de trabajadores y usuarios de la clínica, visto desde el vértice de pandemia sanitaria por coronavirus, en el cual se establecieron distintos protocolos para normalizar la vuelta a la normalidad con dicha medida. (medición de temperatura a usuarios). Existe una obligación legal por parte de la Ley de Prevención de Riesgos laborales, que obliga al empleador a implementar medidas para garantizar la seguridad en el entorno laboral. -Se ha dado instrucción concreta para que los operarios que tengan la función atribuida de controlar la temperatura informen verbalmente a las personas sobre la situación y la razón de dicho control, haciendo indicación de que, en ningún momento se registrarán, almacenarán o utilizarán los resultados de las mediciones para cualquier otro fin que no sea aconsejar sobre las medidas de seguridad a adoptar. -Concluye que mientras no exista una normativa oficial que imponga una medida diferente, se va a seguir implementado el protocolo de toma de temperatura a trabajadores y usuarios, legitimado por el cumplimiento de una obligación legal. TERCERO: Con fecha 9 de mayo de 2022, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: La entidad CENTRO MÉDICO SALUS BALEARES, S.L. es una empresa constituida en el año 2000 y con un volumen de negocios de 34.816.282 euros en el ejercicio 2021 y de 39.597.787 en el ejercicio 2022, según informe emitido por la entidad Axesor. QUINTO: Con fecha 8 de mayo de 2023, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por la presunta infracción del Artículo 5.1.

  1. f)del RGPD y Artículo 32 del RGPD, tipificada en el Artículo 83.5 del RGPD y Artículo 83.4 del RGPD respectivamente. SEXTO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), la parte reclamada presentó escrito de alegaciones en el que, en síntesis, manifiestaba lo siguiente: I. En referencia a si la toma de temperatura supone un tratamiento de datos de carácter personal: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/36 Indica SALUS BALEARES que de lo que esta Agencia indicó en el propio Acuerdo de Inicio queda claro el criterio de ésta respecto a que la medición de la temperatura, sin llevar a cabo ningún tipo de registro NO es un tratamiento de datos y por tanto quedaría excluido del ámbito de aplicación de la normativa vigente en materia de protección de datos. Asimismo, señala SALUS BALEARES que la Agencia sigue el mismo criterio en otros procedimientos en los cuales se ha determinado que la medición de la temperatura a través de termómetros sin registro de los interesados no es un tratamiento de datos de carácter personal (Procedimiento Nº: E/03884/2020) Sin embargo, advierte SALUS BALEARES, esta Agencia quiere acreditar que, en el presente caso, sí que es un tratamiento de datos, porque según las fotografías aportadas por el reclamante el resultado de la medición es visible o público. Reseña SALUS BALEARES que, si se analiza las fotografías aportadas en la reclamación se ve como el dispositivo se encuentra en una pared al lado de recepción, donde el lateral derecho se incluyen elementos ornamentales para evitar que desde el lateral derecho se pueda visualizar el resultado de la medición, y se incluyen indicaciones de realizar la medición acercando la mano al dispositivo. Apunta SALUS BALEARES que al acercar mano a escasos centímetros del dispositivo, junto con nuestro cuerpo que obstruye visualmente desde un flanco trasero y los elementos ornamentales ubicados en la recepción para evitar una posible visualización lateral derecha, resultaría prácticamente imposible que la medición de la temperatura fuera visible por nadie más que la persona que está llevando a cabo la medición. Asimismo, señala SALUS BALEARES que, por las fotografías aportadas en el procedimiento, no queda probado de ningún modo que en el momento el reclamante llevo a cabo su medición, hubiera alguien en la sala de espera situada a la izquierda de la recepción, dado que todas las imágenes que se han aportado en el procedimiento no hacen referencia al momento en que el interesado (reclamante) llevo a cabo la medición de su temperatura para poder entrar a la clínica médica Asistel Moraira. En este sentido, cree SALUS BALEARES que este supuesto no se ha examinado de forma fehaciente por parte de esta Agencia, ya que a SALUS BALEARES no le consta ninguna visita inspectora por parte de la AEPD a la clínica Asistel Moraira, en relación a la reclamación recibida, en la que se examinara o se revisara si las fotografías tomadas eran un reflejo fiel de la realidad o si el sistema de medición de temperatura estaba instalado de forma correcta para evitar ningún tipo de publicidad o revelación de los resultados de medición. Hay que decir, que desde el día en que la recomendación sanitaria de medir la temperatura de los asistentes a centros médicos dejó de ser obligatoria, ésta clínica desinstaló el termómetro y por tanto no se han llevado a cabo más mediciones. A mayor abundamiento, señala SALUS BALEARES que el reclamante manifiesta en su reclamación (anexo 1 reclamación), que NO se ha llevado a cabo la medición, motivo por el cual no se le permitió acceder al tratamiento clínico. Hecho que no hace C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/36 más que reforzar nuestro argumento de que en el caso concreto en el que nos encontramos, no ha habido un tratamiento de datos de carácter personal, según las definiciones de “dato de carácter personal” y “tratamiento” del artículo 4 del RGPD, porque el reclamante nunca llegó a hacer su medición. II.-En referencia a la cuantificación de las sanciones Señala SALUS BALEARES que en el procedimiento sancionador se establecen una serie de agravantes en relación con la presunta infracción de SALUS BALEARES del artículo 5.1.
  2. f)del RGPD, que deriva en la imposición de una propuesta de sanción de 20.000,00 € (VEINTE MIL EUROS). Así: Respecto de las circunstancias agravantes del artículo 83.2.
  3. a)RGPD En este sentido, considera SALUS BALEARES que no se ha tenido en cuenta el caso concreto denunciado por el reclamante ni las circunstancias concretas de la clínica Asistel Moraira, sino que la Agencia ha tenido en cuenta los datos globales de la sociedad CMSB. Asimismo, reseña SALUS BALEARES que, respecto a la confidencialidad, tal y como se ha argumentado en el punto I del presente recurso, no ha habido un tratamiento de datos, el reclamante nunca llegó a medir su temperatura, por lo que no puede existir confidencialidad sobre un hecho no ocurrido. Respecto al número de interesados, SALUS BALEARES recuerda a esta Agencia que en el periodo de pandemia derivada del virus COVID-19, en nuestro país, el sector sanitario al completo, incluida la asistencia sanitaria privada como es el caso de CMSB, se ha puesto a disposición del conjunto de todos los ciudadanos, como solicitó el ministro de Sanidad Español, Salvador Illa, el pasado 15 de marzo de 2020. Uniendo fuerzas, recursos y energías para poder atender los máximos casos posibles y ayudar a superar la crisis del COVID-19. SALUS BALEARES trae a colación que la autoridad sanitaria, el Ministerio de Sanidad u organismos en los que éste delegue, publicó, diferentes protocolos en donde se incluye, como medida de seguridad necesaria para la vuelta a la normalidad de esas actividades, los citados controles de temperatura. Por ejemplo, el Protocolo de actuación para la reactivación de la actividad judicial y salud profesional, del Consejo General del Poder Judicial, el Protocolo básico de actuación para la vuelta a los entrenamientos y el reinicio de las competiciones federadas y profesionales; o en las Recomendaciones para el restablecimiento de la actividad en las piscinas de uso público tras la crisis del Covid-19. Y recuerda también que el propio Gobierno de España, en la gestión de esta situación de emergencia y, concretamente, en relación con las medidas que imponían a los extranjeros que visitan España durante el periodo que duró esta situación, se llevaron controles de temperatura a cada persona que acceda al país, con el objetivo de garantizar la máxima seguridad sanitaria. Porque esto es lo que en todo momento se buscaba de SALUS BALEARES, evitar la propagación de la crisis del Covid-19, motivo por el cual se instaló el lector de temperatura corporal. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/36 Indica SALUS BALEARES que, con un carácter más concreto, la actuación denunciada, se llevaba a cabo en cumplimiento de la Ley 31/1995, de 8 de noviembre, de Prevención de Riesgos Laborales (LPRL), que recoge que es obligación del empresario garantizar la seguridad en el trabajo. Esta última obligación del empresario debe ser entendida en sentido amplio, por lo que la simple circunstancia de que los empleados de la clínica médica Asistel Moraira de SALUS BALEARES trabajen en contacto con los clientes y usuarios del mismo, implicaría la necesidad de que la protección que se le brinda a los empleados sea extensible a los clientes o usuarios, como consecuencia de que el acceso a las instalaciones de SALUS BALEARES por parte de clientes o usuarios contagiados podría poner en riesgo la seguridad de los empleados, y la de los propios usuarios entre sí. Incluso, la falta de actuación en el cumplimiento de las obligaciones de protección de los trabajadores derivadas de la LPRL podría ser constitutiva de delito, tal y como se encuentra regulado en los artículos 316-318 del Código Penal. SALUS BALEARES recuerda que esta opinión está ratificada por parte del Ministerio de Sanidad en el documento que ha elaborado relativo a “Procedimiento de actuación para los servicios de prevención de riesgos laborales frente a la exposición al SARSCOV-2” que realiza la siguiente recomendación a los servicios de prevención de riesgos laborales en su página 3: “Dado que el contacto con el virus puede afectar a entornos sanitarios y no sanitarios, corresponde a las empresas evaluar el riesgo de exposición en que se pueden encontrar las personas trabajadoras en cada una de las tareas diferenciadas que realizan y seguir las recomendaciones que sobre el particular emita el servicio de prevención, siguiendo las pautas y recomendaciones formuladas por las autoridades sanitarias”. A mayor abundamiento, SALUS BALEARES dice que no se ha reflejado en la propuesta de sanción cual ha sido el criterio establecido por esta Agencia para determinar que el número de afectados es alto, si no conocen el número de clientes que se recibe en la clínica Asistel Moraira, no se han presentado más reclamaciones al respecto y más teniendo en cuenta que el total de ciudadanos empadronados en Teulada, población donde está localizada la clínica en cuestión, es de 11.944 habitantes (según datos del INE 2022). Es por ello por lo que consideramos que este criterio de agravante no ha sido calculado de forma objetiva, conforme a los hechos denunciados. “Artículo 83.2.
  4. b)RGPD. Intencionalidad o negligencia en la infracción: Si bien se considera que no hubo intencionalidad por parte de SALUS BALEARES, sí puede observarse la existencia de negligencia en el cumplimiento y observancia de las medidas técnicas y organizativas para garantizar la seguridad necesaria para la protección de los datos personales, concretamente para garantizar la confidencialidad de los mismos, puesto que se produjo una toma de temperatura de los usuarios que acudían a la clínica de tal forma que era posible visualizar la misma por el resto de personas que se encontraran en la sala de espera o en la zona de la recepción, lo que refleja una negligencia, máxime si se tiene en cuenta que se trata de datos de salud. A este respecto, debe recordarse que SALUS BALEARES es una clínica y por tanto, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/36 habituada al tratamiento de datos personales, concretamente a datos de salud. Procede recordar, en este sentido, la de la Audiencia Nacional de 17/10/2007 (rec.63/2006), que respecto de entidades cuya actividad lleva aparejado el continuo tratamiento de datos de clientes, indica “…el Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta con la diligencia exigible. Y en la valoración del grado de diligencia ha de ponderarse especialmente la profesionalidad o no del sujeto, y no cabe duda de que, en el caso ahora examinado, cuando la actividad de la recurrente es de constante y abundante manejo de datos de carácter personal ha de insistirse en el rigor y el exquisito cuidado por ajustarse a las previsiones legales al respecto”. Indica SALUS BALEARES que, en la agravante citada, hace referencia a la intencionalidad o negligencia, y esta Agencia manifiesta en su escrito que “se considera que no hubo intencionalidad por parte de SALUS BALEARES”. Respecto a la negligencia, se apoya de nuevo en la falta de confidencialidad, como ya ha se ha hecho en la aplicación de la agravante del Artículo 83.2.
  5. a)del RGPD. Reiteramos los hechos probados de que, no ha habido un tratamiento de datos, el reclamante nunca llegó a medir su temperatura, por lo que no es un tratamiento de datos de carácter personal, el RGPD y demás normativa no es aplicable sobre el mismo, y en el caso en cuestión, es fácticamente imposible que concurra confidencialidad sobre un hecho no ocurrido, como es la toma de temperatura de la mano del reclamante. Por todo ello, consideramos que la agravante de negligencia aplicada en la graduación de la sanción no procede. “Artículo 83.2.
  6. g)RGPD. Categorías de datos personales afectados por la infracción: Han sido afectados datos personales relativos a la salud. Es necesario recordar en este punto que, el sistema de medición utilizado se trata de un termómetro laser ubicado a la entrada de la clínica, en la que el usuario individualmente se toma la temperatura, sin llevar a cabo ningún tipo de registro de temperatura o datos identificativos de dicho usuario. Es decir, se utilizan termómetros laser, para las mediciones de temperatura sin que este proceso vaya acompañado del registro de la temperatura obtenida de los usuarios de la clínica”. Señala SALUS BALEARES que, pese a que esta Agencia considere que la temperatura corporal es un dato de salud, la toma de temperatura realizada (medición laser frente o mano), NO es un tratamiento de datos de carácter personal, como ha quedado probado anteriormente. (Procedimiento Nº: E/03884/2020 AEPD: Metro de Bilbao) Insiste SALUS BALEARES que no existe un tratamiento de datos, porque conforme se estipula en los primeros artículos del RGPD, y más concretamente en el artículo 2.1 relativo al ámbito material de aplicación de esta norma, “El presente Reglamento se aplica al tratamiento total o parcialmente automatizado de datos personales, así como al tratamiento no automatizado de datos personales contenidos o destinados a ser incluidos en un fichero”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/36 Reseña SALUS BALEARES que, tras la descripción del ámbito de aplicación del reglamento, desde su punto de vista, no existe un tratamiento automatizado de datos personales, ni tampoco un tratamiento no automatizado destinado a ser incluido en un fichero, entendiendo este concepto como “todo conjunto estructurado de datos personales, accesibles con arreglo a criterios determinados, ya sea centralizado, descentralizado o repartido de forma funcional o geográfica”, de acuerdo con el artículo 4 RGPD, punto sexto. Por este motivo, esta actuación debe quedar fuera del ámbito de aplicación de la normativa sobre protección de datos. A continuación, afirma SALUS BALEARES que, con independencia de que la situación debiera localizarse bajo la defensa de la normativa de protección de datos o no, debido a la existencia o no de tratamiento automatizado o no automatizado, de acuerdo al ámbito material de aplicación, también puede esgrimirse que, en el presente caso concreto, la utilización de la información necesaria para cumplir con la finalidad del control de temperatura, tal y como lo ha implementado SALUS BALEARES, no constituye un dato personal si atendemos a la definición que el propio RGPD ofrece sobre este concepto en el punto primero del artículo 4, cuando estipula que datos personales serán “toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona”. En efecto, indica SALUS BALEARES, la primera parte se divide en 4 elementos bien diferenciados, que el propio ya extinto Grupo de Trabajo del artículo 29 (GT29) ya había analizado separadamente: “Información” + “Sobre” + “Persona física” + “Identificada o identificable”. A juicio de SALUS BALEARES, en el caso que nos ocupa, en la verificación de la temperatura se cumplen los 3 primeros, pero no el señalado en cuarto lugar. Es decir, por supuesto que la medición de temperatura podrá asociarse a una persona física, pero lo que no será posible, de acuerdo con los datos que la clínica recoge, será conocer la identidad de esa persona, de forma razonable, conforme el propio GT29 establecía, ya que no hay recogida ni asociación a otro identificador directo o indirecto que permita conocer la identidad de una persona. En estos casos, según el informe sobre el concepto de datos personales emitido por el GT29 ya en 2007, simplemente nos encontraremos ante datos anónimos que no precisaran de la protección de la legislación sobre privacidad, por el simple hecho de que éste último derecho no se verá afectado. Asimismo, reseña SALUS BALEARES que esta línea argumental que defiende ha sido la tomada por diferentes Autoridades de Control en la Unión Europea: “CNIL (Francia): Reconoce públicamente que las regulaciones sobre el tratamiento de datos sólo se aplican al tratamiento automatizado (en particular, TI) o al tratamiento no automatizado de datos personales destinados a ser incluidos en un fichero. Por lo tanto, concluye que si sólo había verificación de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/36 la temperatura por medio de un termómetro manual (como, por ejemplo, de tipo infrarrojo sin contacto) a la entrada de un sitio, sin dejar rastro, ni ninguna otra operación que se lleve a cabo (como retroalimentación de información, etc.), esta situación no se encuadra bajo las regulaciones de protección de datos. Puede consultarse este comunicado en el siguiente enlace: https://www.cnil.fr/fr/la-cnil-appelle-la-vigilance-sur-lutilisation-des-cameras ditesintelligentes-et-des-cameras Autoriteit Persoonsgegevens (Holanda): En la misma línea, la Autoridad de Control holandesa reconoce que el RGPD no es aplicable a situaciones en las que sólo se lea la temperatura, sin que ésta se registre ni se almacene en un sistema automatizado, tal y como es aplicable a la presente actuación de la cual se ha recibido reclamación. Sí que deja abierta la situación a que dicho control pueda afectar a otros derechos, pero no al de la protección de datos en este caso. Este comunicado puede consultarse en el siguiente enlace: https://autoriteitpersoonsgegevens.nl/nl/onderwerpen/corona/temperaturentijdens-corona Concluye SALUS BALEARES que, pese a que la temperatura corporal pueda ser un dato de salud, la misma como tal no constituye un dato de carácter personal, ya que no identifica al interesado, y por ende la normativa vigente en materia de protección de datos, no sería de aplicación, y dejaría sin efecto la aplicación de esta agravante de la sanción propuesta. Artículo 76.2.
  7. b)LOPDGDD. Vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal: El desarrollo de la actividad empresarial que desempeña SALUS BALEARES supone un tratamiento continuo de datos personales, muchos de ellos de salud. Por tanto, se trata de una empresa habituada al tratamiento de datos personales. En referencia a este último agravante, señala SALUS BALEARES que de nuevo se ha tenido en cuenta la actividad de todo el grupo y no la actividad concreta de la clínica Asistel Moraira, donde supuestamente se ha producido la infracción en materia de protección de datos, tal y como se ha argumentado ut supra, rebatiendo la aplicación del agravante del Artículo 83.2.
  8. a)RGPD al considerar número de interesados afectados alto, cuando no lo es. El número total de pacientes de la clínica Asistel Moraira en todo 2022, año en el cual se produjo la reclamación, fue de 2.375 personas. III.-En referencia a los ACUERDOS de inicio del procedimiento sancionador Alega SALUS BALEARES que en el Acuerdo de Inicio se evidencia un defecto de forma, que conlleva la anulación del total o parte de la sanción propuesta, pues se acuerda por duplicado iniciar procedimiento sancionador contra ella, por presunta infracción del Artículo 5.1.
  9. f)proponiendo una sanción de multa administrativa de cuantía 20.000,00 euros (VEINTE MIL EUROS) incumpliendo así el principio de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/36 derecho procesal NON BIS IN IDEM. Este principio viene a establecer la prohibición de que un mismo hecho pueda ser sancionado varias veces cuando existe identidad de sujeto, de hechos y fundamento, como es el caso que nos ocupa, el cual se pretende castigar doblemente a CMSB con sanción de 20.000,00 euros (VEINTE MIL EUROS) por el mismo presunto incumplimiento. Es por ello que solicita a esta Agencia que anule la propuesta de sanción o recalcule el valor de la misma. Indica asimismo SALUS BALEARES que, en referencia a la propuesta de sanción de 10.000,00 euros (DIEZ MIL EUROS) por supuesta infracción del artículo 32 del RGPD, se pone de manifiesto a esta Agencia que en el expediente EXP202202309 no se ha procedido a iniciar ningún procedimiento sancionador contra SALUS BALEARES motivado por la infracción del artículo 32 del RGPD, motivo por el cual solicita que se declare nulo el presente procedimiento sancionador, ya que a tenor lo previsto en la normativa procesal administrativa, no se puede llevar a cabo una propuesta de sanción sin haber iniciado un procedimiento administrativo sancionador. Por lo expuesto, suplica SALUS BALEARES que se acuerde dar por cerrado el expediente relativo a la presente reclamación, declarando nulo el presente procedimiento sancionador por defectos de forma y deje sin efecto las propuestas de sanción. SÉPTIMO: Con fecha 15 de enero de 2024 se formuló Propuesta de Resolución, proponiendo que por la Directora de la Agencia Española de Protección de Datos se sancione a CENTRO MÉDICO SALUS BALEARES, S.L., con NIF B07060478, por una infracción del artículo 5.1.
  10. f)del RGPD, tipificada en el artículo 83.5 del RGPD, con una multa de 20.000,00 euros (VEINTE MIL EUROS), y por una infracción del artículo 32 del RGPD, tipificada en el artículo 83.4 del RGPD, con una multa de 10.000,00 euros (DIEZ MIL EUROS). OCTAVO: Notificada la citada Propuesta de Resolución conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), la parte reclamada presentó escrito de alegaciones en el que, en síntesis, manifiesta lo siguiente: Primera. – LA AEPD NO HA PROBADO HECHO ALGUNO QUE SUPONGA LA COMISIÓN DE UNA INFRACCIÓN POR PARTE DE CMSB Y LA IMPOSICIÓN DE LAS SANCIONES PROPUESTAS. Alega SALUS BALEARES que la propuesta de sanción se basa en una prueba insuficiente. En el expediente administrativo únicamente consta una fotografía realizada por el denunciante. Entiende SALUS BALEARES que la propuesta de resolución carece de prueba suficiente para desvirtuar la presunción de inocencia. La eventual resolución que se dicte con apoyo en la prueba que consta en el expediente administrativo considera SALUS BALEARES que sería nula de pleno Derecho por ser manifiestamente inmotivada, indicando los siguientes motivos: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/36 1. La propuesta de resolución considera probados los hechos constitutivos de infracción que se imputan a SALUS BALEARES sobre la base única de las fotografías aportadas por la persona denunciante. 2. La AEPD no ha realizado ninguna comprobación sobre la realidad y fecha de las fotografías tomadas. 3. Asimismo, la AEPD no ha realizado actividad probatoria en la tramitación del expediente administrativo para la imposición de la sanción a SALUS BALEARES. Esto es, no se ha personado en el local de mi representada para constatar la realidad que presuntamente se indica en las fotografías. 4. De las imágenes aportadas por la persona denunciante la AEPD colige los siguientes hechos probados: - La clínica utiliza un dispositivo electrónico para medir la temperatura mediante un sensor de proximidad. - El dispositivo se encuentra situado en la sala de espera y en la recepción de la clínica. - La temperatura de la persona se muestra en la pantalla del termómetro. Sin embargo, a juicio de SALUS BALEARES, se trata de hechos que no desvirtúan su presunción de inocencia. Segunda. – SALUS BALEARES NO HA TRATADO DATOS DEL DENUNCIANTE. Reitera SALUS BALEARES que, dentro del proceso de toma de temperatura del reclamante, no existió un tratamiento de datos personales. En ningún momento derivaron acontecimientos que hicieron a este usuario identificable, todo ello, en base a las siguientes circunstancias objetivas: 1. El reclamante no se sometió a la toma de temperatura. 2. La toma de temperatura se realizó mediante un dispositivo que medía la temperatura sin registro, por tanto, no se almacenaba ninguna de las tomas. 3. El dispositivo se encontraba situado en una pared al lado de recepción, donde el lateral derecho incluye elementos ornamentales para evitar que desde el lateral derecho se pudiera visualizar el resultado de la medición. Adicionalmente, la medición de temperatura se realizaba mediante la aproximación de la mano de la persona en cuestión. Por ello, la propia pantalla del dispositivo quedaba tapada tanto por la mano de la persona que tomaba la temperatura, como por el propio cuerpo. 4. Igualmente, la distancia obligatoria que había que mantener entre personas no permitía la visualización de este dato salvo para la persona que estaba tomándose la temperatura. 5. Todo el personal de las instalaciones debía acceder con mascarilla a las mismas (incluidos los pacientes que se tomaban la temperatura). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/36 6. El aviso a los pacientes para acceder a la consulta no se realiza mediante datos personales. La llamada a clientes se realiza con un código, manteniendo su anonimato en todo momento. En este sentido, alega SALUS BALEARES que en el caso de la comprobación de la temperatura corporal como medida preventiva de la expansión de la COVID – 19, no se realizaron ninguna de las siguientes operaciones que contempla el RGPD en su artículo 4 cuando define lo que se entiende por “tratamiento” de datos personales: ▪ Registro: no se registró la toma de temperatura corporal en ningún tipo de sistema o dispositivo, automatizado o no automatizado. ▪ Estructuración: no se estructuró la información al no realizarse tratamiento de datos personales. ▪ Modificación: la información no fue cambiada ni alterada. ▪ Conservación: la información no se almacenó un determinado período de tiempo. ▪ Extracción: la información no fue obtenida de un sistema o dispositivo original para su envío o traspaso a otro sistema o dispositivo. ▪ Difusión: no se cedió ni comunicó los datos a una persona distinta del interesado. ▪ Comunicación por transmisión: no se enviaron los datos a otro destinatario desde su sistema o dispositivo origen a través de medios electrónicos. ▪ Cotejo: no se analizaron los datos de dos o más tratamientos o sistemas para establecer similitudes y diferencias y desarrollar algún tipo de valoración. ▪ Limitación: no resultó de aplicación puesto que, el dispositivo, no almacenaba datos ni realizaba ningún tratamiento ulterior. ▪ Comunicación: debido a las medidas existentes y por donde estaba colocado el dispositivo, no se reveló ningún dato a una persona distinta del interesado. Tercera. – EL EVENTUAL TRATAMIENTO DE DATOS FUE SEGURO. EN TODO MOMENTO SE RESPETARON LAS INDICACIONE DE LA LOPD Y DEL REGLAMENTO. Señala SALUS BALEARES que aplicó las medidas necesarias para garantizar la confidencialidad del dato de temperatura teniendo en cuenta lo dispuesto en el artículo 32 del RGPD, que preconiza que “la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas.” Indica SALUS BALEARES que la toma se realizó dentro de las instalaciones de la clínica. Y, dentro de la clínica, en un lugar de acceso individual a los clientes. Esto es, en ningún momento otro cliente/paciente puede observar la temperatura que marca el termómetro. Asimismo, señala SALUS BALEARES que, en ese momento, la clínica no disponía de personal necesario para que asumiera solo la función de control de la temperatura de los usuarios, ni las instalaciones disponían de un espacio contiguo que pudiera permitir tomar la temperatura de forma individual, pero a la vez que facilitara al personal laboral el poder controlar los protocolos de actuación ante el COVID. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/36 Cuarta. – DEL DATO AISLADO DE LA TEMPERATURA NO PODÍA CONOCERSE LA IDENTIDAD DE LA PERSONA. Alega SALUS BALEARES, en relación con el dato de temperatura, que si bien se considera un dato de salud, en el momento de la toma de temperatura los posibles usuarios de las instalaciones no podían disponer de información necesaria que vinculara este dato con otros que hicieran identificable a la persona que procede a la toma de temperatura. Indica SALUS BALEARES que para poder interpretar, el concepto “información relativa a una persona física identificada o identificable”, debemos acudir al considerando 26 del RGPD el cual determina que: “[…] para determinar si una persona física es identificable, deben tenerse en cuenta todos los medios, como la singularización, que razonablemente pueda utilizar el responsable del tratamiento o cualquier otra persona para identificar directa o indirectamente a la persona física. Para determinar si existe una probabilidad razonable de que se utilicen medios para identificar a una persona física, deben tenerse en cuenta todos los factores objetivos, como los costes y el tiempo necesarios para la identificación, teniendo en cuenta tanto la tecnología disponible en el momento del tratamiento como los avances tecnológicos.” Por lo expuesto anteriormente, entiende SALUS BALEARES que no era posible identificar a los usuarios que se tomaban la temperatura. De hecho, esta parte no puede identificar a las personas que aparecen en la fotografía aportada por el reclamante. Sexta. –NO SE HA TENIDO EN CUENTA EL CONTEXTO DE CRISIS SANITARIA Recuerda SALUS BALEARES el momento y las circunstancias en las que se han producido, tan excepcionales como una pandemia a nivel mundial. El sector sanitario que fue el más castigado. Las medidas de seguridad como la toma de temperatura eran imprescindibles para garantizar la salud de todos los usuarios que pudieran acceder a la clínica –tanto personal interno como pacientes–. La propia AEPD lo ha tenido en cuenta en anteriores resoluciones. Por lo expuesto, SALUS BALEARES solicita que se acuerde el archivo de las actuaciones al entender que no ha cometido ninguna infracción. Y subsidiariamente, solicita que se tengan en cuenta las circunstancias de crisis sanitaria mundial en las que presuntamente SALUS BALEARES cometió las infracciones y atenúe las eventuales sanciones que imponga. De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS PRIMERO: Ha quedado acreditado, mediante las fotos aportadas por el reclamante, lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/36 -En la clínica se utiliza un dispositivo electrónico que mide la temperatura de forma automática siendo para ello necesario que los usuarios se coloquen cerca y enfrente del mismo. - El dispositivo se encontraba situado en una pared en una zona donde se encuentra la sala de espera y la recepción de la clínica - El resultado de la temperatura corporal se quedaba reflejado en la pantalla del dispositivo durante varios segundos lo que, al apartarse la persona del mismo, permitía que fuera visible para terceras personas que allí se encontrasen. SEGUNDO: SALUS BALEARES, en su escrito de respuesta al traslado de la reclamación y solicitud de información, presentado con fecha 28 de marzo de 2022 13 (Número de registro: REGAGE22e00009701065), indica lo siguiente: “El sistema de medición utilizado se trata de un termómetro laser ubicado a la entrada de la clínica, en la que el usuario individualmente se toma la temperatura y el personal de admisión de la clínica médica observa dicha medición, sin llevar a cabo ningún tipo de registro de temperatura o datos identificativos de dicho usuario. Es decir, se utilizan termómetros laser, para las mediciones de temperatura sin que este proceso vaya acompañado del registro de la temperatura obtenida de los usuarios de la clínica”. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Cuestiones previas En relación con la toma de temperatura de las personas como parte de las medidas adoptadas en centros de trabajo para ayudar a prevenir la propagación de la pandemia de COVID-19, se considera necesario resaltar que la temperatura corporal de las personas es un dato de salud en sí mismo, a tenor de la definición contenida en el artículo 4, apartado 15, del RGPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/36 Según el artículo 4 del RGPD, apartados 1 y 2, se entenderá por «datos personales»: “toda información sobre una persona física identificada o identificable”; y por «tratamiento»: “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción.” Partiendo de lo anterior, los controles de temperatura de las personas pueden constituir un tratamiento de datos de salud relativo a una persona física identificada o identificable, y como tal deben ajustarse a una de las bases jurídicas enumeradas en el artículo 6 del RGPD y concurrir alguna de las excepciones específicas que se relacionan en el artículo 9 del RGPD. Con carácter general, el empleador tiene la obligación de garantizar la seguridad y salud de las personas trabajadoras a su servicio en los aspectos relacionados con el trabajo, como se desprende de los artículos 14 y siguientes de la Ley 31/1995, de 8 de noviembre, de prevención de Riesgos Laborales. Esta obligación opera a la vez como excepción que permite el tratamiento de datos de salud, al amparo de las circunstancias previstas en el artículo 9.2.
  11. h)del RGPD, y como base jurídica que legitima el tratamiento, por cuanto el tratamiento es necesario para el cumplimiento de una obligación legal impuesta al empleador (artículo 6.1.
  12. c)del RGPD). No cabe duda de que en una situación de crisis sanitaria como la ocasionada por la COVID-19, el empleador está obligado a adoptar medidas extraordinarias encaminadas a prevenir nuevos contagios y estas medidas deben aplicarse atendiendo a los criterios definidos por las autoridades sanitarias. En el ámbito de las empresas, el Ministerio de Sanidad, en su documento “Procedimiento de actuación para los servicios de prevención de riesgos laborales frente a la exposición al SARS-CoV-2”, indica que “La intervención de las empresas, a través de los servicios de prevención (SPRL), frente a la exposición al SARS-COV-2 ha sido y es crucial, adaptando su actividad con recomendaciones y medidas actualizadas de prevención (…) con el objetivo general de limitar los contagios: medidas de carácter organizativo, de protección colectiva, de protección personal, de trabajador especialmente vulnerable y nivel de riesgo, de estudio y manejo de casos y contactos ocurridos en la empresa y de colaboración en la gestión de la incapacidad temporal” y añade que “las empresas, a través de los servicios de prevención, están llamadas a colaborar con las autoridades sanitarias en la detección precoz de todos los casos compatibles con COVID-19 y sus contactos, para controlar la transmisión.” En este contexto, debe entenderse que el control de la temperatura corporal de los trabajadores realizado por los empleadores, como medida para permitir el acceso a los centros de trabajo con la finalidad de limitar los contagios, dado que la fiebre es un síntoma de la enfermedad causada por el SARS-CoV-2, como parte de un conjunto más amplio de medidas que incluyen medidas preventivas, de higiene, protectoras, etc., cumple con los criterios indicados por las autoridades sanitarias. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/36 En el caso examinado, SALUS BALEARES, en concordancia con los criterios indicados, manifiesta que realiza controles de temperatura corporal a sus trabajadores para cumplir con sus obligaciones en materia de salud y seguridad. En consecuencia, de acuerdo con lo razonado, este tratamiento de datos de salud de los trabajadores encuentra su legitimación en la causa prevista en el artículo 6.1.
  13. c)del RGPD y en las excepciones que habilitan el tratamiento de datos de salud, recogidas en el artículo 9.2.
  14. h)del RGPD. III En relación con la toma de temperatura de los usuarios que acceden a un establecimiento, los controles de temperatura de las personas pueden constituir un tratamiento de datos de salud relativo a una persona física identificada o identificable, y como tal deben ajustarse a una de las bases jurídicas enumeradas en el artículo 6 del RGPD y concurrir alguna de las excepciones específicas que se relacionan en el artículo 9 del RGPD. Para determinar si en un caso concreto se ha producido un tratamiento de datos de una persona identificada o identificable, se ha de partir del tipo de dispositivo empleado y tener en cuenta otras circunstancias del proceso de la toma de temperatura que puedan hacer identificable a la persona, como en el caso de que se registre o no la temperatura corporal o que la captación de la temperatura en los establecimientos abiertos al público se realice con publicidad, de tal manera que la persona afectada pueda ser identificada por terceros. En los controles de temperatura corporal que se llevan a cabo en la entrada de los establecimientos abiertos al público para tomar la temperatura a los visitantes o clientes se suelen utilizar dispositivos manuales de medición de la temperatura, como un termómetro manual que únicamente está concebido para tomar la temperatura corporal. Cuando estos controles de temperatura no van acompañados de un control de identidad de las personas que pretenden acceder al establecimiento, es decir cuando la toma de temperatura no se vincula a una persona determinada a través de su registro o anotación, tales medidas no se encontrarían, en principio, incluidas en el ámbito de aplicación del RGPD al no asociarse la temperatura a una persona identificada o identificable. Ahora bien, denegar el acceso o asistencia a una persona con motivo de su temperatura puede desvelar a terceros que no tienen ninguna justificación para conocerlo que la persona a la que se ha denegado la entrada tiene una temperatura corporal por encima de lo considerado no relevante y, sobre todo, que puede estar contagiada por el virus, dado que la fiebre es un síntoma de la enfermedad causada por el SARS-CoV-2. Asimismo, si la toma de temperatura se realiza de tal forma que el resultado es visible o público, supone también que se desvela a terceros. Por tanto, es necesario establecer en cada caso si de las concretas circunstancias que concurrieron en el proceso de toma de temperatura de una persona determinada se derivaron acontecimientos que la hicieron identificable. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/36 En el supuesto examinado, tal y como ha quedado acreditado mediante fotografías aportadas por la parte reclamante, se utiliza un dispositivo electrónico que mide la temperatura de forma automática siendo para ello necesario que los usuarios se coloquen cerca y enfrente del mismo. Dicho dispositivo está situado en una pared cerca de la sala de espera y al lado de la recepción de la clínica, ofreciendo la temperatura corporal en el frontal de dicho dispositivo, siendo perfectamente visible por las personas que se encuentren en dicha sala, así como por las que accedan y se encuentren en la zona de recepción del establecimiento. El dato personal de la temperatura es un dato de salud en sí mismo. Igualmente, en el supuesto de tener temperatura alta ello presupone además la existencia de una enfermedad y, en el contexto y momento en que se toma, la posible existencia de la enfermedad causada por el SARS-CoV-2, siendo también sin lugar a duda datos de salud y que se están dando a conocer de forma pública a terceras personas y respecto de personas identificadas o identificables de forma directa. IV Alegaciones al Acuerdo de Inicio En respuesta a las alegaciones presentadas por la entidad reclamada se debe señalar lo siguiente: I. En referencia a si la toma de temperatura supone un tratamiento de datos de carácter personal. Alega la reclamada que, tal y como señala la propia Agencia en el Acuerdo de Inicio, cuando los controles de temperatura no van acompañados de un control de identidad de las personas que pretenden acceder al establecimiento, es decir cuando la toma de temperatura no se vincula a una persona determinada a través de su registro o anotación. Añade SALUS BALERAES que este mismo criterio sigue la Agencia en otros procedimientos, como el E/03884/2020, en los cuales se ha determinado que la medición de la temperatura a través de termómetros sin registro de los interesados no es un tratamiento de datos personales. Frente a ello, procede señalar, en primer lugar, lo que se señaló exactamente por esta Agencia en el Acuerdo de Inicio del presente procedimiento sancionador es lo que se ha transcrito en el Antecedente de Hecho III, reproduciéndose de nuevo alguno de los párrafos a los que literalmente ser refiere la reclamada: “Cuando estos controles de temperatura no van acompañados de un control de identidad de las personas que pretenden acceder al establecimiento, es decir cuando la toma de temperatura no se vincula a una persona determinada a través de su registro o anotación, tales medidas no se encontrarían, en principio, incluidas en el ámbito de aplicación del RGPD al no asociarse la temperatura a una persona identificada o identificable. Ahora bien, denegar el acceso o asistencia a una persona con motivo de su temperatura puede desvelar a terceros que no tienen ninguna justificación para conocerlo que la persona a la que se ha denegado la entrada tiene una C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/36 temperatura corporal por encima de lo considerado no relevante y, sobre todo, que puede estar contagiada por el virus, dado que la fiebre es un síntoma de la enfermedad causada por el SARS-CoV-2. Asimismo, si la toma de temperatura se realiza de tal forma que el resultado es visible o público, supone también que se desvela a terceros. Por tanto, es necesario establecer en cada caso si de las concretas circunstancias que concurrieron en el proceso de toma de temperatura de una persona determinada se derivaron acontecimientos que la hicieron identificable. En el supuesto examinado, tal y como ha quedado acreditado mediante fotografías aportadas por la parte reclamante, se utiliza un dispositivo electrónico que mide la temperatura de forma automática siendo para ello necesario que los usuarios se coloquen cerca y enfrente del mismo. Dicho dispositivo está situado en una pared cerca de la sala de espera y al lado de la recepción de la clínica, ofreciendo la temperatura corporal en el frontal de dicho dispositivo, siendo perfectamente visible por las personas que se encuentren en dicha sala, así como por las que accedan y se encuentren en la zona de recepción del establecimiento” (el subrayado es nuestro) Por otro lado, en el expediente E/03884/2020 que trae a colación la reclamada para, según entiende, sostener que siempre que al tomar la temperatura no se realice un registro de los interesados no se está ante un tratamiento de datos, se significa lo siguiente: -Dicho expediente se refiere a la toma de temperatura corporal a usuarios del metro de Bilbao mediante cámaras termográficas sin reconocimiento y sin grabación, que permitía conocer la medición de temperatura sin identificación, sin grabación y sin registro de datos de las personas al no requerirse su identificación. Esos datos se visualizaban en tiempo real y únicamente por personal sanitario. -Se indicó expresamente en dicho expediente que: “Para determinar si en un caso concreto se ha producido un tratamiento de datos de una persona identificada o identificable, se ha de partir del tipo de dispositivo empleado y tener en cuenta otras circunstancias del proceso de la toma de temperatura que puedan hacer identificable a la persona, como en el caso de que se registre o no la temperatura corporal o que la captación de la temperatura en los establecimientos abiertos al público se realice con publicidad, de tal manera que la persona afectada pueda ser identificada por terceros. (…) En el supuesto examinado, se utilizan cámaras termográficas y termómetros manuales para las mediciones de temperatura sin que este proceso vaya acompañado del registro de la temperatura obtenida de los usuarios del metro. Tampoco se ha constatado la concurrencia de circunstancias especiales que hayan permitido vincular el citado tratamiento a una persona identificada o identificable. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/36 -Y finalmente, se decide por esta Agencia archivar las actuaciones basado en que: “de acuerdo con lo razonado, no se aprecia en este caso que el tratamiento de datos que se realiza se refiera a personas físicas identificadas o identificables, quedando en consecuencia excluido del ámbito de aplicación del RGPD.” (el subrayado es nuestro). Por tanto, tanto en lo que se indicó en el Fundamento de Derecho II del Acuerdo de Inicio del presente procedimiento sancionador y que se reproduce también en esta propuesta de resolución, así como en el supuesto del expediente E/03884/2020, no sólo se pone el acento en que la temperatura no se registra posteriormente con identificación de los interesados, sino que, además, el dato no debe ser accesible por terceros no autorizados, y en el caso del Metro de Bilbao únicamente ve el resultado de la temperatura corporal el personal sanitario autorizado al efecto, sin que el resto de los usuarios del metro puedan visualizar la temperatura corporal que arroja el dispositivo. Ello supone que la toma de temperatura se realiza de tal forma que no se refiere a personas físicas identificadas ni identificables. Sin embargo, en el caso que nos ocupa, se ha evidenciado, a través de las fotografías aportadas por el reclamante, que la temperatura corporal que detecta el dispositivo es perfectamente visible para otras personas que se encuentren en la sala de espera y en zonas cercanas a la recepción, lo que permite vincular el dato personal (la temperatura) con una persona identificada o identificable, ya que en el mismo momento en que una persona se toma la temperatura, el resultado es visible por el resto de personas que se encuentren en ese momento en la sala de espera o en la zona de recepción de la clínica. Por tanto, sí que estaríamos aquí ante un dato personal referido a una persona identificada o identificable, por cuanto el dato de la temperatura corporal se visualiza por terceras personas justo cuando la persona directamente se está tomando la temperatura en ese mismo momento. Es decir, terceros no autorizados están viendo tanto la temperatura concreta como la persona a la cual pertenece esa temperatura. Y eso la hace perfectamente identificada o identificable. Así, en el Dictamen 4/2007 sobre el concepto de datos personales del Grupo de Trabajo del Artículo 27 (136WP) se indica que: De modo general, se puede considerar «identificada» a una persona física cuando, dentro de un grupo de personas, se la «distingue» de todos los demás miembros del grupo. Por consiguiente, la persona física es «identificable» cuando, aunque no se la haya identificado todavía, sea posible hacerlo (que es el significado del sufijo «ble»). Así pues, esta segunda alternativa es, en la práctica, la condición suficiente para considerar que la información entra en el ámbito de aplicación del tercer componente. (pg. 12) Este tratamiento de toma de temperatura de esta manera en que se ha realizado supone una injerencia particularmente intensa en los derechos de las personas afectadas. Por una parte, porque afecta a datos relativos a la salud de las personas, no sólo porque el valor de la temperatura corporal es un dato de salud en sí mismo C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/36 sino también porque, a partir de él, se asume que una persona padece o no una concreta enfermedad, como es en estos casos la infección por coronavirus. Por otro lado, en cuanto a lo alegado por SALUS BALEARES respecto de que el dispositivo se encuentra en una pared al lado de recepción, donde existen elementos ornamentales para evitar que se puedan visualizar el resultado de la medición, se significa, en primer lugar, que en las fotografías aportadas por el reclamante se evidencia claramente que desde la posición en que él está (zona de sala de espera) se visualiza claramente el dispositivo de medición y el resultado que arroja, pues el elemento ornamental queda al otro lado y no interrumpe la visibilidad en modo alguno, Y, en segundo lugar, no procede aceptar que dicho elemento ornamental, consistente en una planta dentro de una maceta de tamaño mediano, situada en una esquina encima del mostrador de recepción, pueda considerarse una medida técnica u organizativa apropiada para garantizar una seguridad adecuada, concretamente para garantizar la confidencialidad de los datos personales, no sólo por ser inapropiado en sí mismo, sino porque, tal y como se desprende de las fotos, es fácil situarse al otro lado del mostrador (y al otro lado de la planta) para visualizar perfectamente el resultado que arroja el dispositivo de medición de temperatura. Asimismo, señala la reclamada que al realizarse la medición acercando la mano, a escasos centímetros del dispositivo, el cuerpo de la persona obstruye visualmente el resultado, por lo que es prácticamente imposible que la medición de la temperatura sea visible por nadie más que por ella. Sin embargo, y en contra de lo alegado, de las fotos aportadas se evidencia que el resultado que arroja el dispositivo (la temperatura corporal) se mantiene en la pantalla del mismo durante varios segundos, puesto que en las fotos se aprecia que la persona (una mujer) que se toma la temperatura, se la ve después en otra foto alejada del dispositivo y, sin embargo, la temperatura arrojada sigue visualizándose en éste. Por otro lado, alega SALUS BALEARES que no se ha examinado el presente caso de forma fehaciente por la Agencia, ya que no le consta ninguna visita inspectora a la clínica en cuestión, en la que se haya examinado o revisado si las fotografías tomadas eran un reflejo fiel de la realidad. A este respecto, de las fotos aportadas por el reclamante se reflejan claramente los hechos. Asimismo, la propia reclamada ha utilizado una de las fotos aportadas por el reclamante para hacer valer la existencia de la planta ornamental como medida de protección frente a la visualización del termómetro, describiendo la situación del éste y la toma de la temperatura corporal de los usuarios conforme a dicha foto. Asimismo, SALUS BALEARES, tal y como se ha indicado en el Hecho Probado Segundo, en su escrito de respuesta al traslado de la reclamación y solicitud de información dirigido por esta Agencia, indicó expresamente que “El sistema de medición utilizado se trata de un termómetro laser ubicado a la entrada de la clínica, en la que el usuario individualmente se toma la temperatura y el personal de admisión de la clínica médica observa dicha medición, sin llevar a cabo ningún tipo de registro de temperatura o datos identificativos de dicho usuario. Es decir, se utilizan termómetros laser, para las mediciones de temperatura sin que este proceso vaya acompañado del registro de la temperatura obtenida de los usuarios de la clínica”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 20/36 Por lo expuesto, tanto de las fotos como de las declaraciones de SALUS BALEARES, ha quedado perfectamente acreditado las circunstancias de cómo se realiza la toma de temperatura de las personas que acceden a la clínica. Alega SALUS BALEARES que de las fotografías no queda probado que el reclamante llevase a cabo su medición, dado que en las mismas no se visualiza el momento en que el interesado (reclamante) se toma la temperatura, así como que de lo que el mismo manifestó en su reclamación, no procedió a la medición de su temperatura, motivo por el que no se le permitió acceder al centro, y que ello supone que no ha habido ningún tratamiento de datos personales del mismo. Frente a ello, debe aclararse que el tratamiento de datos personales que se entiende que incumple la normativa de protección de datos no se refiere al tratamiento realizado o no realizado respecto del reclamante en concreto, pues el mismo no accedió a que se le tomara la temperatura, sino de la forma en que la clínica toma la temperatura a todas las personas que acceden a la misma. Es decir, del tratamiento que lleva a cabo respecto de la toma de temperatura a todas las personas que acceden a la clínica. II. En referencia a la cuantificación de las sanciones Manifiesta SALUS BALEARES no estar de acuerdo con las circunstancias que se han tenido como agravantes de la sanción indicadas en el Acuerdo de Inicio. Así, indica SALUS BALEARES que, en cuanto en relación al artículo 83.2.a), se ha considerado que la naturaleza de la infracción es grave porque acarrea una pérdida de confidencialidad y, por tanto, de disposición y control sobre los datos personales, pero que, sin embargo, no hubo un tratamiento de datos porque el reclamante nunca llegó a medir su temperatura, por lo que no se pudo vulnerar confidencialidad alguna. Frente a ello, tal y como se ha señalado en el punto anterior, el presente procedimiento sancionador no se ha iniciado por considerar que se ha vulnerado la confidencialidad de los datos del reclamante, sino porque se ha vulnerado la confidencialidad en la toma de la temperatura de las personas que acceden a la clínica, por cuanto el resultado de dicha temperatura era visible para el resto de las personas que allí se pudieran encontrar, es decir, por terceros no autorizados. Asimismo, señala SALUS BALEARES que, en cuanto al número de interesados afectados, esta Agencia no ha indicado el criterio para determinar que el número de afectados es alto, al no conocer el número de clientes que se recibe en la clínica y no haberse presentado otras reclamaciones. Frente a ello, procede recordar que no puede considerarse que los afectados han sido pocos o aislados, por cuanto la toma de temperatura en las circunstancias indicadas se ha estado llevando a cabo durante el largo período de tiempo en que fue obligatoria como medida de prevención durante la pandemia derivada del virus COVID-19. A mayor abundamiento, la propia reclamada en su escrito de alegaciones al Acuerdo de Inicio reconoce expresamente que el número de pacientes de la clínica Asistel Moraira en todo 2022, año en el que se produjo la reclamación, fue de 2.375 personas, cantidad nada desdeñable de personas. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 21/36 En cuanto a que la toma de temperatura resultaba recomendada de conformidad con la normativa sanitaria establecida por los organismos sanitarios competentes, así como por la Ley de prevención de riesgos laborales respecto de sus empleados, se significa que, tal y como se indicó en el Fundamento de Derecho Primero del Acuerdo de Inicio y que se reproduce de nuevo en el Fundamento de Derecho Primero de la presente propuesta y al que procede remitirse, la toma de temperatura como medida de protección frente al COVID 19 se encuentra legitimada. Es decir, no se ha cuestionado que el tratamiento sea lícito, que se pueda llevar a cabo. Sin embargo, que exista legitimación para el tratamiento no es óbice para que el mismo se tenga que realizar cumpliendo con el resto de las obligaciones y requisitos impuestos por la normativa en materia de protección de datos, entre ellos, especialmente, el garantizar la confidencialidad de los datos personales tratados. En relación con la aplicación del artículo 83.2.
  15. b)del RGPD, no está de acuerdo SALUS BALEARES en que se aplique la existencia de negligencia por cuanto insiste en que no hubo tratamiento de datos personales, por cuanto el reclamante nunca llegó a medirse la temperatura. Asimismo, indica que tampoco se le puede aplicar la agravante del artículo 83.2.
  16. g)del RGPD, relativo a la categoría de datos afectados, que en el presente caso sería datos de salud, por el mismo motivo de que no ha existido un tratamiento de datos personales, tal y como se determinó en el expediente E/03884/2020. A este respecto, procede remitirse a lo argumentado en el presente Fundamento de Derecho respecto al tratamiento de datos que supone la toma de temperatura corporal llevada a cabo por la reclamada, especialmente el hecho de que, en el presente caso, como quiera que el resultado de la temperatura corporal es visible para el resto de personas que puedan encontrarse en la zona en el mismo momento en que una persona se toma la temperatura, ello supone que la misma es identificada o identificable, por lo que, y en contra de lo que afirma la reclamada, sí que estaríamos en el supuesto de la definición de dato personal del artículo 4 del RGPD, apartados 1 y 2, según el cual, se entenderá por «datos personales»: “toda información sobre una persona física identificada o identificable”; y por «tratamiento»: “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción.” Por tanto, la temperatura corporal es un dato personal, concretamente un dato de salud y, de conformidad con las circunstancias en las que se toma la temperatura en las dependencias de la reclamada (de forma visible para el resto de personas que se encuentren en la zona donde se realiza la medición), es una información que se recaba respecto de una persona física identificada identificable. Por último, señala SALUS BALEARES, respecto del agravante del artículo 76.2.
  17. b)de la LOPDGDD, referido a la vinculación de la actividad del infractor con la realización de tratamientos de datos personales, que se ha tenido en cuenta la actividad de todo el grupo y no la actividad concreta de la clínica Asistel Moraira, donde supuestamente se ha producido las infracciones en materia de protección de datos. Sin embargo, señala C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 22/36 SALUS BALEARES que el número de pacientes de la clínica Asistel Moraira en todo 2022, año en el que se produjo la reclamación, fue de 2.375 personas. A este respecto se significa que la agravante se refiere a que el desarrollo de la actividad que desempeña la reclamada supone un tratamiento continuo de datos personales (no sólo respecto de la toma de temperatura, sino respecto del servicio asistencial que presta, de las historias clínicas, etc), los cuales además son de salud, es decir, que no es un tratamiento residual o esporádico, lo cual exige una mayor diligencia por parte de la reclamada, y ello con independencia del concreto número de pacientes que recibió en un año una de sus clínicas en cuestión. III. Defectos de forma en el Acuerdo de Inicio que lo hacen nulo Alega SALUS BALEARES que se ha incumplido el principio non bis in ídem, que prohíbe que un mismo hecho pueda ser sancionado varias veces. Frente a ello, procede explicar la diferencia entre la vulneración del art. 5.1.f y el artículo 32 del RGPD. El art. 5.1.
  18. f)del RGPD se vulnera cuando se produce una pérdida de confidencialidad, de integridad o de disponibilidad de los datos personales, lo que puede producirse o no por ausencia o deficiencia de las medidas de seguridad. Este principio tan sólo determina el cauce a través del cual puede lograrse el mantenimiento de la confidencialidad, integridad o disponibilidad cuando explicita “mediante la aplicación de medidas técnicas y organizativas apropiadas”, que no son estrictamente de seguridad. Las medidas técnicas y organizativas apropiadas a las que hace mención el art. 5.1.
  19. f)RGPD no son las medidas de seguridad del art. 32 del RGPD. Esto sería simplificar la esencia del RGPD cuyo cumplimiento no se limita a la implantación de medidas técnicas y organizativas de seguridad; significaría reducir la garantía exigida mediante el principio de integridad y confidencialidad a su logro únicamente con medidas de seguridad. Debe señalarse que hay múltiples medidas técnicas u organizativas que no son de seguridad y que puede implementar el responsable del tratamiento como cauce para garantizar este principio. Sin embargo, el art. 32 del RGPD comprende la obligación de implementar medidas técnicas y organizativas de seguridad apropiadas para garantizar un nivel de seguridad adecuado al riesgo. De seguridad. Sólo de seguridad. Además, su objetivo es garantizar un nivel de seguridad adecuado al riesgo mientras que en el caso del artículo 5.1.
  20. f)del RGPD se debe garantizar la confidencialidad e integridad. Como se puede observar los dos artículos persiguen fines distintos, aunque puedan estar relacionados. Entrando ya de lleno en el examen del non bis in ídem, la Sentencia de la Audiencia Nacional de 23 de julio de 2021 (rec. 1/2017) dispone que, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 23/36 “(…) Conforme a la legislación y jurisprudencia expuesta, el principio non bis in ídem impide sancionar dos veces al mismo sujeto por el mismo hecho con apoyo en el mismo fundamento, entendido este último, como mismo interés jurídico protegido por las normas sancionadoras en cuestión. En efecto, cuando exista la triple identidad de sujeto, hecho y fundamento, la suma de sanciones crea una sanción ajena al juicio de proporcionalidad realizado por el legislador y materializa la imposición de una sanción no prevista legalmente que también viola el principio de proporcionalidad. Pero para que pueda hablarse de "bis in ídem" debe concurrir una triple identidad entre los términos comparados: objetiva (mismos hechos), subjetiva (contra los mismos sujetos) y causal (por el mismo fundamento o razón de castigar):
  21. a)La identidad subjetiva supone que el sujeto afectado debe ser el mismo, cualquiera que sea la naturaleza o autoridad judicial o administrativa que enjuicie y con independencia de quién sea el acusador u órgano concreto que haya resuelto, o que se enjuicie en solitario o en concurrencia con otros afectados.
  22. b)La identidad fáctica supone que los hechos enjuiciados sean los mismos, y descarta los supuestos de concurso real de infracciones en que no se está ante un mismo hecho antijurídico sino ante varios.
  23. c)La identidad de fundamento o causal, implica que las medidas sancionadoras no pueden concurrir si responden a una misma naturaleza, es decir, si participan de una misma fundamentación teleológica, lo que ocurre entre las penales y las administrativas sancionadoras, pero no entre las punitivas y las meramente coercitivas.” Tomando como referencia lo anteriormente explicitado, no se ha vulnerado el principio non bis in ídem, puesto que la infracción del art. 5.1.
  24. f)del RGPD se concreta en una clara pérdida de confidencialidad, mientras que la infracción del art. 32 del RGPD se reduce a la ausencia y deficiencia de las medidas de seguridad (solo de seguridad) adecuadas. Dicho todo lo cual, no se considera que existe vulneración del principio de non bis in ídem, consagrado en el artículo 25 de la Constitución Española. Por último, alega SALUS BALEARES que en el Acuerdo de Inicio se indica una sanción de 10.000 euros por una infracción del artículo 32 del RGPD, pero que, sin embargo, no se ha procedido por esta Agencia a iniciar ningún procedimiento sancionador en el presente expediente contra ella motivado en la infracción del artículo 32 del RGPD, por lo que solicita la nulidad del procedimiento. A este respecto, procede señalar que, en Acuerdo de Inicio del presente procedimiento sancionador, en los Fundamentos de Derecho VII, VIII y IX del mismo se indica con claridad los hechos, la infracción que los mismos suponen (infracción del artículo 32), la tipificación de la infracción (artículo 83.4 del RGPD) así como la sanción que pudiera recaer por ello. Asimismo, en la parte dispositiva del mismo se indica claramente que se inicia procedimiento sancionador a SALUS BALEARES por vulneración del artículo C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 24/36 32 del RGPD, tipificada en el artículo 83.4 del RGPD y que la sanción podría suponer una multa de 10.000 euros. Por lo expuesto, el Acuerdo de Inicio no adolece de ninguna causa de nulidad ni de anulabilidad. En conclusión, se desestiman todas las alegaciones formuladas V Alegaciones a la Propuesta de Resolución En respuesta a las alegaciones presentadas por la entidad reclamada se debe señalar lo siguiente: Primera: La AEPD no ha probado hecho alguno que suponga la comisión de una infracción por parte de SALUS BALEARES y la imposición de las sanciones propuestas Alega de nuevo SALUS BALEARES que la propuesta de sanción se basa en una prueba insuficiente para desvirtuar la presunción de inocencia por cuanto en el expediente administrativo únicamente consta una fotografía realizada por el denunciante y la AEPD no ha realizado actividad probatoria en la tramitación del expediente, pues no se ha personado en el local para constatar la realidad que presuntamente se indica en las fotografías. A este respecto, tal y como ya se señaló en la Propuesta de Resolución, el reclamante aportó, junto a su reclamación, tres fotografías que obran en el expediente: -En la primera, aparece una persona (mujer) mirando a la pared y colocando la mano a cierta altura. -En la segunda foto, la misma persona se encuentra algo más alejada de la zona anterior y entonces se visualiza un dispositivo electrónico de toma de temperatura en la zona de la pared donde antes se encontraba dicha persona y se visualiza en números digitales rojos un valor (36,1) -En la tercera fotografía, la misma persona se encuentra algo más alejada, en la zona de recepción y el dispositivo sigue indicando el anterior valor (36,1) En todas las fotografías se ve la zona de recepción muy cerca (casi pegado) a la derecha del dispositivo. En dos de ellas incluso se visualiza a otra persona (un hombre) en la zona de recepción, el cual, con sólo retroceder un paso atrás le permitiría visualizar la temperatura arrojada por el dispositivo En dichas fotografías, tal y como se ha señalado en el Hecho Probado Primero, se reflejan claramente los siguientes hechos: -En la clínica se se utiliza un dispositivo electrónico que mide la temperatura de forma automática siendo para ello necesario que los usuarios se coloquen cerca y enfrente del mismo. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 25/36 - El dispositivo se encontraba situado en una pared en una zona donde se encuentra la sala de espera y la recepción de la clínica - El resultado de la temperatura corporal se quedaba reflejado en la pantalla del dispositivo durante varios segundos lo que, al apartarse la persona del mismo, permitía que fuera visible para terceras personas que allí se encontrasen. Por otro lado, SALUS BALEARES, en ningún momento ha negado la veracidad de las fotografías. Es más, en su escrito de respuesta al traslado de la reclamación y solicitud de información, presentado con fecha 28 de marzo de 2022 13, indicó lo siguiente: “El sistema de medición utilizado se trata de un termómetro laser ubicado a la entrada de la clínica, en la que el usuario individualmente se toma la temperatura y el personal de admisión de la clínica médica observa dicha medición, sin llevar a cabo ningún tipo de registro de temperatura o datos identificativos de dicho usuario. Es decir, se utilizan termómetros laser, para las mediciones de temperatura sin que este proceso vaya acompañado del registro de la temperatura obtenida de los usuarios de la clínica”. Asimismo, la propia reclamada ha utilizado una de las fotos aportadas por el reclamante para hacer valer la existencia de la planta ornamental como medida de protección frente a la visualización del termómetro, describiendo la situación del éste y la toma de la temperatura corporal de los usuarios conforme a dicha foto. Por lo expuesto, tanto de las fotos como de las declaraciones de SALUS BALEARES, ha quedado perfectamente acreditado las circunstancias de cómo se realiza la toma de temperatura de las personas que acceden a la clínica, no siendo necesario, por tanto, en modo alguno que esta Agencia se persone en el local de la reclamada para constatar lo que se considera plenamente probado y acreditado y además, no contradicho por la reclamada. Segundo: SALUS BALEARES no ha tratado datos del denunciante De nuevo aduce SALUS BALEARES que no existió un tratamiento de datos personales del reclamante, por cuanto el mismo no se sometió a la toma de temperatura. A este respecto, tal y como ya se indicó en la Propuesta de Resolución, el tratamiento de datos personales que se entiende que incumple la normativa de protección de datos no se refiere al tratamiento realizado o no realizado respecto del reclamante en concreto, pues el mismo, efectivamente, no accedió a que se le tomara la temperatura, sino de la forma en que la clínica toma la temperatura a todas las personas que acceden a la misma. Es decir, del tratamiento que lleva a cabo respecto de la toma de temperatura a todas las personas que acceden a la clínica. Asimismo, refiere SALUS BALEARES varias cuestiones tales como que no se registran los datos de la toma de temperatura; que existen elementos ornamentales (una planta) para evitar que desde el lateral derecho se pudiera visualizar el resultado de la medición; que la distancia obligatoria que había que mantener entre personas no permitía la visualización del dato; que la pantalla del dispositivo de medición quedaba tapada por el cuerpo de la propia persona que se acercaba a tomarse la temperatura; que todas las personas debían acceder a las instalaciones con mascarilla. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 26/36 Frente a ello, procede remitirse a todo lo respondido y argumentado en la Propuesta de Resolución. Así, se indicó, en primer lugar, que en las fotografías aportadas por el reclamante se evidencia claramente que desde la posición en que él está (zona de sala de espera) se visualiza claramente el dispositivo de medición y el resultado que arroja, pues el elemento ornamental queda al otro lado y no interrumpe la visibilidad en modo alguno, Y, en segundo lugar, no procede aceptar que dicho elemento ornamental, consistente en una planta dentro de una maceta de tamaño mediano, situada en una esquina encima del mostrador de recepción, pueda considerarse una medida técnica u organizativa apropiada para garantizar una seguridad adecuada, concretamente para garantizar la confidencialidad de los datos personales, no sólo por ser inapropiado en sí mismo, sino porque, tal y como se desprende de las fotos, es fácil situarse al otro lado del mostrador (y al otro lado de la planta) para visualizar perfectamente el resultado que arroja el dispositivo de medición de temperatura. Asimismo, en cuanto a que al realizarse la medición acercando la mano, a escasos centímetros del dispositivo, el cuerpo de la persona obstruye visualmente el resultado, por lo que es prácticamente imposible que la medición de la temperatura sea visible por nadie más que por ella, se significa, en contra de ello, que de las fotos aportadas se evidencia que el resultado que arroja el dispositivo (la temperatura corporal) se mantiene en la pantalla del mismo durante varios segundos, puesto que en las fotos se aprecia que la persona (una mujer) que se toma la temperatura, se la ve después en otra foto alejada del dispositivo y, sin embargo, la temperatura arrojada sigue visualizándose en éste. Cuarta: El eventual tratamiento de datos fue seguro. En todo momento se respetaron las indicaciones de la LOPDGDD y del RGPD En este apartado, SALUS BALEARES fundamentalmente niega que en ningún momento los pacientes podían ver la temperatura de otro paciente. Frente a ello, procede remitirse a lo señalado en el apartado anterior de este Fundamento de Derecho. Cuarta: Del dato aislado de la temperatura no podía conocerse la identidad de la persona Alega de nuevo la reclamada que, si bien el dato de la temperatura es un dato de salud, en el momento de la toma de temperatura, los posibles usuarios de las instalaciones no podían disponer de información necesaria que vinculara ese dato con otros que hicieran identificable a la persona que procede a tomarse la temperatura, por lo que no es un dato relativo a una persona física identificada o identificable. Frente a ello, tal y como ya se le indicó en la Propuesta de Resolución, se ha evidenciado, a través de las fotografías aportadas por el reclamante, que la temperatura corporal que detecta el dispositivo es perfectamente visible para otras personas que se encuentren en la sala de espera y en zonas cercanas a la recepción, lo que permite vincular el dato personal (la temperatura) con una persona identificada C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 27/36 o identificable, ya que en el mismo momento en que una persona se toma la temperatura, el resultado es visible por el resto de personas que se encuentren en ese momento en la sala de espera o en la zona de recepción de la clínica. Por tanto, sí que estaríamos aquí ante un dato personal referido a una persona identificada o identificable, por cuanto el dato de la temperatura corporal se visualiza por terceras personas justo cuando la persona directamente se está tomando la temperatura en ese mismo momento. Es decir, terceros no autorizados están viendo directamente tanto la temperatura concreta como a la persona a la cual pertenece esa temperatura. Y eso la hace perfectamente identificada o identificable. Lo que parece confundir la reclamada es que una persona sea identificable con poder obtener sus datos identificativos (nombre y apellidos), lo cual no es así. A este respecto, en el Dictamen 4/2007 sobre el concepto de datos personales del Grupo de Trabajo del Artículo 27 (136WP) se indica que: De modo general, se puede considerar «identificada» a una persona física cuando, dentro de un grupo de personas, se la «distingue» de todos los demás miembros del grupo. Por consiguiente, la persona física es «identificable» cuando, aunque no se la haya identificado todavía, sea posible hacerlo (que es el significado del sufijo «ble»). Así pues, esta segunda alternativa es, en la práctica, la condición suficiente para considerar que la información entra en el ámbito de aplicación del tercer componente. (pg. 12) Este tratamiento de toma de temperatura de esta manera en que se ha realizado supone una injerencia particularmente intensa en los derechos de las personas afectadas. Por una parte, porque afecta a datos relativos a la salud de las personas, no sólo porque el valor de la temperatura corporal es un dato de salud en sí mismo sino también porque, a partir de él, se asume que una persona padece o no una concreta enfermedad, como es en estos casos la infección por coronavirus. Quinta: No se ha tenido en cuenta el contexto de crisis sanitaria Aduce la reclamada que el momento y las circunstancias en las que se han producido eran tan excepcionales como una pandemia a nivel mundial. Sin embargo, ello no ha sido tenido en cuenta por la AEPD. En este sentido, procede señalar que tanto en el Acuerdo de Inicio, como en la Propuesta de Resolución, así como en la presente Resolución, en su Fundamento de Derecho II, se ha tenido en cuenta la situación de la pandemia producida por el COVID 19, precisamente para el hecho de justificar la licitud del tratamiento de la temperatura corporal al amparo de las circunstancias previstas en el artículo 9.2.
  25. h)del RGPD y, como base jurídica que legitima el tratamiento, por cuanto el mismo es necesario para el cumplimiento de una obligación legal impuesta (artículo 6.1.
  26. c)del RGPD. Sin embargo, una vez se está legitimado para el tratamiento de los datos en cuestión, ello no es óbice en absoluto para el cumplimiento del resto de obligaciones que impone el RGPD, como la de garantizar la confidencialidad de los datos personales C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 28/36 (artículo 5.1.
  27. f)y la de adoptar las medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo del tratamiento (artículo 32). Por lo expuesto, se desestiman las alegaciones. VI Artículo 5.1.
  28. f)del RGPD El artículo 5.1.
  29. f)“Principios relativos al tratamiento” del RGPD establece: “1. Los datos personales serán: (…)
  30. f)tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»).” La toma de temperatura corporal supone una injerencia particularmente intensa en los derechos de las personas afectadas. Por una parte, porque, tal y como se ha indicado anteriormente, afecta a datos relativos a la salud de las personas, no sólo porque el valor de la temperatura corporal es un dato de salud en sí mismo sino también porque, a partir de él, se asume que una persona puede padecer o no una concreta enfermedad, como es en estos casos la infección por coronavirus. Por ello, el hecho de que, conforme a la normativa aplicable en cada caso (normativa sanitaria o la relativa a la prevención de riesgos laborales) se pueda y/o se deba legalmente controlar la temperatura corporal de los empleados y de los usuarios de un establecimiento no significa que no deban tratarse estos datos con aplicación de los principios y garantías que protegen el derecho fundamental a la protección de datos. Por tanto, los controles de temperatura deben llevarse a cabo de tal forma que se cumplan todas las garantías y obligaciones que establece la normativa en materia de protección de datos personales. En el presente caso, la temperatura corporal de los usuarios que acceden a la clínica se toma de tal manera que es susceptible de ser visualizada por cualquier persona que se encuentre en la sala de espera y en la zona de recepción, lo cual supone que se está desvelando a terceros que no tienen ninguna justificación para conocerlo que la persona afectada tiene una temperatura concreta. Todo ello supone una vulneración de la obligación de garantizar la confidencialidad de los datos personales. Por todo lo expuesto y de conformidad con las evidencias de las que se dispone, se considera que los hechos conocidos son constitutivos de una infracción, imputable a SALUS BALEARES, por vulneración del artículo 5.1.
  31. f)del RGPD. VII Tipificación de la infracción del artículo 5.1.
  32. f)del RGPD C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 29/36 La citada infracción del artículo 5.1.
  33. f)del RGPD supone la comisión de las infracciones tipificadas en el artículo 83.5 del RGPD que bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
  34. a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9; (…)” A este respecto, la LOPDGDD, en su artículo 71 “Infracciones” establece que “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A efectos del plazo de prescripción, el artículo 72 “Infracciones consideradas muy graves” de la LOPDGDD indica: “1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
  35. a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679. (…)” VIII Sanción por la infracción del artículo 5.1.
  36. f)del RGPD A efectos de decidir sobre la imposición de una multa administrativa y su cuantía, de conformidad con las evidencias de que se dispone, procede graduar la sanción a imponer de acuerdo con los siguientes criterios que establece el artículo 83.2 del RGPD: Como agravantes: - Artículo 83.2.
  37. a)RGPD: Naturaleza, gravedad y duración de la infracción. Se considera que la naturaleza de la infracción es grave puesto que acarrea una pérdida de confidencialidad y, por tanto, de disposición y control sobre los datos personales. Número de interesados afectados alto: todas las personas que hayan accedido a la clínica durante todo el tiempo que haya estado controlándose la temperatura de la forma y con las circunstancias reseñadas. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 30/36 - Artículo 83.2.
  38. b)RGPD. Intencionalidad o negligencia en la infracción: Si bien se considera que no hubo intencionalidad por parte de SALUS BALEARES, sí puede observarse la existencia de negligencia en el cumplimiento y observancia de las medidas técnicas y organizativas para garantizar la seguridad necesaria para la protección de los datos personales, concretamente para garantizar la confidencialidad de los mismos, puesto que se produjo una toma de temperatura de los usuarios que acudían a la clínica de tal forma que era posible visualizar la misma por el resto de personas que se encontraran en la sala de espera o en la zona de la recepción, lo que refleja una negligencia, máxime si se tiene en cuenta que se trata de datos de salud. A este respecto, debe recordarse que SALUS BALEARES es una clínica y, por tanto, habituada al tratamiento de datos personales, concretamente a datos de salud. Procede recordar, en este sentido, la Sentencia de la Audiencia Nacional de 17/10/2007 (rec. 63/2006), que respecto de entidades cuya actividad lleva aparejado el continuo tratamiento de datos de clientes, indica “…el Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta con la diligencia exigible. Y en la valoración del grado de diligencia ha de ponderarse especialmente la profesionalidad o no del sujeto, y no cabe duda de que, en el caso ahora examinado, cuando la actividad de la recurrente es de constante y abundante manejo de datos de carácter personal ha de insistirse en el rigor y el exquisito cuidado por ajustarse a las previsiones legales al respecto. -Artículo 83.2.
  39. g)RGPD. Categorías de datos personales afectados por la infracción: Han sido afectados datos personales relativos a la salud. Asimismo, se considera que procede graduar la sanción a imponer de acuerdo con los siguientes criterios que establece el apartado 2 del artículo 76 “Sanciones y medidas correctivas” de la LOPDGDD: Como agravantes: - Artículo 76.2.
  40. b)LOPDGDD. Vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal: El desarrollo de la actividad empresarial que desempeña SALUS BALEARES supone un tratamiento continuo de datos personales, muchos de ellos de salud. Por tanto, se trata de una empresa habituada al tratamiento de datos personales. A efectos de decidir sobre la imposición de una multa administrativa y su cuantía, de conformidad con las evidencias de que se dispone, teniendo en cuenta las circunstancias del caso y los criterios que establece el artículo 83.2 del RGPD con respecto a la infracción cometida al vulnerar lo establecido en el artículo 5.1.
  41. f)del RGPD, permite fijar una sanción de 20.000 € (VEINTE MIL EUROS). IX Artículo 32 del RGPD El Artículo 32 “Seguridad del tratamiento” del RGPD establece: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 31/36 “1. Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, que en su caso incluya, entre otros:
  42. a)la seudonimización y el cifrado de datos personales;
  43. b)la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento;
  44. c)la capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente físico o técnico;
  45. d)un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento. 2. Al evaluar la adecuación del nivel de seguridad se tendrán particularmente en cuenta los riesgos que presente el tratamiento de datos, en particular como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos. 3. La adhesión a un código de conducta aprobado a tenor del artículo 40 o a un mecanismo de certificación aprobado a tenor del artículo 42 podrá servir de elemento para demostrar el cumplimiento de los requisitos establecidos en el apartado 1 del presente artículo. 4. El responsable y el encargado del tratamiento tomarán medidas para garantizar que cualquier persona que actúe bajo la autoridad del responsable o del encargado y tenga acceso a datos personales solo pueda tratar dichos datos siguiendo instrucciones del responsable, salvo que esté obligada a ello en virtud del Derecho de la Unión o de los Estados miembros”. (el subrayado es nuestro) El artículo 32 no establece medidas de seguridad estáticas, sino que corresponderá al responsable determinar aquellas medidas de seguridad que son necesarias para garantizar la confidencialidad, la integridad y la disponibilidad de los datos personales, por lo tanto, un mismo tratamiento de datos puede implicar medidas de seguridad distintas en función de las especificidades concretas en las que tiene lugar dicho tratamiento de datos. El Considerando 83 del RGPD establece: A fin de mantener la seguridad y evitar que el tratamiento infrinja lo dispuesto en el presente Reglamento, el responsable o el encargado deben evaluar los riesgos inherentes al tratamiento y aplicar medidas para mitigarlos, como el cifrado. Estas medidas deben garantizar un nivel de seguridad adecuado, incluida la confidencialidad, teniendo en cuenta el estado de la técnica y el coste de su aplicación con respecto a los riesgos y la naturaleza de los datos personales que deban protegerse. Al evaluar el riesgo en relación con la seguridad de los datos, se deben tener en cuenta los riesgos que se derivan del tratamiento de los datos personales, como la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 32/36 comunicación o acceso no autorizados a dichos datos, susceptibles en particular de ocasionar daños y perjuicios físicos, materiales o inmateriales. (el subrayado es nuestro) La seguridad de los datos requiere la aplicación de medidas técnicas u organizativas apropiadas en el tratamiento de los datos personales para proteger dichos datos contra el acceso, uso, modificación, difusión, pérdida, destrucción o daño accidental, no autorizado o ilícito. En este sentido, las medidas de seguridad son claves a la hora de garantizar el derecho fundamental a la protección de datos. No es posible la existencia del derecho fundamental a la protección de datos si no es posible garantizar la confidencialidad, la integridad y la disponibilidad de estos. No debe olvidarse que, de conformidad con el artículo 32.1 del RGPD, las medidas técnicas y organizativas a aplicar para garantizar un nivel de seguridad adecuado al riesgo deben tener en cuenta el estado de la técnica, los costes de aplicación, la naturaleza, el alcance, el contexto y los fines del tratamiento, así como los riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas. En este sentido, derivado de la actividad a la que se dedica SALUS BALEARES y de los datos personales que trata, está obligada realizar un análisis de los riesgos y una implantación de medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo de su actividad para los derechos y libertades de las personas, teniendo en cuenta especialmente que su actividad conlleva tratar datos de salud. En el presente caso, consta el tratamiento de datos de salud (toma de temperatura) de tal forma y utilizando medios que no resultan apropiados para garantizar una seguridad adecuada de los datos personales, concretamente, para garantizar la confidencialidad de los mismos, pues el dato de la temperatura corporal es susceptible de ser visualizado por terceras personas no autorizadas. Ello pone de manifiesto una actuación negligente a la hora de prever un riesgo fácilmente detectable y evaluable (temperatura a la vista y en una zona de acceso público) y de no implementar medidas para evitarlo o mitigarlo. De conformidad con las evidencias de las que se dispone, se considera que los hechos conocidos son constitutivos de una infracción, imputable a SALUS BALEARES, por vulneración del artículo 32 del RGPD. X Tipificación de la infracción del artículo 32 del RGPD La citada infracción del artículo 32 del RGPD supone la comisión de las infracciones tipificadas en el artículo 83.4 del RGPD que bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 10 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 2 % como máximo del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 33/36 volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
  46. a)las obligaciones del responsable y del encargado a tenor de los artículos 8, 11, 25 a 39, 42 y 43; (…)” A este respecto, la LOPDGDD, en su artículo 71 “Infracciones” establece que “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A efectos del plazo de prescripción, el artículo 73 “Infracciones consideradas graves” de la LOPDGDD indica: “En función de lo que establece el artículo 83.4 del Reglamento (UE) 2016/679 se consideran graves y prescribirán a los dos años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: (…)
  47. f)La falta de adopción de aquellas medidas técnicas y organizativas que resulten apropiadas para garantizar un nivel de seguridad adecuado al riesgo del tratamiento, en los términos exigidos por el artículo 32.1 del Reglamento (UE) 2016/679. XI Sanción por la infracción del artículo 32 del RGPD A efectos de decidir sobre la imposición de una multa administrativa y su cuantía, de conformidad con las evidencias de que se dispone procede graduar la sanción a imponer de acuerdo con los siguientes criterios que establece el artículo 83.2 del RGPD: Como agravantes: - Artículo 83.2.
  48. a)RGPD: Naturaleza, gravedad y duración de la infracción. Se considera que la naturaleza de la infracción es grave puesto que acarrea una pérdida de confidencialidad y, por tanto, de disposición y control sobre los datos personales. Número de interesados afectados alto: todas las personas que hayan accedido a la clínica durante todo el tiempo que haya estado controlándose la temperatura de la forma y con las circunstancias reseñadas. - Artículo 83.2.
  49. b)RGPD. Intencionalidad o negligencia en la infracción: Si bien se considera que no hubo intencionalidad por parte de SALUS BALEARES, sí puede C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 34/36 observarse la existencia de negligencia en el cumplimiento y observancia de las medidas técnicas y organizativas para garantizar la seguridad necesaria para la protección de los datos personales, concretamente para garantizar la confidencialidad de los mismos, puesto que se produjo una toma de temperatura de los usuarios que acudían a la clínica de tal forma que era posible visualizar la misma por el resto de personas que se encontraran en la sala de espera o en la zona de la recepción, lo que refleja una negligencia, máxime si se tiene en cuenta que se trata de datos de salud. Procede recordar, en este sentido, la Sentencia de la Audiencia Nacional de 17/10/2007 (rec. 63/2006), que respecto de entidades cuya actividad lleva aparejado el continuo tratamiento de datos de clientes, indica “…el Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta con la diligencia exigible. Y en la valoración del grado de diligencia ha de ponderarse especialmente la profesionalidad o no del sujeto, y no cabe duda de que, en el caso ahora examinado, cuando la actividad de la recurrente es de constante y abundante manejo de datos de carácter personal ha de insistirse en el rigor y el exquisito cuidado por ajustarse a las previsiones legales al respecto. -Artículo 83.2.
  50. g)RGPD. Categorías de datos personales afectados por la infracción: Han sido afectados datos personales relativos a la salud. Asimismo, se considera que procede graduar la sanción a imponer de acuerdo con los siguientes criterios que establece el apartado 2 del artículo 76 “Sanciones y medidas correctivas” de la LOPDGDD: Como agravantes: - Artículo 76.2.
  51. b)LOPDGDD. Vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal: El desarrollo de la actividad empresarial que desempeña SALUS BALEARES (clínica) supone un tratamiento continuo de datos personales, muchos de ellos de salud. Por tanto, se trata de una empresa habituada al tratamiento de datos personales. El balance de las circunstancias contempladas en el artículo 83.2 del RGPD con respecto a la infracción cometida al vulnerar lo establecido en el artículo 32 del RGPD, permite fijar una sanción de 10.000 (diez mil euros). Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a CENTRO MÉDICO SALUS BALEARES, S.L., con NIF B07060478, por una infracción del artículo 5.1.
  52. f)del RGPD, tipificada en el artículo 83.5 del RGPD, una multa de 20.000,00 euros (VEINTE MIL EUROS), y, por una infracción del artículo 32 del RGPD, tipificada en el artículo 83.4 del RGPD, una multa de 10.000,00 euros (DIEZ MIL EUROS), lo cual suma una cuantía total de 30.000 € (TREINTA MIL EUROS). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 35/36 TERCERO: NOTIFICAR la presente resolución a CENTRO MÉDICO SALUS BALEARES, S.L. CUARTO: Esta resolución será ejecutiva una vez finalice el plazo para interponer el recurso potestativo de reposición (un mes a contar desde el día siguiente a la notificación de esta resolución) sin que el interesado haya hecho uso de esta facultad. Se advierte al sancionado que deberá hacer efectiva la sanción impuesta una vez que la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el art. 98.1.
  53. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante LPACAP), en el plazo de pago voluntario establecido en el art. 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso, indicando el NIF del sancionado y el número de procedimiento que figura en el encabezamiento de este documento, en la cuenta restringida nº IBAN: ES00-0000-0000-0000-0000-0000 abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A. En caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
  54. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 36/36 contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-16012024 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.